Daripada Menulis Kod kepada “Membela” Agent: Mengapa Jensen Huang Gelar OpenClaw “ChatGPT Seterusnya”?

AI Agent sedang menghapuskan jurang antara “tahu cara melakukannya” dengan “benar-benar melakukannya”. Shane, jurutera backend kanan di OakMega, merumuskan perubahan ini dengan satu istilah: model udang kara kecil – biar AI yang melaksanakan kerja, manakala jurutera kembali kepada peranan reka bentuk dan membuat pertimbangan. Berikut ialah pemerhatian beliau secara langsung.

Kandungan

Q1 Mengapa ia digelar “udang kara kecil”?

Q2 Bagaimana alirannya secara terperinci?

Q3 Mengapa orang kata ia sangat mirip jurutera?

Q4 Apa bezanya dengan model kejuruteraan tradisional?

Q5 Adakah model udang kara kecil berisiko?

Penutup

‍

Mengapa semua orang memanggilnya “udang kara kecil” dan bukan OpenClaw?

Q: Apakah kisah di sebalik nama alat ini?

Sebelum menerangkan mengapa OpenClaw digelar “udang kara kecil”, elok kita imbas sejarah pertukaran namanya yang menarik. Nama asal OpenClaw ialah Clawd (juga dikenali sebagai Clawdbot), kemudian dalam masa seminggu sahaja ditukar kepada Moltbot, sebelum akhirnya dimuktamadkan sebagai OpenClaw.

Daripada Clawd hinggalah OpenClaw, setiap nama mengandungi perkataan Claw (sepit). Niat penciptanya, Peter Steinberger, sangat jelas: beliau mahu alat ini menjadi “a playful pun on 'Claude' with a claw” – permainan kata yang nakal, memanfaatkan sebutan Clawd yang hampir sama dengan Claude, sambil imej “sepit” itu terus mengingatkan orang kepada udang kara dan mudah melekat di ingatan. Imej yang hidup ini akhirnya tersebar luas melangkaui kalangan pembangun, dan komuniti berbahasa Cina mula memanggilnya dengan mesra sebagai “udang kara kecil”.

Pada pendapat saya, perumpamaan ini mendapat sambutan kerana ia tepat menggambarkan daya tarikan sebenar AI Agent. Dunia jurutera penuh dengan imej haiwan: Python ialah ular sawa, Firefox ialah musang, tetapi tiada siapa pernah berkata dia “membela seekor ular sawa”. AI Agent lain pula – ia bukan sekadar alat yang dipasang dalam komputer, tetapi lebih seperti pembantu hidup yang benar-benar menyiapkan kerja untuk anda. Ungkapan “membela seekor udang kara kecil” tepat menangkap perasaan unik yang dibawa AI Agent: sedikit bergantung, sedikit bangga.

Bagaimanakah aliran kerja model udang kara kecil secara terperinci?

Q: Secara praktikal, bagaimanakah satu tugasan dijalankan?

Untuk memahami cara OpenClaw berfungsi, kita perlu bermula dengan perbezaan asasnya berbanding perkhidmatan sembang AI tradisional.

Dalam dua tiga tahun kebelakangan ini, kita terbiasa dengan cara ini: buka ChatGPT atau Claude, taip soalan, dan tunggu AI memberikan “jawapan” – mungkin sebuah teks, sekeping kod, sebuah imej atau satu set slaid. Namun, selepas mendapat jawapan itu, semua langkah seterusnya perlu dilakukan oleh manusia: salin teks ke dalam e-mel, tampal kod ke persekitaran pembangunan untuk dijalankan, muat turun imej lalu muat naik ke dalam pembentangan. Terus terang, interaksi soal-jawab seperti ini hanya menjadikan AI enjin carian yang lebih pintar, bukan “rakan kolaborasi” dalam erti kata sebenar.

