Authensor Gateway 综合评估
核心用法
Authensor Gateway 是 OpenClaw 生态的安全策略网关，通过系统提示注入的方式拦截所有工具调用。每次工具执行前，Agent 需按强制协议向控制平面发送 POST 请求，携带动作类型（如 filesystem.write、code.exec）和资源路径，获取 allow/deny/require_approval 决策后方可执行。
显著优点
- 分层风险控制：低风险读操作自动放行，高风险写/执行操作需人工审批，危险操作（删除、密钥访问）默认阻断
- 审计合规支持：每项操作生成带时间戳的 receipt ID，满足监管环境的人机协同（human-in-the-loop）要求
- 数据最小化：仅传输动作元数据（类型+资源+工具名），绝不发送文件内容、对话历史或环境变量
- 失效保护（fail-closed）：控制平面不可达时，Agent 被指令拒绝所有操作
- 零代码部署：纯指令驱动，无安装脚本、无磁盘写入，MIT 开源可审计
潜在缺点与局限性
- 提示级执行的固有风险：当前依赖 LLM 遵循系统提示，理论上存在对抗性提示注入绕过的可能（文档明确承认此点）
- 无运行时钩子：OpenClaw 尚未开放
preToolExecution代码级钩子，无法提供加密级别的不可绕过保障 - 动作分类依赖模型自判：Agent 自行分类操作类型，攻击者可能通过提示注入诱导误分类
- 网络依赖与延迟：控制平面必须在线，demo 层邮件审批延迟约 5 分钟，冷启动可能 30-60 秒
- 第三方技能生态威胁真实存在：引用 Snyk 报告提及的 ClawHavoc 事件（341 个恶意技能），但网关本身无法阻止首次恶意尝试，仅能拦截已识别风险动作
适合人群
- 运行未审计第三方 marketplace skills 的开发者
- 需要操作审计追踪的企业/受监管环境
- 希望保留灵活审批而非 blanket-deny 的安全团队
常规风险
- 提示注入绕过：精心构造的输入可能覆盖系统指令
- 控制平面可用性：单点故障导致工作流中断
- 误分类漏报：模型错误将危险操作标记为安全类别
建议：结合 OpenClaw Docker 沙箱模式使用，形成纵深防御。