文章总结： 本文为OpenClaw部署安全指南，详述七大风险：未授权访问、权限过高、Nday漏洞、APIKey泄露、供应链攻击、提示词注入及机器人权限失控，并提供针对性防御措施如端口限制、降权运行、沙箱隔离、工具禁用等。文末给出11项安全检查清单，强调通过技术加固实现安全与效率的平衡，为企业与个人部署AIAgent提供全面参考。
综合评分： 88
文章分类： AI安全,安全建设,解决方案,应用安全,实战经验

OpenClaw安全部署指南：7大风险+11项检查，守住你的数字员工

小草培养创研中心

2026年3月13日 08:55
陕西

OpenClaw安全部署指南：7大风险+11项检查，守住你的数字员工

安全是技术发展的基石

昨天我们聊了OpenClaw带来的生产力革命，今天我们来谈谈一个同样重要的话题——安全部署。

随着OpenClaw的普及，安全部署成为不可回避的核心议题。根据实战经验，我们总结了六大安全风险及防御指南。无论你是企业部署还是个人使用，都值得花10分钟看完这篇指南。

记住：安全不是束缚，而是让技术走得更远的基石。

⚠️ 风险1：未授权访问

部署在公有云ECS的OpenClaw，默认可能直接通过公网IP访问WebUI（端口18789），存在未授权访问风险。

🔒 防御措施

1. 限制默认端口外网访问

通过防火墙规则或安全组限制18789端口访问
仅允许可信IP地址访问

2. 修改默认端口（可选）

修改服务文件：

~/.config/systemd/user/openclaw-gateway.service
修改主配置：

~/.openclaw/openclaw.json
将18789改为非默认端口（如28789）
重启服务：

systemctl --user restart openclaw-gateway.service

3. 控制远程访问和认证

所有配置修改在~/.openclaw/openclaw.json主配置文件下

🔹 最安全方案 – 使用loopback绑定：

{&nbsp;&nbsp; gateway: { &nbsp;&nbsp; &nbsp; bind:"loopback"// 只监听127.0.0.1&nbsp;&nbsp; }}

🔹 远程访问方案 – 使用Tailscale VPN：

{&nbsp;&nbsp; &nbsp; gateway: { &nbsp;&nbsp; &nbsp; &nbsp; bind:"tailnet",// Tailscale VPN &nbsp;&nbsp; &nbsp; &nbsp; auth: { &nbsp;&nbsp;&nbsp; &nbsp; &nbsp; &nbsp; mode:"token", &nbsp;&nbsp;&nbsp; &nbsp; &nbsp; &nbsp; allowTailscale:true &nbsp;&nbsp; &nbsp; &nbsp; }&nbsp;&nbsp; &nbsp; }}

🔹 LAN模式（必须配合强认证）：

{&nbsp;&nbsp; gateway: {&nbsp;&nbsp; &nbsp; bind:"lan", &nbsp;&nbsp;&nbsp; &nbsp; auth: { &nbsp;&nbsp;&nbsp; &nbsp; &nbsp; mode:"token", &nbsp;&nbsp;&nbsp; &nbsp; &nbsp; token:"强随机token（至少32字符）", &nbsp;&nbsp; &nbsp; &nbsp; rateLimit: { &nbsp;&nbsp;&nbsp; &nbsp; &nbsp; &nbsp; maxAttempts:5, &nbsp;&nbsp;&nbsp; &nbsp; &nbsp; &nbsp; windowMs:60000, &nbsp;&nbsp;&nbsp; &nbsp; &nbsp; &nbsp; lockoutMs:300000, &nbsp;&nbsp;&nbsp; &nbsp; &nbsp; &nbsp; exemptLoopback:true &nbsp;&nbsp; &nbsp; &nbsp; }&nbsp;&nbsp; &nbsp; },&nbsp;&nbsp; &nbsp; tls: { &nbsp;&nbsp; &nbsp; &nbsp;enabled:true, &nbsp;&nbsp; &nbsp; &nbsp;certPath:"/path/to/cert.pem", &nbsp;&nbsp; &nbsp; &nbsp;keyPath:"/path/to/key.pem"&nbsp;&nbsp;&nbsp; &nbsp; }&nbsp;&nbsp; }}

⚠️ 风险2：运行权限过高

以root权限运行OpenClaw存在极大安全隐患，一旦被攻击者利用将导致系统完全沦陷。

🔒 防御措施

1. 创建专用用户启动服务

useradd&nbsp;-m openclawuserpasswd openclawuser

2. 转移文件所有权

sudo&nbsp;chown&nbsp;-R openclawuser:openclawuser /root/.nvm/versions/node/v22.22.0/lib/node_modules/openclawsudo&nbsp;chown&nbsp;-R openclawuser:openclawuser ~/.openclaw &nbsp;# 配置文件目录

