核心用法
ClawGuard 采用主动防御+被动审计+实时阻断的三层架构，为 OpenClaw 技能生态提供纵深安全防护：
① 蜜罐陷阱（主动诱捕）
- 启动时在 OpenClaw 根目录部署诱饵文件
settings_backup_keys.json，内含伪造 API 密钥与加密钱包字符串 - 通过
engine_monitor持续监控该文件访问行为 - 任何技能尝试
local_read读取此文件即触发即时进程终止，并推送高优先级入侵警报
② 目录审计（静态扫描）
- 每 5 分钟递归扫描
skills/目录下所有SKILL.md与skill.json - 基于启发式规则检测：Base64 混淆载荷、权限声明与
web_fetch实际行为不符、非法访问主配置settings.json - 发现威胁后立即将涉事技能文件夹移入锁定隔离区
quarantine/，并通知用户
③ 流量监控（运行时防火墙）
- 实时监控 OpenClaw 引擎发起的所有网络请求
- 强制校验
web_fetch目标域名是否匹配skill.json申报的允许列表 - 拦截未授权 IP 或隐蔽 webhook 的数据外泄尝试，阻断同时推送警报
显著优点
- 零误报设计：蜜罐文件为专用诱饵，正常技能无读取动机，触发即高置信度判定为恶意
- 纵深防御：三层机制覆盖攻击链不同阶段（侦察→植入→外泄），单点失效不影响整体防护
- 透明运行：
zero-telemetry标签承诺无遥测上传，所有分析本地完成 - 最小权限原则：自身仅申请必要权限（
local_read/write、engine_monitor、notify），权限边界清晰
潜在局限
- 依赖引擎配合：
engine_monitor与进程终止能力需 OpenClaw 内核支持，若宿主环境未实现对应接口，蜜罐机制将失效 - 静态签名滞后：新型混淆技术（如自定义编码、分片加载）可能绕过基于 Base64 的启发式检测
- 权限升级风险：若 ClawGuard 自身被攻破，其
notify与文件系统权限可被用于横向控制 - 性能开销：5 分钟全目录递归扫描在技能数量庞大时可能产生 I/O 峰值
适合人群
- 安装第三方来源技能的安全敏感型用户
- 企业/团队部署 OpenClaw 多技能协作环境的运维人员
- 需要符合最小权限与零信任架构合规要求的组织
常规风险
| 风险类型 | 说明 |
|---------|------|
| 误杀合法技能 | 极低概率，但若技能因漏洞被利用读取蜜罐文件，将被强制终止 |
| 通知疲劳 | 高交互环境下频繁触发阻断可能产生大量警报，需配置聚合策略 |
| 隔离区管理 | `quarantine/` 目录长期累积需手动清理，避免磁盘占用 |
| 引擎版本绑定 | 未来 OpenClaw 版本若变更权限模型，可能出现兼容性问题 |
综合评估
ClawGuard 是 OpenClaw 生态中罕见的主动防御型安全技能，其蜜罐+审计+防火墙的三层设计与 zero-telemetry 承诺在同类产品中具有显著差异化优势。适合作为基础安全层部署，但建议与定期人工审计、技能来源白名单机制配合使用，以弥补静态签名的检测盲区。