夜雨聆风2026年初，一只没有屏幕、没有语音的“龙虾"(OpenClaw在国内的昵称)悄然“爬”进了人类的数字生活。
开源仅3个月，OpenClaw就在GitHub斩获30多万星标，登顶历史增速榜首，超越Linux内核10年的积累。养“龙虾”也从极客圈的暗语变成全球热词。
本文根据工业和信息化部网络安全威胁和漏洞信息共享平台（NVDB）组织智能体提供商、漏洞收集平台运营单位、网络安全企业等，研究提出的“六要六不要”建议,摘取"部分安全基线及配置参考"附录:
一、智能体部署
创建OpenClaw专有用户，切勿使用sudo组：
sudo adduser --shell /bin/rbash --disabled-password clawuser
通过创建的专有用户登录操作系统。
创建受限的命令目录，禁止rm、mv、dd、format、powershell等：
sudo mkdir -p /home/clawuser/bin
sudo ln -s /bin/ls /home/clawuser/bin/ls
sudo ln -s /bin/echo /home/clawuser/bin/echo
强制设置PATH并只读，如在/etc/profile.d/restricted_clawuser.sh修改配置：
echo 'if [ "$USER" = "clawuser" ]; then export PATH=/home/clawuser/bin; readonly PATH; fi' | sudo tee /etc/profile.d/restricted_clawuser.sh
sudo chmod 644 /etc/profile.d/restricted_clawuser.sh
禁用root登录：
sudo sed -i 's/^#\?PermitRootLogin.*/PermitRootLogin no/' /etc/ssh/sshd_config
sudo systemctl restart sshd
二、限制互联网访问
（一）Linux服务器配置
创建自定义链：
sudo iptables -N ALLOWED_IPS
添加允许的IP（IP地址为示例，操作时需替换为实际IP地址）：
sudo iptables -A ALLOWED_IPS -s 192.168.1.100 -j ACCEPT
sudo iptables -A ALLOWED_IPS -s 10.0.0.5 -j ACCEPT
sudo iptables -A ALLOWED_IPS -s 172.24.57.160 -j ACCEPT
sudo iptables -A ALLOWED_IPS -j RETURN
应用到SSH端口：
sudo iptables -A INPUT -p tcp --dport 22 -j ALLOWED_IPS
sudo iptables -A INPUT -p tcp --dport 17477 -j ALLOWED_IPS
此外，可参考上述命令关闭以下端口互联网访问或设置IP地址白名单：Telnet（23）、Windows文件共享（135、137、138、139、445）、Windows远程桌面（3389）、远程桌面控制（5900-5910）、数据库类端口（3306、5432、6379、27017）。
（二）VPN接入的情况下配置
将OpenClaw Gateway绑定127.0.0.1，切勿直接绑定到0.0.0.0。
关闭18789端口：
sudo ufw deny 18789
远程访问时强制使用VPN并启用Gateway认证（在openclaw.json中设置gateway.auth.mode: "token"及强令牌）。
三、开启详细日志
开启日志记录：
openclaw gateway --log-level debug >> /var/log/openclaw.log 2>&1
四、文件系统访问控制
在Docker部署配置文件(docker-compose.yml)中，利用volumes参数将系统关键目录挂载为:ro（只读）模式，仅保留特定的/workspace为可写状态。
在宿主机系统层，通过chmod 700指令对私密数据目录实施强制访问控制：
sudo chmod 700 /path/to/your/workspace
五、第三方技能审查
安装前执行技能审查命令：
openclaw skills info <skill>
并审查~/.openclaw/skills/<skill>/SKILL.md文件，确认无恶意指令（如curl、bash）。
优先选用内置55个Skill或社区精选列表（如awesome-openclaw-skills）。
六、安全自检
定期运行安全审计命令：
openclaw security audit
针对审计发现的安全隐患，如网关认证暴露、浏览器控制暴露等，及时按照上述安全基线及配置参考、官方手册等进行处置。
七、更新版本
运行版本更新命令：
openclaw update
八、卸载
打开终端，执行删除命令：
openclaw uninstall
使用鼠标上下移动光标，按空格键勾选所有选项，然后按回车键确认。
选择yes并按回车，此命令会自动删除OpenClaw的工作目录。
卸载npm包：
1.使用npm安装openclaw对应卸载命令：
npm rm -g openclaw
2.如果使用pnpm安装openclaw对应卸载命令：
pnpm remove -g openclaw
3.如果使用bun安装openclaw对应卸载命令：
bun remove -g openclaw