3. 修改服务文件

User=openclawuserGroup=openclawuserExecStart="/root/.nvm/versions/node/v22.22.0/bin/node"&nbsp;"/root/.nvm/versions/node/v22.22.0/lib/node_modules/openclaw/dist/index.js"&nbsp;gateway -port 18789Environment=HOME=/home/openclawuserEnvironment="PATH=/usr/local/bin:/usr/bin:/usr/sbin:/bin:/usr/sbin"...//其他配置

重启服务

systemctl&nbsp;--user&nbsp;restart openclaw-gateway.service

5. 验证运行用户

ps&nbsp;-ef | grep openclaw-gateway&nbsp;# 应显示 openclawuser 而非 root

⚠️ 风险3：Nday漏洞

主要高危CVE（已修复）

| CVE编号 | 严重程度 | 漏洞类型 |
| — | — | — |
| CVE-2026-25253 | CVSS 8.8 | Auth Token窃取 + WebSocket劫持 |
| CVE-2026-24763 | 高危 | 命令注入（Docker沙箱） |
| CVE-2026-26327 | 高危 | 认证绕过（LAN内恶意服务广告） |
| CVE-2026-29610 | 中危 | 命令劫持 |
| CVE-2026-28486 | 中危 | 安装时归档提取路径穿越 |
| CVE-2026-28470 | 中危 | Exec allowlist绕过 |

🔒 防御措施

1. 及时更新至最新版本

cd&nbsp;/root/.openclaw&nbsp;git&nbsp;clone&nbsp;https://github.com/openclaw/openclaw.git&nbsp;./openclaw -v &nbsp;# 验证版本号

2. 加固配置文件

chmod&nbsp;400 /root/.openclaw/openclaw.json &nbsp;# 只读权限

⚠️ 风险4：API Key泄露

OpenClaw默认将API密钥存放在.env文件中，相当于”明文”存储，泄露可能导致账单爆炸。

🔒 防御措施

❌ 不要将API Key上传到GitHub或公开分享
❌ 不要在截图或录屏中显示API Key
⏰ 建议60-90天更换一次API Key
🔐 使用环境变量而非配置文件存储密钥

⚠️ 风险5：第三方skill供应链攻击

插件生态中有5700+skill，研究显示约12%（341个）为恶意skill。恶意skill可能执行数据外泄、命令注入等攻击。

🔒 防御措施

✅ 安装前检查作者信誉和GitHub Star数
✅ 优先使用官方推荐的skill
🔍 定期运行安全审计：openclaw security audit

⚠️ 风险6：提示词命令注入

攻击者可通过7条路径执行破坏性操作：

🔒 防御措施

1. 工具禁用（代码级硬约束）

// ~/.openclaw/openclaw.json{&nbsp;&nbsp;&nbsp;&nbsp;"tools":&nbsp;{&nbsp; &nbsp;&nbsp;// 禁用高风险工具 &nbsp; &nbsp;&nbsp; &nbsp;&nbsp;"deny":&nbsp;[&nbsp; &nbsp;&nbsp; &nbsp; &nbsp;&nbsp;"gateway",&nbsp; &nbsp; &nbsp;// 🔴禁止 Agent 修改配置/重启系统 &nbsp; &nbsp; &nbsp;&nbsp; &nbsp; &nbsp;&nbsp;"nodes",&nbsp; &nbsp; &nbsp; &nbsp;// 🔴禁止远程节点命令执行 &nbsp; &nbsp; &nbsp;&nbsp; &nbsp; &nbsp;&nbsp;"canvas",&nbsp; &nbsp; &nbsp;&nbsp;// 🟠 禁止 Canvas JS 执行（如无需求） &nbsp; &nbsp; &nbsp;&nbsp; &nbsp; &nbsp;&nbsp;"browser"&nbsp; &nbsp; &nbsp;&nbsp;// 🟠 禁止浏览器控制（如无需求） &nbsp; &nbsp;&nbsp; &nbsp; &nbsp;],&nbsp; &nbsp;&nbsp;&nbsp; &nbsp;&nbsp;// exec 工具精细控制 &nbsp; &nbsp;&nbsp; &nbsp;&nbsp;"exec":&nbsp;{&nbsp; &nbsp; &nbsp;&nbsp;&nbsp; &nbsp; &nbsp;&nbsp;"host":&nbsp;"sandbox",&nbsp;&nbsp;// 所有命令强制在 Docker 沙箱中执行 &nbsp; &nbsp; &nbsp;&nbsp; &nbsp; &nbsp;&nbsp;"security":&nbsp;"allowlist",&nbsp;&nbsp;// 白名单模式 &nbsp; &nbsp; &nbsp;&nbsp; &nbsp; &nbsp;&nbsp;"ask":&nbsp;"always"&nbsp; &nbsp;// 每次执行都需要人工审批 &nbsp; &nbsp;}, &nbsp; &nbsp;// 完全禁用提权 &nbsp; &nbsp;&nbsp; &nbsp; &nbsp;&nbsp;"elevated":&nbsp;{&nbsp; &nbsp; &nbsp;&nbsp;&nbsp; &nbsp; &nbsp; &nbsp;&nbsp;"enabled":&nbsp;false&nbsp; &nbsp;&nbsp;&nbsp; &nbsp; &nbsp; &nbsp;}&nbsp;&nbsp; &nbsp;&nbsp;}}

