Güvenlik

Önce kapsam: kişisel asistan güvenlik modeli

OpenClaw güvenlik kılavuzu bir kişisel asistan dağıtımı varsayar: tek bir güvenilen operatör sınırı, potansiyel olarak birçok agent.

• Desteklenen güvenlik duruşu: gateway başına bir kullanıcı/güven sınırı (sınır başına tercihen bir işletim sistemi kullanıcısı/host/VPS).
• Desteklenen bir güvenlik sınırı değildir: karşılıklı olarak güvenilmeyen veya düşmanca kullanıcılar tarafından kullanılan tek bir paylaşılan gateway/agent.
• Düşmanca kullanıcı izolasyonu gerekiyorsa, güven sınırına göre ayırın (ayrı gateway + kimlik bilgileri ve ideal olarak ayrı işletim sistemi kullanıcıları/host'lar).
• Birden çok güvenilmeyen kullanıcı, araç etkinleştirilmiş tek bir agent'a mesaj gönderebiliyorsa, onları o agent için aynı devredilmiş araç yetkisini paylaşıyor kabul edin.

Bu sayfa, bu model içinde sağlamlaştırmayı açıklar. Tek bir paylaşılan gateway üzerinde düşmanca çok kiracılı izolasyon iddiasında bulunmaz.

Uzak erişimi, DM politikasını, reverse proxy'yi veya genel erişimi değiştirmeden önce, ön kontrol ve geri alma kontrol listesi olarak Gateway erişime açma çalıştırma kılavuzu belgesini kullanın.

Hızlı kontrol: openclaw security audit

Ayrıca bakın: Biçimsel Doğrulama (Güvenlik Modelleri)

Bunu düzenli olarak çalıştırın (özellikle yapılandırmayı değiştirdikten veya ağ yüzeylerini erişime açtıktan sonra):

openclaw security auditopenclaw security audit --deepopenclaw security audit --fixopenclaw security audit --json

security audit --fix kasıtlı olarak dar tutulur: yaygın açık grup politikalarını izin listelerine çevirir, logging.redactSensitive: "tools" ayarını geri yükler, state/config/include-file izinlerini sıkılaştırır ve Windows üzerinde çalışırken POSIX chmod yerine Windows ACL sıfırlamalarını kullanır.

Yaygın riskli hataları işaretler (Gateway kimlik doğrulama erişimi, tarayıcı denetimi erişimi, yükseltilmiş izin listeleri, dosya sistemi izinleri, gevşek exec onayları ve açık kanal araç erişimi).

OpenClaw hem bir ürün hem de bir deneydir: öncü model davranışını gerçek mesajlaşma yüzeylerine ve gerçek araçlara bağlıyorsunuz. "Tamamen güvenli" bir kurulum yoktur. Amaç şu konularda bilinçli olmaktır:

• botunuzla kim konuşabilir
• botun nerede işlem yapmasına izin verilir
• botun nelere dokunabileceği

Hâlâ çalışan en küçük erişimle başlayın, ardından güven kazandıkça genişletin.

Yayınlanmış paket bağımlılık kilidi

OpenClaw kaynak checkout'ları pnpm-lock.yaml kullanır. Yayınlanan openclaw npm paketi ve OpenClaw'a ait npm Plugin paketleri npm-shrinkwrap.json içerir; bu, npm'in yayınlanabilir bağımlılık kilit dosyasıdır. Böylece paket kurulumları, kurulum sırasında yeni bir grafik çözmek yerine sürümden incelenmiş geçişli bağımlılık grafiğini kullanır.

Shrinkwrap bir tedarik zinciri sağlamlaştırma ve sürüm yeniden üretilebilirliği sınırıdır, sandbox değildir. Sade dille model, maintainer komutları ve paket inceleme kontrolleri için npm shrinkwrap bölümüne bakın.

Dağıtım ve host güveni

OpenClaw, host ve yapılandırma sınırının güvenilir olduğunu varsayar:

• Birisi Gateway host state/config değerlerini (~/.openclaw, openclaw.json dahil) değiştirebiliyorsa, onu güvenilen operatör kabul edin.
• Karşılıklı olarak güvenilmeyen/düşmanca birden çok operatör için tek bir Gateway çalıştırmak önerilen bir kurulum değildir.
• Karma güvene sahip ekipler için, güven sınırlarını ayrı gateway'lerle (veya en azından ayrı işletim sistemi kullanıcıları/host'larla) ayırın.
• Önerilen varsayılan: makine/host (veya VPS) başına bir kullanıcı, o kullanıcı için bir gateway ve o gateway içinde bir veya daha fazla agent.
• Tek bir Gateway örneği içinde, kimliği doğrulanmış operatör erişimi güvenilen bir control plane rolüdür; kullanıcı başına tenant rolü değildir.
• Oturum tanımlayıcıları (sessionKey, oturum kimlikleri, etiketler) yönlendirme seçicileridir, yetkilendirme token'ları değildir.
• Birden çok kişi araç etkinleştirilmiş tek bir agent'a mesaj gönderebiliyorsa, her biri aynı izin kümesini yönlendirebilir. Kullanıcı başına oturum/bellek izolasyonu gizliliğe yardımcı olur, ancak paylaşılan bir agent'ı kullanıcı başına host yetkilendirmesine dönüştürmez.

Güvenli dosya işlemleri

OpenClaw, kök sınırlandırmalı dosya erişimi, atomik yazmalar, arşiv çıkarma, geçici çalışma alanları ve gizli dosya yardımcıları için @openclaw/fs-safe kullanır. OpenClaw, fs-safe'in isteğe bağlı POSIX Python yardımcısını varsayılan olarak kapalı tutar; OPENCLAW_FS_SAFE_PYTHON_MODE=auto veya require değerini yalnızca ek fd-relative mutasyon sağlamlaştırması istediğinizde ve bir Python runtime'ını destekleyebildiğinizde ayarlayın.

Ayrıntılar: Güvenli dosya işlemleri.

Paylaşılan Slack workspace: gerçek risk

"Slack'teki herkes bota mesaj gönderebiliyorsa" temel risk, devredilmiş araç yetkisidir:

• izin verilen herhangi bir gönderici, agent'ın politikası içinde araç çağrılarını (exec, tarayıcı, ağ/dosya araçları) tetikleyebilir;
• bir göndericiden gelen prompt/içerik enjeksiyonu, paylaşılan state'i, cihazları veya çıktıları etkileyen eylemlere neden olabilir;
• paylaşılan bir agent'ın hassas kimlik bilgileri/dosyaları varsa, izin verilen herhangi bir gönderici araç kullanımı yoluyla potansiyel olarak veri sızdırmayı yönlendirebilir.

Ekip iş akışları için minimum araçlara sahip ayrı agent'lar/gateway'ler kullanın; kişisel veri agent'larını özel tutun.

Şirketçe paylaşılan agent: kabul edilebilir desen

Bu, o agent'ı kullanan herkes aynı güven sınırı içindeyse (örneğin bir şirket ekibi) ve agent kesinlikle iş kapsamındaysa kabul edilebilir.

• onu ayrılmış bir makinede/VM'de/container'da çalıştırın;
• o runtime için ayrılmış bir işletim sistemi kullanıcısı + ayrılmış tarayıcı/profil/hesaplar kullanın;
• o runtime'da kişisel Apple/Google hesaplarına veya kişisel parola yöneticisi/tarayıcı profillerine oturum açmayın.

Kişisel ve şirket kimliklerini aynı runtime üzerinde karıştırırsanız, ayrımı ortadan kaldırır ve kişisel veri açığa çıkma riskini artırırsınız.

Gateway ve Node güven kavramı

Gateway ve Node'u farklı rollere sahip tek bir operatör güven alanı olarak ele alın:

• Gateway, control plane ve politika yüzeyidir (gateway.auth, araç politikası, yönlendirme).
• Node, bu Gateway ile eşleştirilmiş uzak yürütme yüzeyidir (komutlar, cihaz eylemleri, host'a yerel yetenekler).
• Gateway'e kimliği doğrulanmış bir çağıran, Gateway kapsamında güvenilirdir. Eşleştirmeden sonra, Node eylemleri o Node üzerindeki güvenilen operatör eylemleridir.
• Operatör kapsam seviyeleri ve onay zamanı kontrolleri Operatör kapsamları bölümünde özetlenir.
• Paylaşılan gateway token'ı/parolasıyla kimliği doğrulanmış doğrudan loopback backend istemcileri, bir kullanıcı cihaz kimliği sunmadan dahili control plane RPC'leri yapabilir. Bu, uzak veya tarayıcı eşleştirme atlatması değildir: ağ istemcileri, Node istemcileri, cihaz token'ı istemcileri ve açık cihaz kimlikleri hâlâ eşleştirme ve kapsam yükseltme yaptırımından geçer.
• sessionKey, yönlendirme/bağlam seçimidir; kullanıcı başına auth değildir.
• Exec onayları (izin listesi + sorma), operatör niyeti için koruma bariyerleridir; düşmanca çok kiracılı izolasyon değildir.
• OpenClaw'ın güvenilen tek operatörlü kurulumlar için ürün varsayılanı, gateway/node üzerinde host exec'in onay istemleri olmadan izinli olmasıdır (security="full", siz sıkılaştırmadıkça ask="off"). Bu varsayılan bilinçli UX'tir, tek başına bir güvenlik açığı değildir.
• Exec onayları, tam istek bağlamını ve mümkün olan en iyi doğrudan yerel dosya operandlarını bağlar; her runtime/interpreter loader yolunu anlamsal olarak modellemez. Güçlü sınırlar için sandboxing ve host izolasyonu kullanın.

Düşmanca kullanıcı izolasyonu gerekiyorsa, güven sınırlarını işletim sistemi kullanıcısı/host'a göre ayırın ve ayrı gateway'ler çalıştırın.

Güven sınırı matrisi

Riski triage ederken hızlı model olarak bunu kullanın:

Tasarım gereği güvenlik açığı olmayanlar

60 saniyede sağlamlaştırılmış temel yapılandırma

Önce bu temel yapılandırmayı kullanın, ardından güvenilen agent başına araçları seçici olarak yeniden etkinleştirin:

{  gateway: {    mode: "local",    bind: "loopback",    auth: { mode: "token", token: "replace-with-long-random-token" },  },  session: {    dmScope: "per-channel-peer",  },  tools: {    profile: "messaging",    deny: ["group:automation", "group:runtime", "group:fs", "sessions_spawn", "sessions_send"],    fs: { workspaceOnly: true },    exec: { security: "deny", ask: "always" },    elevated: { enabled: false },  },  channels: {    whatsapp: { dmPolicy: "pairing", groups: { "*": { requireMention: true } } },  },}

Bu, Gateway'i yalnızca yerel tutar, DM'leri izole eder ve control plane/runtime araçlarını varsayılan olarak devre dışı bırakır.

