Clawshell

ClawShell 综合评估

核心用法

ClawShell 是 OpenClaw 生态的安全中间件，通过替换标准 bash 工具实现命令执行的风险管控。Agent 调用 clawshell_bash 时，系统会基于内置规则与可配置策略对命令进行四级风险分类：

• Critical（致命）：如 rm -rf /、fork bomb 等，自动拦截
• High（高危）：如 rm -rf、外网 curl、凭证读取，推送通知等待人工审批
• Medium（中危）：如 npm install、git push，仅记录日志后放行
• Low（低危）：如 ls、cat，直接执行

配套工具包括 clawshell_status（查看待审批请求）和 clawshell_logs（审计日志查询）。支持 Pushover 与 Telegram 双通道推送，默认 300 秒超时。

显著优点

• 人机协同（Human-in-the-loop）：高危操作强制引入人类判断，阻断自动化灾难
• 分层防御：四级风险模型兼顾安全性与执行效率，避免过度拦截
• 完整审计：JSONL 结构化日志支持事后追溯与合规审计
• 配置灵活：环境变量 + YAML 双配置，支持自定义黑白名单（glob/正则）
• 零侵入集成：通过 TOOLS.md 引导 Agent 自动切换，无需修改业务代码

潜在局限

• 可被绕过：LLM 可通过编码、拆分、混淆命令绕过模式匹配（文档已明确警示）
• 延迟问题：高危命令阻塞等待人工响应，不适合 CI/CD 等自动化场景
• 依赖外部服务：Pushover/Telegram 网络故障或密钥泄露将导致审批链路失效
• 非安全沙箱：仅为策略层防护，不能替代操作系统级隔离

适合人群

• 使用 OpenClaw 进行本地文件系统操作的开发者
• 对 Agent 执行命令有顾虑、希望保留最终否决权的用户
• 需要审计轨迹的合规敏感场景

常规风险

| 风险类型 | 说明 |

|---------|------|

| 社会工程绕过 | 攻击者诱导用户点击"批准" |

| 配置泄露 | Pushover/ Telegram 密钥存储不当 |

| 审批疲劳 | 高频高危操作导致用户习惯性通过 |

| 单点故障 | 推送服务不可用或延迟过长 |

> 官方明确建议：始终启用 OpenClaw sandbox 模式作为底层防护，ClawShell 仅作补充层。

核心用法

ClawShell 是 OpenClaw 生态的「人在回路」安全层，通过 clawshell_bash 工具替代原生 bash 执行命令。其工作流程为：接收命令 → 风险分级分析 → 按策略处置：

• Critical（致命级）：如 rm -rf /、fork bomb 等，自动拦截
• High（高风险）：如 rm -rf、curl 外联、凭证访问等，推送通知等待人工审批
• Medium（中风险）：如 npm install、git push，记录日志后放行
• Low（低风险）：如 ls、cat 等，直接放行

审批通过 Pushover 或 Telegram 推送实现，超时（默认300秒）自动拒绝，全程审计日志写入 logs/clawshell.jsonl。

显著优点

1. 纵深防御设计：不依赖单一安全机制，与 OpenClaw 沙盒模式互补
2. 透明可控：用户实时掌握 AI 的每一个高风险操作，避免「自主失控」
3. 低侵入集成：仅需修改 TOOLS.md 引导 AI 使用 clawshell_bash，无需重构工作流
4. 纯文档型安全：T-MD 分类，无实际可执行代码，消除代码注入攻击面
5. 灵活配置：支持环境变量 + YAML 双轨配置，自定义黑白名单、超时、日志级别

潜在局限

• 非绝对安全：LLM 可通过编码、拆分、混淆命令绕过模式匹配（文档已明确警示）
• 审批延迟：高风险操作阻塞执行，实时性场景体验受损
• 依赖外部服务：Pushover/Telegram 可用性影响审批流程
• 社区维护：T3 来源，无组织背书，长期维护存不确定性

适合人群

• 使用 OpenClaw 等 AI 代理框架的开发者
• 对 AI 自动执行系统命令有安全顾虑的用户
• 需要审计追踪的企业/团队环境
• 处理敏感数据或生产环境的运维场景

常规风险

| 风险类型 | 说明 | 缓解措施 |

|---------|------|---------|

| 模式绕过 | LLM 变形命令规避检测 | 结合沙盒、最小权限原则多层防护 |

| 通知延迟 | 推送服务故障或网络问题 | 配置合理超时，设置备选通知渠道 |

| 配置泄露 | Pushover/ Telegram 密钥泄露 | 使用环境变量，避免硬编码 |

| 日志膨胀 | 高频操作产生大量审计日志 | 配置日志轮转，定期归档 |

> 关键提示：该 Skill 为纯文档型配置指南，实际安全效果依赖用户正确部署 Node.js 运行时、配置通知服务及维护风险规则。