OpenClaw 安全嗎？OpenClaw 與 Hermes Agent 的安全性及該修改的設定

只要你把 OpenClaw 當成它本來的樣子看待，它就夠安全：一個能讀你的訊息和電子郵件、執行指令，並依據讀到的內容採取行動的程式。開箱時它偏向功能優先。因為沙箱預設關閉，指令會在你的主機上執行，而且它每天都會向專案伺服器回報。這兩點幾分鐘內就能修正。Hermes Agent 也是如此，只是預設值不同。

實際上可能出什麼問題

• 指令在你的主機上執行。 沒有沙箱時，一條錯誤的指令會以你使用者帳號的權限存取你的檔案。
• 提示詞注入。 代理讀到的任何東西，像是電子郵件、網頁、共享文件，都可能夾帶針對它的指令。它能操作的帳號越多，被注入的指令能造成的影響就越大。
• 第三方技能。 技能是你安裝的程式碼。2026 年 1 月，Cisco 的 AI 安全團隊回報了一個第三方 OpenClaw 技能，會在使用者不知情的情況下竊取資料並執行提示詞注入（Wikipedia 上的摘要）。
• 暴露的閘道。 如果控制介面可以在未經驗證的情況下從網際網路存取，任何人都能操控你的代理。
• 靜態儲存的密鑰。 同一篇 Wikipedia 文章摘要了 2026 年 8 月一份針對 OpenClaw 2.0 的審查，其中批評密鑰以未加密的方式儲存。

十個代理的預設值

上方的檢查清單表格顯示了哪些代理預設使用沙箱、哪些會傳送遙測。以下說明實際上代表什麼，以及如何修改。

代理	開箱時的隔離	遙測及關閉方式
OpenClaw	關閉；提供 Docker 沙箱	每日更新檢查；update.checkOnStart: false
Hermes Agent	關閉；smart 核准，提供 Docker 後端	除非主動開啟，否則沒有
NemoClaw	開啟：OpenShell 沙箱，對外連線需核准	CLI 遙測；NEMOCLAW_DISABLE_TELEMETRY=1
NanoClaw	開啟：每個代理一個容器	安裝診斷；NANOCLAW_NO_DIAGNOSTICS=1
ZeroClaw	開啟：Balanced 設定檔中的作業系統沙箱和核准	沒有
Rakazo	開啟：每個機器人有一台沙箱電腦	自架伺服器沒有；桌面 App 會檢查更新
Agent Zero	開啟：代理在自己的 Docker 容器中工作	更新檢查；可在設定中關閉
nanobot	關閉；提供 bubblewrap 或 Seatbelt，Windows 上沒有	沒有
PicoClaw	只有路徑檢查；程序隔離關閉，僅支援 Linux 和 Windows	沒有
QwenPaw	關閉；Docker 內沒有隔離	使用 --defaults 時傳送安裝資料；在互動式 qwenpaw init 中可拒絕

關於「開啟」的那幾列，有兩點要注意。Agent Zero 執行程式碼的容器和 Agent Zero 本身是同一個，所以容器能保護你的電腦，但無法保護代理不受自己執行的程式碼影響。而 ZeroClaw 的 YOLO 設定檔會把一切都關掉，請確認你選的是哪個設定檔。

如何鎖定 OpenClaw

依影響程度大致排序，參考 OpenClaw 的安全文件：

1. 執行 openclaw security audit。 它會回報你的設定在哪些地方偏離了安全預設值，並能套用支援的修正。
2. 讓閘道維持在 loopback。 一般安裝會綁定到 loopback，但容器映像檔預設會對外綁定，所以用 Docker 部署前，請加上驗證或把它放在私人網路後面。
3. 保持 DM 配對開啟。 預設情況下，大多數頻道上的陌生傳送者會收到配對碼，而不是回覆。不要把頻道切換成開放。
4. 開啟沙箱。 把 agents.defaults.sandbox.mode 設為 all；non-main 會讓代理的主要工作階段留在主機上（沙箱模式）。Docker 是預設後端。只有工具執行會被放進沙箱：閘道仍留在主機上。
5. 拒絕你用不到的功能。 對 exec 設定工具政策拒絕，就能完全停用 shell 存取。避免使用 tools.elevated，它會在沙箱之外執行指令。
6. 使用獨立帳號。 文件建議 WhatsApp、Signal 和 Telegram 使用不同的號碼，並且每個信任邊界一個閘道：不要讓彼此不信任的人共用同一個閘道。
7. 安裝技能前先讀過程式碼， 並優先使用官方外掛。
8. 設定 update.checkOnStart: false，如果你不想要每日回報（遙測文件）。

如果你希望這一切都從代理外部強制執行，可以在 NemoClaw 中執行 OpenClaw，它會加上沙箱、對外連線核准和憑證保管。

Hermes Agent 安全嗎？

Hermes Agent 在隱私（沒有遙測）和聊天存取上起點較好：沒有設定允許清單時，它會拒絕所有使用者，陌生的 DM 則會進入配對流程（安全文件）。它的弱點和 OpenClaw 一樣：終端機後端預設為 local。

鎖定它的方法：

• 設定 terminal.backend: docker。 容器會移除除少數之外的所有 Linux capabilities，主機上的密鑰也不會進入容器，除非你把它們列在 docker_forward_env 中，所以請讓它保持空白。
• 保持核准開啟。 預設的 smart 模式讓輔助模型判斷風險；manual 會在每條危險指令前詢問。絕對不要用 off，它等同於 --yolo。
• 設定允許清單，例如 TELEGRAM_ALLOWED_USERS，並且絕對不要設定 GATEWAY_ALLOW_ALL_USERS=true。
• 執行 chmod 600 ~/.hermes/.env， 如果你不想讓 Hermes 使用你的 Codex CLI 或 Claude Code 登入，請設定 auth.adopt_external_logins: false。

適用於任何代理的原則

• 給它專屬的機器或作業系統使用者。 一台備用電腦或小型伺服器能限制災情範圍，這是任何設定都做不到的。
• 限縮憑證範圍。 盡可能連接獨立的電子郵件或行事曆帳號，並使用有消費上限的 API 金鑰。
• 在每個頻道設定允許清單，限制誰能和它對話。
• 檢查排程工作。 一個在你不在時工作的代理，也會在你不在時犯錯。

如果安全是你的首要考量

選一個預設就隔離的代理，而不是需要你自己強化的代理：單一個人代理可以選 ZeroClaw 或 NanoClaw；如果你特別想用 OpenClaw 或 Hermes Agent，就選 NemoClaw。我們的自架排名非常重視安全的預設值，而 OpenClaw 是什麼則涵蓋了其餘的取捨。