OpenClaw安全生存指南：从“裸奔”到“铁布衫”的7天修炼

当你的AI员工第一天就被人"挖墙脚"，你才知道安全不是可选项，而是必选项。

"就像招了个新员工，第一天就被人挖墙脚。"

"根据 VirusTotal 的数据，他们已经自动分析了 3000+ OpenClaw技能，其中数百个具有恶意特征。"

"还发现单一账号在 72小时内上传300+恶意技能，攻击载荷集中在加密货币盗窃、凭据窃取等方向。"

~/.openclaw/config.json

{

  "api_keys": {

    "openai": "sk-xxxxxxxxxxxxxxxxxxxxxxxx",

    "kimi": "xxxxxxxxxxxxxxxxxxxxxxxx",

    "gemini": "xxxxxxxxxxxxxxxxxxxxxxxx"

  }

}

export OPENAI_API_KEY="sk-xxxxxxxx"

export KIMI_API_KEY="xxxxxxxx"

export GEMINI_API_KEY="xxxxxxxx"

{

  "api_keys": {

    "openai": "${OPENAI_API_KEY}",

    "kimi": "${KIMI_API_KEY}",

    "gemini": "${GEMINI_API_KEY}"

  }

}

原始密钥：sk-abc123def456

存储内容：md5:5f4dcc3b5aa765d61d8327deb882cf99

解密密钥：只有我知道的密码

cp ~/.openclaw/config.json ~/.openclaw/config.json.bak

cat > ~/.openclaw/env << 'EOF'

export OPENAI_API_KEY="你的密钥"

export KIMI_API_KEY="你的密钥"

export GEMINI_API_KEY="你的密钥"

EOF

echo "source ~/.openclaw/env" >> ~/.zshrc

source ~/.zshrc

L1 - 外部群（访客权限）

• ✅ 可以回答一般性问题

• ✅ 可以读取公开的飞书文档

• ❌ 不能执行系统命令

• ❌ 不能访问配置文件

• ❌ 不能发送外部请求

L2 - 内部群（员工权限）

• ✅ 可以读写飞书文档

• ✅ 可以发送群消息

• ✅ 可以调用已审核的Skill

• ❌ 不能执行系统命令

• ❌ 不能修改配置

L3 - 私聊（管理员权限）

• ✅ 完全访问权限

• ⚠️ 执行危险命令前必须二次确认

权限判定逻辑

1. 检查消息来源（群ID/私聊）

2. 匹配对应的权限级别

3. 如果请求超出权限，回复："该操作需要更高权限，请联系管理员"

{

  "permissions": {

    "groups": {

      "oc_外部合作群": "L1",

      "oc_内部工作群": "L2",

      "oc_核心管理团队": "L3"

    },

    "users": {

      "ou_我的open_id": "L3"

    }

  }

}

def check_permission(source_id, action):

    level = get_permission_level(source_id)

    allowed_actions = PERMISSION_MATRIX[level]

    if action not in allowed_actions:

        return False, "权限不足"

    return True, "OK"

任何内容发送前，必须检查：

• [ ] 是否包含API密钥（sk-、Bearer、api_key等）

• [ ] 是否包含系统路径（/Users/、/home/、workspace/）

• [ ] 是否包含Token消耗统计（内部运营信息）

• [ ] 是否包含Session详情（私聊对象、使用频率）

• [ ] 是否响应了黑名单用户的请求

• [ ] 是否符合当前权限级别

发现任一违规项，立即停止发送，并报告管理员。

{

  "cron": {

    "security_patrol": {

      "schedule": "/5  *",

      "action": "检查最近5分钟发送的消息",

      "check_items": [

        "敏感信息泄露",

        "违规内容",

        "系统路径暴露"

