核心用法
OpenClaw Warden 是一款针对 AI Agent 工作区的本地安全监测工具，核心功能围绕三类命令展开：
1. 基线建立（baseline）：对 SOUL.md、AGENTS.md、IDENTITY.md 等关键文件创建完整性哈希快照，作为后续比对的信任锚点。
2. 完整性验证（verify）：比对当前文件状态与基线，报告修改、删除或新增文件，按 Critical/Memory/Config/Skills 分级告警。
3. 注入扫描（scan）：基于规则检测提示词注入模式，包括指令覆盖语句（"ignore previous instructions"）、Base64 可疑载荷、零宽字符、RTL 覆盖字符、Markdown 图片数据外渗、HTML 注入、系统提示标记等。
4. 全量检查（full）：单次执行验证+扫描，配合 status 快速健康概览和 accept 基线更新完成闭环。
工具支持三种工作区自动探测：环境变量 OPENCLAW_WORKSPACE、当前目录（含 AGENTS.md）、默认路径 ~/.openclaw/workspace。
显著优点
- 零依赖零网络：纯 Python 标准库实现，无需 pip 安装，无外部网络调用，完全离线运行，降低供应链攻击面。
- 细粒度监测：区分 Critical（身份与边界文件）、Memory（预期变更）、Config 与 Skills，避免告警疲劳。
- 多维度注入检测：覆盖指令劫持、编码混淆、视觉欺骗（同形异义字符）、数据外渗通道等常见 LLM 攻击向量。
- 跨平台兼容：支持 OpenClaw、Claude Code、Cursor 等主流 Agent 工具链。
- 可升级架构：免费层提供检测能力，Pro 版提供自动恢复、技能隔离、Git 回滚等响应机制，用户可按需演进。
潜在缺点与局限性
- 被动检测：免费版仅报告异常，不阻断或自动修复，依赖人工介入；实时防护需升级 Pro。
- 签名机制缺失：基于内容哈希的完整性校验，无法对抗具备文件系统权限的攻击者直接篡改哈希数据库（建议配合只读存储或 OS 级防护）。
- 规则式扫描局限：注入检测依赖正则/关键词匹配，可能被上下文感知的多语言自然语言绕过，或产生针对复杂合法内容的误报。
- 覆盖范围边界：专注于工作区文件，不涉及运行时内存、网络流量或技能代码的动态行为分析。
- 基线维护成本：频繁迭代的工作区需反复执行
accept更新基线，增加用户操作负担。
适合人群
- 使用 OpenClaw、Claude Code、Cursor 等 Agent 平台的开发者与团队
- 对 AI 工作区安全性有基础要求，但暂时不需要 SOC 级响应自动化的中小团队
- 希望先建立可见性（visibility）再考虑自动化治理的渐进式安全建设者
- 需要离线/隔离网络环境下运行的敏感场景
常规风险
- 误报干扰：Memory 文件被标记为 INFO 但仍可能产生噪音；扫描规则对复杂 Markdown 文档可能过度敏感。
- 基线漂移：未及时更新基线可能导致合法变更被误判为篡改，引发"狼来了"效应。
- 权限假设：脚本以运行用户权限执行，若用户本身已被入侵，基线数据库可被同步污染。
- Pro 版依赖：部分用户可能因免费版能力边界而产生"已足够安全"的虚假安全感。