OpenClaw 安全吗？安装前的一份诚实风险评估

简短回答：OpenClaw 的安全性取决于你设的边界。 软件本身开源——运行前你可以读完每一行代码——但 OpenClaw 不是沙箱里的聊天机器人。它是一个被设计来连接聊天渠道、读取你的消息、并在你的机器上执行动作的 AI agent。这份能力正是它的价值，也同时是风险所在。你的试用是否安全，几乎完全取决于你如何限定它的范围。

本页是这个问题诚实的版本：真实风险是什么、OpenClaw 自带哪些安全工具，以及让首次测试低风险的最简清单。我们是独立指南——与 OpenClaw 官方无关——所以请把这当作一个框架，具体细节以官方安全文档为准。

为什么「OpenClaw 安全吗」是对的问题

大多数你安装的软件，只有在它本身是恶意的时候才能伤害你。AI agent 不一样：它可以在完全按设计工作时伤害你。当你把 OpenClaw 接上聊天渠道，你实际上是在授权一个语言模型——拿着你的凭证、运行在你的机器或服务器上——读取进来的消息并据此采取行动。由此得出三个性质：

1. 它会对别人写的内容采取行动。 任何能向已连接渠道发消息的人，某种意义上都在和一个拥有你权限的软件对话。对一个读消息的 agent 来说，提示注入（prompt injection）不是理论问题。
2. 它持有凭证。 模型 API key、渠道 token 以及你配置的其他东西都存在于它的运行环境里。配置不当或被攻破的网关会把它们暴露出去。
3. 犯错是动作，不只是错误文本。 聊天机器人幻觉的后果是一条糟糕的回答；一个权限过大的 agent 可能真实地把东西发出去、删掉或改掉。

这些并不意味着 OpenClaw 不能安全地试用。它们意味着默认范围才是那个关键决策。

OpenClaw 给了你哪些工具

项目把安全当作一等公民对待，官方文档是权威来源。首次试用真正相关的机制：

• 允许发送者列表。 你精确控制哪些账号可以触发助手。默认限制较严是正常的——在有明确理由之前保持这样。
• 渠道级范围控制。 你决定连接哪些渠道、连不连。首次测试只需要一个低风险渠道，而不是你的整个通讯生活。
• 安全审计命令。 官方工具包含一个审计命令，把你的配置和已知有风险项对照检查。搭好跑一次，每次改配置后再跑一次。
• 开源代码。 网关、渠道集成和插件系统都是可审查的。相比之下，第三方 skill 和插件是别人写的代码、以你授予的权限运行——像对待任何要安装的软件一样评估它们。

在连接任何东西之前读一遍官方安全指南。和跳过它的代价相比，它很短。

按路径分风险：跑在哪里，「安全」的含义就不同

本地安装——暴露面最小。 网关跑在你自己的机器上，只有机器醒着时才可达。主要风险是凭证卫生和渠道接太多。对几乎所有人这都是正确的第一步；我们的安装指南包含第一天就该设的安全边界。

VPS——常开、公网可达。 有公网 IP 的服务器改变了威胁模型：SSH 加固、提供商防火墙和收紧的应用层允许列表从可选变成必须。取舍与锁定顺序见我们的 VPS 搭建指南。

托管服务——你引入了一个第三方信任方。 托管提供商在他们的基础设施上处理你的消息。这时安全主要是关于提供商本身：谁能看你的日志、数据保留政策是什么、能否导出和删除。托管 vs 自托管对比里的五个问题就是清单。

安全的首次会话清单

无论走哪条路，这是低风险首次测试的最小边界：

1. 一个模型提供商，一个渠道。 选你实际在用、风险最低的渠道——不是你的主力金融或工作账号。
2. 收紧的允许发送者列表。 先只加自己的账号；群聊场景要求 @ 提及。
3. 全新的、可轮换的凭证。 用 revoked 起来不心疼的 API key，并书面记录你创建的每个 token，拆除时才能拆干净。
4. 消费上限。 第一次对话之前，在模型提供商那里设好月度限额或预算告警。
5. 搭好后跑一次安全审计命令，之后每次改配置都重跑。
6. 一个明确的测试任务。 事先定好你要验证的那一个结果——它比任何防火墙都更能阻止范围蔓延。
7. 不放任何你丢不起的东西。 不放无法轮换的凭证、主力收件箱、金融账号。如果第一天的一个错误会是灾难，错的是范围，不是软件。

所以，OpenClaw 安全吗？

对于按上面边界限定的试用：安全——和运行任何强大的自托管软件同一个意义上的安全：暴露面真实存在但有边界，而边界由你控制。对于一个渠道全开、发送者列表洞开的未限定安装：任何 agent 平台的任何配置都无法让那变安全，OpenClaw 也不是例外。

好消息是，安全的版本恰好也是最便宜最快的版本：本地安装、一个渠道、一个明确的任务。从那里开始，只在有具体需求时再扩大。