Sicherheits-Best-Practices für OpenClaw

Die OpenClaw-Dokumentation veröffentlicht eine gehärtete Basiskonfiguration: eine Gateway-Konfiguration zum Kopieren und Einfügen, die ein Deployment privat, gekoppelt und in seinen Tools eingeschränkt hält, und eine kürzere sichere Basiskonfiguration für alle, die nur die ersten drei Zeilen wollen. Dieser Beitrag erklärt diese Konfiguration Schlüssel für Schlüssel: warum jede Zeile da ist und welche der Entscheidungen auf einem verwalteten Host bestehen bleiben, auf dem sich jemand anderes um die Infrastruktur kümmert.

Das Gateway: lokal, Loopback, Token

Der Modus local und das Binden an Loopback halten das Gateway vom Netzwerk fern; Token-Authentifizierung mit einem langen zufälligen Token sichert jeden Client ab, selbst lokale, denn der Standard-Auth-Modus ist token, auch bei einer Loopback-Bindung. Die Dokumentation nennt für den Port eine konkrete Zahl, 18789, und für die Alternative eine konkrete Warnung: Wer auth auf none setzt, lässt jeden lokalen Prozess eine Verbindung herstellen.

Die Kanäle: Kopplung und Erwähnungen

• Die DM-Richtlinie pairing auf jedem Kanal: Unbekannte Absender warten auf Ihre Freigabe, und die Freigabe gilt pro Kanal.
• Gruppen verlangen standardmäßig eine Erwähnung, sodass der Agent einen Raum mitliest, ohne auf jede Zeile zu antworten.
• Eine separate Nummer für telefonbasierte Kanäle, damit private Unterhaltungen privat bleiben und die Bot-Nummer die Automatisierung trägt.
• Ein DM-Geltungsbereich pro Kanal-Peer, damit die Sitzung eines Absenders nicht in die eines anderen übergreift.

Die Tools: ein Profil, eine Sperrliste und kein Notausgang

Die gehärtete Basiskonfiguration geht vom Messaging-Tool-Profil aus und verweigert vier Gruppen komplett: Automatisierung, Laufzeit, das Dateisystem sowie das Starten von oder Senden an andere Sitzungen. Dateisystemzugriff ist auf den Workspace beschränkt, exec ist verweigert und so eingestellt, dass immer nachgefragt wird, der elevated-Modus ist deaktiviert, die Sichtbarkeit von Sitzungen ist auf die eigenen des Agenten begrenzt, und der Zugriff von Agent zu Agent ist aus. Die Dokumentation rät, ein Tool bewusst wieder zu aktivieren, wenn Sie es brauchen, statt offen zu starten und später zu schließen. Eine Regel ist fest eingebaut und lässt sich nicht wegkonfigurieren: Absender, die nicht Eigentümer sind, erhalten nie die Tools cron oder gateway.

Betrachten Sie diese Kontrollen als gestaffelte Verteidigung, die die direkten Möglichkeiten eines Anfragenden verringert, nicht als Isolation zwischen feindseligen Benutzern.

Was die Basiskonfiguration nicht leistet

• Sie bereinigt keine Inhalte: Kontrollen, die an den Anfragenden gebunden sind, begrenzen, was ein Absender tun kann, nicht, was eine Webseite oder eine E-Mail dem Modell sagen kann.
• Sie isoliert keine feindseligen lokalen Benutzer: Dafür rät die Dokumentation, separate Gateways unter separaten Betriebssystembenutzern oder auf separaten Hosts zu betreiben oder Sandboxing einzusetzen.
• Sie wählt nicht Ihre Modellklasse, die die Seite zu Prompt Injection als eigenständige Sicherheitskontrolle behandelt.

Die Inhaltsebene behandelt der Beitrag zu Prompt Injection und OpenClaw, die Frage, wo Tools laufen, der Beitrag zu Sandboxing, Tool-Richtlinie und elevated; die Basiskonfiguration regelt, wer was darf, und die drei sind als aufeinander aufbauende Schichten gedacht.

Auf Diali

Die Gateway-Zeilen übernehmen wir: Es ist nie im Internet, die Instanz hat keine öffentlichen Ports und ausgehenden Zugriff nur auf das öffentliche Web, nie auf unser internes Netzwerk, den Cloud-Metadatenserver oder andere Mandanten, und das Token verlässt nie den Vault. Die Kanal- und Tool-Zeilen gehören Ihnen, im Dashboard, denn wer dem Assistenten schreiben darf und was er ausführen darf, ist eine Frage der Richtlinie, nicht der Infrastruktur. Die Seite zur Grenze ist Sicherheit bei Diali, die zum Assistenten gehostetes OpenClaw auf Diali.

• Lokal, Loopback, Token: Das Gateway ist kein Server.
• Kopplung, Erwähnungen, eine separate Nummer: Die Kanäle sind abgesichert.
• Ein Profil, eine Sperrliste, kein elevated: Die Tools sind die kleinste Menge, die die Aufgabe erledigt.