Paylaşılan inbox hızlı kuralı

Birden fazla kişi botunuza DM gönderebiliyorsa:

• session.dmScope: "per-channel-peer" değerini ayarlayın (veya çok hesaplı kanallar için "per-account-channel-peer").
• dmPolicy: "pairing" değerini veya katı izin listelerini koruyun.
• Paylaşılan DM'leri geniş araç erişimiyle asla birleştirmeyin.
• Bu, işbirlikçi/paylaşılan gelen kutularını güçlendirir, ancak kullanıcılar ana makine/yapılandırma yazma erişimini paylaştığında kötü niyetli eş kiracı yalıtımı için tasarlanmamıştır.

Bağlam görünürlük modeli

OpenClaw iki kavramı ayırır:

• Tetikleme yetkilendirmesi: aracıyı kimin tetikleyebileceği (dmPolicy, groupPolicy, izin listeleri, bahsetme kapıları).
• Bağlam görünürlüğü: model girdisine hangi ek bağlamın enjekte edildiği (yanıt gövdesi, alıntılanan metin, konu geçmişi, iletilen meta veriler).

İzin listeleri tetiklemeleri ve komut yetkilendirmesini sınırlar. contextVisibility ayarı, ek bağlamın (alıntılanan yanıtlar, konu kökleri, getirilen geçmiş) nasıl filtreleneceğini denetler:

• contextVisibility: "all" (varsayılan) ek bağlamı alındığı gibi tutar.
• contextVisibility: "allowlist" ek bağlamı etkin izin listesi kontrolleri tarafından izin verilen göndericilere filtreler.
• contextVisibility: "allowlist_quote" allowlist gibi davranır, ancak yine de açıkça alıntılanmış tek bir yanıtı tutar.

contextVisibility değerini kanal başına veya oda/konuşma başına ayarlayın. Kurulum ayrıntıları için Grup Sohbetleri bölümüne bakın.

Danışma amaçlı triyaj rehberi:

• Yalnızca "model, izin listesinde olmayan göndericilerden gelen alıntılanmış veya geçmiş metni görebilir" durumunu gösteren iddialar, kendi başlarına kimlik doğrulama veya sandbox sınırı atlamaları değil, contextVisibility ile ele alınabilen güçlendirme bulgularıdır.
• Güvenlik etkisi taşıması için raporların yine de kanıtlanmış bir güven sınırı atlaması (kimlik doğrulama, ilke, sandbox, onay veya belgelenmiş başka bir sınır) göstermesi gerekir.

Denetimin kontrol ettikleri (üst düzey)

• Gelen erişim (DM ilkeleri, grup ilkeleri, izin listeleri): yabancılar botu tetikleyebilir mi?
• Araç etki alanı (yükseltilmiş araçlar + açık odalar): prompt enjeksiyonu shell/dosya/ağ eylemlerine dönüşebilir mi?
• Exec dosya sistemi sapması: exec/process sandbox dosya sistemi kısıtları olmadan kullanılabilir kalırken değiştirici dosya sistemi araçları reddediliyor mu?
• Exec onay sapması (security=full, autoAllowSkills, strictInlineEval olmadan yorumlayıcı izin listeleri): ana makine exec koruma sınırları hâlâ düşündüğünüz şeyi yapıyor mu?
  • security="full" geniş kapsamlı bir duruş uyarısıdır, bir hatanın kanıtı değildir. Güvenilir kişisel asistan kurulumları için seçilen varsayılandır; bunu yalnızca tehdit modeliniz onay veya izin listesi koruma sınırları gerektirdiğinde sıkılaştırın.
• Ağ maruziyeti (Gateway bağlama/kimlik doğrulama, Tailscale Serve/Funnel, zayıf/kısa kimlik doğrulama belirteçleri).
• Tarayıcı denetimi maruziyeti (uzak düğümler, aktarma portları, uzak CDP uç noktaları).
• Yerel disk hijyeni (izinler, sembolik bağlantılar, yapılandırma include'ları, "eşitlenen klasör" yolları).
• Plugin'ler (Plugin'ler açık bir izin listesi olmadan yüklenir).
• İlke sapması/yanlış yapılandırma (sandbox docker ayarları yapılandırılmış ancak sandbox modu kapalı; eşleşme yalnızca tam komut adıyla yapıldığı (örneğin system.run) ve shell metnini incelemediği için etkisiz gateway.nodes.denyCommands kalıpları; tehlikeli gateway.nodes.allowCommands girdileri; aracı başına profiller tarafından geçersiz kılınan genel tools.profile="minimal"; izin verici araç ilkesi altında erişilebilir Plugin sahipli araçlar).
• Çalışma zamanı beklentisi sapması (örneğin tools.exec.host artık varsayılan olarak auto iken örtük exec'in hâlâ sandbox anlamına geldiğini varsaymak veya sandbox modu kapalıyken açıkça tools.exec.host="sandbox" ayarlamak).
• Model hijyeni (yapılandırılmış modeller eski göründüğünde uyarır; katı bir engel değildir).

--deep çalıştırırsanız OpenClaw ayrıca en iyi çabayla canlı Gateway yoklaması yapmayı dener.

Kimlik bilgisi depolama haritası

Erişimi denetlerken veya neyin yedekleneceğine karar verirken bunu kullanın:

• WhatsApp: ~/.openclaw/credentials/whatsapp/<accountId>/creds.json
• Telegram bot belirteci: yapılandırma/env veya channels.telegram.tokenFile (yalnızca normal dosya; sembolik bağlantılar reddedilir)
• Discord bot belirteci: yapılandırma/env veya SecretRef (env/file/exec sağlayıcıları)
• Slack belirteçleri: yapılandırma/env (channels.slack.*)
• Eşleştirme izin listeleri:
  • ~/.openclaw/credentials/<channel>-allowFrom.json (varsayılan hesap)
  • ~/.openclaw/credentials/<channel>-<accountId>-allowFrom.json (varsayılan olmayan hesaplar)
• Model kimlik doğrulama profilleri: ~/.openclaw/agents/<agentId>/agent/auth-profiles.json
• Codex çalışma zamanı durumu (varsayılan): ~/.openclaw/agents/<agentId>/agent/codex-home/
• Paylaşılan Codex çalışma zamanı durumu (isteğe bağlı): plugins.entries.codex.config.appServer.homeScope "user" olduğunda $CODEX_HOME veya ~/.codex. Bu mod yerel Codex hesabını, yapılandırmasını, plugin'lerini ve konu deposunu kullanır; bunu yalnızca sahip denetimli bir yerel Gateway için etkinleştirin. Codex harness bölümüne bakın.
• Dosya destekli gizli bilgiler yükü (isteğe bağlı): ~/.openclaw/secrets.json
• Eski OAuth içe aktarımı: ~/.openclaw/credentials/oauth.json

Güvenlik denetimi kontrol listesi

Denetim bulgular yazdırdığında bunu öncelik sırası olarak ele alın:

1. "Açık" olan her şey + araçlar etkin: önce DM'leri/grupları kilitleyin (eşleştirme/izin listeleri), sonra araç ilkesini/sandboxing'i sıkılaştırın.
2. Genel ağ maruziyeti (LAN bağlama, Funnel, eksik kimlik doğrulama): hemen düzeltin.
3. Tarayıcı denetimi uzak maruziyeti: bunu operatör erişimi gibi ele alın (yalnızca tailnet, düğümleri bilinçli şekilde eşleştirin, genel maruziyetten kaçının).
4. İzinler: durum/yapılandırma/kimlik bilgileri/kimlik doğrulamanın grup/dünya tarafından okunabilir olmadığından emin olun.
5. Plugin'ler: yalnızca açıkça güvendiğiniz şeyleri yükleyin.
6. Model seçimi: araçları olan herhangi bir bot için modern, talimatlara karşı güçlendirilmiş modelleri tercih edin.

Güvenlik denetimi sözlüğü

Her denetim bulgusu yapılandırılmış bir checkId ile anahtarlanır (örneğin gateway.bind_no_auth veya tools.exec.security_full_configured). Yaygın kritik önem sınıfları:

• fs.* - durum, yapılandırma, kimlik bilgileri, kimlik doğrulama profilleri üzerindeki dosya sistemi izinleri.
• gateway.* - bağlama modu, kimlik doğrulama, Tailscale, Control UI, güvenilen proxy kurulumu.
• hooks.*, browser.*, sandbox.*, tools.exec.* - yüzey başına güçlendirme.
• plugins.*, skills.* - plugin/skill tedarik zinciri ve tarama bulguları.
• security.exposure.* - erişim ilkesinin araç etki alanıyla buluştuğu çapraz kesen kontroller.

Önem düzeyleri, düzeltme anahtarları ve otomatik düzeltme desteğiyle tam kataloğa Güvenlik denetimi kontrolleri bölümünden bakın.

HTTP üzerinden Control UI

Control UI, cihaz kimliği oluşturmak için güvenli bağlam (HTTPS veya localhost) gerektirir. gateway.controlUi.allowInsecureAuth yerel bir uyumluluk anahtarıdır:

• localhost üzerinde, sayfa güvenli olmayan HTTP üzerinden yüklendiğinde cihaz kimliği olmadan Control UI kimlik doğrulamasına izin verir.
• Eşleştirme kontrollerini atlatmaz.
• Uzak (localhost olmayan) cihaz kimliği gereksinimlerini gevşetmez.

HTTPS'yi (Tailscale Serve) tercih edin veya UI'ı 127.0.0.1 üzerinde açın.

Yalnızca acil durum senaryoları için gateway.controlUi.dangerouslyDisableDeviceAuth cihaz kimliği kontrollerini tamamen devre dışı bırakır. Bu ciddi bir güvenlik düşürmesidir; yalnızca etkin olarak hata ayıklıyorsanız ve hızlıca geri alabiliyorsanız kapalı durumdan çıkarın.

Bu tehlikeli bayraklardan ayrı olarak, başarılı gateway.auth.mode: "trusted-proxy" operatör Control UI oturumlarını cihaz kimliği olmadan kabul edebilir. Bu, kasıtlı bir kimlik doğrulama modu davranışıdır, bir allowInsecureAuth kestirmesi değildir ve yine de düğüm rolündeki Control UI oturumlarına genişlemez.

openclaw security audit bu ayar etkinleştirildiğinde uyarır.

Güvensiz veya tehlikeli bayraklar özeti

Bilinen güvensiz/tehlikeli hata ayıklama anahtarları etkinleştirildiğinde openclaw security audit config.insecure_or_dangerous_flags yükseltir. Bunları üretimde ayarlanmamış tutun. Etkinleştirilen her bayrak kendi bulgusu olarak raporlanır. Denetim bastırmaları yapılandırılmışsa, eşleşen bulgular suppressedFindings içine taşınsa bile security.audit.suppressions.active etkin denetim çıktısında kalır.

Ters proxy yapılandırması

Gateway'i bir ters proxy (nginx, Caddy, Traefik vb.) arkasında çalıştırıyorsanız, uygun iletilen istemci IP işleme için gateway.trustedProxies yapılandırın.

