1. 为什么 OpenClaw 的安全问题值得单独拎出来讲OpenClaw 这类能自主执行命令的 AI 智能体和普通聊天机器人的最大区别在于它有手和脚——能读写文件、能跑 shell、能发网络请求。能力越强攻击面越大。我实测下来大部分安全事故不是 OpenClaw 本身有后门而是部署方式把它的能力直接暴露给了不该暴露的人。核心风险集中在四个层面架构层权限隔离缺失、网关公网暴露、localhost 信任谬误、数据层密钥明文落盘、MEMORY.md 认知语境被窃、供应链层ClawHub 恶意 Skills 泛滥、AI 行为层间接提示注入、幻觉导致批量误操作。这四层里架构和供应链是最容易被忽视、也最容易一次性造成大范围影响的环节。这篇不打算只讲有哪些风险而是把风险落到可复制的配置上。我会用 TaoToken 作为统一的模型调用通道把 Key 管理从 OpenClaw 本地配置里剥离出来再在settings.json和config.toml里给出安全骨架最后跑一次完整的风险验证动作。适合已经在跑 OpenClaw、或者准备把它接入生产辅助流程的开发者。2. 用 TaoToken 做统一 Key 与 API 通道的前置准备OpenClaw 默认会把模型 API Key 写进本地 JSON 或 Markdown这是数据层最大的隐患之一。一旦宿主机被入侵攻击者拿到的不是一把钥匙而是你所有下游服务的凭证。把模型调用收敛到 TaoToken 之后OpenClaw 本地只需要持有一个 TaoToken 的 Key其余上游厂商的 Key 全部留在 TaoToken 侧管理轮换和吊销都只在一个地方操作。TaoToken 的定位是统一的大模型 API 通道兼容 OpenAI 风格的接口协议所以 OpenClaw 里凡是走 OpenAI 兼容格式的模型配置把base_url指向 TaoToken 的 API 地址、把api_key换成 TaoToken 的 Key 就能跑通。官网入口在 https://taotoken.net/?utm_sourcetaotoken_aicg_blog_endutm_mediumcsdnutm_campaignrewriteutm_content API 基址是 https://taotoken.net/api 这个地址不加 UTM 参数配置里直接用。你需要提前准备两样东西一个 TaoToken 的 API Key以及确认你要用的模型名。Key 在控制台的 API Keys 页面生成地址是 https://taotoken.net/console/api-keys?utm_sourcetaotoken_aicg_blog_endutm_contentapi_keysutm_campaignrewrite 。生成之后不要直接写进 OpenClaw 的配置文件而是先放进系统环境变量这一步是后面所有安全配置的基础。# Linux / macOS写入当前 shell 会话验证用 export TAOTOKEN_API_KEYsk-你的taotoken密钥 # Windows PowerShell $env:TAOTOKEN_API_KEY sk-你的taotoken密钥 # 验证环境变量是否生效 echo $TAOTOKEN_API_KEY如果你打算长期跑编码类或 Agent 类任务可以顺带看一下 Coding Plan 的额度说明地址是 https://taotoken.net/coding-plan?utm_sourcetaotoken_aicg_blog_endutm_contentcoding-planutm_campaignrewrite 它决定了你高频调用时的成本结构。接入文档在 https://taotoken.net/doc?utm_sourcetaotoken_aicg_blog_endutm_contentdocutm_campaignrewrite 遇到协议字段对不上时以文档为准。3. settings.json 与 config.toml 的可复制安全配置骨架OpenClaw 的配置分两块settings.json管模型与运行时行为config.toml管网关、权限、审计这些安全相关的开关。下面这份骨架是我在隔离环境里跑通的最小安全集你可以直接抄改掉路径和端口即可。先看settings.json。关键点是模型走 TaoToken、密钥从环境变量读、敏感操作强制确认、批量操作设上限。{ model: { provider: openai-compatible, base_url: https://taotoken.net/api, api_key_env: TAOTOKEN_API_KEY, model_name: claude-sonnet-4-5, timeout_seconds: 120, max_retries: 2 }, security: { trust_localhost: false, allowed_hosts: [localhost, 127.0.0.1], confirm_before_action: [ delete_file, delete_email, send_email, execute_shell_command, install_software, modify_system_config ], block_bulk_operations: true, max_items_per_batch: 5, enable_audit_log: true, audit_level: detailed }, workspace: { memory_file: ./workspace/MEMORY.md, memory_retention_days: 30, encrypt_memory: true } }注意api_key_env这个字段——它让 OpenClaw 从环境变量读 Key而不是把明文写进 JSON。如果你的版本不支持这个字段退一步的做法是把 Key 写进一个权限收紧的.env文件再用启动脚本注入绝不要留在settings.json里。再看config.toml这块管网关和网络暴露是架构层加固的核心。