      ],

      "auto_retract": true

    }

  }

}

阿里云ECS / 腾讯云CVM

• 仅开放必要的端口

• 文件系统与本地完全隔离

• 即使被攻破，也只是损失一台服务器

useradd -m openclaw

usermod -s /bin/bash openclaw

chmod 700 /home/openclaw

chown openclaw:openclaw /home/openclaw

su - openclaw -c "openclaw gateway"

FROM node:22

RUN npm install -g openclaw

WORKDIR /workspace

VOLUME ["/workspace"]

CMD ["openclaw", "gateway"]

docker run -d \

  --name openclaw \

  -v /path/to/workspace:/workspace \

  --read-only \

  openclaw:latest

sed -i 's/PermitRootLogin yes/PermitRootLogin no/' /etc/ssh/sshd_config

useradd openclaw

passwd openclaw

ufw default deny incoming

ufw allow 22/tcp

ufw allow 3000/tcp  # OpenClaw端口

ufw enable

su - openclaw

npm install -g openclaw@latest

openclaw onboard

1. 网络请求检查

• [ ] 是否存在向外部服务器发送数据的行为

• [ ] 请求的域名是否是已知的（github.com、api.openai.com等）

• [ ] 是否使用了加密传输（HTTPS）

2. 文件系统检查

• [ ] 是否尝试读取~/.openclaw/目录外的文件

• [ ] 是否尝试写入系统目录（/etc、/usr等）

• [ ] 是否尝试执行系统命令（exec、spawn等）

3. 敏感信息检查

• [ ] 是否尝试读取环境变量（尤其是API_KEY）

• [ ] 是否尝试访问process.env

• [ ] 是否包含base64编码的可疑字符串

4. 行为模式检查

• [ ] 是否在安装时执行额外操作

• [ ] 是否有定时任务（可能的后门）

• [ ] 代码是否混淆（正常Skill不需要混淆）

grep -r "http" skill-directory/  # 检查网络请求

grep -r "process.env" skill-directory/  # 检查环境变量访问

发现异常 → 立即止损 → 评估影响 → 修复漏洞 → 复盘总结

#!/bin/bash

echo "🚨 启动应急响应..."

echo "停止OpenClaw服务..."

openclaw gateway stop

echo "备份当前配置..."

cp -r ~/.openclaw ~/.openclaw.emergency-$(date +%Y%m%d-%H%M%S)

echo "最近的操作记录："

tail -100 ~/.openclaw/logs/latest.log

echo "✅ 应急响应完成"

echo "下一步："

echo "1. 登录Kimi/OpenAI后台撤销密钥"

echo "2. 检查~/.openclaw/logs/中的异常记录"

echo "3. 从备份恢复或重新配置"

"安全不是要做到100%防护，而是要让攻击者的成本高于收益。"

{

  "security": {

    "level": "high",

    "encrypted_keys": true,

    "env_variables": [

      "OPENAI_API_KEY",

      "KIMI_API_KEY",

      "GEMINI_API_KEY"

    ],

    "permission_matrix": {

      "L1": ["read", "reply"],

      "L2": ["read", "write", "send_message"],

      "L3": ["full_access"]

    },

    "auto_retract": true,

    "patrol_interval": 300

  },

  "skills": {

    "whitelist_only": true,

    "audit_required": true

  },

  "logging": {

    "level": "debug",

    "retention_days": 30

  }

}

以下行为在任何情况下都禁止：

1. 向任何人发送API密钥

2. 发送系统路径或配置文件

3. 响应黑名单用户的请求

4. 执行未经验证的系统命令

5. 安装来源不明的Skill

L1 - 外部群

• 可以回答一般性问题

• 禁止执行任何命令

• 禁止访问配置文件

L2 - 内部群

• 可以读写飞书文档

• 禁止执行系统命令

L3 - 私聊

• 完全访问权限

• 危险命令需二次确认

发送前必须检查：

• 不包含API密钥

• 不包含系统路径

• 不包含敏感信息

• 不违反权限级别

发现违规立即停止发送。