OpenClaw: trợ lý AI tự host, nhắn qua Telegram/WhatsApp và làm việc thật trên máy bạn

Đầu năm 2026, một dự án mã nguồn mở có tên OpenClaw tăng sao trên GitHub nhanh hiếm thấy: theo Elestio, khoảng 190.000 sao chỉ sau hai tuần, và vượt 250.000 sao vào đầu tháng 3 — vượt cả React. Lý do: nó biến AI từ “cửa sổ chat” thành trợ lý chạy trên máy của bạn, nhận lệnh qua Telegram, WhatsApp, Slack… và làm việc thật: đọc email, chạy lệnh, mở trình duyệt, chạy việc định kỳ. Bài này giải thích OpenClaw là gì, kiến trúc ra sao, và — quan trọng hơn — những rủi ro bảo mật đã thực sự xảy ra.

Nguồn gốc

• Do lập trình viên người Áo Peter Steinberger (nhà sáng lập PSPDFKit) tạo ra; bản prototype đầu tiên được viết trong khoảng một giờ.
• Tên ban đầu là Clawdbot, đổi sang Moltbot sau khi Anthropic phản hồi về thương hiệu, rồi thành OpenClaw.
• Giấy phép MIT. Tháng 2/2026, tác giả gia nhập OpenAI; dự án chuyển sang một quỹ độc lập (501(c)(3)), OpenAI tài trợ nhưng không sở hữu code.

Kiến trúc

Model thì tuỳ bạn chọn: Claude qua API của Anthropic là cấu hình phổ biến, ngoài ra có GPT, Gemini, Mistral hoặc model chạy local qua Ollama. Ngoài chat, OpenClaw còn tự động hoá trình duyệt (Chromium do nó quản lý), chạy việc theo lịch (cron, webhook), điều khiển bằng giọng nói trên di động.

Cài đặt

# Cách 1: npm (Node.js 22+, tối thiểu ~2 GB RAM)
npm install -g openclaw
# rồi chạy trình hướng dẫn onboard theo tài liệu chính thức (docs.openclaw.ai)

# Cách 2: Docker Compose — mount thư mục config và workspace thành volume

Sau khi cài, chạy openclaw doctor định kỳ để phát hiện cấu hình chính sách sai.

Dùng vào việc gì?

• Nhắn từ điện thoại: “tóm tắt email chưa đọc”, “nhắc tôi review PR lúc 4h chiều”.
• Bản tin buổi sáng lúc 7h: lịch họp, email quan trọng, số liệu dashboard.
• Theo dõi website, gom báo cáo, chạy script định kỳ.
• Trợ lý cá nhân có trí nhớ dài hạn, không phụ thuộc một nhà cung cấp chat cụ thể.

Mặt tối: những sự cố bảo mật đã xảy ra

Đây là phần quan trọng nhất. Một agent có quyền shell, đọc email và nhận lệnh từ ứng dụng chat là bề mặt tấn công rất lớn — và thực tế đã chứng minh điều đó:

Mặc định, phiên chính của OpenClaw có toàn quyền trên máy chủ. Kết hợp với việc nhận tin nhắn từ bên ngoài, đây đúng là “bộ ba chết người”: đọc nội dung không tin cậy + truy cập dữ liệu riêng + có kênh gửi ra ngoài.

Cấu hình an toàn tối thiểu

1. Chỉ lắng nghe localhost và bật xác thực cho Gateway.
2. Chạy trên VM hoặc máy riêng, không phải laptop làm việc chính có credential công ty.
3. Bật sandbox cho phiên không tin cậy: đặt agents.defaults.sandbox.mode (ví dụ "non-main") cho phiên nhóm/kênh mà bạn không kiểm soát hoàn toàn.
4. DM policy = "pairing" để người lạ không kích hoạt được agent.
5. Đọc kỹ skill trước khi cài — coi mỗi skill là code thực thi với quyền của bạn.
6. Cập nhật thường xuyên và chạy openclaw doctor.
7. Không đưa credential production vào agent cá nhân.

Áp dụng thế nào?

• Dev: Muốn thử, hãy dựng trên một VPS rẻ hoặc VM riêng, chỉ nối một kênh chat của chính bạn, chưa cài skill cộng đồng. Đánh giá giá trị trước, mở rộng quyền sau.
• Tech Lead / bảo mật: Quét mạng nội bộ xem có instance OpenClaw nào nhân viên tự dựng và để lộ cổng không. Đưa “agent tự host” vào chính sách sử dụng AI của công ty.
• PM: OpenClaw cho thấy xu hướng “agent ở mọi nơi bạn chat”. Với sản phẩm nội bộ, kiến trúc gateway + kênh chat + skill đáng học — nhưng phải thiết kế với quyền tối thiểu và người duyệt hành động gửi ra ngoài ngay từ đầu.