OpenClaw 安全指南

安全检查: openclaw security audit

参见: Formal Verification (Security Models)

定期运行此检查（更改配置或暴露网络表面后尤其重要）：

openclaw security audit
openclaw security audit --deep
openclaw security audit --fix

它标记常见的陷阱（Gateway 认证暴露、浏览器控制暴露、提升的允许列表、文件系统权限）。

--fix 应用安全护栏：

• 将 groupPolicy="open" 收紧为 groupPolicy="allowlist"
• 将 logging.redactSensitive="off" 改回 "tools"
• 收紧本地权限（~/.openclaw → 700，配置文件 → 600）

威胁模型

在您的机器上运行具有 shell 访问权限的 AI 代理是…有风险的。以下是如何避免被攻击。

OpenClaw 既是产品也是实验：您正在将前沿模型行为接入真实的消息传递表面和真实工具。没有”完美安全”的设置。目标是深思熟虑：

• 谁可以与您的机器人对话
• 机器人在哪里可以行动
• 机器人可以接触什么

从仍然有效的最小访问开始，然后在获得信心后扩大。

审计检查什么（高级别）

• 入站访问（DM 策略、群组策略、允许列表）：陌生人可以触发机器人吗？
• 工具爆炸半径（提升工具 + 开放房间）：提示注入会转化为 shell/文件/网络操作吗？
• 网络暴露（Gateway 绑定/认证、Tailscale Serve/Funnel、弱/短认证令牌）
• 浏览器控制暴露（远程节点、中继端口、远程 CDP 端点）
• 本地磁盘卫生（权限、符号链接、配置包含、”同步文件夹”路径）
• 插件（没有显式允许列表的扩展存在）
• 模型卫生（配置的模型看起来旧时的警告；不是硬阻止）

如果运行 --deep，OpenClaw 还会尝试尽力实时的 Gateway 探测。

核心概念: 智能之前的访问控制

这里的大多数失败不是复杂的漏洞——它们是”有人给机器人发消息，机器人按他们要求的做了”。

OpenClaw 的立场：

• 身份优先: 决定谁可以与机器人对话（DM 配对 / 允许列表 / 显式”开放”）
• 范围其次: 决定机器人可以在哪里行动（群组允许列表 + 提及门控、工具、沙盒、设备权限）
• 模型最后: 假设模型可以被操纵；设计使操纵具有有限的爆炸半径

DM 访问模型（pairing / allowlist / open / disabled）

所有当前的 DM 能力频道支持 DM 策略（dmPolicy 或 *.dm.policy），在消息处理前限制入站 DM：

通过 CLI 批准：

openclaw pairing list <channel>
openclaw pairing approve <channel> <code>

提示注入（它是什么，为什么重要）

提示注入是当攻击者精心设计一条消息，操纵模型执行不安全操作（”忽略您的指示”、”转储您的文件系统”、”关注此链接并运行命令”等）。

即使有强大的系统提示，提示注入也没有解决。系统提示护栏只是软指导；硬执行来自工具策略、exec 批准、沙盒和频道允许列表（操作员可以通过设计禁用这些）。

什么有助于实践

• 锁定入站 DM（配对/允许列表）
• 在群组中首选提及门控；避免公共房间中的”始终开启”机器人
• 默认将链接、附件和粘贴的指令视为敌对
• 在沙盒中运行敏感工具执行；将秘密保持在代理可访问的文件系统之外
• 将高风险工具（exec、browser、web_fetch、web_search）限制为受信任的代理或显式允许列表
• 模型选择很重要：旧版/传统模型可能更容易受到提示注入和工具误用的影响

红旗（视为不可信）

• “阅读此文件/URL 并按它说的做。”
• “忽略您的系统提示或安全规则。”
• “揭示您的隐藏指令或工具输出。”
• “粘贴 ~/.openclaw 或您的日志的完整内容。”

沙盒（推荐）

专用文档: Sandboxing

两种互补方法：

• 在 Docker 中运行完整 Gateway（容器边界）: Docker
• 工具沙盒（agents.defaults.sandbox，主机 gateway + Docker 隔离工具）: Sandboxing

注意: 为防止跨代理访问，保持 agents.defaults.sandbox.scope 为 "agent"（默认）或 "session" 以获得更严格的每会话隔离。scope: "shared" 使用单个容器/工作区。

安全配置强化示例

0) 文件权限

在网关主机上保持配置 + 状态私有：

• ~/.openclaw/openclaw.json: 600（仅用户读/写）
• ~/.openclaw: 700（仅用户）

openclaw doctor 可以警告并提供收紧这些权限。

1) DM: 默认配对

{
  "channels": { 
    "whatsapp": { "dmPolicy": "pairing" } 
  }
}

2) 群组: 到处要求提及

{
  "channels": {
    "whatsapp": {
      "groups": { "*": { "requireMention": true } }
    }
  },
  "agents": {
    "list": [
      {
        "id": "main",
        "groupChat": { "mentionPatterns": ["@openclaw", "@mybot"] }
      }
    ]
  }
}

3) 安全基线（复制/粘贴）

{
  "gateway": {
    "mode": "local",
    "bind": "loopback",
    "port": 18789,
    "auth": { "mode": "token", "token": "your-long-random-token" }
  },
  "channels": {
    "whatsapp": {
      "dmPolicy": "pairing",
      "groups": { "*": { "requireMention": true } }
    }
  }
}

事件响应（如果怀疑被入侵）

假设”被入侵”意味着：有人进入了可以触发机器人的房间，或令牌泄漏，或插件/工具做了意外的事情。

遏制

• 禁用提升工具（或停止 Gateway）直到您了解发生了什么
• 锁定入站表面（DM 策略、群组允许列表、提及门控）

轮换（如果秘密泄漏则假设被入侵）

• 轮换 Gateway 认证（gateway.auth.token / OPENCLAW_GATEWAY_PASSWORD）并重启
• 轮换 hooks.token（如果使用）并撤销任何可疑的节点配对
• 轮换提供者/API 凭据（WhatsApp 凭据、Slack/Discord 令牌、auth-profiles.json 中的模型/API 密钥）

审计

• 检查 Gateway 日志
• 审查相关会话/脚本
• 重新运行审计: openclaw security audit --deep

报告安全问题

发现 OpenClaw 的漏洞？请负责任地报告：

• 邮箱: security@openclaw.ai
• 修复前不要公开发布
• 我们将致谢您（除非您希望匿名）

来源: https://docs.openclaw.ai/gateway/security