OpenClawセキュリティ：ハードニングベースラインから始める

OpenClawをセルフホストしても、自動的にセキュアになるわけではありません。r/openclawの投稿では、ボットを動かすことよりも、ボットに何を許可するか、誰がアクセスできるか、悪意のあるメッセージがどれほどの損害を与えるかを決めることの方が難しいと指摘しています。この投稿では、OpenClawの文書化されたハードニングベースライン設定について説明しており、最初は閉じて後で開く方法を紹介しています。

Gateway：まずはローカルのみ

最もよくある間違いはGatewayを公開することです。ハードニングベースラインでは以下が必要です：

gateway.mode: "local"
gateway.bind: "loopback"
gateway.auth.mode: "token"

拡大する境界を理解した後にのみ公開してください。

DMセッションの分離

複数の人がボットにDMを送信できる場合、コンテキストの漏洩を防ぐためにセッションの分離が必要です。ハードニングベースラインではsession.dmScope: "per-channel-peer"を使用します。ルール：共有DMと広範なツールアクセスを決して組み合わせないこと。

ツールのブラスト半径

ほとんどの人は、メッセージがどのような権限を継承するかを考える前に、誰がボットにメッセージを送信できるかを考えます。ハードニングベースライン：

tools.profile: "messaging"
group:automation、group:runtime、group:fsを拒否
sessions_spawnとsessions_sendを拒否
exec.security: "deny"およびexec.ask: "always"
elevated.enabled: false

拒否から始め、正当化できる最小限だけを再び有効にします。

グループ：メンション制限

グループはオプトインとし、強い理由がない限りメンションでトリガーされるべきです。ベースラインではすべてのグループにrequireMention: trueを使用します。

実用的な初期設定

{
  "gateway": {
    "mode": "local",
    "bind": "loopback",
    "auth": {
      "mode": "token",
      "token": "replace-with-long-random-token"
    }
  },
  "session": {
    "dmScope": "per-channel-peer"
  },
  "tools": {
    "profile": "messaging",
    "deny": [
      "group:automation",
      "group:runtime",
      "group:fs",
      "sessions_spawn",
      "sessions_send"
    ],
    "fs": {
      "workspaceOnly": true
    },
    "exec": {
      "security": "deny",
      "ask": "always"
    },
    "elevated": {
      "enabled": false
    }
  },
  "channels": {
    "whatsapp": {
      "dmPolicy": "pairing",
      "groups": {
        "*": {
          "requireMention": true
        }
      }
    }
  }
}