Gateway, trustedProxies içinde olmayan bir adresten proxy başlıkları algıladığında bağlantıları yerel istemciler olarak ele almaz. Gateway kimlik doğrulaması devre dışıysa bu bağlantılar reddedilir. Bu, proxied bağlantıların aksi halde localhost'tan gelmiş gibi görünerek otomatik güven alacağı kimlik doğrulama atlamasını önler.

gateway.trustedProxies ayrıca gateway.auth.mode: "trusted-proxy" için de veri sağlar, ancak bu kimlik doğrulama modu daha katıdır:

• trusted-proxy kimlik doğrulaması varsayılan olarak loopback kaynaklı proxy'lerde kapalı şekilde başarısız olur
• aynı ana makinedeki loopback ters proxy'leri, yerel istemci algılama ve iletilen IP işleme için gateway.trustedProxies kullanabilir
• aynı ana makinedeki loopback ters proxy'leri gateway.auth.mode: "trusted-proxy" koşulunu yalnızca gateway.auth.trustedProxy.allowLoopback = true olduğunda karşılayabilir; aksi halde token/parola kimlik doğrulaması kullanın

gateway:  trustedProxies:    - "10.0.0.1" # reverse proxy IP  # Optional. Default false.  # Only enable if your proxy cannot provide X-Forwarded-For.  allowRealIpFallback: false  auth:    mode: password    password: ${OPENCLAW_GATEWAY_PASSWORD}

trustedProxies yapılandırıldığında Gateway, istemci IP'sini belirlemek için X-Forwarded-For kullanır. gateway.allowRealIpFallback: true açıkça ayarlanmadıkça X-Real-IP varsayılan olarak yok sayılır.

Güvenilen proxy başlıkları düğüm cihaz eşleştirmesini otomatik olarak güvenilir yapmaz. gateway.nodes.pairing.autoApproveCidrs ayrı, varsayılan olarak devre dışı bir operatör ilkesidir. Etkinleştirildiğinde bile loopback kaynaklı trusted-proxy başlık yolları düğüm otomatik onayından hariç tutulur, çünkü yerel çağıranlar bu başlıkları taklit edebilir; loopback trusted-proxy kimlik doğrulaması açıkça etkinleştirildiğinde de buna dahildir.

İyi ters proxy davranışı (gelen iletme başlıklarının üzerine yazın):

proxy_set_header X-Forwarded-For $remote_addr;proxy_set_header X-Real-IP $remote_addr;

Kötü ters proxy davranışı (güvenilmeyen iletme başlıklarını ekleyin/koruyun):

proxy_set_header X-Forwarded-For $proxy_add_x_forwarded_for;

HSTS ve origin notları

• OpenClaw gateway, önce yerel/loopback çalışacak şekilde tasarlanmıştır. TLS'yi bir ters proxy'de sonlandırıyorsanız, HSTS'yi oradaki proxy'ye bakan HTTPS etki alanında ayarlayın.
• Gateway HTTPS'yi kendisi sonlandırıyorsa, OpenClaw yanıtlarından HSTS üst bilgisini göndermek için gateway.http.securityHeaders.strictTransportSecurity ayarını yapabilirsiniz.
• Ayrıntılı dağıtım kılavuzu Güvenilir Proxy Kimlik Doğrulaması bölümündedir.
• Loopback olmayan Control UI dağıtımları için gateway.controlUi.allowedOrigins varsayılan olarak gereklidir.
• gateway.controlUi.allowedOrigins: ["*"], sıkılaştırılmış bir varsayılan değil, tüm tarayıcı kaynaklarına açıkça izin veren bir politikadır. Sıkı denetimli yerel testler dışında bundan kaçının.
• Loopback üzerindeki tarayıcı kaynağı kimlik doğrulama hataları, genel loopback muafiyeti etkin olsa bile yine hız sınırına tabidir; ancak kilitleme anahtarı, tek bir paylaşılan localhost kovası yerine normalize edilmiş her Origin değeri başına kapsamlandırılır.
• gateway.controlUi.dangerouslyAllowHostHeaderOriginFallback=true, Host üst bilgisi kaynak geri dönüş modunu etkinleştirir; bunu operatör tarafından seçilmiş tehlikeli bir politika olarak ele alın.
• DNS rebinding ve proxy-host üst bilgisi davranışını dağıtım sıkılaştırma konuları olarak ele alın; trustedProxies değerini dar tutun ve gateway'i doğrudan genel internete açmaktan kaçının.

Yerel oturum günlükleri diskte tutulur

OpenClaw, oturum dökümlerini diskte ~/.openclaw/agents/<agentId>/sessions/*.jsonl altında saklar. Bu, oturum sürekliliği ve isteğe bağlı olarak oturum belleği indeksleme için gereklidir, ancak aynı zamanda dosya sistemi erişimi olan herhangi bir işlem/kullanıcı bu günlükleri okuyabilir anlamına gelir. Disk erişimini güven sınırı olarak ele alın ve ~/.openclaw üzerindeki izinleri sıkılaştırın (aşağıdaki denetim bölümüne bakın). Aracılar arasında daha güçlü yalıtım gerekiyorsa, onları ayrı OS kullanıcıları veya ayrı ana makineler altında çalıştırın.

Node yürütme (system.run)

Bir macOS node eşleştirilmişse, Gateway o node üzerinde system.run çağırabilir. Bu, Mac üzerinde uzaktan kod yürütme anlamına gelir:

• Node eşleştirmesi gerektirir (onay + token).
• Gateway node eşleştirmesi, komut başına bir onay yüzeyi değildir. Node kimliğini/güvenini ve token verilmesini kurar.
• Gateway, gateway.nodes.allowCommands / denyCommands üzerinden kaba bir global node komut politikası uygular.
• Mac üzerinde Settings → Exec approvals ile denetlenir (security + ask + allowlist).
• Node başına system.run politikası, node'un kendi exec onayları dosyasıdır (exec.approvals.node.*); bu, gateway'in global komut kimliği politikasından daha katı veya daha gevşek olabilir.
• security="full" ve ask="off" ile çalışan bir node, varsayılan güvenilir operatör modelini izliyordur. Dağıtımınız açıkça daha sıkı bir onay veya allowlist tutumu gerektirmediği sürece bunu beklenen davranış olarak ele alın.
• Onay modu, tam istek bağlamını ve mümkün olduğunda tek bir somut yerel betik/dosya işlenenini bağlar. OpenClaw bir yorumlayıcı/çalışma zamanı komutu için tam olarak bir doğrudan yerel dosya belirleyemezse, onay destekli yürütme tam anlamsal kapsama sözü vermek yerine reddedilir.
• host=node için onay destekli çalıştırmalar ayrıca kanonik hazırlanmış bir systemRunPlan saklar; daha sonraki onaylanmış iletmeler bu saklanan planı yeniden kullanır ve gateway doğrulaması, onay isteği oluşturulduktan sonra çağıranın komut/cwd/oturum bağlamı düzenlemelerini reddeder.
• Uzaktan yürütme istemiyorsanız, güvenliği deny olarak ayarlayın ve ilgili Mac için node eşleştirmesini kaldırın.

Bu ayrım triage için önemlidir:

• Yeniden bağlanan eşleştirilmiş bir node'un farklı bir komut listesi ilan etmesi, Gateway global politikası ve node'un yerel exec onayları gerçek yürütme sınırını hâlâ zorunlu kılıyorsa tek başına bir güvenlik açığı değildir.
• Node eşleştirme meta verilerini ikinci bir gizli komut başına onay katmanı olarak ele alan raporlar genellikle bir politika/UX karışıklığıdır, güvenlik sınırı atlatması değildir.

Dinamik Skills (izleyici / uzak node'lar)

OpenClaw oturum ortasında Skills listesini yenileyebilir:

• Skills izleyicisi: SKILL.md değişiklikleri, bir sonraki aracı turunda Skills anlık görüntüsünü güncelleyebilir.
• Uzak node'lar: bir macOS node'un bağlanması, macOS'a özgü Skills öğelerini uygun hâle getirebilir (bin yoklamasına göre).

Skill klasörlerini güvenilir kod olarak ele alın ve bunları kimlerin değiştirebileceğini kısıtlayın.

Tehdit modeli

AI asistanınız şunları yapabilir:

• Keyfi shell komutları çalıştırabilir
• Dosyaları okuyabilir/yazabilir
• Ağ hizmetlerine erişebilir
• Herhangi birine mesaj gönderebilir (WhatsApp erişimi verirseniz)

Size mesaj gönderen kişiler şunları yapabilir:

• AI'nızı kötü şeyler yapmaya kandırmaya çalışabilir
• Verilerinize erişim için sosyal mühendislik yapabilir
• Altyapı ayrıntılarını yoklayabilir

Temel kavram: zekâdan önce erişim denetimi

Buradaki çoğu hata karmaşık exploit'ler değildir; "biri bota mesaj attı ve bot isteneni yaptı" durumudur.

OpenClaw'ın yaklaşımı:

• Önce kimlik: botla kimin konuşabileceğine karar verin (DM eşleştirmesi / allowlist'ler / açıkça "open").
• Sonra kapsam: botun nerede işlem yapmasına izin verileceğine karar verin (grup allowlist'leri + mention gating, araçlar, sandboxing, cihaz izinleri).
• En son model: modelin manipüle edilebileceğini varsayın; manipülasyonun sınırlı etki alanına sahip olacağı şekilde tasarlayın.

Komut yetkilendirme modeli

Slash komutları ve yönergeler yalnızca yetkili göndericiler için kabul edilir. Yetkilendirme, kanal allowlist'leri/eşleştirmesi ve commands.useAccessGroups üzerinden türetilir (Yapılandırma ve Slash komutları bölümlerine bakın). Bir kanal allowlist'i boşsa veya "*" içeriyorsa, komutlar o kanal için fiilen herkese açıktır.

/exec, yetkili operatörler için yalnızca oturuma özgü bir kolaylıktır. Yapılandırma yazmaz veya diğer oturumları değiştirmez.

Kontrol düzlemi araçları riski

İki yerleşik araç kalıcı kontrol düzlemi değişiklikleri yapabilir:

• gateway, config.schema.lookup / config.get ile yapılandırmayı inceleyebilir ve config.apply, config.patch ve update.run ile kalıcı değişiklikler yapabilir.
• cron, özgün sohbet/görev bittikten sonra çalışmaya devam eden zamanlanmış işler oluşturabilir.

Aracıya bakan gateway çalışma zamanı aracı, tools.exec.ask veya tools.exec.security değerlerini yeniden yazmayı hâlâ reddeder; eski tools.bash.* alias'ları yazmadan önce aynı korunan exec yollarına normalize edilir. Aracı güdümlü gateway config.apply ve gateway config.patch düzenlemeleri varsayılan olarak güvenli şekilde kapalıdır: yalnızca düşük riskli çalışma zamanı ayarlama, mention-gating ve görünür yanıt yollarından oluşan dar bir küme aracı tarafından ayarlanabilir. Global model varsayılanları ve prompt bindirmeleri operatör denetiminde kalır. Bu nedenle yeni hassas yapılandırma ağaçları, bilinçli olarak allowlist'e eklenmedikçe korunur.

Güvenilmeyen içeriği işleyen herhangi bir aracı/yüzey için bunları varsayılan olarak reddedin:

{  tools: {    deny: ["gateway", "cron", "sessions_spawn", "sessions_send"],  },}

commands.restart=false yalnızca yeniden başlatma eylemlerini engeller. gateway yapılandırma/güncelleme eylemlerini devre dışı bırakmaz.

