OpenClaw 发布安全架构升级：fs-safe 文件系统沙箱与 Proxyline 网络代理
OpenClaw 致力于成为用户可信赖的强大 AI 个人助手，能够读取文件、执行命令、安装插件并操作真实机器。然而，这种强大的能力也伴随着显著的安全风险。OpenClaw 团队明确表示，"Powerful does not have to mean blind, unbounded, or impossible to audit"（强大并不意味着盲目、无界或无法审计），并宣布了一系列旨在解决文件系统边界模糊和网络侧信道攻击的关键架构升级。
核心突破：fs-safe 文件系统边界防护
OpenClaw 运行在用户本地机器上，直接访问文档、代码库和照片，这使得传统的文件系统漏洞（如路径遍历）成为首要关注点。OpenClaw 推出了 fs-safe 解决方案，这是一套共享的根边界基础原语（root-bounded primitives）。
- 非沙箱化设计：fs-safe 并非传统意义上的沙箱。如果插件被允许执行任意 Shell 命令，它依然可以执行任意 Shell 命令。fs-safe 专注于防止文件系统代码中的边界跨越错误。
- 工作区隔离：插件写入操作被限制在其分配的插件工作区内。任何试图通过符号链接、绝对路径或归档提取绕过边界的行为将被拒绝（refused as outside-workspace）。
- SQLite 运行时重构：为进一步提升安全性，OpenClaw 正在重构 SQLite 运行时状态。会话、转录记录和调度器状态将存储在具有明确所有权和事务支持的类型化数据库中，而非分散的文件中，从而从运行时路径中移除了大量文件访问风险。
网络防御：Proxyline 代理层下沉
在智能体（Agent）系统中，服务端请求伪造（SSRF）攻击风险远高于普通 Web 服务，因为用户控制或模型生成的 URL 是常规行为。OpenClaw 意识到仅在前端验证 URL 是不够的，因为 DNS 解析可能在验证和实际请求之间发生变化。
为此，OpenClaw 引入了 Proxyline，这是一个 Node 进程级的路由层：
- 连接层控制：Proxyline 在 Node 网络表面安装全局路由，强制所有流量通过用户配置的代理。连接策略（如阻止元数据地址、私有范围、回环 Canary 等）应在代理层执行。
- 可观测性：如果运营者已部署管理代理，OpenClaw 可路由通过该代理，从而在受信任的基础设施上监控目的地、速率和拦截尝试。
- 局限性说明：Proxyline 并非完美的字节级笼子，原始套接字、原生模块或早期捕获的代理仍可能绕过 Node 级护栏。但对于普通网络路径，将控制点从“应用层验证”移至“出站流量代理策略”是更优的架构选择。
生态信任：ClawHub 插件信任体系
OpenClaw 强调 ClawHub 应成为插件信任和来源的权威机构。
- 信任证据链：ClawHub 集成 ClawScan、VirusTotal、静态分析、元数据检查及人工审核。系统会将信任证据（如“清洁”、“可疑”、“已隔离”或“恶意”）直接附加到特定包版本上。
- 安装拦截：如果 ClawHub 将某个发布标记为恶意并隔离，ClawHub 的安装路径将拒绝该下载，OpenClaw 将不再允许安装。
- 分层信任：除了基础扫描，OpenClaw 正在探索更高层级的信任等级，包括官方包、可信发布者和更严格的审查标准。对于来自 GitHub 或私有注册表的插件，虽然无法完全控制，但 OpenClaw 致力于让安全路径更加清晰，让用户在安装前能权衡证据。
结语
OpenClaw 的这次更新标志着其从“功能优先”向“安全优先”的范式转变。通过 fs-safe 和 Proxyline 的引入，OpenClaw 在保持 Agent 强大执行能力的同时，构建了更坚固的防御纵深，为开发者提供了更清晰的插件信任标准，也为最终用户提供了更安全的本地运行环境。
"Our goal is for OpenClaw to become a trusted way to run a powerful AI personal assistant. Powerful does not have to mean blind, unbounded, or impossible to audit." —— OpenClaw 官方团队
