​

openclaw security

openclaw security audit
openclaw security audit --deep
openclaw security audit --deep --password <password>
openclaw security audit --deep --token <token>
openclaw security audit --auth password --password <password>
openclaw security audit --fix
openclaw security audit --json

​

監査モード

​

チェック内容

• 複数の DM 送信者がメインセッションを共有している場合に警告し、共有 inbox 向けに安全な DM モード session.dmScope="per-channel-peer" (複数アカウントのチャネルでは per-account-channel-peer) を推奨します。これは協調的な共有 inbox の堅牢化であり、相互に信頼されていないオペレーター同士の分離ではありません。その場合は別々の gateway (または別々の OS ユーザー/ホスト) で信頼境界を分けてください。
• config が共有ユーザーの ingress の可能性を示す場合 (たとえば open DM/group policy、設定済みの group target、ワイルドカード sender rule)、security.trust_model.multi_user_heuristic を出力します。OpenClaw のデフォルトの信頼モデルはパーソナルアシスタント (1 人のオペレーター) であり、敵対的なマルチテナント分離ではありません。意図的な共有ユーザー構成では、すべてのセッションを sandbox 化し、ファイルシステムアクセスをワークスペーススコープに限定し、個人/プライベートの ID や資格情報をそのランタイムに置かないでください。
• 小規模モデル (<=300B パラメーター) が sandbox 化なしで、web/browser ツールを有効にして使われている場合に警告します。

• hooks.token が短い
• hooks.path="/"
• hooks.defaultSessionKey が未設定
• hooks.allowedAgentIds が無制限
• リクエストの sessionKey override が有効
• hooks.allowedSessionKeyPrefixes なしで override が有効

• sandbox モードがオフの状態で sandbox Docker 設定が構成されている場合に警告します。
• gateway.nodes.denyCommands が効果のないパターン風/不明なエントリを使っている場合に警告します (マッチングは厳密な node command-name のみで、shell-text filtering ではありません)。
• gateway.nodes.allowCommands が危険な node command を明示的に有効化している場合に警告します。
• グローバルの tools.profile="minimal" が agent tool profile によって override されている場合に警告します。
• write/edit ツールが無効でも、制約のある sandbox ファイルシステム境界なしで exec がまだ利用可能な場合に警告します。
• open DM または group が、sandbox/workspace guard なしで runtime/filesystem ツールを公開している場合に警告します。
• permissive な tool policy の下で、インストール済み Plugin ツールに到達できる可能性がある場合に警告します。

• sandbox browser が Docker bridge network を sandbox.browser.cdpSourceRange なしで使っている場合に警告します。
• host や container:* namespace join を含む、危険な sandbox Docker network mode を検出します。
• 既存の sandbox browser Docker container に hash label が欠落/古い場合 (たとえば openclaw.browserConfigEpoch が欠落した移行前の container) に警告し、openclaw sandbox recreate --browser --all を推奨します。

• gateway.allowRealIpFallback=true を検出します (proxy の設定ミスがある場合の header spoofing risk)。
• discovery.mdns.mode="full" を検出します (mDNS TXT record 経由の metadata leakage)。
• gateway.auth.mode="none" によって、共有シークレットなしで Gateway HTTP API (/tools/invoke と有効化された任意の /v1/* endpoint) に到達可能になる場合に警告します。

• npm ベースの Plugin/hook install record が pin されていない、integrity metadata がない、または現在インストールされている package version から drift している場合に警告します。
• channel allowlist が stable ID ではなく可変の名前/email/tag に依存している場合に警告します (Discord、Slack、Google Chat、Microsoft Teams、Mattermost、IRC の該当スコープ)。

​

SecretRef の動作

​

抑制

{
  "security": {
    "audit": {
      "suppressions": [
        {
          "checkId": "plugins.tools_reachable_permissive_policy",
          "detailIncludes": "Enabled extension plugins: gbrain",
          "reason": "trusted local operator plugin"
        }
      ]
    }
  }
}

​

JSON 出力

openclaw security audit --json | jq '.summary'
openclaw security audit --deep --json | jq '.findings[] | select(.severity=="critical") | .checkId'

openclaw security audit --fix --json | jq '{fix: .fix.ok, summary: .report.summary}'

​

--fix が変更する内容

• 一般的な groupPolicy="open" を groupPolicy="allowlist" に切り替えます (サポートされる channel の account variant を含む)
• WhatsApp の group policy が allowlist に切り替わる場合、保存済みの allowFrom file が存在し、config に allowFrom がまだ定義されていなければ、その list から groupAllowFrom を seed します
• logging.redactSensitive を "off" から "tools" に設定します
• state/config と一般的な機密ファイル (credentials/*.json、auth-profiles.json、sessions.json、session *.jsonl) の permission を厳格化します
• openclaw.json から参照される config include file も厳格化します
• POSIX host では chmod、Windows では icacls reset を使用します

• token/password/API key のローテーション
• tool (gateway、cron、exec など) の無効化
• gateway bind/auth/network exposure choice の変更
• plugins/skills の削除または書き換え

​

関連

• CLI リファレンス
• セキュリティ監査