Kejayaan utama AI Agent seperti OpenClaw terletak pada “persekitaran”. Ia dipasang terus pada komputer anda, dan melalui ekosistem plugin dan tool yang kaya, AI bukan sahaja boleh menjawab soalan, malah boleh terus melaksanakan kerja. Lebih penting lagi, ia disepadukan secara mendalam dengan alat pemesejan seperti Telegram, Slack dan Discord. Anda tidak perlu terpaku di depan komputer – hantar satu mesej sahaja untuk memberi tugasan kepada Agent, dan ia akan melaporkan hasilnya sebaik selesai. Saling tak tumpah seperti pembantu jarak jauh yang sentiasa bersedia dan tidak pernah merungut tentang kerja lebih masa.

Jadi, bagaimanakah satu tugasan lengkap sebenarnya dijalankan?

Ambil contoh “susun laporan analisis pesaing untuk suku tahun ini”. Alirannya lebih kurang seperti berikut:

1. Menerima arahan: Anda menghantar mesej kepada OpenClaw Bot di Slack: “Tolong susun analisis pesaing suku tahun ini dan keluarkan dalam Google Slides.” Agent menerima arahan dan memahami matlamat tugasan.
2. Merancang langkah pelaksanaan: Agent memecahkan tugasan sendiri: mula-mula mengumpul maklumat pesaing dalam talian, menyusunnya menjadi rangka berstruktur, kemudian menjana kandungan slaid.
3. Memanggil alat untuk melaksanakan langkah demi langkah:
   • Memanggil alat pelayaran web untuk mencari laman rasmi, kenyataan akhbar dan artikel ulasan pesaing
   • Menyusun dan merumuskan maklumat penting
   • Memanggil Google Slides API untuk menjana halaman dan carta yang berkaitan secara automatik
4. Bertanya apabila ada keraguan: Jika maklumat harga sesuatu pesaing tidak pasti, Agent akan berhenti seketika dan bertanya kepada anda melalui Slack: “Harga pelan Enterprise syarikat XX tidak dijumpai. Mahu langkau atau guna anggaran?”
5. Melapor selepas selesai: Setelah tugasan siap, Agent menghantar pautan Slides kepada anda bersama ringkasan pelaksanaan yang menerangkan dari mana setiap data dikumpulkan.

Sepanjang proses ini, anda hanya mengambil kira-kira 30 saat untuk memberi arahan dan 5 minit menunggu, lalu mendapat laporan yang biasanya mungkin memakan masa setengah hari. Kehebatan AI Agent bukan kerana ia lebih bijak daripada anda, tetapi kerana ia menghapuskan sepenuhnya jurang antara “tahu cara melakukannya” dengan “benar-benar melakukannya”.

Mengapa jurutera berasa seperti “melihat cermin” selepas kali pertama menggunakannya?

Q: Orang kata cara kerja ini sangat mirip jurutera. Dari mana datangnya perbandingan ini?

Hakikat seorang jurutera ialah menyelesaikan masalah melalui perisian. Berdasarkan definisi ini, logik operasi OpenClaw memang sangat selari dengan cara jurutera bekerja.

Mari kita fahami evolusi ini melalui satu garis masa. ChatGPT pada peringkat awal ibarat membekalkan jurutera dengan otak yang lebih berkuasa: reka bentuk seni bina, keadaan sempadan dan penaakulan logik berkembang daripada berfikir sendirian kepada membuat keputusan bersama AI. Kemudian, alat seperti Cursor muncul – jurutera hanya perlu memberikan keperluan dan langkah yang jelas, AI menulis kod, dan jurutera menumpukan pada semakan serta pelarasan hala tuju. Inilah yang kini dikenali ramai sebagai Vibe Coding.

OpenClaw pula menggabungkan kedua-dua peringkat ini: ia boleh menjana sendiri seni bina penyelesaian dan pelan pelaksanaan, kemudian mengikut pelan itu langkah demi langkah untuk menulis kod, memanggil alat luaran dan mengesahkan hasil pelaksanaan. Keseluruhan proses ini meniru cara seorang jurutera bekerja – fikir dahulu cara melakukannya, kemudian siapkan kerja itu.