2. 禁用危险聊天命令

{&nbsp; &nbsp;&nbsp;&nbsp;"commands":&nbsp;{&nbsp; &nbsp; &nbsp;&nbsp; &nbsp;&nbsp;"bash":&nbsp;false,&nbsp; &nbsp;&nbsp;//🔴 禁用bash聊天命令 &nbsp; &nbsp;&nbsp;&nbsp; &nbsp;&nbsp;"config":&nbsp;false,&nbsp;&nbsp;// 🔴 禁用配置修改命令 &nbsp; &nbsp;&nbsp;&nbsp; &nbsp;&nbsp;"restart":&nbsp;false,&nbsp;// 🔴 禁用重启命令 &nbsp; &nbsp;&nbsp;&nbsp; &nbsp;&nbsp;"debug":&nbsp;false&nbsp; &nbsp;&nbsp;// 禁用调试命令 &nbsp;&nbsp;&nbsp; &nbsp;}&nbsp;}

3. SOUL.md提示词安全约束

❌ 禁止删除或修改配置文件（~/.openclaw/、openclaw.json）
❌ 禁止修改提示词文件（SOUL.md、AGENTS.md）
❌ 禁止执行破坏性命令（rm -rf、mkfs、shutdown等）
❌ 禁止读取敏感文件（/etc/shadow、~/.ssh/等）
❌ 禁止下载并执行远程代码（curl|bash、wget|sh）
❌ 禁止修改系统服务（systemd、cron）

4. Docker沙箱隔离（物理级隔离）

{&nbsp;&nbsp;"sandbox":&nbsp;{&nbsp; &nbsp;&nbsp;"enabled":&nbsp;true,&nbsp; &nbsp;&nbsp;"scope":&nbsp;"session",&nbsp; &nbsp;// 每个会话独立容器&nbsp; &nbsp;&nbsp;"workspaceAccess":&nbsp;"ro",&nbsp;&nbsp;// Agent 工作区只读挂载&nbsp; &nbsp;&nbsp;"docker":&nbsp;{&nbsp; &nbsp; &nbsp;&nbsp;"readOnlyRoot":&nbsp;true,&nbsp;&nbsp;// 只读根文件系统&nbsp; &nbsp; &nbsp;&nbsp;"network":&nbsp;"none",&nbsp; &nbsp;// 无网络&nbsp; &nbsp; &nbsp;&nbsp;"capDrop":&nbsp;["ALL"],&nbsp;&nbsp;// 丢弃所有能力&nbsp; &nbsp; &nbsp;&nbsp;"user":&nbsp;"1000:1000",&nbsp; &nbsp;// 非 root 用户运行&nbsp; &nbsp; &nbsp;&nbsp;"pidsLimit":&nbsp;100,&nbsp; &nbsp; &nbsp;// 限制进程数&nbsp; &nbsp; &nbsp;&nbsp;"memory":&nbsp;"512m",&nbsp; &nbsp; &nbsp;// 限制内存&nbsp; &nbsp; &nbsp;&nbsp;"memorySwap":&nbsp;"512m"&nbsp;&nbsp;// 禁止 swap&nbsp; &nbsp;&nbsp;}&nbsp;&nbsp;}}

启动Docker容器：

git&nbsp;clone&nbsp;https://github.com/openclaw/openclaw.git&nbsp;cd&nbsp;openclaw&nbsp;./docker-setup.sh

⚠️ 风险7：机器人权限过高

OpenClaw机器人不是普通聊天机器人，而是一个可直接操控用户设备的”数字员工”。它通常被赋予以下能力：

读取/写入本地文件（包括 .ssh、.env、浏览器 Cookie 等敏感目录）
执行 Shell 命令（如 rm -rf /、curl 外传数据）
自动访问网页、解析 HTML、提取信息
调用第三方插件（Skills），部分插件可发起网络请求或修改系统配置

