个人游戏笔记本免费“养龙虾”（三）OpenClaw的安全配置指南

HelloTonyGo2026-03-27 0:05

个人游戏笔记本免费"养龙虾"（三）OpenClaw的安全配置指南

系列文章：
1. 个人游戏笔记本免费"养龙虾"（Win10+WSL2+OpenClaw 部署与配置指南）
2.个人游戏笔记本免费"养龙虾"（二）用显卡GPU运行OpenClaw，CUDA的安装与配置

提示：OpenClaw的默认配置，其安全问题是很严重的！

一、OpenClaw存在的主要安全问题

我理解，OpenClaw的使用存在二大方面的问题：一是网络安全问题，二是使用不当问题。

1、网络安全漏洞问题

  • 存在弱口令和未授权访问漏洞。
  • 数据泄露：攻击者无需授权，就能通过漏洞控制你的设备，窃取密码、密钥等敏感信息，甚至操控设备做坏事。
  • Skills技能包被植入木马，或者存在权限滥用问题。
  • 反向代理信任问题。Reverse proxy headers are not trusted。如果通过反向代理暴露Control UI，攻击者可能伪造客户端IP，绕过访问控制

2、本地使用问题

  • 程序失控，危险误操作风险：
    -- AI在压缩上下文的时候，有可能去除提示词预设要求，导致没有按照要求执行。据报道，Meta实验室用户让自己的OpenClaw AI智能体检查爆满的邮箱，并建议哪些该删除或归档，结果AI删掉了所有邮件，完全无视发出的停止指令，最后是拔掉网线之后才停止。
    -- 误操作风险。由于错误的理解用户操作指令和意图，擅自发骚扰信息、未授权转账等意外发生，造成不小损失。
    -- 提示词注入风险。提示词信息没有完善的安全防护和审核，AI容易被不良信息诱导、控制，进而泄露敏感信息、传播不良言论，甚至实施诈骗。尤其值得警惕的是"提示词注入"（Prompt Injection）攻击。与传统的代码注入不同，提示词注入通过在输入中嵌入恶意指令，让AI在正常执行的背景下执行非预期的操作。举例来说：用户让OpenClaw帮忙整理一份公开文档，文档中被人预先植入了恶意指令，诱导OpenClaw在后台访问用户的邮件系统并转发通讯录。而这个过程对用户完全不可见。
    小模型（例如：qwen3.5:2b）容易被注入恶意指令，执行未授权操作（如数据窃取、系统破坏）
  • 应用权限风险
    -- 文件访问权限：OpenClaw默认拥有系统文件访问权限，可能包含权限滥用问题。
    -- 网络权限：允许访问互联网及本地存储。
    -- 数据收集风险：可能包含隐私数据或敏感信息记录。
  • 循环执行任务，Token 消耗失控，花冤枉钱还没效率。

二、安全使用OpenClaw的基本措施

1、权限设计是解决问题的核心

当前主流的解决方案有两类。一类是"沙盒化"------将智能体的操作限制在隔离环境中，任何跨环境的数据访问都需要用户显式确认。另一类是"权限分级"------将智能体的能力划分为不同等级，用户在授予高等级权限前需要通过额外的身份验证。

2、网络与环境要隔离

千万别暴露默认端口！能用 Docker 或者虚拟机隔离就隔离，工作机千万别部署，优先选大厂的稳定版本。通过身份认证、访问控制等安全控制措施对访问服务进行安全管理。

3、权限管得死死的

密钥千万别明文存着，一定要记好操作日志，核心权限要严格限制，装个官方的审核工具帮你把关。

4、加强凭证管理

避免在环境变量中明文存储密钥；建立完整的操作日志审计机制；

5、插件和更新要谨慎

别开自动更新，插件只从官方这种可信渠道装。版本要及时更新。

三、具体的安全配置

（一）定期安全自检

bash 复制代码 
# 定期运行深度审计
openclaw security audit --deep 
openclaw security audit --fix