Plugin'ler

Plugin'ler Gateway ile aynı süreç içinde çalışır. Bunları güvenilir kod olarak ele alın:

• Yalnızca güvendiğiniz kaynaklardan Plugin yükleyin.
• Açık plugins.allow allowlist'lerini tercih edin.
• Etkinleştirmeden önce Plugin yapılandırmasını gözden geçirin.
• Plugin değişikliklerinden sonra Gateway'i yeniden başlatın.
• Plugin yükler veya güncellerseniz (openclaw plugins install <package>, openclaw plugins update <id>), bunu güvenilmeyen kod çalıştırmak gibi ele alın:
  • Yükleme yolu, etkin Plugin yükleme kökü altındaki Plugin başına dizindir.
  • OpenClaw, yükleme/güncelleme sırasında yerleşik yerel tehlikeli kod engelleme çalıştırmaz. Operatöre ait yerel allow/block kararları için security.installPolicy, tanısal tarama için openclaw security audit --deep kullanın.
  • npm ve git Plugin yüklemeleri, paket yöneticisi bağımlılık yakınsamasını yalnızca açık yükleme/güncelleme akışı sırasında çalıştırır. Yerel yollar ve arşivler kendi kendine yeten Plugin paketleri olarak ele alınır; OpenClaw bunları npm install çalıştırmadan kopyalar/referanslar.
  • Sabitlenmiş, tam sürümleri (@scope/pkg@1.2.3) tercih edin ve etkinleştirmeden önce diskte açılmış kodu inceleyin.
  • --dangerously-force-unsafe-install kullanım dışıdır ve artık Plugin yükleme/güncelleme davranışını değiştirmez.
  • Operatörlerin Skills ve Plugin yüklemeleri için ana makineye özgü allow/block kararları verecek güvenilir bir yerel komuta ihtiyaç duyması durumunda security.installPolicy yapılandırın. Bu politika, kaynak malzeme hazırlanıp yerleştirildikten sonra ancak kurulum devam etmeden önce çalışır, ClawHub Skills için de geçerlidir ve kullanımdan kaldırılmış güvensiz bayraklarla atlanmaz.

Ayrıntılar: Plugin'ler

DM erişim modeli: eşleştirme, allowlist, open, devre dışı

Mevcut tüm DM destekli kanallar, gelen DM'leri ileti işlenmeden önce denetleyen bir DM politikası (dmPolicy veya *.dm.policy) destekler:

• pairing (varsayılan): bilinmeyen göndericiler kısa bir eşleştirme kodu alır ve bot, onaylanana kadar mesajlarını yok sayar. Kodlar 1 saat sonra sona erer; tekrarlanan DM'ler yeni bir istek oluşturulana kadar kodu yeniden göndermez. Bekleyen istekler varsayılan olarak kanal başına 3 ile sınırlandırılır.
• allowlist: bilinmeyen göndericiler engellenir (eşleştirme el sıkışması yok).
• open: herkesin DM göndermesine izin ver (genel). Kanal allowlist'inin "*" içermesini gerektirir (açık opt-in).
• disabled: gelen DM'leri tamamen yok say.

CLI ile onaylayın:

openclaw pairing list <channel>openclaw pairing approve <channel> <code>

Ayrıntılar + diskteki dosyalar: Eşleştirme

DM oturum yalıtımı (çok kullanıcılı mod)

Varsayılan olarak OpenClaw, asistanınızın cihazlar ve kanallar arasında sürekliliğe sahip olması için tüm DM'leri ana oturuma yönlendirir. Birden fazla kişi bota DM gönderebiliyorsa (açık DM'ler veya çok kişili allowlist), DM oturumlarını yalıtmayı düşünün:

{  session: { dmScope: "per-channel-peer" },}

Bu, grup sohbetlerini yalıtılmış tutarken kullanıcılar arası bağlam sızıntısını önler.

Bu bir mesajlaşma bağlamı sınırıdır, ana makine yöneticisi sınırı değildir. Kullanıcılar birbirine karşıt ise ve aynı Gateway ana makinesini/yapılandırmasını paylaşıyorsa, bunun yerine güven sınırı başına ayrı gateway'ler çalıştırın.

Güvenli DM modu (önerilir)

Yukarıdaki parçayı güvenli DM modu olarak ele alın:

• Varsayılan: session.dmScope: "main" (süreklilik için tüm DM'ler tek bir oturumu paylaşır).
• Yerel CLI onboarding varsayılanı: ayarlanmamışsa session.dmScope: "per-channel-peer" yazar (mevcut açık değerleri korur).
• Güvenli DM modu: session.dmScope: "per-channel-peer" (her kanal+gönderici çifti yalıtılmış bir DM bağlamı alır).
• Kanallar arası eş yalıtımı: session.dmScope: "per-peer" (her gönderici aynı türdeki tüm kanallar genelinde tek bir oturum alır).

Aynı kanalda birden fazla hesap çalıştırıyorsanız bunun yerine per-account-channel-peer kullanın. Aynı kişi size birden fazla kanaldan ulaşıyorsa, bu DM oturumlarını tek bir kanonik kimlikte birleştirmek için session.identityLinks kullanın. Oturum Yönetimi ve Yapılandırma bölümlerine bakın.

DM'ler ve gruplar için allowlist'ler

OpenClaw'ın iki ayrı "beni kim tetikleyebilir?" katmanı vardır:

• DM izin listesi (allowFrom / channels.discord.allowFrom / channels.slack.allowFrom; eski: channels.discord.dm.allowFrom, channels.slack.dm.allowFrom): doğrudan mesajlarda botla kimin konuşmasına izin verildiği.
  • dmPolicy="pairing" olduğunda, onaylar ~/.openclaw/credentials/ altındaki hesap kapsamlı eşleştirme izin listesi deposuna yazılır (varsayılan hesap için <channel>-allowFrom.json, varsayılan olmayan hesaplar için <channel>-<accountId>-allowFrom.json) ve yapılandırma izin listeleriyle birleştirilir.
• Grup izin listesi (kanala özgü): botun hangi gruplardan/kanallardan/sunuculardan mesaj kabul edeceği.
  • Yaygın desenler:
    • channels.whatsapp.groups, channels.telegram.groups, channels.imessage.groups: requireMention gibi grup başına varsayılanlar; ayarlandığında aynı zamanda grup izin listesi gibi davranır (herkese izin verme davranışını korumak için "*" ekleyin).
    • groupPolicy="allowlist" + groupAllowFrom: bir grup oturumu içinde botu kimin tetikleyebileceğini sınırlar (WhatsApp/Telegram/Signal/iMessage/Microsoft Teams).
    • channels.discord.guilds / channels.slack.channels: yüzey başına izin listeleri + bahsetme varsayılanları.
  • Grup kontrolleri şu sırayla çalışır: önce groupPolicy/grup izin listeleri, sonra bahsetme/yanıtla etkinleştirme.
  • Bir bot mesajını yanıtlamak (örtük bahsetme), groupAllowFrom gibi gönderen izin listelerini atlanmasını sağlamaz.
  • Güvenlik notu: dmPolicy="open" ve groupPolicy="open" ayarlarını son çare ayarları olarak ele alın. Çok nadiren kullanılmalıdırlar; odadaki her üyeye tamamen güvenmiyorsanız eşleştirme + izin listelerini tercih edin.

Ayrıntılar: Yapılandırma ve Gruplar

Prompt injection (nedir, neden önemlidir)

Prompt injection, bir saldırganın modeli güvenli olmayan bir şey yapmaya yönlendiren bir mesaj hazırlamasıdır ("talimatlarını yoksay", "dosya sistemini dök", "bu bağlantıyı izle ve komutları çalıştır" vb.).

Güçlü sistem promptları olsa bile, prompt injection çözülmüş değildir. Sistem prompt korumaları yalnızca yumuşak yönlendirmedir; sert yaptırım araç ilkesinden, yürütme onaylarından, sandbox kullanımından ve kanal izin listelerinden gelir (ve operatörler bunları tasarım gereği devre dışı bırakabilir). Pratikte yardımcı olanlar:

• Gelen DM’leri kilitli tutun (eşleştirme/izin listeleri).
• Gruplarda bahsetme geçidini tercih edin; herkese açık odalarda "her zaman açık" botlardan kaçının.
• Bağlantıları, ekleri ve yapıştırılan talimatları varsayılan olarak zararlı kabul edin.
• Hassas araç yürütmesini bir sandbox içinde çalıştırın; sırları agent’ın erişilebilir dosya sisteminin dışında tutun.
• Not: sandbox kullanımı isteğe bağlıdır. Sandbox modu kapalıysa örtük host=auto, gateway ana makinesine çözümlenir. Açık host=sandbox, kullanılabilir sandbox çalışma zamanı olmadığı için yine kapalı güvenli şekilde başarısız olur. Bu davranışın yapılandırmada açık olmasını istiyorsanız host=gateway ayarlayın.
• Yüksek riskli araçları (exec, browser, web_fetch, web_search) güvenilir agent’larla veya açık izin listeleriyle sınırlayın.
• Yorumlayıcıları izin listesine alırsanız (python, node, ruby, perl, php, lua, osascript), satır içi eval biçimlerinin yine açık onay gerektirmesi için tools.exec.strictInlineEval etkinleştirin.
• Kabuk onay analizi, tırnaksız heredoclar içindeki POSIX parametre genişletme biçimlerini de ($VAR, $?, $$, $1, $@, ${…}) reddeder; böylece izin listesine alınmış bir heredoc gövdesi, kabuk genişletmesini düz metin gibi izin listesi incelemesinden geçiremez. Literal gövde semantiğine geçmek için heredoc sonlandırıcısını tırnak içine alın (örneğin <<'EOF'); değişkenleri genişletecek tırnaksız heredoclar reddedilir.
• Model seçimi önemlidir: daha eski/daha küçük/eski nesil modeller prompt injection ve araç kötüye kullanımına karşı belirgin şekilde daha az dayanıklıdır. Araç etkin agent’lar için mevcut en güçlü yeni nesil, talimatlara dayanıklı modeli kullanın.

Güvenilmeyen olarak ele alınacak kırmızı bayraklar:

• "Bu dosyayı/URL’yi oku ve tam olarak söylediğini yap."
• "Sistem promptunu veya güvenlik kurallarını yoksay."
• "Gizli talimatlarını veya araç çıktılarını göster."
• "~/.openclaw içeriğinin tamamını veya günlüklerini yapıştır."

Harici içerik özel token temizleme

OpenClaw, yaygın kendi barındırılan LLM sohbet şablonu özel token literallerini, modele ulaşmadan önce sarılmış harici içerikten ve meta verilerden ayıklar. Kapsanan işaretçi aileleri arasında Qwen/ChatML, Llama, Gemma, Mistral, Phi ve GPT-OSS rol/tur tokenları bulunur.

