核心用法
Carapace 是一款面向 OpenClaw 代理的运行时安全加固技能，旨在应对 ClawHavoc 事件暴露的供应链攻击风险。与前置安装阶段的技能扫描工具（如 Clawdex）不同，Carapace 直接在代理运行时构建防御层，形成"扫描检查门、加固强化墙"的双层安全体系。
部署方式： 将安全规则整合至 AGENTS.md 文件顶部，配置浏览器白名单（security/browser-allowlist.json），即可激活六大防护模块：
1. Anti-Takeover（反劫持） —— 拦截来自外部内容（网页、邮件、文档）的配置修改指令，拒绝执行嵌入的恶意命令
2. 数据防泄漏 —— 阻止敏感数据通过邮件、API、URL 参数等渠道外泄
3. 凭证保护 —— 限制访问 .env、*.key、openclaw.json 等凭证文件，禁止向外部渠道泄露密钥内容
4. 浏览器安全 —— 域名白名单机制，非白名单 URL 需经用户显式确认方可访问
5. 敏感操作审批 —— 文件写入、命令执行、跨用户通信等操作需经描述-说明风险-等待确认流程
6. 文件访问限制 —— 自动拒绝外部来源对凭证类文件的读取请求
关键实施原则： 所有安全规则置于系统提示优先级高位；任何模糊场景默认拒绝并询问用户；"可能没问题"不等于批准。
显著优点
- 运行时主动防御： 不依赖静态扫描的遗漏风险，即使恶意技能已安装也能实时拦截攻击
- 多层防护架构： 将攻击面分解为接管、泄露、凭证、浏览器、操作五个维度，策略清晰可维护
- 误触友好设计： 敏感操作强制确认流程，降低自动化代理意外执行危险指令的概率
- 合规审计支持： 提供完整审计模板（
audit-template.md），便于企业级安全评估
潜在局限
- 规则维护成本： 白名单和审批策略需随业务场景持续更新，过度严格可能影响正常工作效率
- 上下文窗口压力： 将大量安全规则置于 AGENTS.md 顶部，可能挤占任务相关上下文空间
- 社会工程学残余风险： 针对用户本人的钓鱼（如伪装成用户直接指令）仍需用户自身辨别
- 实现依赖自觉性： 安全规则为软性约束，实际效果取决于模型对系统提示的遵循程度
适合人群
- 使用 OpenClaw 生态部署 AI 代理的个人开发者与企业安全团队
- 处理敏感配置、用户数据或具备外部工具调用能力的生产环境
- 需满足合规审计要求、建立可溯源安全防控体系的用户
常规风险
- 配置遗漏： 未将规则置于 AGENTS.md 足够优先位置可能导致防护失效
- 过度拦截： 严格的默认拒绝策略可能阻断合法自动化流程，需精细调优白名单
- 依赖单一防线： 不应替代代码审查、依赖扫描等前置安全措施，建议与 Clawdex 等工具配合使用