OpenClaw爆红几个月后，讨论的焦点开始从“模型够不够聪明”转向另一个更难的问题：当个人Agent能代替用户发消息、改文件、跑任务，它究竟该听谁的。OpenClaw核心贡献者Vincent Koc在上海ClawCon上把矛头直接指向这一点。他���为，Agent真正的难点不只是推理能力，而是行动边界、记忆管理、工具调用、失败后的收拾能力。
热潮退去后，项目治理压力集中显现
这个由奥地利工程师Peter Steinberger在2025年底启动的个人AI Agent项目，在三个月内冲到GitHub历史上star数最高的可执行软件之一。随后，创始人被Sam Altman官宣加入OpenAI，项目交由基金会独立运作。围绕项目形成的ClawCon活动，也已从旧金山扩展到纽约、迈阿密、奥斯汀、马德里、东京，并在5月落地上海。
但在热度之外，维护者面前先出现的是治理噪音。Vincent Koc披露，OpenClaw收到了10000个PR。按他的说法，AI编程工具降低了提交代码的门槛，许多原本只停留在想法阶段的需求，如今都能被包装成“看起来能跑”的补丁送到维护者面前。项目还曾在一段时间内每天收到超过100个安全漏洞报告，其中相当一部分由大模型生成，维护团队仍需逐一分类和检查。
模型是“大脑”，Agent更像“身体”
Vincent Koc在演讲中把OpenClaw描述为套在模型外的一整套“手脚”。他用Harness来说明这层系统：它决定模型如何调用工具、如何记住用户、如何拆解任务、何时停下来询问人类、何时继续执行，以及当成本上升或任务出错时怎样刹车。问题不花哨。可这些细节决定Agent能不能从演示视频走进日常使用。
他提出一个朴素的三角：速度、成本、准确度很难同时兼得。如果压低成本，系统可能更慢、错误更多；若同时追求速度和准确度，推理成本和工具调用链又会上升。排行榜能显示模型在代码、数学和推理上的分数，却很难反映一个模型进入真实Agent系统后，到底会失败几次、是否需要中途交还给人、又会在什么环节暴露出不稳定。
记忆能力被视为个人Agent的核心能力
在Michael Galpert看来，未来每个人如果都拥有常驻Agent，最关键的能力不是多模态，也不是推理，而是记忆。如果用户两周前聊过一件事，今天再次提起，Agent应该知道上下文。这个判断把个人Agent和普通软件区分开来：工具靠功能被使用，关系靠记忆被维持。
不过，Vincent Koc对“自动生成经验”持谨慎态度。他提到，市场上还缺乏足够强的评估办法，去判断Agent自己总结出来的经验到底是在积累能力，还是在固化错误。一个自动写下来的“技能”，可能是有效经验，也可能只是把偶然成功的路径焊死在系统里。对Agent来说，会记住并不等于会学习；不会遗忘，也不一定更聪明。
开放社区带来创新，也迫使边界重建
OpenClaw最初定位是个人AI助手，而不是企业系统或多Agent平台。但项目开源后，社区很快把它接入飞书、微信、企业微信、钉钉、本地文件和自动化脚本，使用方向不断外扩。Michael Galpert表示，中国开发者接入OpenClaw的速度和意愿让他印象很深。问题也随之变得直接：开放确实带来了更多创新，可门一旦打开，项目就很难只由最初的维护者定义。
Vincent Koc透露，团队正在调整维护方式，补上SDK、测试工具、文档和参考架构。目标不是把需求挡在外面，而是给不断涌入的代码和想法修出河道。对OpenClaw这类项目来说，真正稀缺的已经不只是代码，而是判断：哪些功能该被保留，哪些风���不能放行，哪些需求是长期方向，哪些只是热度驱动下的短期噪音。
安全问题不止是漏洞，更是权限边界
在上海活动现场，安全仍是绕不开的话题。OpenClaw这类工具接入聊天软件、读取文件、运行脚本、调用模型、编写代码的能力越强，风险也越高。Vincent Koc表示，作为GitHub上的大型开源仓库，OpenClaw一直被安全研究人员盯着，真实漏洞会尽快修复，团队也与安全研究团队合作，尽量把问题纳入产品并保持透明。
但对Agent来说，安全并不只是“有没有漏洞”。更麻烦的是权限边界：它能碰什么，不能碰什么；什么时候可以自主行动，什么时候必须停下来问用户；如果误删文件、发错消息或把错误代码送进生产环境，责任该怎么算。这个问题到现在仍没有统一答案。OpenClaw的讨论价值，也正在于它把这些问题提前摆到了台面上。