信息层级：【有据可查】= 附官方文档或可信来源链接；【社区共识】= 社区用户普遍经验，未经官方确认；【待考察/推测】= 推测或暂未能核实，请谨慎对待。
🔴 高风险提示：这类工具常驻后台、能被聊天消息驱动、可读写文件与执行命令。配置不当 = 任何能给你的机器人发消息的人，都可能操作你的电脑。国内媒体曾报道国家互联网应急中心就 OpenClaw 多个漏洞发布风险提示（腾讯新闻）。
1. 定位
【有据可查】OpenClaw（社区俗称"龙虾"🦞）是开源、自托管的 AI 智能体网关：在你自己的电脑或服务器上运行，把聊天渠道（Telegram、Discord、WhatsApp 等）连接到 AI Agent，可读写文件、执行命令、浏览网页。来源：官网、官方文档、中文文档
【待考察/推测】"龙虾类"在社区泛指 OpenClaw 及其衍生/同类"聊天驱动的自托管助理"。WorkBuddy FAQ 中将其与"Open 助理开源方案"做了安全对比（来源），但本文不罗列未核实的衍生项目。
2. 费用结构
- OpenClaw 本身开源免费；费用来自模型 API与（可选的）服务器。【有据可查】
- ⚠️ 【有据可查（媒体报道）】据报道，Anthropic 自 2026 年起明确 Claude 订阅的 OAuth 凭据不得用于第三方工具，相关解读文章直接点名包括 OpenClaw 在内的工具类别（The Register）。→ 给 OpenClaw 接模型请使用正规 API Key。
3. 安装【有据可查】
# 中文文档推荐 Node 24；Windows 建议 WSL2
npm install -g openclaw@latest
openclaw onboard --install-daemon # 引导配置并安装守护进程
openclaw configure # 之后可再次进入配置向导
配置文件：~/.openclaw/openclaw.json。来源：Configuration
💡 实践建议【社区共识】：不要装在日常主力机上。用一台旧电脑、虚拟机或独立的 VPS（见 VPS 入门：连接、账号、防火墙与日常维护），并且只放与任务相关的文件。
4. 首次配置：安全基线（最重要的一节）【有据可查】
来源：Security、Shared channel policies、openclaw security
| 项目 | 安全做法 |
|---|---|
| 网关监听 | 保持 gateway.bind: "loopback"；只通过带认证的私有通道暴露，不要做公网端口转发 |
| 私聊策略 | dmPolicy: "pairing"（默认，配对后才可用）或显式 allowFrom 白名单；避免 "open" |
| 群组 | 使用群白名单与 @提及 门控 |
| 模型提供方 | 用 models.providers.allow / deny 限定 |
| 弱模型 + 浏览器/网页工具 | 官方建议除非在沙箱中，否则避免小模型搭配网页/浏览器工具（更易被提示注入） |
| 信任边界 | 一个网关 = 一个信任边界；面对可能互相敌对的用户，需分开的网关/主机 |
| 定期体检 | 每次改配置后运行 openclaw security audit；--deep 做插件/在线检查 |
4.1 沙箱：默认关闭，建议开启【有据可查】
来源：Sandboxing
- 沙箱由
agents.defaults.sandbox（全局）或agents.entries.*.sandbox（单个 Agent）控制，默认关闭；开启后只有工具执行进入沙箱，网关进程仍在宿主上。 - 后端：Docker（默认本地后端）、Podman、SSH、OpenShell、Crabbox 等。
- 官方原话："这不是完美的安全边界，但能实质性限制模型犯傻时对文件和进程的影响。"
// 官方最小启用示例
{
agents: {
defaults: {
sandbox: {
mode: "non-main", // 或 "all"
scope: "session",
workspaceAccess: "none",
},
},
},
}
- ⚠️
tools.elevated是显式逃生口，会让exec在沙箱外执行；要彻底禁用exec请用工具策略 deny。 - ⚠️ 允许受管 GitHub 身份进入沙箱（
allowInSandbox: true）会把凭据暴露给沙箱内代码，security audit会对此告警。
5. 常用命令【有据可查】
| 命令 | 用途 |
|---|---|
openclaw onboard |
引导式初始化 |
openclaw configure |
配置向导 |
openclaw security audit [--deep] |
安全审计 |
openclaw sandbox list |
列出沙箱容器与状态 |
openclaw sandbox explain [--session/--agent] |
解释生效的沙箱模式、挂载、工具策略 |
openclaw sandbox recreate [--all] |
按新配置重建沙箱 |
5.1 推荐工作流
6. 接入模型
- 在 provider 设置与按 Agent/渠道的模型覆盖中配置；用
models.providers.allow/deny限制可用提供方。【有据可查：Configuration】 - 具体字段以官方文档为准。【待考察：本文未逐项核对 provider 字段】
7. 常见问题
| 现象 | 原因 | 处理 | 层级 |
|---|---|---|---|
| 工具被拦截不知原因 | 工具策略 / 沙箱 / elevated 三者交互 | 读官方 "Sandbox vs Tool Policy vs Elevated"，用 sandbox explain |
有据可查 |
| 改了沙箱配置不生效 | 旧容器仍在 | openclaw sandbox recreate |
有据可查 |
| 陌生人能和机器人对话 | dmPolicy 过宽 |
改回 pairing / 白名单 |
有据可查 |
| 公网可访问网关 | bind 非 loopback / 端口转发 | 立即关闭，改私有认证通道 | 有据可查 |
8. 适合人群
- ✅ 懂 Linux/Docker、能自己做安全加固的进阶用户
- ✅ 想要"7×24 私人助理"并愿意承担运维成本的人
- ❌ 不推荐纯新手直接在主力电脑上使用
9. 本篇无法核实/需谨慎的点
- "龙虾类"其它衍生项目的范围与安全性。
- CNCERT 风险提示原文（本文引用的是媒体转述）。
- Anthropic 第三方工具政策对 OpenClaw 的具体影响细节（媒体解读）。
- 模型 provider 配置字段细节。
小白练习：把本文流程逐项走通
练习目标：在独立环境里配置一个仅自己可用的助理。
上文已介绍概念、配置和操作示例。下面侧重第一次实际操作时的顺序、检查点和结果核对；需要查具体参数时回到对应小节。命令逐条输入，看到上一条的结果后再继续。
-
先选择独立测试机器、虚拟机或已有隔离环境，准备可恢复快照。把自己的主力资料目录留在环境外。
-
按官方文档检查 Node 与系统要求，再安装并运行初始化向导；逐项读清守护进程、渠道与模型设置。
-
模型先使用自己拥有的 API Key。连接一种渠道，完成本人配对，再检查允许发送任务的身份列表。
-
确认网关仍只监听回环地址，再检查沙箱与工具策略。聊天身份白名单和工具执行范围是两个检查点。
-
运行安全审计，读完每条发现并复核配置；首次任务只让它读取一份练习文本。
-
确认读取结果后再尝试写入一个新文件。恢复容器或修改沙箱策略后，重新审计并验证实际权限。