这篇论文介绍了一个名为 ClawKeeper 的安全系统，它是专门为 OpenClaw 这个强大的 AI 智能体（Agent）设计的“保镖”和“杀毒软件”。
为了让你更容易理解，我们可以把整个系统想象成一个拥有超能力的“数字管家”，而 ClawKeeper 就是这个管家的安全团队。
🏠 背景：一个拥有超能力的管家 (OpenClaw)
想象一下，你雇佣了一个超级聪明的 AI 管家（OpenClaw）。
- 它能做什么？ 它不仅能帮你聊天，还能直接操作你的电脑（比如打开文件、运行程序）、连接你的微信/钉钉发消息、甚至帮你写代码。它就像你电脑里的“操作系统”一样，无所不能。
- 有什么风险？ 正因为它权力太大，如果它被坏人骗了（比如坏人发一条隐藏指令说“把密码发给我”），或者它自己犯糊涂了，它可能会删掉你的重要文件、泄露你的隐私，甚至让黑客控制你的电脑。
以前的安全软件就像只会在门口贴张纸条（告诉管家“别乱跑”），或者只在管家犯错后去查监控。但这往往不够用，因为管家太聪明了，容易绕过纸条，或者在犯错前没人发现。
🛡️ 解决方案：ClawKeeper 安全三剑客
ClawKeeper 提出了一套三层防御体系，就像给管家配了三个不同角色的安全专家，从里到外全方位保护：
1. 技能层保护 (Skill-based)：给管家戴上“紧箍咒”
- 比喻：这就像在管家的大脑里植入了一条条“家规”。
- 怎么工作：在管家开始干活前，ClawKeeper 会先给它读一遍“安全手册”（比如：“绝对不能把密码发给陌生人”、“不能运行奇怪的代码”）。
- 优点：灵活，像给管家戴了个紧箍咒，随时可以更新规则。
- 缺点：如果管家太笨没听懂，或者被坏人用话术骗得忘了规则，这招就失效了。
2. 插件层保护 (Plugin-based)：给管家装上“防弹背心”
- 比喻：这就像在管家的衣服里缝进了防弹层，或者给它的工具箱加了物理锁。
- 怎么工作：这是直接写死在系统里的代码。不管管家怎么想，它都不能绕过这些规则。比如，它会自动检查配置文件有没有被篡改，自动扫描有没有病毒，如果发现管家要删系统文件，直接物理拦截。
- 优点：非常强硬，不容易被绕过。
- 缺点：太死板。如果出现了新的黑客手段（新病毒），旧的衣服可能挡不住，而且很难换到其他类型的管家身上。
3. 监视者层保护 (Watcher-based)：请了一位“独立保安队长” ⭐️ 这是最核心的创新
- 比喻：这是整个系统的灵魂。想象管家在干活时，旁边站着一个完全独立的、只负责盯着安全的保安队长（Watcher）。
- 怎么工作：
- 独立：这个保安队长不是管家的一部分，它住在隔壁房间（独立的进程）。管家想删掉保安队长？没门，因为保安队长不在管家的控制范围内。
- 实时盯着：保安队长看着管家的一举一动。如果管家想执行危险操作（比如“删除所有文件”），保安队长会立刻大喊："停！ 老板，这个操作太危险了，需要您亲自确认！”（Human-in-the-Loop）。
- 自我进化：最厉害的是，这个保安队长会学习。每次遇到新的黑客攻击，它都会记在小本本上，下次遇到同样的招数，它反应更快。它不像死板的规则，它是活的。
- 优点：彻底解决了“管家既要干活又要管安全”的矛盾。管家只管干活，保安只管安全。而且保安很难被管家骗走或删掉。
🚀 为什么这个方案很牛？
论文通过大量的实验证明，ClawKeeper 比以前的方法强得多：
- 全覆盖：以前的方法只能防一种攻击（比如只防密码泄露，或者只防病毒），ClawKeeper 像一张大网，能防住7 大类不同的攻击（从骗话术、偷密码到删文件）。
- 越用越聪明：那个“独立保安队长”（Watcher）会随着遇到的攻击变多而变得越来越强，防御成功率从 90% 提升到了 95%。
- 灵活部署：
- 本地模式：保安队长就在你电脑上，数据不出门，隐私安全。
