必须开启windows defender针对可移动驱动器的额外保护以实现u盘插入自动扫描；专业版用户可通过组策略启用完整扫描；家庭版用户可用usb cleaner绿色工具实现免安装自动查杀。
让U盘、移动硬盘等外部存储设备一插入电脑就自动触发安全扫描，避免手动操作遗漏导致病毒悄悄潜入系统。
启用Windows Defender实时保护并配置USB设备扫描
这一步是基础防护，确保系统自带的杀毒引擎始终处于激活状态，且对可移动驱动器保持监控。
打开“设置”→“更新和安全”→“Windows 安全中心”→“病毒和威胁防护”→点击“管理设置”→将“实时保护”“云提供的保护”“自动提交样本”全部设为“开”。
向下滚动到“病毒和威胁防护设置”下方的“针对可移动驱动器的额外保护”，开启该开关。此功能会强制Windows Defender在检测到新连接的U盘或移动硬盘时，立即启动快速扫描——【必须开启，否则插入即运行的Autorun病毒将完全绕过首轮拦截】。
通过组策略强制U盘插入时自动扫描（仅限Windows专业版/企业版）
适用于IT管理员或高级用户，能从根本上杜绝人为关闭扫描的可能，比界面开关更底层、更可靠。
第一步：按 Win+R 输入 gpedit.msc 回车，打开本地组策略编辑器。
第二步：依次展开路径：计算机配置 → 管理模板 → Windows组件 → Windows Defender 防病毒程序 → 扫描 → 启用“扫描可移动驱动器”策略，并设为“已启用”。
将针对 Pi、Claude Code、Codex、OpenCode、Gemini CLI 或 ACP harness 的自然语言请求路由至 OpenClaw ACP 运行时会话，或直接路由至 acpx-...
第三步：双击该策略，在“选项”页中勾选“对可移动驱动器执行完整扫描”——此项会让每次插U盘都走全盘级深度扫描，虽稍慢但能揪出隐藏在系统隐藏文件夹里的LNK病毒和伪装型exe。
第四步：关闭窗口后，在命令提示符（管理员）中执行 gpupdate /force 立即刷新策略生效。
使用USB Cleaner实现插入即扫（免安装绿色版方案）
适合普通家庭用户或无法修改组策略的系统（如Windows家庭版），无需管理员权限即可部署。
下载USB Cleaner绿色版（v3.2.1及以上），解压后直接运行主程序。
点击右上角齿轮图标→勾选“U盘插入时自动扫描”→再勾选“发现威胁自动隔离”→点击“保存设置”。
此时拔掉U盘再重新插入，软件会自动弹出扫描窗口并开始工作。它会重点检查根目录下的autorun.inf、desktop.ini、*.lnk等高危文件——【若发现这些文件被修改或新增，大概率已是感染前兆】。
