核心用法
Clawvisor 作为 AI Agent 与外部敏感服务之间的安全网关，采用"代理零密钥"架构：智能体不直接持有任何 API 密钥或凭证，所有请求都通过 Clawvisor 中转。核心工作流程为：
1. 服务发现：会话开始时获取个性化服务目录，确认可用服务及受限操作
2. 任务声明：创建带作用域的任务（Task），声明用途、授权动作及 auto_execute 级别
3. 网关请求：经审批的任务生效后，通过 /api/gateway/request 发起具体操作，Clawvisor 自动注入凭证并返回语义化结果
4. 生命周期管理：任务完成后标记为完成，Standing Task 支持跨会话持久化授权
关键设计包括双层授权（Restrictions 硬阻断 + Tasks 软作用域）、意图验证（LLM 审核 reason 字段的合理性）、链式上下文验证（防止 ID 跳转攻击）以及人机在环审批（auto_execute: false 时逐请求确认）。
显著优点
- 零密钥暴露：Agent 仅持有低权限的
CLAWVISOR_AGENT_TOKEN，真实凭证由 Clawvisor 托管注入，泄露风险大幅降低 - 最小权限原则：任务级作用域精确控制单次会话的操作边界，支持过期时间、Standing 生命周期等多模式
- 深度防御：Restrictions 硬阻断、意图验证、链式上下文、人机审批四层防护，有效抵御提示注入和越权攻击
- 审计完备：每笔请求生成独立 audit_id，reason、data_origin、上下文全链路可追溯
- 多服务统一：Gmail、Calendar、Drive、GitHub、iMessage 等敏感服务统一接入，降低多凭证管理复杂度
潜在缺点与局限性
- 单点依赖：Clawvisor 服务本身成为关键路径，若其不可用或延迟高，将阻塞所有下游操作
- 审批摩擦：
auto_execute: false或严格验证模式下，人机审批可能中断自动化流程，不适合高频低延迟场景 - 意图验证误杀：LLM 审核可能将合理的模糊描述误判为"提示注入"，需学习撰写规范 reason
- 生态锁定：深度耦合 Clawvisor 的协议和网关，迁移成本较高，且支持的服务集由官方适配器决定
- 自托管门槛：企业自托管需维护额外基础设施，云托管则引入第三方信任
适合人群
- 高安全需求场景：处理商业机密邮件、财务数据、敏感代码仓库的企业级 AI 助理
- 人机协作工作流：需要用户逐笔确认关键操作（如发邮件、删文件）的半自动化场景
- 多服务集成开发者：希望统一凭证管理、降低 OAuth 接入复杂度的 Agent 构建者
- 合规敏感组织：需要完整审计日志、满足 SOC2/等保等合规要求的团队
常规风险
- Agent Token 泄露：
CLAWVISOR_AGENT_TOKEN为高权限凭证，一旦泄露攻击者可枚举服务目录、创建高权限任务，需严格最小权限分配和轮换策略 - 任务作用域漂移：过度宽泛的
purpose和authorized_actions会稀释安全边界，建议按"简单/探索/Standing"三级精确裁剪 - data_origin 遗漏：处理外部内容（邮件、网页）时未设置
data_origin，将削弱提示注入检测能力 - Standing Task 会话隔离失效：未正确使用
session_id可能导致链式上下文交叉污染，需严格按工作流生成 UUID 并复用 - 审批疲劳：过度使用
auto_execute: false或频繁触发 scope expansion 可能导致用户习惯性点击批准，削弱安全效果