openclaw-marshal

核心用法

OpenClaw Marshal 是一款专为 Agent 工作空间设计的安全合规审计工具。用户通过定义 .marshal-policy.json 策略文件，可对已安装的 Skill 进行全面的安全合规检查。主要功能包括：初始化默认安全策略、展示当前策略配置、执行完整合规审计、针对单个 Skill 进行合规检查、生成审计就绪的合规报告，以及快速查看工作空间安全状态。工具支持工作空间自动检测，可通过环境变量、当前目录或默认路径定位目标工作空间。

显著优点

零依赖架构：仅使用 Python 标准库，无需 pip 安装，无外部依赖风险，部署极其轻量。纯本地运行：无任何网络通信，所有分析在本地完成，彻底杜绝数据外泄风险。全面的检查维度：覆盖命令安全（危险模式识别）、网络策略（域名黑白名单）、数据处理（PII/密钥扫描配置）、工作空间卫生（.gitignore、审计追踪、技能签名）四大类别。清晰的策略体系：通过 JSON 配置文件灵活定义允许/禁止/需审查的命令、网络域名规则及数据处理要求。审计友好：生成格式化的合规报告，直接满足企业审计文档需求。跨平台兼容：支持 OpenClaw、Claude Code、Cursor 等主流 Agent 工具生态。

潜在缺点与局限性

静态分析局限：仅检查配置和代码模式，无法检测运行时行为或逻辑漏洞。无自动修复能力：发现违规后仅报告和隔离，不自动修复代码问题。隔离操作风险：quarantine 功能会重命名 Skill 目录，虽可逆但可能影响工作空间正常运行。策略维护成本：需要用户自行维护策略文件，对安全知识有一定要求。无网络威胁情报：纯离线设计意味着无法获取最新的威胁情报或漏洞数据库更新。

适合的目标群体

企业安全团队、DevSecOps 工程师、需要对 Agent 工作空间进行合规审计的组织、关注第三方 Skill 安全性的高级用户，以及需要满足 SOC2、ISO27001 等合规认证要求的团队。

使用风险

性能影响：大规模工作空间审计可能消耗较多 I/O 资源。误报可能：静态规则可能将合法但复杂的代码模式标记为可疑。隔离副作用：误隔离关键 Skill 可能导致工作空间功能中断。策略配置错误：过于宽松或严格的策略都会影响实际防护效果。

核心用法

OpenClaw Marshal 是一款面向 Agent 工作空间的安全合规审计工具，核心功能围绕「策略定义」与「合规检查」展开。

策略管理：通过 policy --init 创建 .marshal-policy.json 配置文件，支持定义命令白名单/黑名单、网络域允许/拦截规则、数据扫描要求（PII/密钥）、工作空间卫生标准（.gitignore、审计日志、skill 签名）等多维度策略。

合规审计：audit 命令对所有已安装 skill 执行全面扫描，检测危险命令模式（eval/exec/pipe-to-shell/rm -rf）、网络访问合规性、数据处理能力配置；check 可针对单个 skill 快速验证；report 生成审计就绪的格式化报告；status 提供一键式合规评分概览。

工作流集成：支持通过 hooks 生成运行时拦截配置，实现安装前自动检查、违规自动隔离/强制移除等机制，将安全策略嵌入日常开发流程。

显著优点

• 零依赖安全底座：纯 Python 标准库实现，无 pip 安装、无外部包、无网络调用，彻底消除供应链攻击面，适合高安全要求环境。
• 多平台兼容：适配 OpenClaw、Claude Code、Cursor 等主流 Agent 工具，遵循 Agent Skills 开放规范。
• 审计就绪输出：原生支持生成符合合规审计要求的结构化报告，明确标注 CRITICAL/HIGH/MEDIUM/LOW 四级风险。
• 灵活策略模型：既提供开箱即用的默认策略，又支持精细化自定义，满足不同组织的合规框架（如 SOC2、ISO27001）映射需求。
• 行为透明可控：所有检测逻辑本地执行，扫描结果可解释，用户完全掌控策略决策过程。

潜在局限

• T2 来源可信度：由 GitHub 组织账号 AtlasPA 维护，非顶级开源基金会背书，需自行评估组织信誉并持续监控上游更新。
• 静态分析边界：基于正则表达式和配置文件的静态检测，难以覆盖混淆代码或动态生成的威胁，存在误报/漏报可能。
• 功能聚焦单一：专注于事前审计与策略合规，不提供运行时沙箱隔离或行为监控能力，需与其他安全工具配合使用。
• 策略维护成本：随着 skill 生态扩展，.marshal-policy.json 需持续人工维护更新，否则可能产生规则过时导致的合规盲区。
• 误操作风险：enforce/quarantine 等命令会实际移动 skill 目录，配置错误策略可能导致正常工具被误隔离。

适合人群

• 企业安全团队：需要为内部 Agent 工作空间建立合规基线、生成审计证据
• 开源维护者：管理多技能仓库，确保第三方技能符合项目安全标准
• 高敏感场景开发者：金融、医疗、政务等领域，对供应链安全和数据隐私有严格要求
• DevSecOps 工程师：寻求零依赖、可集成到 CI/CD 链路的轻量级安全扫描工具

常规风险

1. 权限放大：脚本需读取工作空间全部 skill 文件内容，若配置错误的工作空间路径可能意外扫描敏感目录。
2. 策略执行风险：强制隔离/删除操作不可逆，建议在关键环境启用前充分测试策略规则。
3. 来源监控依赖：T2 级别来源需建立持续监控机制，防范上游仓库被入侵后的恶意更新。