OpenGuardrails

核心用法

OG-OpenClawGuard 是 OpenClaw 平台的插件，通过拦截 tool_result_persist 事件，对 AI Agent 读取的外部内容（邮件、网页、文档）进行分块检测。系统将内容分割为 4000 字符的区块（200 字符重叠），使用 OG-Text 模型逐块分析是否存在隐藏的恶意指令，最终聚合判定是否阻断。

用户可通过 /og_status 查看检测统计，/og_report 查阅历史拦截记录，/og_feedback 反馈误报或漏报。支持配置 blockOnRisk 开启仅监控模式，或调整分块大小、超时时间等参数。

显著优点

• 检测精度高：官方声称英文 F1 达 87.1%，多语言达 97.3%，有 arXiv 论文支撑
• 架构设计合理：流式分块处理兼顾长文本完整性与计算效率
• 可观测性强：提供完整的日志追踪、实时告警、定期报告能力
• 反馈闭环：内置反馈机制持续优化模型效果
• 零侵入集成：通过事件钩子实现，无需修改 Agent 核心代码

潜在缺点与局限性

• 性能开销：LLM 逐块分析引入显著延迟（默认 60s 超时），高并发场景可能瓶颈
• 依赖外部模型：检测质量绑定 OpenGuardrails 模型更新，存在供应链风险
• 分块边缘效应：恶意指令可能被分割在区块边界导致漏检
• 误报成本：安全文档、渗透测试材料等易被误判，影响业务流畅性
• 闭源黑盒：核心检测模型未开源，难以审计内部决策逻辑

适合人群

• 部署 AI Agent 处理不可信外部内容的企业安全团队
• 金融、医疗、法律等对数据泄露敏感的行业
• 已使用 OpenClaw 网关架构的技术团队

常规风险

• 可用性风险：严格阻断策略可能导致正常业务流程中断
• 检测逃逸：对抗性攻击者可能针对分块逻辑设计绕过方案
• 供应链安全：npm 包及模型服务更新需严格管控
• 隐私合规：敏感内容需上传至外部检测服务，存在数据跨境风险

功能概述

OG-OpenClawGuard 是一款面向 AI Agent 的间接提示词注入防护插件，专门针对隐藏于邮件、网页、文档等长内容中的恶意指令进行实时检测与拦截。该插件接入 OpenClaw 网关的 tool_result_persist 事件流，当 Agent 读取外部内容时，自动将文本分块（4000字符/块，200字符重叠）并调用 OpenGuardrails 的 OG-Text 模型进行分析，判断是否包含隐藏的提示词注入攻击。

核心优点

1. SOTA 检测性能：官方宣称在英文基准上 F1 达 87.1%，多语言基准达 97.3%，具备较强的检测能力
2. 架构集成度高：深度集成 OpenClaw 网关，通过事件钩子实现透明拦截，无需修改 Agent 核心代码
3. 运维工具完善：提供 /og_status 状态监控、/og_report 检测报告、/og_feedback 反馈优化等完整命令集
4. 灵活配置：支持分块大小、超时时间、日志模式/阻断模式切换等参数调整
5. 可信维护方：OpenGuardrails 为 GitHub 组织账号，有开源项目、官方网站及 arXiv 学术论文支撑，属于 T2 级别可信来源

显著缺陷与风险

1. 严重安全漏洞（P0）：agent/config.ts 第15行硬编码 API 密钥 sk-xxai-model-0e5a52bd1c70cca03d5f67fe1c2ca406，一旦代码泄露将导致服务滥用和费用激增
2. 隐私数据外传：用户内容被发送至 api.openguardrails.com 进行云端分析，存在敏感信息泄露风险，且缺乏明确的数据传输同意机制
3. 本地数据持久化：在用户主目录创建 SQLite 数据库存储分析日志，若权限配置不当可能被其他用户读取
4. 外部依赖强耦合：核心检测功能完全依赖第三方在线服务，网络中断或 API 变更将直接影响可用性
5. 安全认证等级低：CLS-Certify 评分仅 35 分（C级），静态分析和网络分析均失败，属于"警示级"评估

适用人群

• 使用 OpenClaw 网关部署 AI Agent 的企业/开发者
• 对提示词注入攻击有防护需求，但能接受数据外传至第三方分析的场景
• 具备环境变量配置能力，可自行修复硬编码密钥问题的技术团队

常规风险

| 风险类型 | 等级 | 说明 |

|---------|------|------|

| 凭证泄露 | 🔴 Critical | 硬编码 API 密钥可被提取滥用 |

| 数据隐私 | 🟠 High | 用户内容外传至 OpenGuardrails 服务 |

| 服务可用性 | 🟡 Medium | 强依赖外部 API，存在单点故障风险 |

| 本地存储 |  Medium | SQLite 日志可能暴露分析历史 |

使用建议

不建议在生产环境直接使用。若必须使用，请优先执行以下措施：
1. 立即从源码中移除硬编码密钥，改用环境变量注入
2. 评估数据外传是否符合所在企业/地区的数据合规要求（如 GDPR、数据本地化政策）
3. 配置 blockOnRisk: false 进入日志模式，先观察误报率再启用阻断
4. 监控 API 调用量和费用，设置用量告警
5. 定期清理 ~/.openclaw/openclawguard.db 数据库文件