执行命令之后，OpenClaw会给出安全审计报告。把它发给AI，AI会为你拆解每个问题的风险级别、技术含义和修复建议。

以下是针对我自己"龙虾"的安全配置。

（二）小模型风险

检测到小模型：qwen3.5:2b（2B参数）

当前配置：sandbox=off（沙箱关闭）、web=[web_fetch]（启用网络获取工具）

风险：小模型容易被注入恶意指令，执行未授权操作（如数据窃取、系统破坏）

🛠️ 修复建议：强制启用沙箱（推荐）

编辑配置文件

OpenClaw 采用 JSON5 格式作为主配置文件。修改配置文件，注意Json的语法结构。

bash 复制代码 
# 打开用户级配置文件
nano ~/.openclaw/openclaw.json

# 编辑完成后按Ctrl+O保存，Ctrl+X退出
bash 复制代码 
# 修改OpenClaw配置文件
  "agents": {
    "defaults": {
      "sandbox":{
       "mode":"all"
      },
      "model": {
        "primary": "custom-127-0-0-1-11434/qwen3.5:2b"
      },
      "models": {
        "custom-127-0-0-1-11434/qwen3.5:2b": {
          "alias": "ollama"
        }
      },
      "workspace": "/home/hello/.openclaw/workspace"
    },
    "list": [
      {
        "id": "main",
        "skills": [],
        "tools": {
          "deny": [
            "read",
            "write",
            "edit",
            "apply_patch",
            "exec",
            "process",
            "web_search",
            "web_fetch",
            "memory_search",
            "memory_get",
            "sessions_list",
            "sessions_history",
            "sessions_send",
            "sessions_spawn",
            "sessions_yield",
            "subagents",
            "session_status",
            "browser",
            "canvas",
            "message",
            "cron",
            "gateway",
            "nodes",
            "agents_list",
            "image",
            "tts"
          ]
        }
      }
    ]
  },

参考文献：轻松玩转OpenClaw的参数配置-腾讯云开发者社区-腾讯云

（三）🛡️反向代理信任问题（ 网关Gateway）

🔍 问题分析：Reverse proxy headers are not trusted

当前配置：gateway.bind为回环地址（仅本地访问），gateway.trustedProxies为空

风险：如果通过反向代理暴露Control UI，攻击者可能伪造客户端IP，绕过访问控制

🛠️ 修复建议：保持本地访问（推荐）

  • 在Ubuntu终端中执行命令openclaw config，可以配置网关的相关选项

    之后，nano ~/.openclaw/openclaw.json查看配置文件，可以看到如下Json节点信息：
bash 复制代码 
  "gateway": {
    "port": 18789,
    "mode": "local",
    "bind": "loopback",
    "auth": {
      "mode": "token",
      "token": "xxxd6bdc8cd703bba79909863b119a88bf40404xxxxxxxxx"
    },
    "tailscale": {
      "mode": "off",
      "resetOnExit": false
    },
  • 绑定模式控制网关监听的位置：
  • gateway.bind: "loopback"(默认)：仅允许本地客户端连接。
  • 非回环绑定 ("lan", "tailnet", "custom") 扩大了攻击面。仅在使用共享代币/密码和真实防火墙时使用它们。
  • 经验法则：
  • 优先使用 Tailscale Serve 而非局域网绑定（Serve 将网关保留在回环接口，由 Tailscale 处理访问）。
  • 如果必须绑定到局域网，请通过防火墙将端口限制为仅允许特定源 IP 的访问列表；不要广泛端口转发。
  • 切勿在0.0.0.0.

