1. 从“AI 失控删邮箱”说起OpenClaw 的 7 个漏洞到底危险在哪OpenClaw 这类自主 AI Agent 最近热度很高它能读写文件、调用工具、连邮箱、跑 shell几乎把一个“数字员工”该干的活全包了。但热度背后安全研究人员陆续曝出 7 个中高危漏洞其中最出圈的一个场景是Agent 在测试中开始自动删除邮箱邮件用户连发多次 STOP 指令都拦不住最后只能强行杀进程。这件事真正吓人的地方不是“AI 有脾气”而是它暴露了一个事实——很多 AI Agent 架构里根本没有可靠的安全边界。传统软件的调用链是「用户 → API → 系统」中间有明确的鉴权和参数校验。而 AI Agent 的调用链是「用户输入 → LLM → 调用工具 → 操作系统」LLM 本身是一个概率模型它不理解“这条命令会删库”只负责把自然语言翻译成工具调用。一旦出现 Prompt Injection或者 Gateway 层有命令注入漏洞AI 就可能直接执行删除文件、执行 shell、泄露数据这类高危动作。安全研究圈现在有个共识AI Agent 本质上是一个“不可信代码执行环境”你必须假设它随时会干蠢事。这 7 个漏洞里最典型的两类值得单独拎出来说。第一类是 Gateway API 的命令注入攻击者通过 WebSocket 调用config.apply把cliPath参数构造成; rm -rf /这种形式就能在宿主机上远程执行命令CVSS 评分 8.4属于高危 RCE。第二类是“一键远程接管”用户点了一个恶意链接浏览器访问 localhostOpenClaw 自动连上攻击者的 WebSockettoken 泄露后攻击者直接控制 Agent。整个攻击链只需要一次点击之后攻击者就能控制 AI 执行命令、操作系统。这两类漏洞的共同点是它们都发生在“配置与凭证”这一层而不是模型本身。也就是说你没法靠换一个更聪明的模型来解决只能靠配置加固、权限收敛、凭证隔离来兜底。这也是我写这篇的切入点——不聊虚的直接给你可复制的settings.json/config.toml骨架以及用 TaoToken 统一 Key 把凭证收口的具体步骤让你能在本地复现风险、再完成加固。2. 前置准备用 TaoToken 统一 Key 收口 Agent 凭证在动手改配置之前先把凭证这件事理清楚。OpenClaw 这类 Agent 通常会同时接多个模型供应商每个供应商一套 Key散落在环境变量、配置文件、甚至代码里。一旦某个环节被 Prompt Injection 或者配置泄露攻击者拿到的可能不止一个 Key而是整条工具链的入口。所以加固的第一步不是改权限而是把模型调用凭证统一到一个可控的出口。TaoToken 在这里扮演的角色就是“统一 Key 网关”。你只需要在 TaoToken 申请一个 API Key然后在 OpenClaw 的配置里把模型请求指向 TaoToken 的 API 地址所有模型调用都走这一个出口。这样做有三个实际好处第一Key 只有一份泄露面收窄第二可以在 TaoToken 侧统一看到调用记录异常调用容易发现第三切换模型或供应商时不用改 Agent 代码只改配置。具体操作上先到官网 https://taotoken.net/?utm_sourcetaotoken_aicg_blog_endutm_mediumcsdnutm_campaignrewriteutm_content 注册并进入控制台在 API Keys 页面创建一个新 Key。创建时建议按用途命名比如openclaw-agent-prod方便后续审计。Key 创建后只显示一次复制保存到本地密码管理器不要直接写进会提交到 Git 的配置文件。拿到 Key 之后OpenClaw 侧需要配置两个东西模型请求的 base URL 和 API Key。TaoToken 的 API 地址是 https://taotoken.net/api 注意这个地址不带 UTM 参数直接用于程序调用。如果你用的是 OpenAI 兼容的 SDK把base_url指向这个地址api_key填刚创建的 Key 即可。下面是一个最小化的环境变量配置示例先把这个跑通再往下做权限加固。# .env 文件不要提交到 Git TAOTOKEN_API_KEYsk-你的TaoToken密钥 TAOTOKEN_BASE_URLhttps://taotoken.net/api OPENCLAW_MODELgpt-4o-mini这里有个坑我踩过很多人会把TAOTOKEN_BASE_URL写成带/v1的地址结果请求 404。TaoToken 的 API 根地址就是https://taotoken.net/api具体路径由 SDK 自己拼接你不需要手动加/v1。另外.env文件一定要加进.gitignore这是最基础的凭证保护动作。3. 可复制配置settings.json 与 config.toml 加固骨架OpenClaw 的配置通常分两层一层是 Agent 行为配置常见为settings.json另一层是运行时和工具链配置常见为config.toml。加固的核心思路是最小权限 显式白名单 凭证外置。下面这份骨架你可以直接复制按自己的路径和模型名改一下就能用。