一旦被诱导或劫持，OpenClaw可在用户无感知情况下完成”窃密—外传—破坏“全链条攻击。例如有人把 AI 助理开放到公开 Discord 服务器，没禁用 exec工具，结果被人用提示词注入执行了 rm -rf /……

🔒防御措施

方案1：机器人权限访问策略

OpenClaw 的机器人支持 4 种权限访问策略：

推荐配置：配置白名单用户

{&nbsp; channels: {&nbsp; &nbsp; &nbsp; dmPolicy:&nbsp;"allowlist",&nbsp; &nbsp; &nbsp; groupPolicy:&nbsp;"allowlist",&nbsp; }}

方案2：限制机器人工具权限

场景1：个人助理（完全信任）

适用：个人使用的AI助手

权限特点：

允许执行命令，但需要预先设置白名单
文件操作无工作区限制
遇到未在白名单中的命令时会询问用户

{&nbsp; tools: {&nbsp; &nbsp; profile:&nbsp;"full",&nbsp; &nbsp; exec: { security:&nbsp;"allowlist", ask:&nbsp;"on-miss"&nbsp;}&nbsp; }}

场景2：团队共享助理

适用：团队共享使用的AI助手

权限特点：

专注于消息处理和文档协作
禁止执行命令、浏览器访问、网关操作和定时任务
文件操作限制在工作区内
适合文档处理、信息查询等安全任务

{&nbsp; tools: {&nbsp; &nbsp; profile:&nbsp;"messaging",&nbsp; &nbsp; deny: ["exec",&nbsp;"browser",&nbsp;"gateway",&nbsp;"cron"],&nbsp; &nbsp; fs: { workspaceOnly: true }&nbsp; }}

场景3：公开机器人（最小权限）

适用：面向客户的客服机器人

权限特点：

仅允许发送消息和网页搜索
禁止所有危险操作（执行命令、写文件、删除文件等）
文件系统只读且限制在工作区内

{&nbsp; tools: {&nbsp; &nbsp; profile:&nbsp;"minimal",&nbsp; &nbsp; allow: ["message/send",&nbsp;"web_search"],&nbsp; &nbsp; deny: ["exec",&nbsp;"browser",&nbsp;"read",&nbsp;"write",&nbsp;"edit"]&nbsp; }}

✅ 快速安全检查清单

部署OpenClaw前，请务必完成以下10项检查：

限制默认端口18789外网访问
使用专用用户（非root）运行OpenClaw
更新至最新版本（修复Nday漏洞）
配置文件设置为只读权限（chmod 400）
禁用危险工具（gateway、nodes等）
禁用危险聊天命令（bash、config、restart）
启用Docker沙箱隔离
在SOUL.md中设置安全约束
定期运行安全审计
谨慎安装第三方skill
根据使用场景选择合适的机器人权限策略

结语：让技术为人类所用

数字人不是洪水猛兽，而是数字文明的新成员。它就像潘多拉魔盒里最后的“希望”，让我们看到了生产力升级、生活方式优化的可能。

对行业而言，要建立场景化的合规框架，让Agent的行为可追溯、可审计；

对技术而言，要按照本指南做好安全加固，关闭未授权访问、降权运行、及时更新、工具禁用、沙箱隔离；

对每个人而言，要保持理性的技术认知，既不盲目崇拜，也不刻意抵触。

真正的强大，从来不是阻挡技术的发展，而是学会与技术共生，让技术为人类所用。

免责声明：

本文所载程序、技术方法仅面向合法合规的安全研究与教学场景，旨在提升网络安全防护能力，具有明确的技术研究属性。

任何单位或个人未经授权，将本文内容用于攻击、破坏等非法用途的，由此引发的全部法律责任、民事赔偿及连带责任，均由行为人独立承担，本站不承担任何连带责任。

本站内容均为技术交流与知识分享目的发布，若存在版权侵权或其他异议，请通过邮件联系处理，具体联系方式可点击页面上方的联系我。

本文转载自：小草培养创研中心《OpenClaw安全部署指南：7大风险+11项检查，守住你的数字员工》

Tags: AI安全安全建设实战经验应用安全解决方案

你可能错过

动态｜智能体授权规则与用户权益保障专题研讨会顺利举办

谷歌承认其AI模型在安全测试中侵入三家公司系统

湖南省公安厅公布“护网—2026”专项行动8起典型案例

专家观点| 中移互联网庄严：以号卡能力作答政务AI安全之问，护航可信数智社会