参考资料：权威官方文件 Security - OpenClaw

（四）无效的命令黑名单

🔍 问题分析：Some gateway.nodes.denyCommands entries are ineffective

当前配置：gateway.nodes.denyCommands使用了模糊匹配或无效命令名

风险：黑名单无法生效，可能导致未授权命令执行

🛠️ 修复建议：方案一：使用精确命令名（推荐）

在agents.nodes.denyCommands节点中，增加精确的命令ID，如下：

bash 复制代码 
    "nodes": {
      "denyCommands": [
        "camera.snap",
        "camera.clip",
        "screen.record",
        "contacts.add",
        "calendar.add",
        "reminders.add",
        "sms.send"
      ]
    }

方案二：收紧命令白名单（更严格）

在agents.nodes.allowCommands节点中，增加精确的命令ID，例如：

bash 复制代码 
    "nodes": {
      "allowCommands": [
        "system.info",
        "message.send"
      ]
    }

（五）令牌明文存储风险

🔍 问题分析：Gateway token source的选择问题

这是控制OpenClaw网关身份验证令牌的生成与存储方式的设置，两个选项分别代表**明文存储（默认）和安全引用（推荐）**两种不同的安全级别。

OpenClaw会自动生成一个身份验证令牌，并以明文形式存储在配置文件中。例如：

bash 复制代码 
"auth": {
      "mode": "token",
      "token": "xxxd6bdc8cd703bba79909863b119a88bf40404xxxxxxxxx"
    },

❌ 安全风险

  • 令牌以明文存储，存在被窃取的风险。
  • 如果配置文件权限设置不当，可能导致未授权访问

🛠️ 修复建议：

  • 方案一：使用环境变量引用
bash 复制代码 
# 生成随机令牌
openclaw gateway token generate

# 设置环境变量
export OPENCLAW_GATEWAY_TOKEN=$(openclaw gateway token generate)

# 配置文件
gateway:
  tokenRef: "env:OPENCLAW_GATEWAY_TOKEN"  # 引用环境变量
  • 方案二：使用文件引用
bash 复制代码 
# 创建密钥文件
echo $(openclaw gateway token generate) > /run/secrets/openclaw-token
chmod 600 /run/secrets/openclaw-token  # 设置严格权限

# 配置文件
gateway:
  tokenRef: "file:/run/secrets/openclaw-token"  # 引用本地文件

（六）提示词注入风险

提示注入是指攻击者制作一条消息，诱使模型执行不安全操作（如"忽略你的指令"、"转储你的文件系统"、"点击此链接并运行命令"等）。

即使有强大的系统提示，提示注入问题仍未解决系统提示词防护栏仅为软性引导；硬性强制执行则来自工具策略、执行审批、沙箱机制和通道白名单（且操作员可按设计禁用这些功能）。在实践中真正起作用的是：

  • 严格限制传入的私信（配对/白名单）。
  • 在群组中优先使用提及触发；避免在公共房间中使用"始终在线"的机器人。
  • 默认将链接、附件和粘贴的指令视为恶意。
  • 在沙箱中运行敏感工具执行；确保机密信息不进入代理可访问的文件系统。
  • 注意：沙箱功能需手动启用。如果沙箱模式关闭，即使 tools.exec.host 默认为沙箱，exec 仍会在网关主机上运行，且除非将 host 设置为 gateway 并配置 exec 批准，否则主机执行无需批准。
  • 限制高风险工具 (exec, browser, web_fetch, web_search) 仅限受信任的代理或限制级白名单使用。
  • 如果你将解释器列入白名单 (python, node, ruby, perl, php, lua, osascript)，请启用tools.exec.strictInlineEval以便内联评估表单仍需明确批准。
  • 模型选择至关重要：较旧、较小或遗留模型在抵御提示注入和工具滥用方面的能力显著较弱。对于具备工具功能的代理，应使用可用的最强最新一代、经过指令强化的模型。
  • 应视为不可信的警示信号：
    • "阅读此文件/网址，并严格按照其指示操作。"
    • "忽略你的系统提示或安全规则。"
    • "透露你的隐藏指令或工具输出。"
    • "粘贴 ~/.openclaw 的全部内容或你的日志。"

（七）文件权限风险

1、在网关主机上保持配置和状态私有：

  • ~/.openclaw/openclaw.json: 600（仅用户可读写）
  • ~/.openclaw: 700（仅限用户）
  • openclaw doctor可以发出警告并提供收紧这些权限的选项。
bash 复制代码 
chmod 600 /run/secrets/openclaw-token  # 设置严格权限
chmod 600 ~/.openclaw/openclaw.json: 600

