Praktik terbaik keamanan OpenClaw

Dokumentasi OpenClaw menerbitkan baseline yang diperketat: konfigurasi Gateway siap salin dan tempel yang membuat deployment tetap privat, mewajibkan penyandingan, dan membatasi alat, serta baseline aman yang lebih singkat bagi yang hanya menginginkan tiga baris pertama. Artikel ini menjelaskan konfigurasi tersebut kunci demi kunci, alasan setiap baris ada di sana, dan keputusan mana yang tetap berlaku di host terkelola tempat infrastruktur dasarnya diurus pihak lain.

Gateway: local, loopback, token

Mode local dan bind loopback menjauhkan Gateway dari jaringan; autentikasi token dengan token acak yang panjang menyaring setiap klien, bahkan klien lokal, karena mode autentikasi default adalah token bahkan untuk bind loopback. Dokumentasi mencantumkan nomor port yang nyata, 18789, dan peringatan yang nyata tentang alternatifnya: mengatur auth ke none memungkinkan proses lokal apa pun terhubung.

Saluran: penyandingan dan mention

• Kebijakan pesan langsung pairing di setiap saluran: pengirim yang tidak dikenal menunggu persetujuan Anda, dan persetujuan berlaku per saluran.
• Grup mewajibkan mention secara default, sehingga agen membaca isi grup tanpa menjawab setiap baris.
• Nomor terpisah untuk saluran berbasis telepon, sehingga percakapan pribadi tetap privat dan nomor bot menangani otomatisasi.
• Scope pesan langsung per peer saluran, sehingga sesi satu pengirim tidak dapat bocor ke sesi pengirim lain.

Alat: sebuah profil, daftar penolakan, dan tanpa pintu darurat

Baseline yang diperketat dimulai dari profil alat messaging dan langsung menolak empat grup: otomatisasi, runtime, sistem file, serta memunculkan atau mengirim pesan ke sesi lain. Akses sistem file hanya untuk ruang kerja, exec ditolak dan diatur ke ask always, elevated dinonaktifkan, visibilitas sesi dibatasi pada sesi milik agen itu sendiri, dan akses antaragen dimatikan. Dokumentasi menyarankan untuk mengaktifkan kembali alat saat Anda membutuhkannya, secara sadar, alih-alih memulai dalam keadaan terbuka lalu menutupnya kemudian. Satu aturan sudah bawaan dan tidak dapat dihilangkan lewat konfigurasi: pengirim yang bukan pemilik tidak pernah mendapatkan alat cron atau gateway.

Perlakukan kontrol ini sebagai pertahanan berlapis yang mengurangi kemampuan langsung seorang peminta, bukan sebagai isolasi multi-pengguna terhadap pengguna yang bermusuhan.

Apa yang tidak dilakukan baseline

• Baseline tidak membersihkan konten: kontrol yang terikat pada peminta membatasi apa yang dapat dilakukan pengirim, bukan apa yang dapat dikatakan halaman web atau email kepada model.
• Baseline tidak mengisolasi pengguna lokal yang bermusuhan: untuk itu, dokumentasi menyarankan menjalankan Gateway terpisah di bawah pengguna sistem operasi atau host yang terpisah, atau menggunakan sandbox.
• Baseline tidak memilih tingkat model Anda, yang oleh halaman prompt injection diperlakukan sebagai kontrol keamanan tersendiri.

Prompt injection dan OpenClaw membahas sisi konten, dan sandboxing, kebijakan alat, dan elevated membahas sisi tempat alat berjalan; baseline adalah sisi siapa-boleh-melakukan-apa, dan ketiganya dimaksudkan untuk ditumpuk secara berlapis.

Di Diali

Baris Gateway adalah urusan kami: Gateway tidak pernah berada di internet, instans tidak memiliki port publik dan hanya memiliki akses keluar ke web publik, tidak pernah ke jaringan internal kami, server metadata cloud, atau tenant lain, dan token tidak pernah meninggalkan brankas. Baris saluran dan alat adalah urusan Anda, di dasbor, karena siapa yang boleh mengirim pesan ke asisten dan apa yang boleh dijalankannya adalah soal kebijakan, bukan infrastruktur. Keamanan di Diali adalah halaman tentang batasnya; OpenClaw yang di-hosting di Diali tentang asistennya.

• Local, loopback, token: Gateway bukanlah server.
• Penyandingan, mention, nomor terpisah: saluran dijaga.
• Sebuah profil, daftar penolakan, tanpa elevated: alatnya adalah set terkecil yang cukup untuk menyelesaikan pekerjaan.