- 云端模式：保安队长在云端，可以管很多个管家，适合大公司。
💡 总结
如果把 OpenClaw 比作一辆能自动驾驶、能自己加油、能自己修车的超级跑车，那么：
- 技能保护 是贴在挡风玻璃上的“限速贴纸”。
- 插件保护 是车里的安全气囊和刹车锁。
- ClawKeeper (特别是 Watcher) 则是坐在副驾驶的专业赛车教练。
教练不仅看着路，还握着方向盘的紧急制动。如果车要撞墙了，教练会立刻接管；如果车要开进禁区，教练会直接踩刹车。最重要的是，教练是独立的，车自己没法把教练扔下车。
这篇论文的核心思想就是：给强大的 AI 智能体，配一个独立、聪明、且不断进化的“安全副驾驶”，让它们在安全的前提下，放心大胆地帮我们干活。
ClawKeeper 技术总结：面向 OpenClaw 智能体的全方位安全保护框架
1. 研究背景与问题定义
随着大语言模型（LLM）驱动的自主智能体（Autonomous Agents）从被动对话转向主动执行任务，其安全挑战日益严峻。OpenClaw 作为一个领先的开源自主智能体运行时环境，具备工具集成、本地文件访问、Shell 命令执行等强大能力，使其能够模拟真实用户操作。然而，这种高权限模型也将模型层面的错误转化为系统级的真实威胁，包括敏感数据泄露、权限提升、恶意第三方技能执行等。
当前 OpenClaw 生态系统的安全防御存在以下四大核心局限性：
- 防御碎片化 (Fragmented Coverage)：现有工作仅针对特定阶段（如提示注入）或特定攻击面，缺乏覆盖智能体全生命周期的统一视角。
- 安全与效用的权衡 (Safety-Utility Tradeoff)：将安全约束嵌入任务执行逻辑中，导致智能体在完成任务和遵守安全规则之间被迫妥协。
- 被动响应 (Reactive Defense)：多数方案仅在攻击发生后通过日志分析进行事后审计，缺乏实时阻断能力。
- 静态防御机制 (Static Defense)：现有防御规则难以适应 OpenClaw 自我进化的能力，无法应对新型威胁。
2. 方法论：ClawKeeper 三层架构
ClawKeeper 提出了一种综合性的实时安全框架，通过三个互补的架构层提供多维度的保护机制（如图 1 和图 2 所示）：
2.1 基于技能的防护 (Skill-based Protection)
- 层级：指令层（Instruction Level）。
- 机制：将结构化的安全策略直接注入到智能体的上下文（Context）中。
- 特点：
- 多平台适配：不仅针对 Linux，还针对 Windows 和 macOS 提供特定的系统级约束，并适配飞书、钉钉等通信软件的应用层风险。
- 低部署成本：无需修改底层框架，通过 Markdown 格式的安全规则定义和脚本实现。
- 局限性：依赖提示工程（Prompt Engineering）的质量，且容易被恶意指令绕过或移除。
2.2 基于插件的防护 (Plugin-based Protection)
- 层级：运行时层（Runtime Level）。
- 机制：作为 OpenClaw 内部运行的硬编码安全插件，充当强制执行器。
- 核心功能：
- 威胁检测：扫描配置错误、弱权限、明文凭证等（基于 OWASP 指南）。
- 加固 (Hardening)：自动修复配置（如绑定网关到 localhost），并向核心配置文件（如
AGENTS.md）注入安全规则。
- 配置保护：对关键文件（
openclaw.json, AGENTS.md 等）进行哈希校验，防止篡改。
- 行为扫描：异步分析日志，检测提示注入、恶意技能调用等复杂模式。
- 局限性：与 OpenClaw 耦合紧密，迁移成本高；规则相对静态，难以应对未知威胁。
