TL;DR - OpenAI 公开了「怎么把 500 个 OpenClaw 智能体关进笼子」的答案

2026 年 11 月 12 日,OpenAI 开发者博客发布长文《Securing persistent agents like OpenClaw at OpenAI》(作者 Kevin S Lin),第一次公开了 OpenAI 内部运行数百个 OpenClaw 智能体时用的加固方案;同日下午 12:36(太平洋时间),OpenClaw 官方账号(@openclaw)转发了该文,称其是了解「OpenClaw Enterprise 如何保护持久化智能体」的必读材料。文章给出的核心答案只有一句:把 Gateway 当作可信代码,把 agent 负载当作不可信代码。

这不是一句口号,而是一整套可落地的边界设计:远程 harness 执行让 Gateway 跑在独立容器(OpenAI 内部是独立集群);沙箱给出四组控制;所有 agent 动作必须经第二个模型 auto-review 审批;每个 agent 拥有独立绑定的 ChatGPT Service Account 身份;控制平面配置变更与每一轮 agent 对话的日志仅对安全团队少数人开放。OpenAI 称,目前在其内部主动后台运行的智能体已超过 500 个,而开源控制平面 OpenClaw Enterprise 仍在试点阶段,1.0 版本计划年内发布。

同一天还有两条独立但同向的消息:其一,ClawCon 官宣落地深圳,2026 年 12 月 4—6 日三天,Claw Hack 黑客松 12 月 4—5 日、报名 11 月 25 日截止,ClawCon 主会 12 月 6 日下午,合作方包括腾讯、NVIDIA、vLLM、M5Stack、Seeed Studio、NYU 上海等;其二,OpenClaw main 分支合并 PR #197851,让更新失败自动回滚——Doctor 检查失败或 Gateway 起不来,直接把系统退回上一个版本,同时 2026.11.4 已通过 PR #198107/#198271 的发布资格放行。

判断:过去一年「持久化智能体能不能进生产」的争论,现在有了来自最大使用方的答案——能,但必须先建边界,再谈规模。

一、核心边界:可信的 Gateway,不可信的 agent

OpenAI 的威胁模型与普通软件不同。持久化智能体全天候运行、可以改自己的配置、可以写任意代码,所以 OpenAI 的原话是:「攻击来自内部,当智能体做出与目标错位的动作时」。应对办法不是加一句更狠的提示词,而是在架构上把确定性逻辑(网络、身份、沙箱)与不可信的模型执行分开。

具体做法是 remote harness execution(远程 harness 执行):让 OpenClaw Gateway 运行在与 agent harness 分离的容器里,OpenAI 内部更进一步,分到分离的集群。Gateway 被当作可信代码,agent 工作负载被当作不可信代码。这一条是整套方案的地基——如果不可信的任务输入(供应商邮件、工单、网页、生成的代码)能触发一条命令去改写执行约束的配置,那这条边界就是循环的:员工不能既是规则的唯一管理员,又受该规则约束。

沙箱控制被 OpenAI 归为四组:

  1. 网络:走组织级管理的允许清单,并做显式拒绝;
  2. 写入:只允许写在 agent 工作目录内;
  3. 进程隔离:使用 Codex Linux 沙箱;
  4. 密钥:由**凭据代理(credential broker)**托管,agent 永远看不到密钥本身。

OpenAI 还公开了示例的 requirements.toml 与 config.toml 配置:移除不受限的 danger-full-access 模式,只允许缓存的托管网页搜索,强制要求托管网络代理,拒绝清单里包含 paste 类站点、webhook 收集站点以及云元数据地址 169.254.169.254;示例还拒绝访问 SSH 凭据目录,并从 agent 命令环境中剥离 GitHub token——同时诚实标注「这并不能隐藏存放在可访问文件里的凭据」。

二、三层加固:auto-review、独立身份、受限日志

在四组沙箱之上,OpenAI 又叠了三层。

auto-review:对所有 agent 动作强制执行自动审查,由第二个模型审批主 agent 的动作,人的注意力被省下来只投给高价值审批。OpenAI 明确指出,这一能力在 OpenClaw 与 Codex 中均为原生支持。

独立身份:每个 agent 绑定自己的 ChatGPT Service Account,从而获得与用户分离的推理凭据——OpenAI 既可以审计它的动作,也可以随时关掉它的推理。

受限日志:OpenAI 记录每一次控制平面配置变更与每一轮 agent 对话,并且这些日志的可见范围只限于安全团队中的少数几个人。

对企业最有价值的一点提醒来自 OpenClaw 官方沙箱配置参考:沙箱容器默认 network: "none",host 被阻断,出站访问必须显式选择 bridge 才能开启;并且 setupCommand 只在容器创建后运行一次、需要网络出口——所以正确做法是把依赖预装进沙箱镜像,而不是为了装包而打开网络。官方还提醒:改完 agents.defaults.sandbox.* 不会影响已在运行的容器,必须执行 openclaw sandbox recreate --all;而 openclaw sandbox explain --agent <name> 可以直接打印当前生效的沙箱模式、工作区访问、工具策略与提权门禁。

