把 AI 想成一位新來的助理，多數聊天機器人像坐在櫃台的那一位，你問什麼它答什麼，手上通常沒有你家的鑰匙。OpenClaw 則像被請進家裡的那一位，你在 WhatsApp 或 Telegram 傳一句話，它就能開你的信箱、翻你的檔案、執行你電腦上的指令，做完再把結果傳回聊天視窗。
這種「龍蝦 AI」在中文圈越傳越廣，網路上卻同時流傳著 Clawdbot、Moltbot 這些舊名，教學、影片和資安警告各用各的名字，第一次接觸的人很難確定大家講的是不是同一個東西，更難分辨哪些內容已經過時。
OpenClaw 是一套開源、自架的 AI 代理（AI Agent），安裝在你自己的電腦或伺服器上，透過你本來就在用的聊天軟體接收指令，背後再接一個 AI 模型負責思考。 它沒有付費版，也沒有託管服務，軟體本身免費，但正因為它能動手執行操作，台灣數位發展部資通安全署在 2026 年 3 月就針對它發出專門的防護提醒。權限給得越多，它越有用，出事時的損失範圍也越大，所以認識 OpenClaw 得從它的性質與來歷開始。
OpenClaw 是什麼？
OpenClaw 是以 MIT 授權釋出的開源專案。依照專案 README 的自我介紹，它是一套跑在你自己電腦上、在你已經使用的聊天頻道裡和你碰面的 AI 助理，接得上的頻道包括 Discord、iMessage、Slack、Teams、Telegram、WhatsApp，另外還有 20 多個，也有 macOS、iOS、Android、Windows、Linux 的原生 App。
骨架可以濃縮成三塊，一個常駐的 Gateway 負責接線與調度，頻道是你下指令的入口，技能（Skills）則是教代理在什麼情況下該用什麼工具的說明檔。同一個 Gateway 可以當個人助理跑在筆電上，也可以當團隊共用的部署，兩者的差別只在設定。
專案由 Peter Steinberger 與社群為吉祥物 Molty（一隻太空龍蝦）打造，目前由獨立的 501(c)(3) 非營利組織 OpenClaw Foundation 管理。基金會聘用核心團隊並簽署發行版，Amazon、OpenAI、Red Hat 等企業出資捐助，但 README 寫得很清楚，這些企業既不擁有也不主導專案，還特別點明 OpenAI 只是捐助者，不是擁有者。
至於費用，OpenClaw 官網的說法是沒有訂閱、沒有託管服務、也沒有代幣，更沒有企業版或付費版。2026 年 9 月專案部落格發表的 OpenClaw Enterprise 名稱裡雖然有 Enterprise，文章寫明它同樣是開源、免費給任何組織使用的平台，目前還在 1.0 版之前的開發階段，不是付費版本。不少人查 OpenClaw 是什麼時，會以為它是哪家公司賣的雲端服務，其實不是，若有人向你推銷「OpenClaw 訂閱方案」，那並不是專案本身提供的東西。
自架在自己電腦上的開源 AI 助理
「自架」這兩個字，拆開來是三件事。第一，它不是 ChatGPT 那種打開網頁就能使用的服務，而是要自己安裝、自己維持運作的程式，狀態、記憶和憑證都存放在你自己的硬體上。第二，它的操作介面就是你原本在用的聊天軟體，不必另外學一套新介面。第三，OpenClaw 自己並不是模型，背後仍要接一個 AI 模型，而模型是另外選的，可以隨時抽換。
資料留在自己機器上，不等於所有內容都不會外流。README 明確寫著，你的提示詞會送到你所設定的模型供應商與聊天平台。換句話說，選了雲端模型，對話內容就會離開你的機器；選本機模型，內容才會留在自己的硬體上運算。從功能面看，文件總覽把它描述成一個自架的 Gateway，負責把聊天 App 接到 AI 程式代理，內建外掛系統、技能、自動化（cron、hooks、webhooks）、多代理路由、網頁版 Control UI，以及 iOS／Android 的節點。