Sebab itulah jurutera yang buat pertama kali menggunakan OpenClaw dengan serius sering mendapat perasaan aneh seperti “melihat cermin”: ia bukan menggantikan pemikiran anda, tetapi menzahirkan dan mengautomasikan corak pemikiran anda, lalu melaksanakannya untuk anda sepuluh kali lebih pantas.

Berbanding model kejuruteraan tradisional, apakah perbezaan paling teras?

CEO Notion, Ivan, dalam satu temu bual baru-baru ini turut menyatakan bahawa kita telah beralih daripada “How should we build” kepada “What should we build”.

Q: Apakah kesannya terhadap definisi peranan jurutera?

Perubahan paling teras ialah takrifan semula “peranan jurutera”. Dahulu, nilai utama jurutera junior selalunya terletak pada “keupayaan melaksanakan kod”: bolehkah keperluan ditukar menjadi program yang berfungsi? Bolehkah bug ini dibaiki? Namun dalam era AI Agent yang semakin meluas, kerja-kerja ini akan semakin banyak diserahkan kepada AI, dan nilai jurutera yang sukar dicari akan beransur-ansur naik ke tahap abstraksi yang lebih tinggi.

Jurutera tidak lagi patut melihat diri mereka sebagai “Coder”, sebaliknya menjadi pereka dan pembuat keputusan yang menyelesaikan masalah: memikirkan cara mereka bentuk pengalaman pengguna yang cemerlang, menilai pilihan seni bina yang kos efektif, dan memastikan kod yang dijana AI mematuhi piawaian kualiti dan keselamatan. Penulisan kod itu sendiri akan menjadi satu langkah yang boleh diautomasikan oleh AI pada tahap tinggi; masa jurutera sepatutnya digunakan untuk pertimbangan dan kreativiti yang sukar digantikan oleh AI.

Matlamatnya tidak berubah – kita masih perlu menghasilkan perisian berkualiti tinggi – tetapi jalannya sudah berbeza. Dalam tempoh masa yang sama, jurutera boleh menggerakkan lebih banyak masalah yang lebih kompleks serentak, dan menghasilkan produk yang dahulunya memerlukan pasukan yang jauh lebih besar.

Saya menggambarkan perubahan ini sebagai peralihan daripada “pembuatan” kepada “reka bentuk dan perkhidmatan”. Teras kerja jurutera beralih daripada “membinanya” kepada “mentakrifkannya dengan jelas, memastikan AI membinanya dengan betul, kemudian mengesahkan ia benar-benar betul”. Bagi jurutera yang biasa mendalami pelaksanaan, peralihan ini mungkin sedikit meresahkan, tetapi pada pandangan saya, inilah titik permulaan untuk profesion kejuruteraan menjadi lebih berpengaruh.

Apakah risiko model udang kara kecil yang tidak boleh diabaikan?

Q: Baru-baru ini, berita tentang pakar AI Meta yang “dikhianati” oleh udang kara kecilnya menjadi buah mulut, menyebabkan ramai mula bertanya: AI Agent boleh melakukan begitu banyak perkara dengan kebenaran yang tinggi, jadi jika berlaku masalah, adakah kesannya serius?

Ya, dan ia tidak boleh dipandang ringan. Justeru kerana AI Agent boleh melakukan banyak perkara, mempunyai kebenaran tinggi dan bertindak pantas, apabila berlaku masalah, skop kesannya jauh lebih besar berbanding alat tradisional. Berikut ialah analisis risiko utama OpenClaw yang diketahui dari beberapa aspek, berserta cadangan pencegahan yang sepadan.