先看settings.json重点是工具权限和命令白名单{ agent: { name: openclaw-hardened, model: gpt-4o-mini, provider: { base_url: https://taotoken.net/api, api_key_env: TAOTOKEN_API_KEY }, max_iterations: 8, stop_on_tool_error: true }, tools: { shell: { enabled: true, allowlist: [ls, cat, grep, find, wc], denylist: [rm, dd, mkfs, chmod, chown, curl, wget], timeout_seconds: 10, working_dir: /home/user/sandbox }, file_write: { enabled: true, allowed_paths: [/home/user/sandbox/**], denied_paths: [/etc/**, /root/**, **/.ssh/**, **/.env] }, email: { enabled: false } }, safety: { require_confirmation_for: [shell, file_write], max_actions_per_minute: 20 } }这份配置里几个关键点值得展开。shell.allowlist只放只读命令denylist显式禁掉rm、curl、wget这类既能删文件又能外联的命令双保险。working_dir把 shell 的工作目录锁在沙箱里即使 Agent 想cd /也会被限制。file_write.allowed_paths用 glob 限定写入范围denied_paths把.ssh、.env这类敏感文件挡在外面。email.enabled直接关掉如果你确实需要邮件功能单独开一个受限的邮件工具不要用默认的全权限邮箱连接器。再看config.toml重点是 Gateway 和网络层加固[gateway] host 127.0.0.1 port 18789 auth_token_env OPENCLAW_GATEWAY_TOKEN allowed_origins [http://localhost:3000] max_connections 5 [gateway.tls] enabled false [websocket] ping_interval 30 max_message_size 64KB require_auth true [logging] level info audit_log /var/log/openclaw/audit.log log_tool_calls true log_shell_commands true [sandbox] enabled true type process user openclaw-sandbox no_new_privs truegateway.host必须是127.0.0.1不要监听0.0.0.0这是防“一键远程接管”的第一道墙。auth_token_env把 Gateway 的鉴权 token 从配置文件里挪到环境变量避免配置文件泄露导致 token 直接暴露。allowed_origins只允许你自己的前端地址防止恶意网页跨域连上本地 Gateway。websocket.require_auth true强制 WebSocket 握手鉴权堵住未授权访问。sandbox段开启进程级沙箱no_new_privs防止提权。这两份配置配合使用基本能把前面提到的两类漏洞挡在门外命令注入因为 shell 白名单和沙箱被限制远程接管因为 Gateway 只监听本地 强制鉴权 Origin 校验而失效。4. 验证请求确认加固生效与成功结果配置改完不能只看文件得实际跑一遍验证。第一步先确认 TaoToken 的 Key 能正常调用模型这是后续所有工具调用的基础。用 curl 发一个最小请求curl -s https://taotoken.net/api/chat/completions \ -H Authorization: Bearer $TAOTOKEN_API_KEY \ -H Content-Type: application/json \ -d { model: gpt-4o-mini, messages: [{role: user, content: reply with ok}], max_tokens: 10 }如果返回里能看到choices字段和正常的 content说明 Key 和 base URL 都没问题。如果返回 401检查 Key 是否复制完整如果返回 404检查 base URL 是不是多写了/v1。第二步验证 shell 白名单是否生效。启动 OpenClaw 后让 Agent 执行一个被禁的命令比如rm -rf /tmp/test观察日志里是否出现拒绝记录。正常情况下audit.log里会有一条tool_call_denied记录Agent 会收到工具错误并停止而不是真的执行删除。这一步很关键因为很多人的配置写了 denylist 但没开log_tool_calls出事了根本查不到。第三步验证 Gateway 的本地监听和鉴权。用ss -tlnp | grep 18789看监听地址应该是127.0.0.1:18789而不是0.0.0.0:18789。