Skill

核心用法

Clawvisor 作为 AI Agent 与外部服务之间的安全中间层，采用"零信任"架构实现凭证托管与细粒度授权。核心工作流程为：

1. 服务发现：会话开始时获取个人化服务目录，确认可用服务与受限操作
2. 任务声明：通过 POST /api/tasks 创建任务范围，明确用途、授权动作（如 list_messages、send_message）、是否自动执行及预期使用场景
3. 网关请求：携带 task_id 向 /api/gateway/request 发起实际调用，Clawvisor 自动注入凭证、验证意图、执行审批流程
4. 链式上下文：通过 session_id 或任务 ID 建立调用链，确保后续请求仅能访问先前结果中出现的实体，防止横向越权

关键特性：

• 双重授权层：先匹配用户硬限制（Restrictions），再通过任务范围（Tasks）验证；auto_execute: false 的操作需逐次人工审批
• 预设任务模板：提供 Email EA、Calendar、iMessage 等开箱即用的高覆盖范围模板，避免窄范围导致意图验证失败
• 端到端加密：云端中继场景下强制 E2E 加密

显著优点

• 凭证零接触：Agent 永不持有 API Key，所有凭据由 Clawvisor 安全托管并动态注入
• 意图验证（Intent Verification）：基于 LLM 验证请求参数与任务目的是否一致，有效防御提示注入攻击
• 链式上下文验证：自动提取邮件 ID、手机号等实体，确保后续操作仅能针对已验证来源的实体，阻断「读取 A 邮件后向 B 发送」的横向攻击
• 细粒度审计：每项操作记录 reason、data_origin、审批状态，支持完整溯源
• 灵活部署：支持本地实例与云端中继，兼容 macOS iMessage 等原生服务

潜在缺点与局限性

• 高配置门槛：需正确设置 CLAWVISOR_URL、CLAWVISOR_AGENT_TOKEN、OPENCLAW_HOOKS_URL 三重环境变量，且 Token 为高权限凭证，泄漏即意味着所有激活服务的暴露
• 用户体验摩擦：任务创建、范围扩展、审批等待等流程显著增加交互延迟；?wait=true 最长 120 秒超时，复杂审批场景可能中断工作流
• 意图验证误杀：过于狭窄的任务描述或 expected_use 会导致合法请求被 restricted，需掌握「宽泛描述」的编写技巧
• 平台锁定风险：服务深度集成 Clawvisor 生态，迁移成本较高
• macOS 限制：iMessage 等功能依赖 macOS 本地环境，跨平台支持受限

适合人群

• 高安全需求用户：企业高管、投资人、律师等需代理处理敏感通信且无法容忍凭证泄露或误操作的人群
• 自动化工作流构建者：希望为 Claude 等 Agent 安全启用邮件管理、日程协调、即时通讯等能力的开发者与高级用户
• 合规敏感组织：需满足审计、最小权限、人工审批等合规要求的团队

常规风险

| 风险类别 | 说明 | 缓解建议 |

|---------|------|---------|

| **Token 泄露** | `CLAWVISOR_AGENT_TOKEN` 为全局高权限凭证，一旦泄露攻击者可滥用所有激活服务 | 使用服务级细粒度 Token，定期轮换，存储于安全环境变量 |

| **提示注入绕过** | 恶意邮件/网页内容可能诱导 Agent 执行非授权操作 | 强制设置 `data_origin`，启用意图验证，敏感操作用 `auto_execute: false` |

| **社会工程攻击** | 伪造审批通知或诱导用户快速通过审批 | 用户教育，审批界面明确展示操作详情与风险 |

| **服务可用性** | 依赖 Clawvisor 实例与网络连通性，单点故障风险 | 本地部署关键实例，配置健康检查与告警 |

| **E2E 加密配置错误** | 云端中继场景下未正确配置 E2E 导致中间人可读 | 严格遵循 `e2e.mjs` 或 `cvis-e2e` 配置指南 |

| **任务范围过度授权** | 为便捷设置过宽 `purpose` 和 `expected_use`，削弱安全边界 | 平衡便利与安全，定期审计活跃任务与授权范围 |