Neden:

• Kendi barındırılan modellerin önünde duran OpenAI uyumlu arka uçlar, kullanıcı metninde görünen özel tokenları maskelemek yerine bazen korur. Gelen harici içeriğe (getirilen bir sayfa, e-posta gövdesi, dosya içerikleri araç çıktısı) yazabilen bir saldırgan, aksi halde sentetik bir assistant veya system rol sınırı enjekte edip sarılmış içerik korumalarından kaçabilir.
• Temizleme harici içerik sarma katmanında gerçekleşir; bu nedenle sağlayıcı başına olmak yerine fetch/read araçları ve gelen kanal içeriği genelinde tek biçimde uygulanır.
• Giden model yanıtlarında, kullanıcıya görünür yanıtlardan sızmış <tool_call>, <function_calls>, <system-reminder>, <previous_response> ve benzeri dahili çalışma zamanı iskeletlerini son kanal teslim sınırında ayıklayan ayrı bir temizleyici zaten vardır. Harici içerik temizleyici bunun gelen taraftaki karşılığıdır.

Bu, bu sayfadaki diğer sertleştirmelerin yerine geçmez - dmPolicy, izin listeleri, yürütme onayları, sandbox kullanımı ve contextVisibility hâlâ temel işi yapar. Özel tokenları bozulmadan kullanıcı metniyle ileten kendi barındırılan yığınlara karşı belirli bir tokenizer katmanı atlatmasını kapatır.

Güvenli olmayan harici içerik atlatma bayrakları

OpenClaw, harici içerik güvenlik sarmalamayı devre dışı bırakan açık atlatma bayrakları içerir:

• hooks.mappings[].allowUnsafeExternalContent
• hooks.gmail.allowUnsafeExternalContent
• Cron payload alanı allowUnsafeExternalContent

Rehberlik:

• Üretimde bunları ayarlamayın/false bırakın.
• Yalnızca dar kapsamlı hata ayıklama için geçici olarak etkinleştirin.
• Etkinleştirilirse, ilgili agent’ı izole edin (sandbox + en az araç + ayrılmış oturum ad alanı).

Hooks risk notu:

• Hook payloadları, teslimat kontrol ettiğiniz sistemlerden gelse bile güvenilmeyen içeriktir (posta/belge/web içeriği prompt injection taşıyabilir).
• Zayıf model katmanları bu riski artırır. Hook güdümlü otomasyon için güçlü modern model katmanlarını tercih edin ve araç ilkesini sıkı tutun (tools.profile: "messaging" veya daha katısı), ayrıca mümkün olduğunda sandbox kullanın.

Prompt injection herkese açık DM gerektirmez

Bota yalnızca siz mesaj gönderebilseniz bile, prompt injection botun okuduğu herhangi bir güvenilmeyen içerik üzerinden gerçekleşebilir (web search/fetch sonuçları, tarayıcı sayfaları, e-postalar, belgeler, ekler, yapıştırılan günlükler/kod). Başka bir deyişle: gönderen tek tehdit yüzeyi değildir; içeriğin kendisi karşıt talimatlar taşıyabilir.

Araçlar etkinleştirildiğinde tipik risk, bağlamı dışarı sızdırmak veya araç çağrılarını tetiklemektir. Etki alanını şu şekilde azaltın:

• Güvenilmeyen içeriği özetlemek için salt okunur veya araçları devre dışı bir okuyucu agent kullanın, ardından özeti ana agent’ınıza aktarın.
• Gerekli olmadıkça araç etkin agent’lar için web_search / web_fetch / browser kapalı tutun.
• OpenResponses URL girdileri (input_file / input_image) için sıkı gateway.http.endpoints.responses.files.urlAllowlist ve gateway.http.endpoints.responses.images.urlAllowlist ayarlayın ve maxUrlParts değerini düşük tutun. Boş izin listeleri ayarlanmamış kabul edilir; URL getirmeyi tamamen devre dışı bırakmak istiyorsanız files.allowUrl: false / images.allowUrl: false kullanın.
• OpenResponses dosya girdileri için, çözümlenen input_file metni yine güvenilmeyen harici içerik olarak enjekte edilir. Gateway yerelde çözümledi diye dosya metninin güvenilir olduğuna güvenmeyin. Enjekte edilen blok, bu yol daha uzun SECURITY NOTICE: başlığını atlasa bile açık <<&lt;EXTERNAL_UNTRUSTED_CONTENT ...&gt;>> sınır işaretçilerini ve Source: External meta verisini taşır.
• Aynı işaretçi tabanlı sarma, medya anlama ekli belgelerden metin çıkarıp bu metni medya promptuna eklemeden önce de uygulanır.
• Güvenilmeyen girdiye temas eden tüm agent’lar için sandbox kullanımını ve sıkı araç izin listelerini etkinleştirin.
• Sırları promptların dışında tutun; bunun yerine gateway ana makinesinde env/config üzerinden geçirin.

Kendi barındırılan LLM arka uçları

vLLM, SGLang, TGI, LM Studio gibi OpenAI uyumlu kendi barındırılan arka uçlar veya özel Hugging Face tokenizer yığınları, sohbet şablonu özel tokenlarının nasıl işlendiği konusunda barındırılan sağlayıcılardan farklı olabilir. Bir arka uç, <|im_start|>, <|start_header_id|> veya <start_of_turn> gibi literal dizeleri kullanıcı içeriği içinde yapısal sohbet şablonu tokenları olarak tokenize ederse, güvenilmeyen metin tokenizer katmanında rol sınırları taklit etmeye çalışabilir.

OpenClaw, modele göndermeden önce sarılmış harici içerikten yaygın model ailesi özel token literallerini ayıklar. Harici içerik sarmalamayı etkin tutun ve mevcut olduğunda kullanıcı tarafından sağlanan içerikteki özel tokenları bölen veya kaçışlayan arka uç ayarlarını tercih edin. OpenAI ve Anthropic gibi barındırılan sağlayıcılar kendi istek tarafı temizlemelerini zaten uygular.

Model gücü (güvenlik notu)

Prompt injection direnci model katmanları arasında tekdüze değildir. Daha küçük/daha ucuz modeller, özellikle karşıt promptlar altında araç kötüye kullanımına ve talimat ele geçirmeye genel olarak daha yatkındır.

Öneriler:

• Araç çalıştırabilen veya dosyalara/ağlara temas edebilen herhangi bir bot için en yeni nesil, en iyi katman modeli kullanın.
• Araç etkin agent’lar veya güvenilmeyen gelen kutuları için daha eski/daha zayıf/daha küçük katmanlar kullanmayın; prompt-injection riski çok yüksektir.
• Daha küçük bir model kullanmak zorundaysanız etki alanını azaltın (salt okunur araçlar, güçlü sandbox kullanımı, en az dosya sistemi erişimi, sıkı izin listeleri).
• Küçük modeller çalıştırırken tüm oturumlar için sandbox kullanımını etkinleştirin ve girdiler sıkı şekilde kontrol edilmiyorsa web_search/web_fetch/browser devre dışı bırakın.
• Güvenilir girdili ve araçsız yalnızca sohbet amaçlı kişisel asistanlar için daha küçük modeller genellikle uygundur.

Gruplarda reasoning ve ayrıntılı çıktı

/reasoning, /verbose ve /trace; dahili reasoning, araç çıktısı veya herkese açık bir kanal için amaçlanmamış Plugin tanılamalarını açığa çıkarabilir. Grup ayarlarında bunları yalnızca hata ayıklama olarak ele alın ve açıkça ihtiyaç duymadıkça kapalı tutun.

Rehberlik:

• Herkese açık odalarda /reasoning, /verbose ve /trace devre dışı tutun.
• Etkinleştirirseniz, bunu yalnızca güvenilir DM’lerde veya sıkı denetlenen odalarda yapın.
• Unutmayın: ayrıntılı ve trace çıktısı araç argümanlarını, URL’leri, Plugin tanılamalarını ve modelin gördüğü verileri içerebilir.

Yapılandırma sertleştirme örnekleri

Dosya izinleri

Gateway ana makinesinde config + state özel kalsın:

• ~/.openclaw/openclaw.json: 600 (yalnızca kullanıcı okuma/yazma)
• ~/.openclaw: 700 (yalnızca kullanıcı)

openclaw doctor bu izinler için uyarabilir ve bunları sıkılaştırmayı önerebilir.

Ağ maruziyeti (bind, port, güvenlik duvarı)

Gateway, tek bir portta WebSocket + HTTP çoklar:

• Varsayılan: 18789
• Config/bayraklar/env: gateway.port, --port, OPENCLAW_GATEWAY_PORT

Bu HTTP yüzeyi Control UI ve canvas ana makinesini içerir:

• Control UI (SPA varlıkları) (varsayılan temel yol /)
• Canvas ana makinesi: /__openclaw__/canvas/ ve /__openclaw__/a2ui/ (rastgele HTML/JS; güvenilmeyen içerik olarak ele alın)

Canvas içeriğini normal bir tarayıcıda yüklerseniz, başka herhangi bir güvenilmeyen web sayfası gibi ele alın:

• Canvas ana makinesini güvenilmeyen ağlara/kullanıcılara açmayın.
• Sonuçlarını tamamen anlamadıkça canvas içeriğinin ayrıcalıklı web yüzeyleriyle aynı origin’i paylaşmasına izin vermeyin.

Bind modu, Gateway’in nerede dinlediğini kontrol eder:

• gateway.bind: "loopback" (varsayılan): yalnızca yerel istemciler bağlanabilir.
• Loopback olmayan bind’ler ("lan", "tailnet", "custom") saldırı yüzeyini genişletir. Bunları yalnızca gateway kimlik doğrulaması (paylaşılan token/parola veya doğru yapılandırılmış güvenilir proxy) ve gerçek bir güvenlik duvarıyla kullanın.

Pratik kurallar:

• LAN bağlamaları yerine Tailscale Serve kullanmayı tercih edin (Serve, Gateway'i loopback üzerinde tutar ve erişimi Tailscale yönetir).
• LAN'a bağlamanız gerekiyorsa, bağlantı noktasını kaynak IP'lerden oluşan dar bir izin listesiyle güvenlik duvarında sınırlandırın; geniş kapsamlı port yönlendirmesi yapmayın.
• Gateway'i asla kimlik doğrulamasız olarak 0.0.0.0 üzerinde açmayın.

UFW ile Docker bağlantı noktası yayımlama

OpenClaw'ı bir VPS üzerinde Docker ile çalıştırıyorsanız, yayımlanan konteyner bağlantı noktalarının (-p HOST:CONTAINER veya Compose ports:) yalnızca ana makine INPUT kurallarından değil, Docker'ın yönlendirme zincirlerinden geçirildiğini unutmayın.

Docker trafiğini güvenlik duvarı politikanızla uyumlu tutmak için kuralları DOCKER-USER içinde uygulayın (bu zincir, Docker'ın kendi kabul kurallarından önce değerlendirilir). Birçok modern dağıtımda iptables/ip6tables, iptables-nft ön yüzünü kullanır ve bu kuralları yine nftables arka ucuna uygular.