Clawdbot、Moltbot 都是 OpenClaw 的舊名
這個專案最早是一個叫 Warelay 的 WhatsApp 閘道，之後在短短幾個月內又換過三個名字：
- Clawdbot，助理本身叫 Clawd，專案文件記載這個名字從 2025 年 11 月 25 日起使用。
- Moltbot，2026 年 1 月 27 日改用。
- OpenClaw，2026 年 1 月 30 日定名，沿用至今。
專案文件的 lore 頁把這段歷史寫成「住在 Clawdbot 裡的 Clawd」，許多媒體報導也沿用 Clawdbot 這個名字，漏洞資料庫 NVD 的描述更直接標成「OpenClaw (aka clawdbot or Moltbot)」，所以用 clawdbot 或 Moltbot 搜尋，找到的都是同一個專案。
從 Clawdbot 改名，是因為 Anthropic 以商標問題為由，來信請專案改名。接著社群提了數百個候選名稱，最後選了 Moltbot，取龍蝦靠蛻殼長大的意思。這個名字只用了 3 天，文件自己也承認念起來始終不順口，於是在 2026 年 1 月 30 日改成 OpenClaw，GitHub、X 帳號、npm 套件與文件在 3 小時內完成搬遷。新名字有兩層含意，一是開源、對所有人開放，二是保留龍蝦的血統。
這段歷史最實際的影響，是網路上有大量用舊名寫成的教學，裡面的指令和設定可能早已對不上現行版本。OpenClaw 的版本號採「年.月.序號」的格式，例如 2026.9.9，更新十分密集，讀到舊名教學時，務必回到專案現行文件核對。
龍蝦 AI 與「養龍蝦」兩種叫法的由來
中文圈叫它「龍蝦」、「龍蝦 AI」或「AI 龍蝦」，緣由很單純，專案的吉祥物 Molty 是一隻太空龍蝦，圖示和標題行也都是龍蝦，舊名 Moltbot 取的更是龍蝦蛻殼的意象。連數位發展部資通安全署的新聞稿，都直接把 OpenClaw 註記為「俗稱龍蝦」，所以這幾種叫法指的都是同一個東西。
「養龍蝦」則是中文社群的戲稱，不是專案文件裡的正式用語。它描述的是從安裝、設定、持續調教到長期維護的整個過程。一個「養」字其實很貼切，因為它不是裝完就結束的軟體，人設檔、記憶檔、技能、權限與版本更新，都得持續照看。
聊天機器人給建議，代理型工具直接動手執行
聊天機器人是一問一答，輸出的是建議。你請它寫一封信，它給你一份草稿，複製、貼上、寄出，都還是你自己做。代理型工具則是拿到一個目標後，自己拆解步驟、呼叫工具，並在你的機器上實際操作，也就是直接把信寄出去。
OpenClaw 屬於後者。它內建的工具涵蓋執行指令與管理背景程序（exec、process）、讀寫與編輯檔案、搜尋與擷取網頁、操作瀏覽器、傳送訊息、排程背景工作（cron、heartbeat），以及生成圖像、音樂、影片與語音等媒體。它可以常駐在背景，可以依排程自己開工，長期記憶則存放在本機的檔案裡。
因為會動手，風險的性質也跟聊天機器人不同。聊天機器人答錯，頂多是一段錯誤的文字，你還有機會在照做之前發現；代理出錯或被人誘導，後果會直接落在真實的帳號與檔案上。資安署的新聞稿就指出，這類具備自主執行能力的工具擁有系統高權限，又能全天候自主運作，防護機制不周時，容易成為入侵破口。
OpenClaw 從收到訊息到完成任務的運作架構
一則訊息的旅程大致是這樣，你在 Telegram 傳出一句話，頻道把它交給 Gateway；Gateway 找出對應的工作階段，套用工具政策，再把內容送給模型；模型決定要不要呼叫工具，工具在執行環境裡動作，結果再經由 Gateway 回到同一個聊天視窗。每個零件各管一段，信任的邊界也畫在不同的位置。
OpenClaw 文件講的設計立場是「受信任的 Gateway，不受信任的執行端，由程式強制執行的政策」。Gateway 持有憑證、政策與狀態，被視為可信的控制中樞；執行端則被當成可能被攻破的環境，靠沙盒與節點限縮它能碰到的範圍；工具能不能用，也不只靠模型自覺，而是由程式與設定強制。同一份文件也坦白說明，預設的 OpenClaw 是一個受信任的單一操作者助理，沙盒和執行核准預設都是關閉的，要變得嚴格必須自己設定。