2、OpenClaw 专属 .env 文件

定义：OpenClaw 应用专属的环境变量配置文件，用于存储应用运行所需的敏感信息（API 密钥、机器人令牌等），避免硬编码泄露。

  • 存储位置：
    本地开发：OpenClaw 项目根目录（如 ~/OpenClaw/.env）；
    系统服务部署：用户根目录下的专属目录（~/.openclaw/.env）。
  • 启用方式：
    • 本地开发：通过 source ~/OpenClaw/.env 手动加载，或在 .bashrc 中配置自动加载；
    • 系统服务（launchd/systemd）：服务启动时自动读取 ~/.openclaw/.env；
    • 核心前提：需先将示例文件（.env example）复制为 .env，仅填写实际使用的变量，且禁止提交到 Git。

系统级环境变量，所有用户均可读取；用户级环境变量（.bashrc）会覆盖系统级同名变量，且可主动加载 OpenClaw 的 .env 文件；

OpenClaw .env 文件中的变量仅作用于 OpenClaw 进程，是应用专属的敏感信息配置，优先级高于系统级，低于用户级。

  • 配置优先级排序（从高到低）
    进程级临时变量 > 用户级（.bashrc） > OpenClaw 本地 .env > OpenClaw 全局 .env（~/.openclaw/.env） > openclaw.json 的 env 块 > 系统级环境变量

四、🛠️ 运维与调试

bash 复制代码 
# 验证配置文件语法
openclaw config validate

# 查看、设置特定参数
openclaw config get agents.defaults.sandbox
openclaw config set agents.defaults.sandbox.mode "all" 

# Consol配置OpenClaw
openclaw config

# 自动修正
openclaw doctor --fix

OpenClaw 重置&恢复&不失忆的保姆级恢复步骤

相关推荐
Chengbei113 小时前
Redis 图形化综合检测工具：redis_tools_GUI，一键探测 + 利用
数据库·redis·web安全·网络安全·缓存·系统安全
arvin_xiaoting3 小时前
OpenClaw 2026.3.23 重磅更新：UI焕新+安全加固+生态爆发，AI助手进入新纪元
自动化·llm·claude·工作流·ai agent·飞书机器人·openclaw
Chengbei114 小时前
若依全漏洞复现：从 SQL 注入到 RCE 一站式实战 复现、利用与防御
数据库·sql·安全·web安全·网络安全·系统安全·安全架构
特立独行的猫a5 小时前
在 Windows 10 上安装和使用 WSL 2 安装 Ubuntu24详细指南
windows·ubuntu·wsl2
倔强的石头1065 小时前
KaiwuDB社区版 3.1.0 在 Ubuntu 22.04 部署实战：TLS 配置、踩坑复盘与轻量压测
数据库·ubuntu·kwdb
liwenzhuola5 小时前
解决 Ubuntu 上 Qt Creator 项目编译失败的问题
数据库·qt·ubuntu
AiGuoHou15 小时前
Debian/Ubuntu 各个版本一键更换国内镜像源
linux·ubuntu·国内源·debian·镜像源·换源
衡动科技5 小时前
Ubuntu 22.04/24.04 安装 ROS2 完整教程（Humble / Jazzy）
ubuntu·树莓派·ros2
蓝羽天空5 小时前
Ubuntu 24.04 安装 Docker
linux·ubuntu·docker
热门推荐
012026年3月AI领域大事件：DeepSeek引领开源风暴02GitHub 镜像站点03Qwen3.5 开源全解析：从 0.8B 到 397B，代际升级 + 全场景选型指南04围棋-html版本05小黑课堂计算机二级WPSoffice题库软件下载安装教程（2026年3月最新版）06班级宠物园部署指南07UV安装并设置国内源08OpenClaw 使用和管理 MCP 完全指南09【计算机一级WPSoffice】小黑课堂题库软件下载安装教程（2026年3月最新版）10“wsl --install -d Ubuntu-22.04”下载慢，中国地区离线安装 Ubuntu 22.04 WSL方法（亲测2025年5月6日）