En küçük izin listesi örneği (IPv4):

# /etc/ufw/after.rules (append as its own *filter section)*filter:DOCKER-USER - [0:0]-A DOCKER-USER -m conntrack --ctstate ESTABLISHED,RELATED -j RETURN-A DOCKER-USER -s 127.0.0.0/8 -j RETURN-A DOCKER-USER -s 10.0.0.0/8 -j RETURN-A DOCKER-USER -s 172.16.0.0/12 -j RETURN-A DOCKER-USER -s 192.168.0.0/16 -j RETURN-A DOCKER-USER -s 100.64.0.0/10 -j RETURN-A DOCKER-USER -p tcp --dport 80 -j RETURN-A DOCKER-USER -p tcp --dport 443 -j RETURN-A DOCKER-USER -m conntrack --ctstate NEW -j DROP-A DOCKER-USER -j RETURNCOMMIT

IPv6'nın ayrı tabloları vardır. Docker IPv6 etkinse /etc/ufw/after6.rules içine eşleşen bir politika ekleyin.

Belge parçacıklarında eth0 gibi arayüz adlarını sabit kodlamaktan kaçının. Arayüz adları VPS imajları arasında değişir (ens3, enp* vb.) ve eşleşmezlikler yanlışlıkla reddetme kuralınızı atlayabilir.

Yeniden yüklemeden sonra hızlı doğrulama:

ufw reloadiptables -S DOCKER-USERip6tables -S DOCKER-USERnmap -sT -p 1-65535 <public-ip> --open

Beklenen harici bağlantı noktaları yalnızca kasıtlı olarak açtıklarınız olmalıdır (çoğu kurulum için: SSH + ters proxy bağlantı noktalarınız).

mDNS/Bonjour keşfi

Paketle gelen bonjour plugin etkinleştirildiğinde, Gateway yerel cihaz keşfi için mDNS üzerinden (_openclaw-gw._tcp, bağlantı noktası 5353) varlığını yayınlar. Tam modda bu, operasyonel ayrıntıları açığa çıkarabilecek TXT kayıtlarını içerir:

• cliPath: CLI ikili dosyasına tam dosya sistemi yolu (kullanıcı adını ve kurulum konumunu açığa çıkarır)
• sshPort: ana makinede SSH kullanılabilirliğini duyurur
• displayName, lanHost: ana makine adı bilgisi

Operasyonel güvenlik değerlendirmesi: Altyapı ayrıntılarını yayınlamak, yerel ağdaki herkes için keşfi kolaylaştırır. Dosya sistemi yolları ve SSH kullanılabilirliği gibi "zararsız" bilgiler bile saldırganların ortamınızı haritalamasına yardımcı olur.

Öneriler:

1. LAN keşfi gerekmedikçe Bonjour'u devre dışı bırakın. Bonjour, macOS ana makinelerinde otomatik başlar ve diğer yerlerde isteğe bağlıdır; doğrudan Gateway URL'leri, Tailnet, SSH veya geniş alan DNS-SD yerel multicast'ten kaçınır.

2. Minimal mod (Bonjour etkinleştirildiğinde varsayılan, açık gateway'ler için önerilir): hassas alanları mDNS yayınlarından çıkarın:

   {  discovery: {    mdns: { mode: "minimal" },  },}

3. Plugin'i etkin tutmak ancak yerel cihaz keşfini bastırmak istiyorsanız mDNS modunu devre dışı bırakın:

   {  discovery: {    mdns: { mode: "off" },  },}

4. Tam mod (isteğe bağlı): TXT kayıtlarına cliPath + sshPort ekleyin:

   {  discovery: {    mdns: { mode: "full" },  },}

5. Ortam değişkeni (alternatif): yapılandırma değişikliği olmadan mDNS'yi devre dışı bırakmak için OPENCLAW_DISABLE_BONJOUR=1 ayarlayın.

Bonjour minimal modda etkinleştirildiğinde, Gateway cihaz keşfi için yeterli bilgiyi (role, gatewayPort, transport) yayınlar ancak cliPath ve sshPort alanlarını çıkarır. CLI yolu bilgisine ihtiyaç duyan uygulamalar bunu bunun yerine kimliği doğrulanmış WebSocket bağlantısı üzerinden alabilir.

Gateway WebSocket'i kilitleyin (yerel kimlik doğrulama)

Gateway kimlik doğrulaması varsayılan olarak zorunludur. Geçerli bir gateway kimlik doğrulama yolu yapılandırılmamışsa, Gateway WebSocket bağlantılarını reddeder (kapalı hata).

Onboarding varsayılan olarak bir token oluşturur (loopback için bile), bu yüzden yerel istemciler kimlik doğrulamalıdır.

Tüm WS istemcilerinin kimlik doğrulaması yapması için bir token ayarlayın:

{  gateway: {    auth: { mode: "token", token: "your-token" },  },}

Doctor sizin için bir tane oluşturabilir: openclaw doctor --generate-gateway-token.

İsteğe bağlı: wss:// kullanırken uzak TLS'yi gateway.remote.tlsFingerprint ile sabitleyin. Düz metin ws://, loopback, özel IP literalleri, .local ve Tailnet *.ts.net gateway URL'leri için kabul edilir. Diğer güvenilir özel DNS adları için, acil durum istisnası olarak istemci sürecinde OPENCLAW_ALLOW_INSECURE_PRIVATE_WS=1 ayarlayın. Bu özellikle yalnızca süreç ortamıdır, bir openclaw.json yapılandırma anahtarı değildir. Mobil eşleştirme ve Android manuel ya da taranmış gateway rotaları daha katıdır: şifresiz bağlantı loopback için kabul edilir, ancak özel LAN, link-local, .local ve noktasız ana makine adları, güvenilir özel ağ şifresiz yoluna açıkça katılmadığınız sürece TLS kullanmalıdır.

Yerel cihaz eşleştirme:

• Aynı ana makine istemcilerini sorunsuz tutmak için cihaz eşleştirme, doğrudan local loopback bağlantılarında otomatik onaylanır.
• OpenClaw ayrıca güvenilir paylaşılan gizli yardımcı akışları için dar bir arka uç/konteyner-yerel kendine bağlanma yoluna sahiptir.
• Aynı ana makine tailnet bağlamaları dahil Tailnet ve LAN bağlantıları, eşleştirme için uzak olarak ele alınır ve yine de onay gerektirir.
• Bir loopback isteğindeki yönlendirilmiş başlık kanıtı, loopback yerelliğini geçersiz kılar. Metadata-yükseltme otomatik onayı dar kapsamlıdır. Her iki kural için Gateway eşleştirme bölümüne bakın.

Kimlik doğrulama modları:

• gateway.auth.mode: "token": paylaşılan bearer token (çoğu kurulum için önerilir).
• gateway.auth.mode: "password": parola kimlik doğrulaması (env üzerinden ayarlamayı tercih edin: OPENCLAW_GATEWAY_PASSWORD).
• gateway.auth.mode: "trusted-proxy": kullanıcıların kimliğini doğrulamak ve kimliği başlıklar üzerinden geçirmek için kimlik farkındalığı olan bir ters proxy'ye güvenin (bkz. Güvenilir Proxy Kimlik Doğrulaması).

Döndürme kontrol listesi (token/parola):

1. Yeni bir secret oluşturun/ayarlayın (gateway.auth.token veya OPENCLAW_GATEWAY_PASSWORD).
2. Gateway'i yeniden başlatın (veya Gateway'i macOS uygulaması denetliyorsa uygulamayı yeniden başlatın).
3. Uzak istemcileri güncelleyin (Gateway'e çağrı yapan makinelerde gateway.remote.token / .password).
4. Eski kimlik bilgileriyle artık bağlanamadığınızı doğrulayın.

Tailscale Serve kimlik başlıkları

gateway.auth.allowTailscale true olduğunda (Serve için varsayılan), OpenClaw Control UI/WebSocket kimlik doğrulaması için Tailscale Serve kimlik başlıklarını (tailscale-user-login) kabul eder. OpenClaw, kimliği yerel Tailscale daemon'u (tailscale whois) üzerinden x-forwarded-for adresini çözümleyip başlıkla eşleştirerek doğrular. Bu yalnızca loopback'e ulaşan ve Tailscale tarafından enjekte edildiği gibi x-forwarded-for, x-forwarded-proto ve x-forwarded-host içeren istekler için tetiklenir. Bu asenkron kimlik denetimi yolu için, aynı {scope, ip} değerine ait başarısız denemeler sınırlayıcı hatayı kaydetmeden önce seri hale getirilir. Bu nedenle bir Serve istemcisinden gelen eşzamanlı hatalı yeniden denemeler, iki düz eşleşmezlik olarak yarışmak yerine ikinci denemeyi hemen kilitleyebilir. HTTP API uç noktaları (örneğin /v1/*, /tools/invoke ve /api/channels/*) Tailscale kimlik-başlığı kimlik doğrulamasını kullanmaz. Bunlar yine de gateway'in yapılandırılmış HTTP kimlik doğrulama modunu izler.

Önemli sınır notu:

• Gateway HTTP bearer kimlik doğrulaması fiilen ya hep ya hiç operatör erişimidir.
• /v1/chat/completions, /v1/responses, /api/v1/admin/rpc gibi plugin rotaları veya /api/channels/* çağırabilen kimlik bilgilerini, bu gateway için tam erişimli operatör secret'ları olarak değerlendirin.
• OpenAI uyumlu HTTP yüzeyinde, paylaşılan-secret bearer kimlik doğrulaması tam varsayılan operatör kapsamlarını (operator.admin, operator.approvals, operator.pairing, operator.read, operator.talk.secrets, operator.write) ve agent dönüşleri için sahip semantiklerini geri yükler; daha dar x-openclaw-scopes değerleri bu paylaşılan-secret yolunu azaltmaz.
• HTTP üzerinde istek başına kapsam semantiği yalnızca istek, güvenilir proxy kimlik doğrulaması gibi kimlik taşıyan bir moddan veya açıkça kimlik doğrulamasız özel bir girişten geldiğinde geçerlidir.
• Bu kimlik taşıyan modlarda, x-openclaw-scopes atlanırsa normal operatör varsayılan kapsam kümesine fallback yapılır; daha dar bir kapsam kümesi istediğinizde başlığı açıkça gönderin. x-openclaw-model gibi sahip düzeyindeki OpenAI uyumlu başlıklar, kapsamlar daraltıldığında operator.admin gerektirir.
• /tools/invoke ve HTTP oturum geçmişi uç noktaları aynı paylaşılan-secret kuralını izler: token/parola bearer kimlik doğrulaması orada da tam operatör erişimi olarak ele alınır, kimlik taşıyan modlar ise bildirilen kapsamları yine de uygular.
• Bu kimlik bilgilerini güvenilmeyen çağıranlarla paylaşmayın; her güven sınırı için ayrı gateway'leri tercih edin.

Güven varsayımı: tokensız Serve kimlik doğrulaması, gateway ana makinesinin güvenilir olduğunu varsayar. Bunu, aynı ana makinedeki kötü niyetli süreçlere karşı koruma olarak değerlendirmeyin. Gateway ana makinesinde güvenilmeyen yerel kod çalışabiliyorsa, gateway.auth.allowTailscale özelliğini devre dışı bırakın ve gateway.auth.mode: "token" veya "password" ile açık paylaşılan-secret kimlik doğrulaması gerektirin.

