當三個業務線共用一臺跑在 Mac mini 上的 OpenClaw 網關時，第一次事故通常不是「模型不夠聰明」，而是代理發現可以用 curl 把密鑰帶出去，或 rm 與 git 躺在同一路徑旁。2026 年，成熟團隊會把 allowed-tools（顯式允許的工具名）與命令前綴白名單（僅允許 argv[0] 以批准前綴開頭的 shell 調用）組合使用。本文寫給平臺工程與安全共建者：如何在不大面積打斷舊工作流的前提下落地最小權限。策略變更請與 網關 doctor 診斷對齊，並把費用風險交給 令牌與工具節流——白名單防事故，節流防帳單失控。
你將獲得：對比矩陣、路徑歸一化示例、分周發布節奏、macOS 特有問題，以及面向值班的常見問題。
共享網關上的威脅模型
默認假設模型輸出可被誘導：助手的目標是完成任務，而不是遵守你的內網拓撲。任何能發起出站 TLS、任意寫文件或嵌套拉起 shell 的工具，都是橫向移動的跳板。在 macOS 上還要假設 TCC 彈窗會在首次訪問相機、麥克風或全盤數據時出現，用戶點擊「允許」的速度往往快於閱讀 Bundle ID。
在選型前給每個集成打爆炸半徑分數（1～5），5 表示「無需額外提示即可帶走客戶 PII」。4 分及以上應走人工二次確認，而不是塞進通用白名單。
為不同渠道映射不同信任區：來自客戶的 Slack 線程不應與內部排障線程共用同一工具畫像。
每季度用腳本包重放歷史對話裡「邊界可執行片段」做紅隊；若一次收緊後超過 2% 歷史對話失敗，多半是過急而不是被攻擊。
把不可變日誌寫到站外對象存儲（帶對象鎖定），避免被攻陷的網關本地刪證據。
白名單、黑名單與混合模式
| 模式 | 運維負擔 | 安全姿態 | 適用 |
|---|---|---|---|
| 顯式 allowed-tools | 高 | 默認拒絕最強 | 共享 Mac mini 網關 |
| 正則黑名單 | 低 | 弱，易漏新動詞 | 個人開發機 |
| 混合（允許工具 + shell 前綴） | 中 | 強，可審計 | 2026 年多數生產集群 |
混合模式勝在：某些發行版會拆出幾十個微工具，逐一名字維護會變成配置麵條。允許編排工具本身，但用目錄級前綴約束 shell，使 /opt/homebrew/bin 不會悄悄放行未批准的 curl，除非你顯式寫入該二進位絕對路徑。
編寫 allowed-tools 與前綴
清單應以 Git 凍結版本為源，而不是線上「現場發現」，否則你會把上周代理誤試成功的路徑一併固化。示例（欄位名隨發行版略有差異）：
gateway:
allowed_tools:
- read_file
- list_directory
- http_get
shell:
command_prefix_allowlist:
- /usr/bin/git
- /usr/bin/xcodebuild
- /opt/homebrew/bin/node
- /Users/build/ci-scripts/在 CI 用 realpath 歸一化路徑，阻斷通過符號連結繞行：若 /usr/local/bin/git 解析到 /Library/Developer/CommandLineTools/usr/bin/git，白名單應寫解析結果。
控制增長：超過 25 個不同 shell 前綴通常意味著該重構為單一受控目錄下的包裝腳本，而不是繼續堆前綴。
清單使用語義化版本標籤，並在網關日誌行攜帶標籤，事故響應才能秒級定位是哪版策略拒絕了命令。
若必須啟用瀏覽器自動化，請拆到獨立工具畫像，並與寫文件工具互斥，避免同一會話既能抓屏又能改倉庫。
發布節奏與破窗
建議三波：第一周僅記錄「本會拒絕」的命令；第二周在預發強制執行；第三周工作時段在生產開啟並掛值班別名。首次強制執行往往有 5～15% 歷史對話失敗，多數是路徑差異而非攻擊。
維護 15 分鐘 破窗流程：雙人審批、票據記錄臨時放寬、定時自動回滾。沒有定時器的「臨時」幾乎都會變成永久。
對外溝通數位化：每個迭代最多新增 三 個前綴，除非綁定 CVE 或合同條款。
客服培訓要收集完整 stderr，模糊的「命令被拒絕」會浪費大量排障時間。
每次生產收緊後跑 doctor 並記錄延遲中位數；若相對基線惡化超過 120 ms，常與 DNS 或代碼籤名驗證路徑變化有關。
macOS PATH、SIP 與多用戶
launchd 啟動的 LaunchAgent 與交互式 SSH 會話繼承的 PATH 不同；在 tmux 裡「能用」的路徑，在 plist 下可能解析失敗。解決：在 plist 寫死 PATH，並在策略裡引用絕對二進位。
SIP 會阻止替換系統二進位，但不會阻止用戶在 ~/bin 放同名文件。除非目錄屬主為 root 且權限 755，否則不要把用戶可寫目錄寫進前綴白名單。
共享主機應按客戶隔離工作區（獨立 Unix 帳戶或獨立卷）；白名單不能替代文件系統權限。
代理並行 shell 仍可能觸發 fork 風暴，請與 節流指南中的並發上限一起使用。
若缺少備用硬體，可租用雲 Mac mini：MacHTML Apple 晶片實例常見日價約 $16.9，SSH 改 plist、VNC 復現 GUI 授權，比暫停發布便宜。
可審計的遙測
導出計數：每小時被拒絕的工具次數、被拒絕的前綴次數、清單版本、網關構建號。合規審查要按規則 ID 聚合，而不是直接存 argv（可能含密鑰）。
當拒絕量相對七日基線飆升 3× 時告警，常見原因是部署移動了二進位卻未更新前綴。
結構化審計事件至少保留 90 天，更短窗口會漏慢熱濫用。
儀錶盤同時展示合法任務成功率，避免安全指標改善卻悄悄壓垮吞吐。
每季人工抽檢 50 條拒絕事件；多語言倉庫裡的包裝腳本仍會被自動分類誤判。
把 Grafana 標註與觸碰清單的 Git 合併綁定，值班可從尖刺圖直達移動二進位的提交。
在網關 /healthz 響應體攜帶清單哈希，讓負載均衡與合成探測在真實用戶之前發現陳舊配置。
常見問題
白名單能替代網絡出口控制嗎？
不能；若 VPC 缺少出站策略，被允許的 http_get 仍可訪問內網元數據端點。
前綴多久可改一次？
生產網關建議每迭代最多一次，除非在修事故。
開發與生產能否共用一份策略？
僅當開發環境無法觸達生產數據；否則應拆分為兩份清單，避免「在我筆記本上能跑」的漂移。
Apple 晶片 Mac mini仍是驗證 OpenClaw 加固策略的最佳沙箱：真實 TCC、LaunchAgent 調度與 Xcode 工具鏈路徑都與審計預期一致。MacHTML提供可租雲 Mac mini，SSH/VNC 讓你在隔離主機上演練白名單、doctor 與節流，驗證通過後下線，避免為短期項目新增固定資產。