• Kelemahan serius yang telah ditampal: ClawJacked
  Pada awal 2026, firma penyelidikan keselamatan siber Oasis Security mendedahkan satu kelemahan serius dalam OpenClaw Gateway yang dinamakan “ClawJacked” (CVE-2026-25253, CVSS 8.8). Punca masalahnya ialah titik buta keselamatan yang sering terlepas pandang: sambungan WebSocket pelayar tidak tertakluk kepada dasar asal yang sama (CORS). Permintaan HTTP rentas asal yang biasa akan disekat oleh pelayar, tetapi fasa jabat tangan WebSocket dikecualikan – selagi pelayan tidak mengesahkan `Origin` header secara aktif, mana-mana laman web boleh menyambung ke Gateway pada mesin tempatan. OpenClaw versi awal tidak melakukan pengesahan ini, ditambah pula sambungan loopback langsung tidak dikenakan had kadar (cubaan gagal tidak dikira dan tidak diperlahankan), jadi JavaScript di laman web berniat jahat boleh memecahkan kata laluan secara brute-force pada kadar ratusan kali sesaat tanpa disedari pengguna. Kata laluan yang lazim sering dapat diteka dalam masa kurang sesaat, lalu penyerang boleh mengambil alih kawalan penuh Agent secara senyap. Selain itu, jika Agent melawat laman web penyerang atau pengguna mengklik pautan berniat jahat, token pengesahan utama juga mungkin bocor terus – sama seperti menyerahkan semua kawalan begitu sahaja. Berita baiknya: kelemahan ini telah ditampal dalam versi v2026.1.29, dengan mewajibkan pengesahan `Origin` header WebSocket dan menolak sambungan daripada sumber yang tidak dijangka. Jika versi OpenClaw anda lebih lama daripada ini, kemas kini dengan segera.
• Risiko reka bentuk seni bina: bahaya apabila dikongsi ramai
  Katakan syarikat anda memasang OpenClaw Bot di Slack, menyambungkannya dengan Google Drive, pelaksanaan arahan Shell, penghantaran e-mel dan sebagainya, lalu membenarkan semua orang dalam jabatan menggunakannya. Senario ini menyembunyikan dua risiko yang tidak boleh diabaikan:
  
  • Pengasingan sesi tidak mencukupi: Secara lalai, OpenClaw menjadikan semua DM berkongsi satu session “main”. Ini bermakna draf kontrak yang baru diminta oleh Alice mungkin tersilap dianggap sebagai “dokumen sebelumnya” apabila Bob menghantar mesej seterusnya – contohnya, terhantar kepada orang yang sepatutnya tidak menerimanya.
  • Akses alat melebihi kebenaran: Bot memanggil alat menggunakan identitinya sendiri, bukan identiti setiap pengguna. Ini bermakna walaupun Carol tidak mempunyai kebenaran melihat jadual gaji, selagi dia boleh memberi arahan kepada Bot, Bot masih mungkin membaca dokumen itu menggunakan kelayakannya sendiri dan memulangkan hasilnya kepada Carol.
  • Ancaman yang lebih jauh ialah Prompt Injection: pengguna berniat jahat boleh menyelitkan arahan tersembunyi dalam dokumen yang dihantar kepada Bot (contohnya teks putih di atas latar putih), menyebabkan Bot, semasa “menyusun dokumen”, turut melakukan tindakan jahat seperti mencuri sejarah perbualan pengguna lain atau menghantar e-mel ke luar. Ini bukan serangan teori, tetapi senario yang benar-benar boleh dilaksanakan.
• Risiko konfigurasi salah: permukaan serangan yang tidak kelihatan
  Banyak masalah penggunaan bukan berpunca daripada kelemahan OpenClaw sendiri, tetapi daripada tetapan yang tidak betul:
  
  • Pendedahan rangkaian: Jika Gateway diikat pada `0.0.0.0` (mod LAN), ia sama seperti dibuka kepada seluruh Internet. Penyerang hanya perlu mengimbas port tertentu menggunakan Shodan untuk menemui semua instance OpenClaw yang terdedah di seluruh dunia. Banyak video tutorial giat mengesyorkan mod LAN tetapi sering tidak menerangkan risiko ini dengan secukupnya.
  • Token dalam URL: OpenClaw versi awal secara lalai meletakkan token akses dalam query parameter URL (`?token=xxx`). Ini menyebabkan token tersimpan dalam sejarah pelayar dan log pelayan, malah boleh bocor kepada laman luar melalui Referer header. Cara yang betul ialah meletakkan token dalam HTTP Authorization header.
  • Berjalan sebagai root: Jika OpenClaw dilancarkan terus menggunakan akaun berkebenaran tinggi, sebaik Agent diceroboh, penyerang akan memperoleh kawalan penuh ke atas seluruh mesin – boleh membaca semua fail, menambah akaun pintu belakang dan bergerak secara lateral ke sistem lain.