Güvenlik kuralı: bu başlıkları kendi ters proxy'nizden iletmeyin. Gateway'in önünde TLS sonlandırıyor veya proxy kullanıyorsanız, gateway.auth.allowTailscale özelliğini devre dışı bırakın ve bunun yerine paylaşılan-secret kimlik doğrulaması (gateway.auth.mode: "token" veya "password") ya da Güvenilir Proxy Kimlik Doğrulaması kullanın.

Güvenilir proxy'ler:

• Gateway'in önünde TLS sonlandırıyorsanız, gateway.trustedProxies değerini proxy IP'lerinize ayarlayın.
• OpenClaw, yerel eşleştirme denetimleri ve HTTP kimlik doğrulama/yerel denetimleri için istemci IP'sini belirlemek üzere bu IP'lerden gelen x-forwarded-for (veya x-real-ip) başlığına güvenir.
• Proxy'nizin x-forwarded-for değerinin üzerine yazdığından ve Gateway bağlantı noktasına doğrudan erişimi engellediğinden emin olun.

Bkz. Tailscale ve Web genel bakışı.

Node ana makinesi üzerinden tarayıcı kontrolü (önerilir)

Gateway'iniz uzaksa ancak tarayıcı başka bir makinede çalışıyorsa, tarayıcı makinesinde bir node host çalıştırın ve Gateway'in tarayıcı eylemlerini proxy'lemesine izin verin (bkz. Tarayıcı aracı). Node eşleştirmesini yönetici erişimi gibi değerlendirin.

Önerilen desen:

• Gateway ve node host'u aynı tailnet (Tailscale) üzerinde tutun.
• Node'u kasıtlı olarak eşleştirin; ihtiyacınız yoksa tarayıcı proxy yönlendirmesini devre dışı bırakın.

Kaçının:

• Röle/kontrol bağlantı noktalarını LAN veya genel İnternet üzerinden açmak.
• Tarayıcı kontrol uç noktaları için Tailscale Funnel kullanmak (genel açılma).

Diskteki secret'lar

~/.openclaw/ (veya $OPENCLAW_STATE_DIR/) altındaki her şeyin secret veya özel veri içerebileceğini varsayın:

• openclaw.json: yapılandırma token'lar (gateway, uzak gateway), sağlayıcı ayarları ve izin listeleri içerebilir.
• credentials/**: kanal kimlik bilgileri (örnek: WhatsApp kimlik bilgileri), eşleştirme izin listeleri, eski OAuth içe aktarımları.
• agents/<agentId>/agent/auth-profiles.json: API anahtarları, token profilleri, OAuth token'ları ve isteğe bağlı keyRef/tokenRef.
• agents/<agentId>/agent/codex-home/**: aracı başına Codex app-server hesabı, yapılandırma, skills, plugin'ler, yerel iş parçacığı durumu ve tanılamalar (varsayılan).
• $CODEX_HOME/** veya ~/.codex/**: Codex plugin'i açıkça appServer.homeScope: "user" kullandığında Gateway yerel Codex hesabını, yapılandırmasını, plugin'lerini ve iş parçacıklarını okuyup güncelleyebilir. Bunu ayrıcalıklı sahip erişimi olarak ele alın; mod yalnızca local-stdio'dur ve yerel iş parçacığı yönetimi yalnızca sahibe aittir.
• secrets.json (isteğe bağlı): file SecretRef sağlayıcıları (secrets.providers) tarafından kullanılan dosya destekli gizli yük.
• agents/<agentId>/agent/auth.json: eski uyumluluk dosyası. Statik api_key girdileri keşfedildiğinde temizlenir.
• agents/<agentId>/sessions/**: özel mesajlar ve araç çıktısı içerebilen oturum dökümleri (*.jsonl) + yönlendirme meta verileri (sessions.json).
• paketlenmiş plugin paketleri: yüklü plugin'ler (ayrıca bunların node_modules/ dizinleri).
• sandboxes/**: araç sandbox çalışma alanları; sandbox içinde okuduğunuz/yazdığınız dosyaların kopyalarını biriktirebilir.

Sıkılaştırma ipuçları:

• İzinleri sıkı tutun (dizinlerde 700, dosyalarda 600).
• Gateway ana makinesinde tam disk şifreleme kullanın.
• Ana makine paylaşılıyorsa Gateway için özel bir işletim sistemi kullanıcı hesabı tercih edin.

Çalışma alanı .env dosyaları

OpenClaw aracılar ve araçlar için çalışma alanına yerel .env dosyalarını yükler, ancak bu dosyaların gateway çalışma zamanı denetimlerini sessizce geçersiz kılmasına asla izin vermez.

• Sağlayıcı kimlik bilgisi ortam değişkenleri güvenilmeyen çalışma alanı .env dosyalarından engellenir. Örnekler arasında GEMINI_API_KEY, GOOGLE_API_KEY, XAI_API_KEY, MISTRAL_API_KEY, GROQ_API_KEY, DEEPSEEK_API_KEY, PERPLEXITY_API_KEY, BRAVE_API_KEY, TAVILY_API_KEY, EXA_API_KEY, FIRECRAWL_API_KEY ve yüklü güvenilir plugin'ler tarafından bildirilen sağlayıcı kimlik doğrulama anahtarları bulunur. Sağlayıcı kimlik bilgilerini Gateway işlem ortamına, ~/.openclaw/.env ($OPENCLAW_STATE_DIR/.env) dosyasına, yapılandırma env bloğuna veya isteğe bağlı login-shell içe aktarımına koyun.
• OPENCLAW_* ile başlayan tüm anahtarlar güvenilmeyen çalışma alanı .env dosyalarından engellenir.
• Matrix, Mattermost, IRC ve Synology Chat için kanal uç nokta ayarları da çalışma alanı .env geçersiz kılmalarından engellenir; böylece klonlanan çalışma alanları paketlenmiş bağlayıcı trafiğini yerel uç nokta yapılandırması üzerinden yeniden yönlendiremez. Uç nokta ortam anahtarları (MATRIX_HOMESERVER, MATTERMOST_URL, IRC_HOST, SYNOLOGY_CHAT_INCOMING_URL gibi) çalışma alanından yüklenen bir .env dosyasından değil, gateway işlem ortamından veya env.shellEnv değerinden gelmelidir.
• Engel fail-closed çalışır: gelecekteki bir sürümde eklenen yeni bir çalışma zamanı denetim değişkeni, depoya işlenmiş veya saldırgan tarafından sağlanmış bir .env dosyasından devralınamaz; anahtar yok sayılır ve gateway kendi değerini korur.
• Güvenilir işlem/işletim sistemi ortam değişkenleri, genel çalışma zamanı dotenv'i, yapılandırma env ve etkin login-shell içe aktarımı yine geçerlidir - bu yalnızca çalışma alanı .env dosyası yüklemeyi sınırlar.

Neden: çalışma alanı .env dosyaları sık sık aracı kodunun yanında bulunur, yanlışlıkla commit'lenir veya araçlar tarafından yazılır. Sağlayıcı kimlik bilgilerini engellemek, klonlanan bir çalışma alanının saldırgan denetimindeki sağlayıcı hesaplarını kullanmasını önler. Tüm OPENCLAW_* önekini engellemek, daha sonra yeni bir OPENCLAW_* bayrağı eklendiğinde bunun çalışma alanı durumundan sessiz devralmaya gerilemesini imkansız kılar.

Günlükler ve dökümler (redaksiyon ve saklama)

Erişim denetimleri doğru olsa bile günlükler ve dökümler hassas bilgileri sızdırabilir:

• Gateway günlükleri araç özetleri, hatalar ve URL'ler içerebilir.
• Oturum dökümleri yapıştırılan gizli bilgileri, dosya içeriklerini, komut çıktısını ve bağlantıları içerebilir.

Öneriler:

• Günlük ve döküm redaksiyonunu açık tutun (logging.redactSensitive: "tools"; varsayılan).
• Ortamınız için logging.redactPatterns üzerinden özel desenler ekleyin (token'lar, ana makine adları, dahili URL'ler).
• Tanılamaları paylaşırken ham günlükler yerine openclaw status --all kullanmayı tercih edin (yapıştırılabilir, gizli bilgiler redakte edilmiş).
• Uzun süreli saklamaya ihtiyacınız yoksa eski oturum dökümlerini ve günlük dosyalarını budayın.

Ayrıntılar: Günlükleme

DM'ler: varsayılan olarak eşleştirme

{  channels: { whatsapp: { dmPolicy: "pairing" } },}

Gruplar: her yerde bahsetme gerektir

{  "channels": {    "whatsapp": {      "groups": {        "*": { "requireMention": true }      }    }  },  "agents": {    "list": [      {        "id": "main",        "groupChat": { "mentionPatterns": ["@openclaw", "@mybot"] }      }    ]  }}

Grup sohbetlerinde yalnızca açıkça bahsedildiğinde yanıt verin.

Ayrı numaralar (WhatsApp, Signal, Telegram)

Telefon numarasına dayalı kanallar için yapay zekanızı kişisel numaranızdan ayrı bir telefon numarasında çalıştırmayı düşünün:

• Kişisel numara: Konuşmalarınız gizli kalır
• Bot numarası: Yapay zeka bunları uygun sınırlarla işler

Salt okunur mod (sandbox ve araçlar üzerinden)

Şunları birleştirerek salt okunur bir profil oluşturabilirsiniz:

• agents.defaults.sandbox.workspaceAccess: "ro" (veya çalışma alanı erişimi olmaması için "none")
• write, edit, apply_patch, exec, process vb. engelleyen araç izin/ret listeleri.

Ek sıkılaştırma seçenekleri:

• tools.exec.applyPatch.workspaceOnly: true (varsayılan): sandbox kapalı olsa bile apply_patch komutunun çalışma alanı dizini dışında yazma/silme yapamamasını sağlar. Yalnızca apply_patch komutunun çalışma alanı dışındaki dosyalara dokunmasını bilerek istiyorsanız false olarak ayarlayın.
• tools.fs.workspaceOnly: true (isteğe bağlı): read/write/edit/apply_patch yollarını ve yerel istem görüntüsü otomatik yükleme yollarını çalışma alanı diziniyle sınırlar (bugün mutlak yollara izin veriyorsanız ve tek bir güvenlik bariyeri istiyorsanız kullanışlıdır).
• Dosya sistemi köklerini dar tutun: aracı çalışma alanları/sandbox çalışma alanları için ev dizininiz gibi geniş köklerden kaçının. Geniş kökler hassas yerel dosyaları (örneğin ~/.openclaw altındaki durum/yapılandırma) dosya sistemi araçlarına açabilir.

