Configurazione delle skill di OpenClaw

La maggior parte di ciò che decide quali skill vede un agente OpenClaw e come vengono installate vive sotto un’unica chiave nel file di configurazione, con la visibilità per agente sotto le voci degli agenti. La pagina di riferimento è lunga perché lo schema copre caricamento, installazione, requisiti di idoneità, il Workshop e una policy di installazione di proprietà dell’host. Ecco l’intera superficie in ordine: caricamento e link simbolici, preferenze di installazione, la policy di installazione e come fallisce in modalità fail-closed, l’elenco degli autorizzati delle skill incluse e le voci per skill, gli elenchi degli autorizzati per agente e cosa non sono, le impostazioni del Workshop e la trappola della sandbox.

Caricamento e installazione

• Le directory aggiuntive vengono scansionate con la precedenza più bassa, sotto le skill incluse e quelle dei plugin, con l’espansione della tilde; le destinazioni attendibili dei link simbolici sono le directory reali in cui può risolversi la cartella di una skill collegata tramite link simbolico anche quando il link si trova fuori dalla radice configurata, e la documentazione raccomanda di tenere quell’elenco ristretto invece di puntarlo a una directory home; il watcher, attivo per impostazione predefinita, aggiorna lo snapshot delle skill quando un file di skill cambia.
• Preferenze di installazione: preferire gli installer Homebrew quando disponibili, un gestore di pacchetti Node tra npm, pnpm, yarn e bun che riguarda solo le installazioni di skill, e un interruttore disattivato per impostazione predefinita che consente ai client admin attendibili di installare archivi zip privati preparati tramite il flusso di caricamento.
• La policy di installazione dell’operatore esegue un comando locale attendibile dopo che OpenClaw ha preparato la sorgente e prima che un’installazione o un aggiornamento proseguano, per le skill ClawHub, caricate, Git e locali, gli installer di dipendenze e le sorgenti dei plugin; riceve un oggetto JSON che descrive destinazione, sorgente e origine e risponde allow, warn o block con un motivo e rilievi facoltativi. Se è attivata senza un comando valido, le installazioni falliscono in modalità fail-closed, e lo stesso accade con un block, un exit code diverso da zero, un timeout, un JSON non valido o un motivo mancante.
• Un avviso ferma l’installazione prima del commit: i comandi interattivi chiedono all’operatore di digitare il nome della destinazione e rieseguono la policy, i comandi non interattivi possono passare un flag di conferma esplicito, la Control UI può esaminare gli avvisi di installazione dei plugin, le altre installazioni automatiche o gestite tramite il Gateway restano bloccate, e force non approva mai un avviso. I rilievi sono limitati a cento, l’avviso visualizzato a quattromila caratteri, l’esecuzione approfondita di doctor lancia una sonda di installazione sintetica, e gli aggiornamenti in blocco applicano la policy a ogni destinazione.

Gli elenchi degli autorizzati delle skill per agente sono un filtro di visibilità e di caricamento per la scoperta delle skill di OpenClaw, i prompt, la scoperta dei comandi slash, la sincronizzazione della sandbox e gli snapshot delle skill. Non sono un confine di autorizzazione al momento dell’esecuzione nella shell.