Gateway 是常駐背景的控制中樞
Gateway 是唯一常駐在背景的程式，負責持有各聊天頻道的連線、工作階段、工具與排程。架構文件的說法是，單一長期運作的 Gateway 擁有所有訊息介面，並對外提供 WebSocket API；macOS App、命令列、網頁版 Control UI 都只是連到它的客戶端。Gateway 本身永遠在主機上運作，執行環境可以移到別處，它不會。
它同時也是排程的中心，cron 與定期維護的喚醒都由 Gateway 內的同一個排程器統一管理，這也是代理能「自己醒來做事」的原因。預設情況下，Gateway 監聽的是本機的 18789 埠，網頁版 Control UI 就是從這裡進入。
頻道把 WhatsApp、Telegram 變成下指令的入口
頻道就是指令入口。除了 WhatsApp、Telegram，還有 Slack、Discord、Signal、iMessage、Teams、Google Chat 等，同一個助理可以同時掛上好幾個頻道。專案文件說 Telegram 是設定起來最快的一個，只需要一組機器人憑證（bot token）；除了聊天軟體，也可以直接用網頁或原生 App 和它對話。
頻道方便，卻也是攻擊面。凡是有辦法把訊息傳進來的人，他送來的內容在系統眼裡都是不受信任的輸入，所以多數頻道對陌生發訊者預設都要先配對才放行。
可自由更換的雲端與本機模型
模型是 OpenClaw 的外掛，不是它的一部分。雲端供應商方面，文件列出 Anthropic、OpenAI、Google Gemini 的內建外掛，也支援 OpenRouter 這類託管服務；本機方面，Ollama、LM Studio、llama.cpp、vLLM、SGLang 等推論服務都接得上。認證方式有兩種，一是供應商的 API 金鑰，二是部分訂閱制服務提供的 OAuth 登入。
雲端與本機的差別，在於內容是否離開你的機器。雲端模型會收到你送出的提示詞，本機模型則留在自己的硬體上運算，代價是要自己準備足夠的運算資源。換模型不需要重裝 OpenClaw，也因為模型是另外接上的，它的費用與能力表現，主要取決於你接了哪一個模型，而不是 OpenClaw 本身。
Skills 與外掛的擴充方式
技能就是一份教代理「什麼時候該用什麼工具」的 markdown 說明檔，放在一個資料夾裡，檔名是 SKILL.md，開頭至少要有 name 與 description 兩個欄位。外掛則是更重的擴充方式，可以新增頻道、模型供應商或工具。技能的載入來源分成 7 個優先層級，工作區內的技能最優先，同名的技能以優先順序最高者為準。
ClawHub 是公開的技能庫，可以用指令從那裡把別人寫好的技能裝進工作區。代理也能自己學會並儲存新技能，這項功能叫 Skill Workshop，每次變更都會立即套用並通知使用者，同時保留前一版以便還原。每個可用技能的名稱與簡短描述都會放進系統提示詞，所以裝得越多，佔用的提示詞空間也越大。
技能本身只是文字加指令，但載入之後會真的驅動工具去執行。這就是技能的信任問題，文件的說法是第三方技能要視同不受信任的程式碼，啟用之前先讀過內容。
工作區內的人設與記憶檔案
「養」龍蝦的實質內容，都在工作區裡。代理的人設、規則與長期記憶，全是純文字檔，預設放在 ~/.openclaw/workspace。各檔案分工如下：
- AGENTS.md 是操作守則，說明代理該怎麼做事、怎麼使用記憶，每次工作階段開始時都會載入。
- SOUL.md 定義人設、語氣與界線。
- USER.md 記錄使用者的偏好、溝通風格與目前進行中的專案。