Güvenli temel yapılandırma (kopyala/yapıştır)

Gateway'i özel tutan, DM eşleştirmesi gerektiren ve her zaman açık grup botlarından kaçınan bir "güvenli varsayılan" yapılandırma:

{  gateway: {    mode: "local",    bind: "loopback",    port: 18789,    auth: { mode: "token", token: "your-long-random-token" },  },  channels: {    whatsapp: {      dmPolicy: "pairing",      groups: { "*": { requireMention: true } },    },  },}

Araç çalıştırmanın da "varsayılan olarak daha güvenli" olmasını istiyorsanız, sahip olmayan tüm aracılar için bir sandbox + tehlikeli araçları reddetme ekleyin (örnek aşağıda "Aracı başına erişim profilleri" altında).

Sohbet güdümlü aracı turları için yerleşik temel: sahip olmayan gönderenler cron veya gateway araçlarını kullanamaz.

Sandboxlama (önerilir)

Özel belge: Sandboxlama

Birbirini tamamlayan iki yaklaşım:

• Tam Gateway'i Docker içinde çalıştırın (konteyner sınırı): Docker
• Araç sandbox'ı (agents.defaults.sandbox, ana makine gateway + sandbox ile yalıtılmış araçlar; Docker varsayılan arka uçtur): Sandboxlama

Sandbox içindeki aracı çalışma alanı erişimini de değerlendirin:

• agents.defaults.sandbox.workspaceAccess: "none" (varsayılan) aracı çalışma alanını erişime kapalı tutar; araçlar ~/.openclaw/sandboxes altındaki bir sandbox çalışma alanına karşı çalışır
• agents.defaults.sandbox.workspaceAccess: "ro" aracı çalışma alanını /agent üzerinde salt okunur bağlar (write/edit/apply_patch komutlarını devre dışı bırakır)
• agents.defaults.sandbox.workspaceAccess: "rw" aracı çalışma alanını /workspace üzerinde okuma/yazma olarak bağlar
• Ek sandbox.docker.binds değerleri normalize edilmiş ve kanonikleştirilmiş kaynak yollarına göre doğrulanır. Üst dizin symlink hileleri ve kanonik ev takma adları, /etc, /var/run veya işletim sistemi ev dizini altındaki kimlik bilgisi dizinleri gibi engellenmiş köklere çözümlenirse yine fail-closed olur.

Alt aracı yetkilendirme güvenlik bariyeri

Oturum araçlarına izin veriyorsanız, yetkilendirilen alt aracı çalıştırmalarını başka bir sınır kararı olarak ele alın:

• Aracının gerçekten yetkilendirmeye ihtiyacı yoksa sessions_spawn komutunu reddedin.
• agents.defaults.subagents.allowAgents ve aracı başına agents.list[].subagents.allowAgents geçersiz kılmalarını bilinen güvenli hedef aracılarla sınırlı tutun.
• Sandbox içinde kalması gereken tüm iş akışları için sessions_spawn komutunu sandbox: "require" ile çağırın (varsayılan inherit).
• sandbox: "require", hedef alt çalışma zamanı sandbox içinde değilse hızlıca başarısız olur.

Tarayıcı denetimi riskleri

Tarayıcı denetimini etkinleştirmek modele gerçek bir tarayıcıyı kullanma yeteneği verir. Bu tarayıcı profili zaten oturum açılmış oturumlar içeriyorsa model bu hesaplara ve verilere erişebilir. Tarayıcı profillerini hassas durum olarak ele alın:

• Aracı için özel bir profil tercih edin (varsayılan openclaw profili).
• Aracıyı kişisel günlük kullanım profilinize yönlendirmekten kaçının.
• Güvenmediğiniz sürece sandbox içindeki aracılar için ana makine tarayıcı denetimini devre dışı tutun.
• Bağımsız loopback tarayıcı denetimi API'si yalnızca paylaşılan gizli kimlik doğrulamayı (gateway token bearer auth veya gateway parolası) dikkate alır. Trusted-proxy veya Tailscale Serve kimlik başlıklarını kullanmaz.
• Tarayıcı indirmelerini güvenilmeyen girdi olarak ele alın; yalıtılmış bir indirme dizini tercih edin.
• Mümkünse aracı profilinde tarayıcı senkronizasyonunu/parola yöneticilerini devre dışı bırakın (etki alanını azaltır).
• Uzak gateway'ler için "tarayıcı denetimi"ni, profilin erişebildiği her şeye "operatör erişimi"ne eşdeğer varsayın.
• Gateway ve node ana makinelerini yalnızca tailnet erişimli tutun; tarayıcı denetim portlarını LAN'a veya genel İnternet'e açmaktan kaçının.
• İhtiyacınız olmadığında tarayıcı proxy yönlendirmesini devre dışı bırakın (gateway.nodes.browser.mode="off").
• Chrome MCP mevcut oturum modu "daha güvenli" değildir; o ana makine Chrome profilinin erişebildiği her yerde sizin gibi hareket edebilir.

Tarayıcı SSRF politikası (varsayılan olarak katı)

OpenClaw'ın tarayıcı gezinme politikası varsayılan olarak katıdır: özel/dahili hedefler, siz açıkça izin vermedikçe engelli kalır.

• Varsayılan: browser.ssrfPolicy.dangerouslyAllowPrivateNetwork ayarlanmamıştır, bu nedenle tarayıcı gezinmesi özel/dahili/özel kullanımlı hedefleri engelli tutar.
• Eski takma ad: browser.ssrfPolicy.allowPrivateNetwork uyumluluk için hâlâ kabul edilir.
• İzinli mod: özel/dahili/özel kullanımlı hedeflere izin vermek için browser.ssrfPolicy.dangerouslyAllowPrivateNetwork: true ayarlayın.
• Katı modda, açık istisnalar için hostnameAllowlist (*.example.com gibi desenler) ve allowedHostnames (localhost gibi engellenmiş adlar dahil kesin ana makine istisnaları) kullanın.
• Yönlendirmeye dayalı geçişleri azaltmak için gezinme istekten önce kontrol edilir ve gezinmeden sonra son http(s) URL'sinde en iyi çabayla yeniden kontrol edilir.

Örnek katı politika:

{  browser: {    ssrfPolicy: {      dangerouslyAllowPrivateNetwork: false,      hostnameAllowlist: ["*.example.com", "example.com"],      allowedHostnames: ["localhost"],    },  },}

Aracı başına erişim profilleri (çok aracılı)

Çok aracılı yönlendirme ile her aracı kendi sandbox + araç politikasına sahip olabilir: bunu aracı başına tam erişim, salt okunur veya erişim yok vermek için kullanın. Tüm ayrıntılar ve öncelik kuralları için Çok Aracılı Sandbox ve Araçlar bölümüne bakın.

Yaygın kullanım durumları:

• Kişisel aracı: tam erişim, sandbox yok
• Aile/iş aracı: sandbox içinde + salt okunur araçlar
• Genel aracı: sandbox içinde + dosya sistemi/kabuk araçları yok

Örnek: tam erişim (sandbox yok)

{  agents: {    list: [      {        id: "personal",        workspace: "~/.openclaw/workspace-personal",        sandbox: { mode: "off" },      },    ],  },}

Örnek: salt okunur araçlar + salt okunur çalışma alanı

{  agents: {    list: [      {        id: "family",        workspace: "~/.openclaw/workspace-family",        sandbox: {          mode: "all",          scope: "agent",          workspaceAccess: "ro",        },        tools: {          allow: ["read"],          deny: ["write", "edit", "apply_patch", "exec", "process", "browser"],        },      },    ],  },}

Örnek: dosya sistemi/kabuk erişimi yok (sağlayıcı mesajlaşmasına izin verilir)

{  agents: {    list: [      {        id: "public",        workspace: "~/.openclaw/workspace-public",        sandbox: {          mode: "all",          scope: "agent",          workspaceAccess: "none",        },        // Session tools can reveal sensitive data from transcripts. By default OpenClaw limits these tools        // to the current session + spawned subagent sessions, but you can clamp further if needed.        // See `tools.sessions.visibility` in the configuration reference.        tools: {          sessions: { visibility: "tree" }, // self | tree | agent | all          allow: [            "sessions_list",            "sessions_history",            "sessions_send",            "sessions_spawn",            "session_status",            "whatsapp",            "telegram",            "slack",            "discord",          ],          deny: [            "read",            "write",            "edit",            "apply_patch",            "exec",            "process",            "browser",            "canvas",            "nodes",            "cron",            "gateway",            "image",          ],        },      },    ],  },}

Olay müdahalesi

Yapay zekanız kötü bir şey yaparsa:

Sınırla

1. Durdurun: macOS uygulamasını durdurun (Gateway'i denetliyorsa) veya openclaw gateway sürecinizi sonlandırın.
2. Açıklığı kapatın: ne olduğunu anlayana kadar gateway.bind: "loopback" ayarlayın (veya Tailscale Funnel/Serve özelliğini devre dışı bırakın).
3. Erişimi dondurun: riskli DM'leri/grupları dmPolicy: "disabled" durumuna geçirin / bahsetme zorunluluğu getirin ve varsa "*" tümüne izin ver girişlerini kaldırın.

Döndür (gizli bilgiler sızdıysa ele geçirilmiş varsayın)

1. Gateway kimlik doğrulamasını (gateway.auth.token / OPENCLAW_GATEWAY_PASSWORD) döndürün ve yeniden başlatın.
2. Gateway'i çağırabilen tüm makinelerde uzak istemci gizli bilgilerini (gateway.remote.token / .password) döndürün.
3. Sağlayıcı/API kimlik bilgilerini (WhatsApp kimlik bilgileri, Slack/Discord token'ları, auth-profiles.json içindeki model/API anahtarları ve kullanıldığında şifrelenmiş gizli yük değerleri) döndürün.

Denetle

1. Gateway günlüklerini kontrol edin: /tmp/openclaw/openclaw-YYYY-MM-DD.log (veya logging.file).
2. İlgili transkriptleri gözden geçirin: ~/.openclaw/agents/<agentId>/sessions/*.jsonl.
3. Son yapılandırma değişikliklerini gözden geçirin (erişimi genişletmiş olabilecek her şey: gateway.bind, gateway.auth, DM/grup ilkeleri, tools.elevated, plugin değişiklikleri).
4. openclaw security audit --deep komutunu yeniden çalıştırın ve kritik bulguların çözüldüğünü doğrulayın.

Bir rapor için topla

• Zaman damgası, gateway ana makine işletim sistemi + OpenClaw sürümü
• Oturum transkriptleri + kısa bir günlük sonu (redaksiyondan sonra)
• Saldırganın ne gönderdiği + agent'ın ne yaptığı
• Gateway'in loopback ötesine açılıp açılmadığı (LAN/Tailscale Funnel/Serve)

Gizli bilgi taraması

CI, depo üzerinde pre-commit detect-private-key kancasını çalıştırır. Başarısız olursa, commit'lenmiş anahtar materyalini kaldırın veya döndürün, ardından yerelde yeniden üretin:

pre-commit run --all-files detect-private-key

Güvenlik sorunlarını bildirme

OpenClaw'da bir güvenlik açığı mı buldunuz? Lütfen sorumlu şekilde bildirin:

1. E-posta: security@openclaw.ai
2. Düzeltilene kadar herkese açık paylaşmayın
3. Size teşekkür edeceğiz (anonim kalmayı tercih etmezseniz)