[gateway] listen 127.0.0.1:18789 public false enable_tls false [gateway.auth] password_policy_min_length 16 require_uppercase true require_lowercase true require_numbers true require_special true max_login_attempts 5 lockout_duration_minutes 30 session_timeout_seconds 900 [logging] level debug format json [[logging.output]] type file path /var/log/openclaw/openclaw.log max_size 100M max_files 10 [audit] enabled true include [ tool_call, command_execution, file_access, network_request, api_key_usage ]listen锁死127.0.0.1、public false这两行直接掐掉了公网暴露这条最常见的攻击路径。trust_localhost false配合allowed_hosts白名单是对早期 ClawJacked 那类本地连接被恶意网页利用漏洞的兜底。审计日志里把api_key_usage也纳入是为了在 Key 被异常调用时能第一时间发现。4. 跑一次完整的风险验证动作配置写完不代表生效得实际验证。我建议按网关暴露 → 本地信任 → 密钥落盘 → 供应链的顺序做一遍每一步都有明确的预期结果。第一步验证网关没有对公网开放。在另一台机器上尝试连接你的 OpenClaw 网关端口预期是连接被拒绝或超时。# 在外部机器上执行替换成你的目标 IP nc -zv 192.168.1.100 18789 # 预期输出Connection refused 或超时 # 如果显示 succeeded说明网关暴露了回去检查 config.toml 的 listen 和 public第二步验证本地信任已关闭。用 curl 模拟一个来自本地的未认证请求预期是被拒绝。curl -s -o /dev/null -w %{http_code}\n \ -X POST http://127.0.0.1:18789/api/login \ -H Content-Type: application/json \ -d {username:admin,password:test} # 预期401 或 403而不是 200第三步验证密钥没有明文落盘。在 OpenClaw 工作目录里搜一遍确认找不到sk-开头的字符串。grep -rn sk- ./workspace ./config 2/dev/null # 预期无输出 # 如果有输出说明还有明文 Key 残留需要迁移到环境变量第四步验证模型调用确实走了 TaoToken。发一个最小请求看返回是否正常。curl -s https://taotoken.net/api/v1/chat/completions \ -H Authorization: Bearer $TAOTOKEN_API_KEY \ -H Content-Type: application/json \ -d { model: claude-sonnet-4-5, messages: [{role: user, content: ping}], max_tokens: 16 } | head -c 300返回里能看到正常的choices结构就说明通道打通了。如果你想在图形界面里直接确认模型可用性可以打开模型对话页面 https://taotoken.net/chat?utm_sourcetaotoken_aicg_blog_endutm_contentmodel_chatutm_campaignrewrite 发一条消息能正常回复就说明 Key 和模型名都对。第五步供应链验证。列出已安装的 Skills逐个核对来源。openclaw skill list # 对每个非官方来源的 skill检查其代码里是否有 child_process、exec、fetch 到未知域名等行为这五步跑完架构层、数据层、供应链层的主要风险点就都有了一次实测覆盖。任何一步不符合预期都说明对应配置没生效回去改。5. 本篇常见错排查报错一api_key_env字段不生效模型调用返回 401。大概率是你的 OpenClaw 版本不支持从环境变量读 Key。先确认版本再退回到.env文件方案同时用chmod 600 .env收紧权限。别直接把 Key 写回settings.json。报错二改了listen之后本地也连不上了。检查是不是把listen写成了0.0.0.0之外的地址但端口被占用或者allowed_hosts里没包含你实际访问用的主机名。allowed_hosts是白名单写漏了会把自己挡在外面。报错三审计日志里出现大量api_key_usage记录但你没主动调用。这是需要立刻排查的信号。先确认是不是某个 Skill 在后台偷偷调用模型接口用openclaw skill list逐个禁用排查。同时去 TaoToken 控制台 https://taotoken.net/console/api-keys?utm_sourcetaotoken_aicg_blog_endutm_contentapi_keysutm_campaignrewrite 吊销当前 Key 并重新生成把损失控制在最小。报错四grep -rn sk-有输出但找不到具体文件。可能是二进制文件或压缩包里的残留。用grep -rn --binary-fileswithout-match sk-排除二进制再定位。找到后不要只删文件要确认这个 Key 是否已经泄露泄露了就轮换。报错五TaoToken 返回模型不存在。模型名要以接入文档里的列表为准不同通道支持的模型名不完全一致。文档地址 https://taotoken.net/doc?utm_sourcetaotoken_aicg_blog_endutm_contentdocutm_campaignrewrite 对照着改model_name字段。6. 把安全配置固化成日常动作配置跑通只是起点真正决定安全水位的是日常动作。我的做法是把上面那五步验证写成一个脚本每次改完配置或安装新 Skill 之后跑一遍五分钟内能覆盖主要风险面。密钥轮换设成月度提醒轮换时只动 TaoToken 控制台那一处OpenClaw 本地不用改任何文件——这正是把 Key 收敛到统一通道的价值。如果你还在用本地明文 Key 直连各家模型建议先把这一步迁完再谈其他加固。迁移路径很简单TaoToken 生成 Key、写进环境变量、改settings.json的base_url和api_key_env、跑一遍第四节的验证。整个过程不超过二十分钟但把数据层最大的一个洞补上了。