- MEMORY.md 存放整理過的長期記憶，例如決定與重要摘要，只在主要的私人工作階段載入，群組等共用情境不會讀它。
- memory 資料夾裡的「日期.md」是每日紀錄，需要時再取用。
AGENTS.md、SOUL.md、USER.md 每次工作階段都會被讀進來，所以寫在裡面的規則才會持續生效。文件也建議把工作區放進私人的 git 儲存庫備份，不過就算是私人儲存庫，也不要把 API 金鑰、OAuth token、密碼這類憑證，以及 ~/.openclaw/ 底下的任何檔案放進工作區。
OpenClaw 能代辦的工作類型
OpenClaw 的能力，來自工具、頻道與排程的組合，並沒有什麼魔法。網路上形容龍蝦 AI「什麼都能做」的說法，拆開來看，每一項都對應得到具體的工具或權限。能做到，不代表應該全部開放；每多開一項，就是多授權一項。
在聊天軟體收發指令，多代理路由分開工作階段
最基本的用法，是在 Telegram、WhatsApp 之類的聊天軟體裡傳訊息下任務，進度與結果會回到同一個對話。因為同一個 Gateway 可以掛多個頻道，你可以在手機上交辦，回到電腦前再接著看結果。
文件總覽提到，它支援多代理路由，能依代理、工作區或發訊者把工作階段分開，讓不同對象的對話互不混用，團隊共用部署就是建立在這個機制上。不過文件也提醒，預設情況下，有工具權限又沒進沙盒的代理，仍讀得到同一個 Gateway 上其他代理的工作階段，要讓彼此互不相通，得另外收緊設定。
操作瀏覽器、搜尋網頁與讀寫檔案
這是它的「手」。瀏覽器工具能自動操作網頁，搜尋與擷取工具負責查找網頁內容，讀取、寫入、編輯工具處理檔案，執行指令的工具則能在主機上跑命令。這幾項是 OpenClaw 最有用的地方，也是風險最主要的來源。
好在每一項工具都能單獨開關。工具政策可以個別允許或拒絕，被拒絕的工具，模型在那一輪甚至看不到它的存在。
靠排程與 webhook 主動開工
代理不是只有等你開口才動。文件總覽說明，OpenClaw 能透過 cron 排程、hooks 與 webhooks 主動發起行動，而不只是回應訊息。於是它可以每天固定時間整理資料，或定時檢查某件事再通知你。
常駐加上排程，代表即使你人不在，模型也在持續被呼叫，用量會跟著一直累積。
手機等裝置節點帶來的相機、螢幕和語音
iOS、Android、macOS 的節點，可以替 Gateway 提供裝置端的動作，例如相機、螢幕與位置，原生 App 則帶來語音與 Canvas 等能力。節點用 node 的角色連到同一個 Gateway，並以裝置為單位配對，新的裝置必須經過核准才能加入。
要留意的是，節點讓代理碰得到手機上的相機與螢幕，授權時的謹慎程度，不該低於授權電腦上的檔案。
官網列舉的整理信件、管理行事曆與班機報到
官網自己列舉的日常自動化情境包括整理收件匣、寄信、管理行事曆，以及代辦班機報到。官網同時也寫明，它擁有完整的系統存取能力，包括瀏覽網頁、填寫表單、讀寫檔案與執行 shell 指令，要完整存取還是放進沙盒，由使用者自己選擇。
換句話說，每一個情境背後都有對應的授權，整理信件要碰信箱，管理行事曆要碰行事曆帳號，報到則要碰訂位與個人資料。每一項權限，都應該是想清楚之後才交出去的。
部署前要先定下的機器、費用與存取邊界
動手之前要先定下的，不是安裝步驟，而是專案文件反覆強調的安全前提。決定的順序也很重要，先判斷它適不適合你，再決定它要跑在哪裡，最後才決定誰能碰到它。安裝步驟本身，以專案現行的安裝文件為準。
OpenClaw 適合單一操作者或彼此互信的團隊
OpenClaw 的信任模型是一個 Gateway 對應一位受信任的操作者，或是一群彼此互信的團隊，它並不是用來隔離彼此敵對的多個使用者的安全邊界。如果使用者之間互不信任，文件的建議是拆成各自獨立的 Gateway 和憑證，最好連作業系統帳號或主機也分開。
