OpenClaw 安全吗？OpenClaw 与 Hermes Agent 的安全性及应修改的设置

只要你认清 OpenClaw 的本质，运行它就足够安全：它是一个能读取你的消息和邮件、运行命令、并根据读到的内容采取行动的程序。开箱即用时，它偏向能力优先。由于沙箱默认关闭，命令会在你的宿主机上运行，而且它每天都会向项目服务器报到。这两点都能在几分钟内修复。Hermes Agent 也是如此，只是默认设置不同。

实际可能出什么问题

• 命令在宿主机上运行。 没有沙箱时，一条有害命令会以你用户的权限访问你的文件。
• 提示词注入。 智能体读到的任何东西，无论是邮件、网页还是共享文档，都可能携带针对它的指令。它能操作的账户越多，被注入的指令能做的事就越多。
• 第三方技能。 技能是你安装的代码。2026 年 1 月，Cisco 的 AI 安全团队报告了一个第三方 OpenClaw 技能，会在用户不知情的情况下窃取数据并执行提示词注入（Wikipedia 上的摘要）。
• 暴露的网关。 如果控制界面无需认证就能从互联网访问，任何人都能操控你的智能体。
• 静态存储的密钥。 同一篇 Wikipedia 文章总结了 2026 年 8 月对 OpenClaw 2.0 的一次审查，其中批评了密钥以未加密形式静态存储。

十个智能体的默认设置

上方的清单表格显示了哪些智能体默认启用沙箱、哪些会发送遥测。下面说明这在实践中意味着什么，以及如何修改。

智能体	开箱即用的隔离	遥测及关闭方式
OpenClaw	关闭；可用 Docker 沙箱	每日更新检查；update.checkOnStart: false
Hermes Agent	关闭；smart 审批，可用 Docker 后端	无，除非你主动开启
NemoClaw	开启：带出站审批的 OpenShell 沙箱	CLI 遥测；NEMOCLAW_DISABLE_TELEMETRY=1
NanoClaw	开启：每个智能体一个容器	安装诊断；NANOCLAW_NO_DIAGNOSTICS=1
ZeroClaw	开启：Balanced 配置中的操作系统沙箱和审批	无
Rakazo	开启：每个机器人都有一台沙箱电脑	自托管服务器无遥测；桌面应用会检查更新
Agent Zero	开启：智能体在自己的 Docker 容器中工作	更新检查；可在设置中关闭
nanobot	关闭；可用 bubblewrap 或 Seatbelt，Windows 上没有	无
PicoClaw	仅路径检查；进程隔离关闭，仅限 Linux 和 Windows	无
QwenPaw	关闭；Docker 内无隔离	使用 --defaults 时发送安装数据；在交互式 qwenpaw init 中可拒绝

关于“开启”的几行，有两点需要注意。Agent Zero 运行代码的容器就是 Agent Zero 自身所在的容器，所以容器能保护你的电脑，却不能让智能体免受它自己运行的代码影响。另外，ZeroClaw 的 YOLO 配置会关闭一切，请确认你选的是哪个配置。

如何加固 OpenClaw

按影响大致排序，参考 OpenClaw 的安全文档：

1. 运行 openclaw security audit。 它会报告你的配置在哪些地方偏离了安全默认值，并能应用受支持的修复。
2. 让网关保持在 loopback 上。 常规安装会绑定到 loopback，但容器镜像默认绑定到对外暴露的地址，因此在用 Docker 部署之前，请添加认证或将其置于私有网络之后。
3. 保持私信配对开启。 默认情况下，在大多数渠道上，未知发送者收到的是配对码而不是回复。不要把渠道切换为开放。
4. 开启沙箱。 将 agents.defaults.sandbox.mode 设为 all；non-main 会让智能体的主会话留在宿主机上（沙箱模式）。Docker 是默认后端。只有工具执行会被沙箱隔离：网关仍留在宿主机上。
5. 拒绝你用不到的东西。 对 exec 设置工具策略拒绝可以完全禁用 shell 访问。避免使用 tools.elevated，它会在沙箱之外运行命令。
6. 使用单独的账户。 文档建议为 WhatsApp、Signal 和 Telegram 使用单独的号码，并且每个信任边界使用一个网关：不要让彼此不信任的人共用一个网关。
7. 安装技能前先阅读其代码， 并优先使用官方插件。
8. 设置 update.checkOnStart: false，如果你不想要每日报到（遥测文档）。

如果你希望这一切都由智能体外部来强制执行，可以在 NemoClaw 中运行 OpenClaw，它增加了沙箱、出站审批和凭据托管。

Hermes Agent 安全吗？

Hermes Agent 在隐私（无遥测）和聊天访问方面起点更好：在未设置允许列表时，它会拒绝所有用户，未知私信会进入配对流程（安全文档）。它的弱点与 OpenClaw 相同：终端后端默认是 local。

加固方法：

• 设置 terminal.backend: docker。 容器会去掉除少数几项之外的所有 Linux capabilities，宿主机密钥不会进入容器，除非你在 docker_forward_env 中列出它们，所以请让它保持为空。
• 保持审批开启。 默认的 smart 模式让一个辅助模型判断风险；manual 会在每条危险命令前询问。永远不要使用 off，它等同于 --yolo。
• 设置允许列表，例如 TELEGRAM_ALLOWED_USERS，并且永远不要设置 GATEWAY_ALLOW_ALL_USERS=true。
• 运行 chmod 600 ~/.hermes/.env， 如果你不希望 Hermes 使用你的 Codex CLI 或 Claude Code 登录，请设置 auth.adopt_external_logins: false。

适用于任何智能体的规则

• 给它一台专用机器或一个专用系统用户。 一台闲置电脑或小型服务器能以任何设置都做不到的方式限制影响范围。
• 限定凭据范围。 尽可能连接单独的邮箱或日历账户，并使用带消费上限的 API 密钥。
• 在每个渠道上用允许列表限定谁能和它对话。
• 检查定时任务。 一个在你离开时工作的智能体，也会在你离开时犯错。

如果安全是你的首要考量

选择一个默认就隔离的智能体，而不是需要你自己加固的：单个个人智能体可选 ZeroClaw 或 NanoClaw；如果你特别想用 OpenClaw 或 Hermes Agent，就选 NemoClaw。我们的自托管排名非常看重安全的默认设置，OpenClaw 是什么则介绍了其余的权衡取舍。