三、ClawCon 落地深圳:12 月 4—6 日

OpenClaw 官方博客 11 月 13 日发布《OpenClaw is coming to Shenzhen》(作者 Vincent Koc),宣布 2026 年 12 月 4—6 日在深圳举办为期三天的「爪子嘉年华」:Claw Hack(OpenClaw 黑客松,12 月 4—5 日)与 ClawCon(旗舰大会,12 月 6 日下午)。

黑客松两天都有核心团队成员在场结对编程、审 PR、排障;分软件赛道(Skills、Plugins、集成、本地知识工具、新交互界面)与硬件赛道(M5Stack 开发硬件、Seeed Studio 开源 reBot Arm B601、Pamir 的 Lapis One、Autonomous Lamp,其中部分硬件尚未发布)。报名11 月 25 日截止。

ClawCon 分两条赛道,议题覆盖开源 AI、开放权重模型、构建与评估智能体,以及智能体本地与云端运行到底要花多少钱;还设 Claw Clinic 现场协助配置落地。合作方:腾讯、NVIDIA、vLLM、M5Stack、Seeed Studio、NYU 上海、sspai、Pamir、muShenzhen、Parsewave、Autonomous。两场活动在 Luma 分开报名,想参加三天需分别注册。

四、main 分支:失败更新自动回滚,2026.11.4 放行

对自托管用户更直接的是 main 分支的两处变化。

PR #197851(周四 23:38 太平洋时间合并)让已激活的版本在 Doctor 或 Gateway 启动失败时自动回滚。此前有两个缺口:激活后的回滚没有旧状态模式记录(除非预激活 canary 提供),于是报「回滚状态未验证」并把坏版本留在原地;而没有重启服务的更新根本没有真正启动过新版本。改法是:每次 SQLite 后端更新都读取基线,新增「已激活 Gateway 启动」步骤——在抑制 channels、providers、cron 与 watchers 的情况下用真实状态把新版本启动一次,最多等两分钟看 /readyz 是否就绪;不就绪就走既有回滚流程。PR 的测试表显示:跳过 canary 时,启动崩溃、Doctor 写入非法配置值、状态迁移抛异常这三种情况都会把 main 留在坏 commit 上,而新构建会回滚到上一个版本并保持健康 Gateway。目前 PostgreSQL 状态仍保持旧行为,且当运行中的 Gateway 拥有状态、profile 使用远程 Gateway、或 Gateway 启用 TLS 时该步骤会被跳过。

PR #198107 解除了 2026.11.4 的精确资格阻塞,记录了一次维护者批准的例外:21 项保留的 RSS 内存阈值违规,以及 1 项 Gateway CPU 超限 410.6%(限值 360%);随后 PR #198271(周五 05:23 合并)把这一性能豁免扩大到全部 2026.11.4 性能运行,同时保留正确性、崩溃、数据完整性与安装/更新门禁为强制项。两条 PR 均未改变已发布行为。截至发布前检查点,GitHub 上尚无 2026.11.4 tag 或 release,npm 的 latest 仍为 2026.11.3,beta 为 2026.11.5-beta.2。

同期 main 还有一批实用修复:PR #197846 让 iOS/macOS 原生聊天跨应用重启保留草稿(草稿改为按会话存在客户端本地状态存储),PR #197908 允许编辑排队消息并把被拒消息退回输入框(附「Not sent」提示,已投递的消息绝不回退以免重复),PR #198022 让 Telegram 小组件支持私聊话题(每个小组件记录其话题,tap 先入该话题队列),PR #198214 让只有运行中的 Gateway 才能刷新共享 OAuth 登录,PR #198250 把超过 2500 万像素的截图降采样而非丢弃(上限 64 张,此前一次丢图会中止整个 claude-cli 回合),PR #198163 让 skills update --all 在 Ctrl+C 后只完成当前技能。

五、对企业的四条可执行动作

OpenAI 的方案写得很细,但能立刻落地的其实是四件事:

  1. 先分离,再谈规模。把 Gateway 与 agent 工作负载的信任级别写清楚;哪怕只跑一个 agent,也要确保它改不了自己的权限。
  2. 默认不给网。按官方参考,沙箱出网默认就是关闭的;把装包需求预置进镜像,而不是长期开放出站。
  3. 凭据一律走代理。让 agent 只拿到作用域受限的短期身份,而不是能直接改权限的长期密钥。
  4. 升级前先备份、更新时必须重启。在 2026.11.4 正式发布前,自己动手:更新前备份状态,用会触发重启的方式更新,并确认 Gateway 真的能应答再离开——这正是 PR #197851 的测试表所隐含的操作要求。

