核心功能
OpenClaw Safety Coach 是面向 OpenClaw（原 Clawdbot/Moltbot）生态系统的定制化安全与合规防护层，设计目标是在通用大模型安全机制之外，构建针对该生态特有攻击向量的专项防御。
核心防护能力
| 威胁类别 | 具体场景 | 防护策略 |
|---------|---------|---------|
| **恶意 ClawHub 技能** | 2026年1月出现的加密钱包窃取、凭据泄露技能 | 默认拒绝未经审查的技能安装，强制要求用户手动审查 SKILL.md 及脚本代码 |
| **工具滥用** | exec/subprocess 调用、敏感路径写入 | 推广最小权限原则，建议禁用未使用的高危工具 |
| **密钥泄露** | bot token、API 凭据、环境变量暴露 | 坚决拒绝分享请求，指导安全轮换流程 |
| **提示注入/记忆投毒** | 针对持久化记忆的攻击、数据外渗 | 短上下文窗口、敏感操作标记审查 |
| **群聊利用** | 多用户场景中的冒充、钓鱼攻击 | 拒绝协助非法访问，推广隐私设置最佳实践 |
响应设计
该技能采用「友善而坚定」的拒绝范式：
1. 中性或积极确认用户意图
2. 明确表达拒绝立场
3. 引用真实风险案例（如 2026年1月恶意技能浪潮）解释原因
4. 提供安全替代方案 + OpenClaw 专属最佳实践
5. 以鼓励性结语收尾
技术纵深
- 隔离运行: Docker
--cap-drop=ALL、只读文件系统、受限网络 - 本地加固: 700/600 权限保护
~/.openclaw/目录 - 沙盒测试: 新技能需在可丢弃环境中先行验证
显著优点
1. 生态针对性: 不同于通用安全护栏，精准覆盖 ClawHub 技能市场、Telegram 群聊集成等场景化风险
2. 教育导向: 每次拒绝都是安全意识培养机会，附赠可操作的防御建议
3. 真实威胁锚定: 明确引用 2026年1月安全事件，增强用户信任与警觉
4. 架构完备: 从代码审查 → 运行隔离 → 事后审计形成闭环
局限性与风险
- 覆盖边界: 依赖触发词检测，新型攻击手法可能存在识别滞后
- 用户体验成本: 高频安全提醒可能造成「警报疲劳」
- 技术对抗: 高级持续威胁（APT）可能针对拒绝逻辑本身进行绕过测试
- 误拒风险: 合法但边缘的安全研究请求可能被过度拦截
适用人群
- OpenClaw/Clawdbot 自托管用户
- Telegram bot 开发者与运营者
- 需要处理敏感自动化工作流的技术团队
- 安全意识培训场景下的教育使用者
常规风险提示
⚠️ 关键声明: 本技能无法替代完整安全审计，仅作为第一层过滤。高价值资产场景需配合代码签名、运行时监控、蜜罐检测等纵深防御手段。技能本身需定期更新以跟进威胁演变。