安全篇——供应链投毒与权限锁死实战

OpenClaw 的生态繁荣背后，是 Skills（技能插件）供应链的“黑暗森林”。2026 年初的“ClawHavoc”事件（341 个恶意插件）证明，盲目安装插件等于主动邀请黑客进门。这一篇教你如何给这只“龙虾”戴上嘴套，防止它反咬一口。

避坑实操：白名单制 + 源码审查

ClawHub 社区缺乏严格审计，约 36% 的插件存在安全缺陷，恶意插件会窃取 SSH 密钥、浏览器密码甚至部署木马。

动作：
1. 禁用自动安装：在配置中设置 autoInstallSkills: false，绝不允许 AI 自动安装插件。
2. 源码审查：安装前，必须去 GitHub 或 GitLab 查看插件源码。重点检查 package.json 中的 postinstall 脚本、exec 调用的外部 URL。如果代码看不懂，宁可不装。
3. 最小白名单：只安装官方核心插件（如 file、browser）及经过大型企业（如阿里云、腾讯云）安全团队认证的插件。

避坑实操：专用低权账户 + 沙箱隔离

OpenClaw 默认配置极其危险，常以 root 权限运行，一旦被控，整台服务器即告沦陷。

动作：
1. 专用账户：在宿主机创建专用低权限用户（如 openclaw-user），禁止其拥有 sudo 权限。修改服务启动配置，指定该用户运行。
2. 沙箱强制开启：在 openclaw.json 中设置 agents.defaults.sandbox.mode: "all"（全部进沙箱）。利用 Docker 或 Firejail 将 AI 的操作锁在容器内，即使它想删库，也只能删容器内的文件。
3. 文件只读挂载：挂载宿主机目录时，必须加上 :ro（只读）标志，特别是源码和密钥目录。

避坑实操：环境变量 + 密钥管理服务

OpenClaw 默认将 API Key 明文存储在 ~/.openclaw/config.json 中，这是黑客的首要目标。

动作：
1. 彻底弃用硬编码：将 OPENAI_API_KEY、CLAUDE_API_KEY 等敏感信息从配置文件中删除，全部移至 .env 文件，并确保 .env 在 .gitignore 中。
2. 生产环境升级：企业部署必须使用 Vault 或云厂商的 KMS（密钥管理服务），OpenClaw 运行时动态获取 Token，绝不落地。

避坑实操：版本锁定 + 输入过滤

OpenClaw 曾曝出远程代码执行漏洞（如 CVE-2026-25253），攻击者可通过恶意链接控制你的实例。

动作：
1. 版本策略：生产环境不追新，锁定经过安全测试的稳定版本（如 1.x.x LTS），延迟 1-2 个小版本更新。
2. 输入过滤：在 Gateway 前部署 WAF（Web 应用防火墙）或使用腾讯云等提供的 LLM WAF 方案，过滤含有 rm -rf、curl | bash 等危险模式的输入指令。
3. 安全意识：绝对不要让 OpenClaw 访问不可信的第三方网页（尤其是短链接），防止“提示词注入”诱导其执行危险操作。

安全不是功能，是底线。使用 OpenClaw 必须遵循“零信任”原则：不信任插件、不信任网络、不信任输入。把它当成一个需要 24 小时监控的“高危员工”，而不是一个无害的玩具。