OpenClaw 2.0 于 2026 年 8 月 30 日发布。此次更新加入私密凭据请求、受限密钥替换和更细粒度的操作审批，重点不是让智能体“看到更多秘密”，而是让凭据在不进入聊天记录、会话转录和模型上下文的前提下，被用于经过批准的目标。结合《互联网信息服务管理办法》所体现的“九不准”要求及“七条底线”中的法律法规、公共秩序、社会公德、信息真实性等原则，部署者应把最小权限、人工复核和可追溯审计设为默认规则，而不能把安全责任交给模型自行判断。[1][2]
私密凭据请求解决了什么问题
传统做法常让用户直接在对话框中粘贴 API Key、访问令牌或密码。这些内容可能进入聊天历史、调试日志、模型上下文或导出的会话文件，扩大泄露范围。OpenClaw 2.0 的 Secrets 工具改为由智能体提交凭据名称、使用理由和允许访问的主机，用户再通过受信任的遮罩输入框填写真实值。智能体只会获知该条目已经建立，不会收到凭据原文；聊天渠道也不会把普通文本回复当作凭据答案。官方 Secrets 工具说明智东西报道
这项机制降低了敏感值直接暴露给模型的概率，但不意味着系统已经“绝对安全”。官方文档明确说明，明文凭据如果仍保存在智能体可读取的配置文件、环境文件或历史认证档案中，依然可能被访问。SecretRef 也属于按凭据启用的能力，只有完成迁移并通过审计、清理明文残留后，才能真正缩小本地泄露面。Secrets 管理文档Secrets CLI 文档
第一道控制：限定凭据能够去哪里
审批私密凭据请求时，应认真核对请求者、会话、凭据名称、使用理由和 allowed hosts。主机清单应精确到确有业务需要的服务，不要填写通配域名，也不要为了省事放行不相关的测试站点。官方说明指出，受保护凭据只有在出口目标获得批准时才会被替换；如果不保留任何允许主机，凭据虽能存入仓库，却无法在出口处使用。凭据请求与允许主机说明运行时秘密解析机制
- 按服务拆分：开发、测试和生产环境分别使用不同密钥，不让一个凭据覆盖全部环境。
- 按任务拆分：只读检索使用只读令牌，写入、删除和管理权限另行审批。
- 按目标拆分：支付、代码仓库、消息平台和云服务分别建立凭据，不共享“万能密钥”。
- 按时限拆分：优先采用短期令牌，任务完成后及时撤销或轮换。
第二道控制：限制谁能发起请求
OpenClaw 的 Secrets 工具只提供给主会话，子智能体及其他非主要运行默认不能直接使用。该工具受常规工具策略约束，可以通过允许列表、拒绝列表和工具配置文件控制；不需要该能力的智能体，应在配置中直接禁用，而不是仅依赖操作人员“看到请求后拒绝”。同时，系统没有让智能体自行写入秘密值的操作，凭据必须来自人工遮罩输入、设置页面或管理命令行。Secrets 权限边界凭据存储入口说明
在团队环境中，还要避免把“共享会话”等同于安全隔离。协作者可以参与或接管任务，并不代表其天然获得网关、凭据库和基础设施权限。建议为不同项目配置独立智能体、专用服务账号和独立凭据集合，敏感业务则进一步采用隔离网关或独立运行环境。这样即便某次会话受到提示注入、误操作或越权指令影响，损害范围也被限制在单个任务域内。OpenClaw 2.0 发布说明版本变化交叉核验
第三道控制：让高风险操作逐次审批
最小权限不能止步于“密钥保存得更隐蔽”，还必须限制密钥被用于什么动作。读取公开资料、查询内部数据、发送消息、修改代码、创建云资源和删除数据的风险等级不同。对于写入、支付、发布、删除、批量外发和权限变更，应采用精确到单次操作的审批；当目标、参数或任务内容发生变化时重新申请，避免一次授权演变成长时间、跨任务的通行证。OpenClaw 2.0 的更新资料也将一次性审批和任务变化后重新授权列为重要安全改进。官方版本说明媒体交叉报道
实用判断标准是：若某项操作执行错误后难以恢复、影响第三方权益，或可能传播违法有害、虚假误导及侵犯隐私的信息，就不应交给智能体无条件自动执行。
以“九不准”和“七条底线”设置内容出口
智能体拥有账号、令牌和发布权限后，技术问题会转化为内容治理问题。论坛运营者应在发布链路中拦截危害国家安全、扰乱社会秩序、宣扬违法活动、侵害他人合法权益、传播虚假信息及违背社会公德的内容请求，并对涉及新闻事实、公共事件、医疗、金融及个人信息的输出增加来源核验和人工审核。凭据权限只决定“能否发布”，内容规则还要继续判断“是否应当发布”。
- 发布前：核验事实来源、发布日期、对象身份和引用范围，不允许智能体凭空补全证据。
- 执行中：记录请求者、会话、目标主机、审批人和操作结果，但日志中不得保存秘密原文。
- 发布后：保留撤回、纠错、停用令牌和追踪责任链的能力。
- 异常时：发现越权调用、未知目标或指令突变，应立即拒绝执行并轮换相关凭据。
上线前检查清单
- 确认配置文件、环境文件和历史认证档案中不存在遗留明文凭据。
- 运行秘密审计，处理明文残留、无法解析的引用和优先级冲突。
- 逐个检查 allowed hosts，只保留任务必需的精确目标。
- 关闭非必要智能体和工具配置中的 Secrets 请求能力。
- 为高风险动作启用逐次审批，不把旧批准沿用到变更后的任务。
- 为服务账号设置最小角色、短期令牌、轮换计划和吊销流程。
- 在升级或修改凭据配置前创建并验证备份，异常恢复后重新核验授权状态。
总结
OpenClaw 2.0 的私密凭据请求把敏感值从对话和模型上下文中移出，是重要的安全改进，但它只是最小权限体系的一环。可靠的部署应同时做到：秘密不明文暴露、请求者受到限制、出口主机精确限定、高风险动作逐次审批、内容发布遵守法律与公共秩序底线，并以审计和撤销机制形成闭环。对论坛运营者而言，最稳妥的原则不是“让智能体获得完成所有任务的权限”，而是“让它只在当前任务、当前目标和当前时限内获得刚好够用的权限”。
事件或资料日期：OpenClaw 2.0 官方发布文章日期为 2026 年 8 月 30 日；中文媒体交叉报道日期为 2026 年 8 月 31 日。资料核验时间为 2026 年 9 月 1 日。官方发布文章智东西报道Secrets 工具文档Secrets 管理文档