Jika dilihat secara berasingan, ketiga-tiga isu ini hanyalah “masalah kecil”, tetapi apabila digabungkan – terdedah ke luar + token bocor + berjalan sebagai root – ia menjadi senario klasik keseluruhan sistem ditawan. Cadangan pencegahan asas: jika anda sedang menggunakan atau menilai penggunaan OpenClaw, berikut ialah langkah yang paling wajar diutamakan:

1. Kemas kini segera ke v2026.2.25 atau lebih baharu untuk memastikan kelemahan ClawJacked telah ditampal
2. Ikat Gateway pada `127.0.0.1`, bukan `0.0.0.0`; gunakan Tailscale VPN untuk akses jarak jauh
3. Aktifkan pengesahan kata laluan yang kukuh dan elakkan token muncul dalam URL
4. Jalankan menggunakan akaun khusus berkebenaran rendah yang bukan root, bersama pengasingan sandbox kontena
5. Jika dikongsi ramai dalam syarikat, pastikan reka bentuk pengasingan session dan kebenaran akses alat dinilai untuk mengelakkan situasi melebihi kebenaran
6. Jalankan `openclaw security audit` secara berkala untuk menyemak status konfigurasi

‍

Era AI Agent: daya saing teras jurutera sedang beralih

Kita sedang berada di satu titik perubahan yang menarik. AI telah berkembang daripada “boleh menjawab soalan” kepada “boleh menyiapkan kerja sendiri”. Langkah ini nampak kecil, tetapi sebenarnya membentuk semula keseluruhan logik kolaborasi manusia dan mesin.

Udang kara kecil memikat bukan kerana ia serba boleh, tetapi kerana ia mengurangkan geseran untuk “merealisasikan idea” dengan ketara. Tugasan yang dahulunya memerlukan kerjasama satu pasukan selama setengah hari, kini mungkin hanya memerlukan satu arahan yang jelas. Ini bukan menggantikan jurutera, tetapi menguatkan skop impak setiap keputusan yang dibuat oleh jurutera.

Namun seperti risiko yang dibincangkan di bahagian akhir artikel ini, semakin besar keupayaan, semakin berat tanggungjawabnya. Apabila membela seekor udang kara kecil, anda juga perlu tahu cara menjaganya dan mengehadkannya – di mana ia boleh pergi dan di mana tidak boleh. AI Agent yang dikonfigurasi dengan salah boleh lebih berbahaya daripada pelayan yang dikonfigurasi dengan salah – kerana ia bukan sahaja mendedahkan data secara pasif, malah bertindak secara aktif bagi pihak anda.

Jurutera paling berdaya saing pada masa depan bukanlah yang menulis kod paling banyak, tetapi yang paling memahami cara mengarah, menyemak, mempercayai dan mengekang AI Agent. Udang kara kecil ini, jika dibela dengan baik menjadi pembantu, jika tidak menjadi ancaman. Dan cara membelanya dengan baik itulah persoalan yang paling patut direnungi oleh jurutera era ini.

Selain udang kara kecil, sebenarnya banyak lagi perkhidmatan lain yang turut meneroka kemungkinan serupa, seperti Manus, Claude, Antigravity, Perplexity Computer dan lain-lain.

Dalam bidang kerja anda, alat apakah yang telah anda gunakan? Dan apakah kejayaan yang telah anda capai?

👉 Jom berbual dengan kami

Tentang orang yang ditemu bual: Shane ialah jurutera backend kanan di OakMega yang memberi tumpuan kepada penerapan alat AI dan reka bentuk seni bina sistem backend, serta lama mengikuti pelaksanaan praktikal aplikasi LLM dan alat produktiviti pembangun.

Rujukan: Oasis Security, SecurityWeek, Kaspersky, The Hacker News, Bitsight, Giskard, dokumentasi rasmi OpenClaw