OpenClawのセキュリティのベストプラクティス

OpenClawのドキュメントには、強化されたベースラインが掲載されています。デプロイを非公開に保ち、ペアリングを必須にし、ツールを制限する、コピー＆ペーストで使えるGatewayの設定と、最初の3行だけが欲しい人向けのより短いセキュアベースラインです。この記事では、その設定をキーごとに解説し、各行がなぜそこにあるのか、そして配管を他者が担うマネージドなホストでどの判断が残るのかを説明します。

Gateway：local、loopback、token

modeをlocal、bindをloopbackにすると、Gatewayはネットワークから切り離されます。長いランダムなトークンを使うtoken認証は、ローカルのクライアントも含めてすべてのクライアントをゲートします。ループバックにバインドした場合でも、デフォルトの認証モードはtokenだからです。ドキュメントはポートに18789という具体的な番号を示し、代替案には具体的な警告を添えています。authをnoneに設定すると、どのローカルプロセスでも接続できてしまいます。

チャネル：ペアリングとメンション

• すべてのチャネルでDMポリシーをpairingにします。未知の送信者はあなたの承認を待ち、承認はチャネルごとに行います。
• グループではデフォルトでメンションが必要なため、エージェントはルームを読みつつ、すべての発言に返信することはありません。
• 電話番号ベースのチャネルには別の番号を使います。個人的な会話は非公開に保たれ、自動化はボット用の番号が担います。
• DMスコープはチャネルのピアごとにします。ある送信者のセッションが別の送信者のセッションに漏れ出すことはありません。

ツール：プロファイル、拒否リスト、抜け道なし

強化されたベースラインはmessagingツールプロファイルから始まり、4つのグループを完全に拒否します。自動化、ランタイム、ファイルシステム、そして他のセッションの起動やメッセージ送信です。ファイルシステムへのアクセスはワークスペースのみ、execは拒否されたうえでaskがalwaysに設定され、elevatedは無効、セッションの可視性はエージェント自身のものに限られ、エージェント間のアクセスはオフです。ドキュメントは、最初に開放して後で閉じるのではなく、必要になったときに意図的にツールを再有効化するよう述べています。組み込みで、設定で外すことのできないルールが1つあります。オーナー以外の送信者には、cronツールとgatewayツールが決して与えられません。

これらの制御は、敵対的なマルチユーザーの分離としてではなく、依頼者が直接持つ能力を減らす多層防御として扱ってください。

ベースラインがしないこと

• コンテンツの無害化は行いません。依頼者単位の制御が制限するのは送信者ができることであり、ウェブページやメールがモデルに何を言えるかではありません。
• 敵対的なローカルユーザーの分離は行いません。そのためには、別々のOSユーザーまたはホストの下で別々のGatewayを動かすか、サンドボックスを使うようドキュメントは述べています。
• モデルのティアは選びません。プロンプトインジェクションのページでは、モデルのティア自体をセキュリティ制御の一つとして扱っています。

コンテンツの側面はプロンプトインジェクションとOpenClawで、ツールがどこで実行されるかの側面はサンドボックス、ツールポリシー、elevatedで扱っています。ベースラインは誰が何をしてよいかの側面であり、この3つは重ねて使うことを前提としています。

Dialiでは

Gatewayの行は私たちの担当です。Gatewayがインターネットに出ることはなく、インスタンスには公開ポートがなく、外向きのアクセスは公開ウェブに対してのみで、私たちの内部ネットワーク、クラウドのメタデータサーバー、他のテナントには決して届きません。トークンが保管庫の外に出ることもありません。チャネルとツールの行は、ダッシュボードであなたが決めます。誰がアシスタントにメッセージを送れるか、アシスタントが何を実行できるかは、配管ではなくポリシーの問題だからです。境界についてはDialiのセキュリティを、アシスタントについてはDialiのマネージドOpenClawホスティングをご覧ください。

• local、loopback、token：Gatewayはサーバーではありません。
• ペアリング、メンション、別の番号：チャネルにはゲートがあります。
• プロファイル、拒否リスト、elevatedなし：ツールは仕事をこなす最小限のセットです。