4月10日消息，北京智源人工智能研究院、北京邮电大学与中国信息通信研究院联合发布OpenClaw安全框架ClawKeeper v1.0，已在GitHub完全开源（MIT协议）。该框架针对OpenClaw在工具调用、本地文件访问、Shell命令执行等高权限场景下的安全漏洞，提出Skill（技能层）、Plugin（插件层）、Watcher（观察者层）三层防御架构，覆盖智能体从指令输入到执行结束的全生命周期。论文同步发布于arXiv（2603.24414）。
解决什么问题：OpenClaw的安全短板已造成实际损失
ClawKeeper的发布背景是OpenClaw生态持续恶化的安全形势。OpenClaw自2025年底上线以来GitHub Star数超过32万，但安全事件频发：
已披露的安全问题包括CVE-2026-25253（CVSS 8.8）跨站WebSocket劫持漏洞、近千个网关以零认证模式暴露在公网、恶意VS Code扩展植入远程木马，以及第三方技能包钓鱼等。
中国信通院副院长魏亮在此前接受采访时确认，国内外已出现因OpenClaw使用不当导致用户数据被误删、敏感信息泄露、企业办公网瘫痪的事件，部分实例甚至被攻击者控制为僵尸木马主机对外发起攻击。还有企业因API密钥泄露，在凌晨被攻击者大量调用大模型接口，产生高额账单。
截至2026年3月19日，OpenClaw开源项目累计披露271条安全问题，2026年2月单月达128条，大部分漏洞可造成越权执行或任意代码执行。工信部NVDB、中央网信办数据与技术保障中心均已发布安全预警。
现有的安全措施——OpenClaw自身在3.28版本加入的高危操作弹窗拦截、社区零散的安全配置指南——仅能覆盖智能体生命周期的孤立阶段，缺乏系统性的全链路防护。ClawKeeper正是为填补这一空白而设计。
三层防御架构：从提示词注入到独立外部监控
ClawKeeper的架构分为三个互补层次：
Skill层（指令级防护）：在Agent的提示上下文中直接注入结构化安全策略，强制执行环境约束和跨平台边界。这一层从源头限制Agent的行为空间——Agent在接收指令时就已被框定了安全边界，而非在执行后才检查。
Plugin层（进程内运行时执行器）：嵌入Agent执行流水线内部，提供配置加固、主动威胁检测和全程行为监控。这一层在Agent运行过程中实时介入，相当于在执行管线中插入安全检查点。
Watcher层（系统级外部监控）：这是ClawKeeper的核心设计突破——完全独立于Agent的安全中间件，不依赖Agent内部逻辑，持续验证Agent的状态演化，可实时干预（终止高危操作、强制人工确认等）。论文强调前两层是基础防护，Watcher才是真正确保Agent"跑不掉"的外部闸门。
这一设计解决了AI Agent安全的核心矛盾：如果安全机制完全内嵌在Agent内部，Agent本身的失控（如提示词注入、上下文被污染）可能同时绕过安全检查。Watcher的独立性确保即使Agent内部逻辑被破坏，外部监控仍然有效。
竞品对比：碎片化方案vs系统级框架
目前OpenClaw生态中的安全方案主要有以下几类：
OpenClaw官方内置的安全机制：3.28版本加入了高危操作弹窗拦截，但仍是被动式、单点防护，且依赖用户手动确认，无法覆盖自动化执行场景。
社区安全实践：主要停留在"筛选安全Skill"层面——优先选择只读权限的技能、检查更新频率、避免Demo类技能，属于经验性建议而非系统性防护。
深信服等安全厂商的分析报告：已识别出ClawHavoc等攻击活动（超过200个恶意技能伪装成合法工具分发信息窃取木马），但提供的是威胁情报而非运行时防护框架。
ClawKeeper的差异化在于：它是目前公开的首个覆盖指令层、运行时层和系统层的完整安全框架，且三层之间形成纵深防御——单一层被突破不会导致整体失效。
局限性与待观察
论文发布时间与"正式发布"的差距：ClawKeeper论文3月25日已提交arXiv，GitHub仓库也已开放，但目前未找到三家机构的联合官方公告。框架的成熟度、实际部署案例数量、社区采用率等关键指标尚不明确。
实验验证范围有限：论文声称在多种威胁场景下表现出色，但独立第三方的安全审计和红队测试结果尚未公开。一个安全框架自身的安全性需要经过社区持续检验。
部署复杂度未知：三层架构意味着用户需要同时配置Skill注入、Plugin集成和Watcher守护进程。对于非安全专业的OpenClaw普通用户来说，部署门槛可能较高。如果配置不当，安全框架本身可能成为新的攻击面。
与OpenClaw版本兼容性：OpenClaw迭代极快（近期从3.22到3.28仅用数天），ClawKeeper能否跟上这一更新节奏、保持兼容性是长期挑战。
性能开销：Watcher作为独立守护进程持续监控Agent状态，必然引入额外的系统资源消耗和响应延迟。在对实时性要求高的场景中，这一开销是否可接受尚无数据。
行业信号：AI Agent安全从"提醒用户小心"走向"系统级原生防护"
ClawKeeper的发布标志着OpenClaw安全生态进入新阶段。此前的安全措施主要依赖"预警提示+用户自律"——工信部发布"六要六不要"、信通院启动智能体测评——但缺乏可直接部署的技术方案。ClawKeeper首次提供了一个可落地的全链路安全框架。
中国信通院此前明确提出，AI智能体安全需要将最小权限、隔离运行、审计留痕作为基本要求。ClawKeeper的三层架构与这一思路高度一致，Watcher层的独立隔离设计尤其体现了"不信任Agent自身"的安全原则。
框架已在GitHub开源（github.com/SafeAI-Lab-X/ClawKeeper），支持OpenClaw环境一键集成。对于正在使用OpenClaw的开发者和企业，尤其是涉及文件操作、Shell命令执行等高权限场景的用户，这是目前最值得关注的安全加固方案。
AI 速览