Voci ed elenchi degli autorizzati

L’elenco degli autorizzati delle skill incluse limita solo le skill incluse; le skill gestite, a livello di agente e dello spazio di lavoro non ne sono toccate. Le voci per skill hanno come chiave il nome della skill, o la sua chiave di skill dichiarata: un flag enabled che disattiva una skill anche se inclusa o installata, ed è ciò che attiva la skill opt-in coding-agent una volta installata una CLI supportata con l’accesso effettuato; un campo di comodo per la chiave API per le skill che dichiarano una variabile d’ambiente principale, in chiaro o come riferimento a un segreto; variabili d’ambiente iniettate per l’esecuzione dell’agente solo quando non sono già impostate nel processo; e un contenitore libero per campi personalizzati. La generazione di immagini integrata usa le impostazioni del modello per i media e lo strumento immagini di base anziché una voce. Gli elenchi degli autorizzati per agente danno alle stesse radici della macchina e dello spazio di lavoro un insieme visibile diverso per ogni agente: una base condivisa sotto i valori predefiniti, ereditata dagli agenti che omettono il proprio elenco, ed elenchi espliciti che sostituiscono completamente i valori predefiniti, dove un elenco vuoto non espone alcuna skill. L’avvertenza è importante: se un agente può eseguire exec sull’host, quella shell può comunque eseguire client esterni e leggere i file dell’host visibili all’utente di esecuzione, compresi i registri dei client MCP, quindi l’isolamento per agente richiede una sandbox o l’isolamento per utente del sistema operativo, un exec negato o un elenco degli autorizzati per exec rigoroso, e credenziali per agente sul server MCP.

Workshop, link simbolici, sandbox

• Impostazioni del Workshop: una modalità autonoma off, propose o auto, dove auto, il valore predefinito, usa i normali strumenti dell’agente per la manutenzione diretta a ogni turno e settimanale senza scansione delle proposte, mentre propose crea proposte in sospeso a partire dalle correzioni e dal lavoro sostanziale completato; una policy di approvazione auto o pending; un massimo di cinquanta proposte in sospeso e in quarantena per agente, in un intervallo da uno a duecento; e un corpo massimo della proposta di quarantamila byte, in un intervallo da circa mille a duecentomila, con le descrizioni limitate rigidamente a 160 byte.
• Le radici delle skill dello spazio di lavoro, degli agenti di progetto, delle directory aggiuntive e delle skill incluse sono confini di contenimento, quindi la cartella di una skill collegata tramite link simbolico che si risolve fuori dalla sua radice viene saltata con una riga di log, a meno che la sua destinazione non sia attendibile; le directory delle skill gestite e personali accettano senza condizioni i link simbolici alle directory delle skill, e il Workshop usa la directory di contenimento propria di ogni agente, ignora l’elenco delle destinazioni attendibili e rifiuta i link simbolici che ne escono.
• I valori delle variabili d’ambiente e delle chiavi API per skill si applicano solo alle esecuzioni sull’host: dentro una sandbox non hanno effetto, quindi una skill che dipende da una chiave fallisce con un errore di mancata configurazione a meno che la sandbox non riceva la variabile separatamente tramite l’env della sandbox Docker, e gli utenti con accesso al daemon Docker possono leggere quei valori dai metadati del container, quindi un file segreto montato o un’immagine personalizzata sono la risposta quando quell’esposizione è inaccettabile.

L’autoapprendimento di OpenClaw spiega le regole di idoneità e di privacy dietro la modalità autonoma, mentre la guida alla creazione di una skill OpenClaw descrive il file che il loader tiene d’occhio.

Perché la nota sul confine è importante

Lo schema mescola controlli di visibilità e controlli di sicurezza, e la documentazione sta attenta a dire quali sono gli uni e quali gli altri: gli elenchi degli autorizzati determinano cosa viene offerto all’agente, la policy di installazione determina cosa può essere installato, e solo la sandbox o la separazione per utente del sistema operativo determinano cosa può raggiungere una shell. La guida alla sandbox di OpenClaw descrive quell’ultimo livello, mentre la guida ai plugin di OpenClaw copre la superficie di installazione sorella, anch’essa soggetta alla policy.

Su Diali

Su Diali l’hub delle skill nella dashboard è l’interfaccia di questo file: attivare una skill e incollare la sua chiave è ciò che diventa la voce sull’assistente, e non c’è alcuna shell sull’host per modificarla a mano. OpenClaw ospitato su Diali è l’assistente e la pagina sulla sicurezza di Diali descrive il confine attorno a ciascuno.

• Gli elenchi degli autorizzati sostituiscono; non si uniscono mai.
• La policy di installazione fallisce in modalità fail-closed su tutto ciò che non sia un allow pulito.
• Le variabili d’ambiente delle skill si fermano al muro della sandbox.