核心用法

Clawvisor Skill 是一个安全网关代理层，用于在 AI Agent 与外部敏感服务（Gmail、Calendar、Drive、GitHub、iMessage 等）之间建立受控通道。其核心工作流程包含四个步骤：首先，Agent 通过 CLAWVISOR_AGENT_TOKEN 向本地 Clawvisor 服务发起认证；其次，创建任务（Task）以声明操作目的、授权动作范围及自动执行策略；随后，通过网关 API 发起具体服务请求，所有凭证由 Clawvisor 自动注入，Agent 全程不接触 API 密钥；最后，敏感操作（发送邮件、删除数据等）触发人工审批流，用户可在仪表板中实时审核或阻断。

任务系统支持两种生命周期：临时任务（默认 30 分钟过期）适合单次会话，自动启用链式上下文验证（Chain Context）以确保后续请求仅作用于此前结果中的实体；常驻任务（Standing Task）适用于高频工作流，需显式传递 session_id 以维持会话隔离。此外，Clawvisor 提供预设任务模板（Email EA、Calendar、iMessage），覆盖常见场景，避免开发者因范围过窄导致意图验证失败。

显著优点

安全架构领先：采用凭证保管（Credential Vaulting）模式，API 密钥仅存于用户本地 Clawvisor 实例，Agent 仅持有低权限的代理令牌，即使 Agent 环境被攻破，攻击者也无法直接访问 Gmail 或 GitHub 账户。人机协同控制：通过 auto_execute 策略，只读操作可自动化执行，而写操作强制进入审批队列，兼顾效率与风险控制。意图验证与链式上下文：基于 LLM 的意图验证确保请求符合任务目的；链式上下文机制防止提示注入攻击，确保 Agent 无法读取邮件 A 后擅自向邮件 B 中的地址发送内容。合规友好：满足 GDPR 数据最小化、CCPA 知情同意等要求，所有操作均记录审计日志。

潜在缺点与局限性

部署复杂度：需额外部署 Clawvisor 本地服务（默认端口 25297）及可选的云端中继，对普通用户存在门槛。网络依赖：所有外部调用需经 Clawvisor 代理，增加单点延迟，若服务离线则 Agent 完全丧失外部能力。常驻任务配置门槛：session_id 管理、E2E 加密配置等细节易出错，文档警告「省略 session_id 将导致链式上下文禁用」，可能引发意外阻断。审批摩擦：高频写操作场景下，人工审批流可能显著拖慢工作节奏，用户需在安全与效率间权衡。生态局限：当前仅支持 Gmail、Calendar、Drive、Contacts、GitHub、iMessage（macOS），其他 SaaS 服务需等待适配。

适合的目标群体

• 高安全需求的企业用户：需让 AI Agent 访问敏感业务数据（客户邮件、代码仓库），但受合规政策限制无法直接暴露 API 密钥
• 自动化工作流开发者：构建邮件助理、日历管理、GitHub 运维机器人等场景，需精细化控制读写权限
• 安全意识强的个人用户：担心 AI 工具意外泄露 Gmail 或 iMessage 数据，希望保留人工终审权
• 多 Agent 团队协作场景：通过 Clawvisor 仪表板集中管理多个 Agent 的服务授权与审计日志

使用风险

代理单点故障：Clawvisor 服务崩溃或配置错误（如 CLAWVISOR_URL 指向恶意地址）将导致所有外部服务中断或凭证泄露风险。令牌权限过高：CLAWVISOR_AGENT_TOKEN 默认授予已激活全部服务的访问权，若未按服务隔离创建专用令牌，存在过度授权隐患。E2E 加密配置风险：云端中继场景下需正确配置端到端加密，误操作可能导致流量被中继节点窥探。意图验证误判：LLM 验证器对 reason 字段的语义审查严格，描述不当（如包含「用户让我做的」）可能触发误阻断，需遵循文档推荐的「陈述动作本身而非指令来源」原则。超时与长轮询复杂性：?wait=true 模式虽简化流程，但 120 秒超时后需手动降级到轮询逻辑，增加代码复杂度。