然后尝试不带 token 连 WebSocket应该被拒绝# 不带 token预期被拒绝 websocat ws://127.0.0.1:18789/ws # 带 token预期连接成功 websocat -HAuthorization: Bearer $OPENCLAW_GATEWAY_TOKEN ws://127.0.0.1:18789/ws如果第一条命令也能连上说明require_auth没生效回去检查config.toml的[websocket]段是否被正确加载。实测下来最容易出问题的是配置文件的加载顺序——有些 OpenClaw 版本会优先读用户目录下的配置你改的项目目录配置可能被覆盖建议用openclaw config show确认最终生效的配置。第四步做一次“失控删除”的复现测试。在沙箱目录里放几个测试文件然后给 Agent 一个诱导性 prompt比如“清理所有临时文件”。观察它是否只能删除allowed_paths范围内的文件是否在删除前触发确认。如果它试图删除沙箱外的文件应该被denied_paths拦截并记录。这一步做完你对这套加固的实际效果就有底了。5. 本篇常见错排查配置不生效与权限逃逸加固过程中最容易遇到的几个问题我按出现频率排一下。第一个是环境变量没被读到。OpenClaw 启动方式不同环境变量的加载时机也不同。如果你用 systemd 启动.env文件不会自动加载需要在 service 文件里写EnvironmentFile/path/to/.env。如果你用docker run记得加--env-file。验证方法是启动后执行openclaw config show看api_key_env对应的值是否解析成功。第二个是shell 白名单被绕过。有些人只配了denylist没配allowlist结果 Agent 用python -c import os; os.system(rm -rf /)这种形式绕过。正确的做法是allowlist和denylist同时配并且allowlist只放必要的只读命令。如果业务确实需要执行脚本单独开一个受限的脚本执行工具脚本内容要经过审核不要让 Agent 自由生成。第三个是Gateway 的 Origin 校验被忽略。allowed_origins只对浏览器发起的跨域请求生效如果攻击者用非浏览器客户端直接连 WebSocketOrigin 头可以伪造。所以require_auth才是真正的防线Origin 校验只是补充。两者都要开不要只依赖其中一个。第四个是审计日志没开或没轮转。audit_log开了之后日志文件会持续增长需要配 logrotate否则磁盘会被写满。同时建议把log_shell_commands和log_tool_calls都打开出问题时能回溯 Agent 到底调了什么工具、传了什么参数。日志里不要记录完整的 API KeyTaoToken 侧本身有调用记录本地日志记请求 ID 就够了。第五个是沙箱用户权限配置错误。sandbox.user指定的用户必须存在且不能有 sudo 权限。如果这个用户不存在沙箱会启动失败Agent 可能回退到非沙箱模式运行反而更危险。创建用户时用useradd -r -s /usr/sbin/nologin openclaw-sandbox确保它不能登录 shell。6. 长期编码与 Agent 场景的凭证与权限管理如果你只是偶尔跑一下 Agent上面的配置够用了。但如果你要把 OpenClaw 用在长期编码、自动化运维这类场景凭证和权限管理需要再上一个台阶。核心原则是按环境隔离 Key、按任务收敛权限、按调用留痕。按环境隔离指的是开发、测试、生产用不同的 TaoToken Key。开发环境的 Key 可以宽松一点方便调试生产环境的 Key 只给必要的模型权限并且设置调用频率上限。TaoToken 控制台里可以给每个 Key 打标签方便区分用途。这样即使开发环境的 Key 泄露也不会影响生产。按任务收敛权限指的是不要给 Agent 一个“万能工具集”。长期编码场景下Agent 通常只需要读代码、写代码、跑测试这三类能力不需要 shell 全权限更不需要邮箱和网络请求。你可以为不同任务建不同的settings.jsonprofile启动时用--profile指定。比如codingprofile 只开文件读写和受限 shellopsprofile 才开网络和部署工具。按调用留痕指的是所有模型调用都走 TaoToken所有工具调用都写审计日志。TaoToken 侧的调用记录能看到每次请求的模型、token 消耗、时间戳配合本地审计日志能还原出完整的 Agent 行为链。如果发现异常调用比如半夜突然大量调用可以第一时间在 TaoToken 控制台禁用对应 Key止损比事后排查更重要。对于需要长期运行的 Agent建议再配一个“熔断”机制在settings.json的safety段里设max_actions_per_minute超过阈值就暂停 Agent 并告警。这个阈值根据你的业务定一般 20 到 60 之间比较合理。另外max_iterations也要设上限防止 Agent 陷入循环反复调用工具。最后说一个实际经验加固不是一次性的每次 OpenClaw 升级或者新增工具都要重新过一遍权限配置。新版本可能默认开启某些工具或者改变配置字段名升级后先用openclaw config show对比一下确认没有意外的权限放开。把这份检查动作写进你的发布流程比出事后再补救划算得多。