Human-in-the-loop 安全层，拦截高风险命令并通过推送通知请求人工审批，防止误操作与恶意执行。
说明：
# ClawShell 综合评估
## 核心用法
ClawShell 是 OpenClaw 生态的安全中间件，通过替换标准 `bash` 工具实现命令执行的风险管控。Agent 调用 `clawshell_bash` 时，系统会基于内置规则与可配置策略对命令进行四级风险分类：
– **Critical（致命）**：如 `rm -rf /`、fork bomb 等，自动拦截
– **High（高危）**：如 `rm -rf`、外网 `curl`、凭证读取，推送通知等待人工审批
– **Medium（中危）**：如 `npm install`、`git push`，仅记录日志后放行
– **Low（低危）**：如 `ls`、`cat`，直接执行
配套工具包括 `clawshell_status`（查看待审批请求）和 `clawshell_logs`（审计日志查询）。支持 Pushover 与 Telegram 双通道推送，默认 300 秒超时。
## 显著优点
– **人机协同（Human-in-the-loop）**：高危操作强制引入人类判断，阻断自动化灾难
– **分层防御**：四级风险模型兼顾安全性与执行效率，避免过度拦截
– **完整审计**：JSONL 结构化日志支持事后追溯与合规审计
– **配置灵活**：环境变量 + YAML 双配置，支持自定义黑白名单（glob/正则）
– **零侵入集成**：通过 TOOLS.md 引导 Agent 自动切换，无需修改业务代码
## 潜在局限
– **可被绕过**：LLM 可通过编码、拆分、混淆命令绕过模式匹配（文档已明确警示）
– **延迟问题**：高危命令阻塞等待人工响应，不适合 CI/CD 等自动化场景
– **依赖外部服务**：Pushover/Telegram 网络故障或密钥泄露将导致审批链路失效
– **非安全沙箱**：仅为策略层防护，不能替代操作系统级隔离
## 适合人群
– 使用 OpenClaw 进行本地文件系统操作的开发者
– 对 Agent 执行命令有顾虑、希望保留最终否决权的用户
– 需要审计轨迹的合规敏感场景
## 常规风险
| 风险类型 | 说明 |
|———|——|
| 社会工程绕过 | 攻击者诱导用户点击”批准” |
| 配置泄露 | Pushover/ Telegram 密钥存储不当 |
| 审批疲劳 | 高频高危操作导致用户习惯性通过 |
| 单点故障 | 推送服务不可用或延迟过长 |
> 官方明确建议：始终启用 OpenClaw sandbox 模式作为底层防护，ClawShell 仅作补充层。
会员专属
