OpenClaw 就是 AI Agent 的安全基础设施
从网关层到供应链层构建完整的 7 层安全防线，为每个租户提供独立、可控、可追溯的安全环境。
租户隔离
每用户独立 Gateway 容器，数据与进程完全隔离。
执行控制
Session 级 Sandbox + 命令拦截，危险操作自动阻断。
内容过滤
PromptGuard + OutputGuard 双向防护，防止注入与泄漏。
核心安全能力
从租户隔离、执行控制到内容过滤，构建全栈防护体系
多租户强制隔离
每个用户拥有独立的运行环境，从操作系统层面杜绝跨租户数据泄露。 独立 Gateway 容器 + 独立进程空间 + 独立配置目录 + 独立 workspace。 网络 Namespace 隔离，阻断跨租户网络通信。
Docker 资源限额
Docker 资源限额（CPU、内存、IO）防止单一用户资源耗尽影响其他租户。 按 L1-L4 分级做 Tool Policy 白名单控制，实现细粒度权限管理。
Session 级 Sandbox
每次 session 启动独立 Docker 容器，构建执行控制防线。 Seccomp 系统调用白名单，禁止危险系统调用。 只读文件系统，不可逆操作被完全拦截。 Session 超时自动回收容器资源，释放计算资源。
命令拦截与微动作隔离
Hook 层做命令危险模式正则校验，拦截高风险指令。 微动作隔离，sandbox 内每个操作独立执行环境， 防止恶意操作越权或逃逸容器边界。
内容过滤与防泄漏
PromptGuard 检测 20+ 种注入模式，流式逐 chunk 检测， 在首字符输出前即阻断恶意请求。 OutputGuard 实时过滤密钥、Token、PII 等敏感数据。
供应链安全管控
Docker 镜像签名 + Trivy 漏洞扫描 + SBOM 自动生成。 Plugin 禁止外部加载，Skill 白名单 + 内容审查。 WORM 链式审计日志，按 tenant-id 分流溯源。
Tool Policy 分级管控
按风险等级 L1-L4 对工具调用进行分级授权，实现细粒度安全控制。
L1 — 低风险（自动放行）
只读类工具：文件读取、搜索查询、网页搜索、状态查看等。 不修改任何数据，无需审批，直接执行。
L2 — 中风险（策略校验）
轻度修改类工具：文件写入、编辑、非关键配置修改。 经策略校验器检查，确认目标路径和权限后执行。
L3 — 高风险（人工审批）
敏感操作：删除文件、发送外部消息、修改密钥配置。 必须通过用户显式确认，超时自动拒绝。
L4 — 极高风险（强制拦截）
不可逆操作：系统级命令、权限提升、容器逃逸尝试。 一律拦截，记录安全事件并告警。
厂商安全实践
借鉴业界 AI Firewall 最佳实践，构建纵深防御体系
AI-FW 反向代理检测
所有 Agent 请求经过 AI Firewall 反向代理层， 统一做身份认证、速率限制、请求签名验证， 将安全策略与业务逻辑解耦，降低单点风险。
流式 Chunk 级检测
在 SSE 流式传输中对每个 chunk 进行实时安全检测， 不等待完整响应生成即可拦截有害输出， 确保流式场景下的安全响应速度与准确性。
动态风险评分驱动处置
综合用户画像、操作上下文、工具类型、数据敏感度 等多维度信号计算实时风险分数， 驱动自动化的放行/验证/拦截决策。
WORM 链式审计日志
所有安全事件和关键操作写入 WORM 存储， 每条日志包含前一条日志的哈希值，形成不可篡改的链式结构， 满足合规审计要求。
多模态检测 Pipeline
除文本外，对图片、音频、视频、文件附件等 多模态内容建立独立检测 pipeline， 识别隐写术、视觉注入、音频 payload 等新型攻击。
本地安全检测模型
可部署本地化的安全检测模型，不依赖外部 API， 降低延迟和隐私泄露风险，适合高安全等级 和对数据主权有严格要求的场景。