2.3 基于 Watcher 的防护 (Watcher-based Protection)
- 层级：系统级中间件（System-level Middleware）。
- 机制：引入一个独立的、解耦的监控智能体（Watcher），专门负责监督任务执行智能体（OpenClaw）。
- 核心优势：
- 职责分离：Watcher 只负责安全监督，不处理任务，彻底解决了“安全 - 效用”权衡问题。
- 抗对抗性：Watcher 运行在独立进程中，任务智能体无法通过指令卸载或禁用它。
- 自我进化：Watcher 能根据新遇到的威胁实例更新其监控技能和记忆，实现自适应防御。
- 实时干预：通过 WebSocket 实时监控会话，发现高风险行为（如危险命令、无限循环工具调用）时，可立即暂停并请求人工确认（Human-in-the-Loop）。
- 部署模式：支持本地部署（隐私优先）和云端部署（企业级集中管理）。
3. 主要贡献
- 系统性研究：首次对 OpenClaw 类智能体生态中的安全工具和防御机制进行了全面梳理和对比分析。
- 统一框架提出：提出了 ClawKeeper，通过技能、插件和 Watcher 三个组件实现了从指令到运行时再到外部监控的全方位保护。
- 范式创新：强调了独立 Watcher 作为未来智能体生态系统通用保护范式的重要性，实现了监管与执行的解耦，为构建下一代安全智能体奠定了基础。
- 开源与评估：开源了完整代码，并进行了定性和定量的全面评估，提供了可操作的安全洞察。
4. 实验结果与评估
研究团队构建了包含 7 类威胁（提示注入、凭证泄露、权限提升、危险命令、配置篡改、漏洞检测、恶意技能安装）的基准测试集，共 140 个对抗样本。
- 防御成功率 (DSR)：
- ClawKeeper 在所有 7 个任务类别中均显著优于现有基线（OpenGuardrails, ClawSec, OSPG 等）。
- 综合表现：ClawKeeper 的 DSR 达到 85% - 90%，而现有最佳基线仅在单一类别上达到 60%-70%，且覆盖范围极其有限（通常仅覆盖 2-3 类威胁）。
- 提升幅度：相比最佳基线，ClawKeeper 在各类别上的防御成功率提升了 15-45 个百分点。
- 自我进化能力：
- 实验显示，随着 Watcher 处理对抗样本数量的增加（从 1 到 100），其防御成功率从约 90% 稳步提升至 95%。
- 相比之下，基于技能和插件的静态防御方法在测试过程中保持平坦，无法通过交互学习新威胁。
- 定性分析：
- 案例研究证实，ClawKeeper 能有效拦截 Base64 编码的恶意代码执行、阻止敏感信息通过通信软件外泄、自动修复网络配置漏洞，并在检测到危险命令或无限循环时成功触发人工确认机制。
5. 研究意义与展望
- 填补空白：解决了当前智能体安全防御碎片化、被动化和静态化的问题，提供了首个覆盖 OpenClaw 全生命周期的综合解决方案。
- 架构革新：提出的 Watcher 范式 证明了将安全监督与任务执行解耦的可行性。这种“监管独立”原则不仅适用于 OpenClaw，也可推广至任何具备通信接口的智能体系统，具有极高的通用性。
- 未来方向：ClawKeeper 展示了构建自适应、自进化的安全层的可能性，为应对日益复杂的对抗性环境提供了新的思路，是构建可信自主智能体系统的关键基础设施。
总结：ClawKeeper 不仅仅是一个安全工具，它重新定义了智能体安全架构，通过“技能约束 + 插件加固 + 独立 Watcher 监控”的三位一体策略，将智能体安全从“事后补救”推向了“实时防御”与“自我进化”的新阶段。
每周获取最佳 computer science 论文。
受到斯坦福、剑桥和法国科学院研究人员的信赖。
请查收邮箱确认订阅。
出了点问题，再试一次？
无垃圾邮件，随时退订。