資安署則建議，不要把這類工具安裝在存放機密資料或日常作業的環境中。對網站經營者與設計工作者來說，務實的做法，是別把客戶資料、網站後台的管理帳號與金流帳號交給它。再加上需要持續維護，它更適合有技術背景、願意花時間照看的人，而不是想要「裝了就能用」的人。
安裝需求與引導精靈完成的設定
執行環境方面，README 寫的需求是 Node.js 24.16 以上或 26.1 以上，並建議使用 Node 26。安裝程式涵蓋 macOS、Linux、Windows（含 WSL2），也可以走 npm，兩條路都由專案文件說明。版本門檻會隨更新調整，實際以專案現行頁面為準。
安裝後的引導精靈（onboarding）會替你做四件事，包括偵測既有的模型憑證並用一次真實的呼叫驗證能不能用、建立工作區、設定 Gateway，以及開啟網頁版的控制介面。前置條件是手上已有 Claude Code 或 Codex CLI 的登入，或是一組模型供應商的 API 金鑰。設定與狀態預設都放在 ~/.openclaw/ 底下。
軟體免費，花費來自模型用量與主機
OpenClaw 本體免費，沒有訂閱，也沒有託管層。免費的是軟體，不是模型。實際花費有兩塊，一是模型，看你接的模型怎麼計價，可能是 API 依用量計費，也可能是訂閱方案的額度；二是跑它的那台機器。
因為它會常駐，又會依排程自己開工，用量會持續累積。如果模型判斷失誤，讓動作重複執行，用量也會跟著重複計算。因此用量上限要設在模型供應商那一端，別只靠 OpenClaw 自己的行為來控制。接本機模型可以省下 API 費用，但要自己準備夠力的硬體，這是取捨，不是免費午餐。
獨立機器或虛擬環境的隔離前提
「它跑在哪一台機器上」是最關鍵的決定。文件說得很清楚，沙盒預設是關閉的，Gateway 行程永遠留在主機上，沙盒啟用後也只把工具的執行移進去。文件也直言，沙盒不是完美的安全邊界，只是在模型做出糟糕決定時，能顯著限縮檔案系統與行程的存取範圍。
沙盒有三種模式，分別是完全不用、只讓主要工作階段以外的進沙盒，以及全部進沙盒；後端則有 Docker（預設）、Podman、SSH 等。沙盒既然不是完美邊界，第一道防線就得靠主機層的隔離，資安署的建議也是改用獨立電腦、虛擬機或容器，不和機密資料共存。
Gateway 預設只開放本機連線
在一般主機上安裝時，Gateway 預設綁定在 loopback，也就是只有本機自己連得到；容器映像則預設對外綁定，但要求驗證。專案文件偏好的遠端存取方式，是 SSH 通道，或搭配 Tailscale Serve 這類受控的管道，並明確把「直接公開到網際網路」視為少見而且高風險的部署。
文件給的原則是，只有在說得出誰能連到它、如何驗證、能觸發哪些代理、這些代理能用哪些工具之後，才考慮開放。對一般使用者來說，守住預設值就是最安全的做法，專案也內建 openclaw security audit 檢查指令，能確認設定有沒有偏離保守預設。
陌生發訊者先配對再放行
聊天頻道是入口，凡是能把訊息傳進來的人都可能是攻擊者，所以 OpenClaw 對支援私訊的頻道，預設先對陌生發訊者發出配對碼，操作者核准之後，才開始處理他的訊息。
私訊政策共有四種，分別是配對（預設）、白名單、全開與停用。其中全開最危險，必須在白名單裡放進萬用字元「*」才能啟用，專案文件要求把它當成刻意的選擇，安全稽核也會把全開的私訊標成嚴重等級；全開的私訊或群組若還碰得到指令、檔案這類工具，就會形成高風險的提示詞注入途徑。不論採用哪一種，進來的訊息一律視為不受信任的輸入。
權限大是賣點，也是風險的來源
OpenClaw 的價值，來自它碰得到你的信箱、檔案、指令與瀏覽器。一旦被人誘導或利用，同樣的權限就變成損害的範圍，而在預設狀態下，沙盒與執行核准都沒有開啟，加固得靠自己配置。
間接提示詞注入把指令藏在網頁和訊息裡
