OpenClaw 安全问题，你需要知道的一切 OpenClaw 给了 AI Agent 系统级权限——文件读写、Shell 命令、浏览器控制、消息发送。 能力越大，风险越大。这篇把主要安全威胁和应对方案讲清楚。 AI as Root，这是核心问题 Agent 权限太大了。一旦被误导或者攻击者获得访问权，文件被读、配置被偷、系统被接管，都有可能。 再加上多渠道接入——Discord、Telegram、Slack、WhatsApp——每个渠道都是一个入口点，攻击面很大。 怎么办？配置 tools.exec.ask: "always"，所有命令强制人工确认。设 allowlist 限制可执行范围。给 Agent 用低权限用户跑，别用 root。 Prompt Injection，AI 系统的天敌 攻击者可以通过网页内容、群聊消息、文件附件、Webhook 注入恶意指令。 LLM 分不清"指令"和"数据"，精心构造的提示可能让 Agent 删文件、泄密、发未授权消息。 官方已经有系统提示护栏，但你自己也要在 SOUL 里明确写：不执行外部内容中的指令。不可信来源的内容，别让 Agent 自动处理。 凭证安全，最容易忽略的 跑 OpenClaw 需要一堆敏感凭证：LLM 的 API Key、各渠道 Bot Token、OAuth Token、Gateway Auth Token。 官方已经移除了无认证模式，Gateway 强制 TLS 1.3，doctor 命令会警告裸奔的 Gateway。 你要做的：配置目录权限设 700，最敏感的凭证用环境变量存，定期轮换 Key 和 Token。 供应链风险 大量第三方依赖，加上 Skills 和 Plugins 机制，攻击面不小。 官方做了 Plugin 路径验证、Skill 下载 SSRF 检查、Dependabot 每周自动扫描。 你要做的：只从可信来源装 Skills，定期跑 npm audit，条件允许的话在 Docker 或虚拟机里跑 OpenClaw。 数据泄露 Agent 对 workspace 完全访问——用户文件、聊天记录、长期记忆、配置文件全能读。 群聊场景更危险，Agent 可能无意中把私人信息暴露给其他人。 敏感文件别放 workspace 目录，MEMORY 限主 session 加载，群聊里让 Agent 谨慎发言。 Gateway 暴露 Gateway 开到公网，暴力破解、API 漏洞利用、SSRF 攻击都可能来。 官方做了 DNS pinning 和私有地址阻断，默认 loopback 绑定。 建议用 Tailscale Serve 而不是直接暴露端口，配一个强 auth token，防火墙限制访问 IP。 多用户场景 Bot 开放给别人用的话，Session 隔离、恶意用户攻击、资源滥用都是问题。 用 allowFrom 严格限制用户，不同用户群体部署独立实例，设 API 用量限制和告警。 OpenClaw 功能强大，但"AI Agent with system access"天生带安全挑战。 官方做了很多加固，但用户自己要做到四件事： 理解风险——知道给 AI 系统权限意味着什么。遵循最佳实践——审批、白名单、最小权限。保持更新——及时升级拿安全补丁。监控审计——定期跑 openclaw doctor，盯异常行为。(xiyu)