判断:这一轮的关键不是「OpenClaw 又更新了什么」,而是「持久化智能体的生产化门槛由谁定义」。OpenAI 用一篇官方博客给出了答案:门槛是一道边界**,不是一份提示词。**

FAQ(高频问题直答)

Q1:OpenAI 到底公开了什么?是 OpenClaw 的功能更新吗? A:不是功能发布,而是架构方法论。OpenAI 公开的是「如何把持久化智能体安全地跑在公司规模上」的完整控制清单——威胁模型、沙箱四组控制、auto-review、独立身份、受限日志。它甚至承认这些是 OpenAI 自己实现细节,不是所有安装自动具备的保护。

Q2:「Gateway 可信、agent 不可信」具体意味着什么? A:意味着 Gateway(负责下发配置)与 agent harness(真正读写、执行代码)跑在分离的容器/集群里,agent 无法通过任何路径改写自己被约束的那一层。这不是「提醒模型别乱来」,而是架构上的强制隔离——一句提示词挡不住一个能改配置文件的进程。

Q3:500 多个 agent 是怎么审计的?靠人看日志吗? A:三层叠加:auto-review 用第二个模型逐个审批动作;每个 agent 绑定独立 ChatGPT Service Account,凭据与用户分离,可单独审计与关停;每一轮对话与每次控制平面配置变更都留日志,但日志只对安全团队少数人开放。人工只介入高价值审批。

Q4:普通公司只跑一两个 agent,这套东西值得照做吗? A:值得照做的恰恰是那四组沙箱控制与凭据代理部分。OpenClaw 官方沙箱参考本身就说明:沙箱默认 network: "none"、host 阻断,出站需显式 bridge;只要沿用默认值,你就已经拿到了最关键的一层。

Q5:ClawCon 我需要注意什么? A:三件事:时间 12 月 4—6 日(Claw Hack 12/4-5,ClawCon 12/6 下午),地点深圳;Claw Hack 报名 11 月 25 日截止,且两场需在 Luma 分别注册;硬件赛道包含尚未发布的设备,以及 M5Stack、Seeed Studio 的开源硬件。

Q6:2026.11.4 什么时候能升级?现在该等还是该升? A:截至发布前检查点,GitHub 尚无 2026.11.4 tag 或 release,npm latest 仍是 2026.11.3。它虽然已通过资格放行(豁免 21 项 RSS 内存阈值违规与 1 项 410.6% 对 360% 的 CPU 超限),但性能豁免被扩大到了全部 2026.11.4 性能运行,建议等正式发布与社区实测后再升。

Q7:升级 OpenClaw 会不会把系统升坏? A:这正是 PR #197851 要解决的:此前失败更新可能留在原地(坏版本不被回滚),而没重启服务的更新根本没启动过新版本。新逻辑会用真实状态把新版本启动一次、等两分钟 /readyz,不就绪就自动回滚。注意 PostgreSQL 状态暂不支持这一回滚路径。

Q8:本地跑 ClawCon 的硬件赛道,安全上要注意什么? A:官方评审也指出:机器人臂、灯具、传感器套件让智能体获得物理副作用,这与代码、网络权限的风险层级不同。给设备做技能时,需要带来清晰的权限说明与物理安全边界——「机器人臂的沙箱」和「容器的沙箱」不是同一件事。

关键术语(Key Terminology)

  • 持久化智能体(persistent agent):全天候运行、拥有较宽目标范围、可在无用户即时指令的情况下主动采取行动的智能体,区别于目标固定、有人类在环的一次性会话。
  • Gateway:OpenClaw 的控制面组件,负责下发配置与策略。在 OpenAI 的架构里它属于可信代码,运行在与 agent 负载分离的容器/集群中。
  • Remote harness execution(远程 harness 执行):让 Gateway 与 agent harness 物理分离的执行模式,是「可信/不可信」边界得以成立的工程前提。
  • Auto-review:由第二个模型对主智能体的每一个动作做审批的控制机制,让人工注意力集中到高价值决策上。
  • 凭据代理(credential broker):替智能体持有并按需下发凭据的中间层,使 agent 永远接触不到密钥本体。
  • ChatGPT Service Account:与用户身份分离的独立推理身份绑定,使单个 agent 可被独立审计,也可被单独关停。
  • 沙箱工作区限制(tools.fs.workspaceOnly 等):把 agent 的写入范围锁在指定工作目录,避免它顺手改写自己的运行配置。
  • ClawCon / Claw Hack:OpenClaw 官方旗舰大会与黑客松。2026 年 12 月 4—6 日落地深圳,Claw Hack 设软件与硬件两条赛道。

参考资料

官方与一手来源

媒体报道(多源交叉验证)