這類攻擊叫間接提示詞注入（prompt injection）。代理在瀏覽網頁、讀信件或訊息時，內容裡可能藏著指令，模型分不清那是資料還是命令，就當成使用者的指示照做。根本原因在於，對模型來說資料與指令都是文字，邊界並不清楚。
因為代理握有工具，這類指令有機會變成刪除檔案、修改設定，甚至把資料送出去。資安署的新聞稿把它列為三大風險來源之一，指出攻擊者可能在外部網頁或社群留言中預埋惡意指令，誘使代理執行危險操作。受害範圍取決於你授權了什麼，授權得越少，能造成的損害越小；OpenClaw 文件的對應態度，則是把進來的外部內容一律視為不受信任的輸入，並用特殊方式包裝後再交給模型。
第三方技能包等同未審查的程式碼
技能雖然只是文字，被載入後卻會驅動工具去執行，技能庫因此也成了攻擊的入口。資安署把它列為第二種風險來源，攻擊者把惡意指令寫進技能裡，偽裝成正常的 Skill 上架，使用者安裝後就可能被植入後門。
Cisco 的 AI 安全團隊在 2026 年 1 月 28 日發表的分析是很具體的佐證。他們測試了一個名為「What Would Elon Do?」的第三方技能，發現它會悄悄執行 curl，把資料送到技能作者控制的外部伺服器，整個過程使用者毫無察覺，並且夾帶提示詞注入以繞過安全指引；這個技能總共被找出 9 個安全問題，其中 2 個屬嚴重、5 個為高風險。OpenClaw 文件同樣把第三方技能視為不受信任的程式碼。
長時間運作後安全規則遭壓縮遺失
資安署點出的第三種風險，是常駐型代理特有的問題。代理運作久了，為了騰出空間，會自動壓縮較早的內容，原本設定好的安全規則與權限設置，可能在壓縮的過程中被刪減，代理就逐漸「忘記」哪些事不該做。
聊天機器人就算前文被壓縮，影響的多半只是一段回答；常駐的代理卻是一路帶著規則在執行操作，規則一旦遺失，後果會落在真實的動作上。所以只寫在對話裡的叮嚀並不可靠，規則要放在每次工作階段都會重新載入的工作區檔案裡。
NVD 已收錄的漏洞編號與修補版本
OpenClaw 是持續有漏洞被發現與修補的軟體，這點從美國國家標準暨技術研究院（NIST）的國家漏洞資料庫 NVD 就看得出來。舉兩個例子，CVE-2026-25253 於 2026 年 2 月 1 日公開，影響 2026.1.29 之前的版本，這些版本會從網址參數取得 gatewayUrl，並在沒有提示的情況下自動建立 WebSocket 連線，同時送出驗證用的 token；NVD 收錄的 CVSS 3.1 評分是 8.8，屬高風險等級。
CVE-2026-33579 於 2026 年 3 月 31 日公開，影響 2026.3.28 之前的版本，問題出在 /pair approve 這條核准路徑，沒有把呼叫者的權限範圍帶入核准檢查，擁有配對權限但不是管理員的人，有機會核准要求更高權限的裝置請求。
這兩筆都已在後續版本修補，有漏洞紀錄不等於用了就會被入侵，重點在版本有沒有跟上。比較實際的做法，是定期升級，並在升級前看過版本說明。
資安署防護提醒與數發部的攻擊事件說明
台灣的政府單位已經針對這類工具發出公開提醒。數位發展部資通安全署在 2026 年 3 月 25 日的新聞稿裡，標題就點名導入 OpenClaw 應落實五項資安防護，內文說明了前面提到的三種風險來源，以及對應的防護措施。
2026 年 8 月 13 日，數位發展部又發布新聞稿，說明政府機關遭境外駭客攻擊，手法是「駭客操作結合 Open Claw 等 AI Agent 輔助攻擊的混合模式」（新聞稿原文將名稱拼成 Open Claw）。數發部表示，AI Agent 可以快速串聯多種攻擊手法，並利用備援、測試等次要系統作為跳板，使攻擊具備速度快、成本低、規模大的特性，並已建立防護指引、強化系統監控與跨機關情資聯防。
兩則新聞稿放在一起看，說的是同一件事，這類工具是雙面刃，使用者能拿它自動化工作，攻擊者也能拿它加快入侵的速度。與其把它們當成嚇人的警告，不如當成回頭檢查自己設定的提醒。
資安署五項防護對應的 OpenClaw 機制多半預設關閉
資安署的五項防護，在 OpenClaw 的文件裡幾乎都找得到對應的機制，但機制存在不等於已經啟用，多數對應的功能預設都是關閉的，得自己設定才會生效。
環境隔離對應沙盒與專用主機
資安署的第 1 項措施，是避免將代理安裝在存放機密資料或日常作業的環境，改部署在全新、已格式化的獨立電腦，或專屬的虛擬機、容器中。在 OpenClaw 裡，對應的是沙盒功能，以及一台專用的機器或虛擬環境。
沙盒預設是關閉的，要自己選擇模式與後端，而且它不是完美的邊界，所以不能取代主機層的隔離。兩者要並用，專用機器負責把整個代理和你的日常環境分開，沙盒則在這個基礎上，進一步限縮工具執行時能碰到的範圍。
最小權限對應工具政策和專屬帳號
第 2 項措施是最小權限，要為代理註冊專屬的獨立帳號，不要直接把個人日常使用的帳號與密碼交給它，並使用有時效性的授權憑證。OpenClaw 的工具政策可以對應其中一部分，它能依代理、頻道等不同層級限制工具，而且是在呼叫模型之前就先套用，被移除的工具，模型連它的規格都收不到。
每個代理也可以設定不同的存取檔位，從完全開放、唯讀，到完全不給檔案與指令的存取權。至於外部服務的專屬帳號和臨時憑證，則是在 OpenClaw 之外處理，你得自己為它另外開一組信箱或雲端帳號，而不是借用自己的。
人工審核對應預設關閉的執行核准
第 3 項措施要求，高風險的操作如存取憑證、發信、執行系統指令，必須強制啟用人工審核，每次執行前都要有人手動確認。對應的是 OpenClaw 的執行核准（exec approvals），指令只有在政策、允許清單與（可選的）使用者核准三者都同意時才會執行，以較嚴格的一方為準，被拒絕的指令不會執行。
這是「建議」與「預設」落差最大的一項。詢問模式有三種：off、on-miss（允許清單沒命中才詢問）、always（每次都詢問），預設是 off，也就是平常不會跳出任何確認。若要符合資安署的建議，得自己改成 on-miss 或 always。
技能審查對應安裝驗證與信任政策
第 4 項措施是安裝第三方技能之前，先對說明與程式碼做完整的安全掃描。OpenClaw 在這個環節提供幾項協助。ClawHub 的技能頁在安裝前會顯示安全掃描狀態，另有驗證指令能查詢技能的信任資訊，驗證沒通過時，指令會以非零狀態結束，方便腳本判斷結果。安裝政策則可以指定一個受信任的檢查指令，先跑完才繼續安裝；技能的路徑也被限制在設定好的根目錄之內。
這幾項都屬於輔助，專案文件仍強調，啟用之前要親自讀過說明與程式碼。業界也有掃描工具能在安裝前多做一次檢查，例如 Cisco 團隊釋出的開源 Skill Scanner。
安全守則對應每次載入的工作區檔案及稽核指令
第 5 項措施是定期審閱並備份長期記憶檔，同時把重要的安全限制直接寫進核心記憶檔案。資安署舉的例子是 MEMORY.md，不過依 OpenClaw 文件，MEMORY.md 只在主要的私人工作階段載入，群組等共用情境讀不到。比較穩妥的做法，是把限制寫進 AGENTS.md、SOUL.md 這類每次工作階段都會載入的工作區檔案，再配合私人備份與定期審閱，規則才不容易在壓縮過程中遺失。
前面提到的 openclaw security audit，適合拿來做定期稽核，檢查範圍包括私訊與信任模型、webhook 與 hooks、沙盒與工具、沙盒瀏覽器、網路與探索、外掛與頻道，以及危險的設定旗標。加上 --fix 時，它只做安全的收緊，例如把開放的群組政策改回白名單，或收緊檔案權限；金鑰輪換、關閉工具與網路暴露的設定，則不在它會更動的範圍內。
機制很多，幾乎都要主動設定。想嘗試 OpenClaw 的人，不妨先想清楚三件事：它要放在哪一台機器、誰能連到它、它被授權碰哪些帳號與檔案，其餘的設定都建立在這三個決定上。權限收到剛好夠用，這隻龍蝦才養得放心。