2026: OpenClaw Gateway — исходящее управление и защитные ограждения: белый список доменов, Sandbox, аудит JSONL и человек в контуре на удалённом физическом Mac (openclaw.json + FAQ)

2. Точки боли

1. Невидимый рост исходящего трафика. Каждый новый endpoint модели, OAuth или «быстрое» зеркало пакетов расширяет зону поражения; без именованного белого списка при инциденте нельзя отличить ожидаемый трафик агента от компрометации.
2. Инструменты без границ Sandbox. Shell, браузер и файловые инструменты на общем Mac могут дотянуться до пользовательских данных или секретов CI; слишком мягкие умолчания превращают prompt injection в выполнение команд с правами хоста.
3. Пробелы в аудите и отсутствие HITL. JSONL без корреляции request_id и ротации забивает диск и ломает комплаенс; необратимые действия без очереди одобрения дают «тихие операции» и риск на пуле железа.

3. Матрица: ограждение × стратегия

Левый столбец подписывает безопасность; правый — минимально жизнеспособная поза для прод-агентов на общих удалённых Mac.

4. Воспроизводимые фрагменты openclaw.json

Блоки ниже иллюстративны: имена ключей должны совпадать с вашей версией OpenClaw; сливайте без затирания привязок каналов и ссылок на креденшелы, держите метку времени в бэкапе на Mac. Для резервного копирования и выгрузки JSONL в расписании см. OpenClaw Gateway: Cron, бэкап и наблюдаемость JSONL на удалённом Mac 7×24.

4.1 Исходящая политика и белый список доменов

{
  "gateway": {
    "outbound": {
      "defaultPolicy": "deny",
      "profiles": {
        "prod-llm": {
          "allowHosts": [
            "api.openai.com",
            "api.anthropic.com",
            "*.openai.azure.com"
          ],
          "denyHosts": ["metadata.google.internal"],
          "tlsMinVersion": "1.2",
          "dns": { "resolver": "system", "ndots": 1 }
        },
        "breakglass-24h": {
          "allowHosts": ["pypi.org", "files.pythonhosted.org"],
          "expiresAt": "2026-04-17T00:00:00Z",
          "ticket": "SEC-4821"
        }
      },
      "activeProfile": "prod-llm"
    }
  }
}

4.2 Sandbox инструментов (workspace и белый список команд)

{
  "gateway": {
    "tools": {
      "sandbox": {
        "enabled": true,
        "profile": "strict-ci",
        "profiles": {
          "strict-ci": {
            "workspaceRoots": ["/Users/agent/OpenClawWorkspaces/ci-bot"],
            "allowCommands": ["/usr/bin/git", "/usr/bin/curl", "/opt/homebrew/bin/jq"],
            "denyPatterns": ["**/\.ssh/**", "**/Library/Keychains/**"],
            "maxSubprocesses": 4,
            "wallClockMs": 120000,
            "network": "outbound-profile:prod-llm"
          }
        }
      }
    }
  }
}

4.3 Аудит (JSONL)

{
  "gateway": {
    "audit": {
      "enabled": true,
      "sink": "file",
      "path": "/var/log/openclaw/audit.jsonl",
      "rotateBytes": 268435456,
      "fields": [
        "ts", "request_id", "channel", "actor", "tool", "decision",
        "egress_host", "http_status", "latency_ms", "hil_state"
      ],
      "redact": ["authorization", "cookie", "x-api-key"]
    }
  }
}

4.4 Очереди человека в контуре (HITL)

{
  "gateway": {
    "humanInTheLoop": {
      "enabled": true,
      "queues": {
        "default": { "timeoutMs": 300000, "escalateTo": "pagerduty:gateway" }
      },
      "requireApprovalFor": [
        { "toolPattern": "payment.*", "queue": "default" },
        { "toolPattern": "prod-k8s.*", "queue": "default" },
        { "egressHost": "*.corp.internal", "queue": "default" }
      ],
      "dryRunChannels": ["staging-slack"]
    }
  }
}

Держите в согласовании профили исходящего трафика, сеть Sandbox и очереди HITL: инструмент с произвольными хостами не должен обходить defaultPolicy: deny, пока активен только профиль break-glass под аудитом.

5. Семишаговый runbook (удалённый физический Mac)

1. Инвентаризация egress. Соберите FQDN из трасс шлюза за неделю; сравните с целевыми LLM и OAuth; уберите «неизвестные» резолвы до ужесточения.
2. Бэкап и ветка конфигурации. cp openclaw.json openclaw.json.bak.$(date +%Y%m%d%H%M); приложите дифф к тикету.
3. Слияние блоков outbound и Sandbox. Сначала defaultPolicy: deny, затем белые списки; привяжите network инструментов к тем же именам профилей.
4. JSONL-аудит и ротация. Каталог логов — только для пользователя шлюза; при политике — выгрузка ротированных файлов в центральное хранилище.
5. HITL для высокорисковых инструментов. Начните с платежей и прод-оркестрации; для staging используйте dryRunChannels.
6. Золотые тесты на localhost. Один разрешённый запрос, один намеренный deny (ожидайте структурированную блокировку в аудите), одна постановка в HITL с путями одобрения и тайм-аутом.
7. Наблюдаемость и ревью. Дашборды: доля deny, глубина очереди HITL, сбои записи аудита; в календарь — квартальный пересмотр белого списка и команд Sandbox.

6. Разбор deny и HITL

7. Цифры для цитирования (runbook)

• Ротация JSONL: rotateBytes: 268435456 (256 МиБ) на файл перед выгрузкой в холодное хранилище — баланс между криминалистикой и давлением на inode в APFS.
• Ожидание HITL по умолчанию: timeoutMs: 300000 (пять минут) для внутренних очередей ops; короче для клиентских ботов после измерения p95 времени одобрения.
• Wall-clock Sandbox: wallClockMs: 120000 (две минуты) как первый потолок для нестриминговых цепочек — повышайте только с тикетом и профилированием.

8. FAQ

9. Итог и выбор узла

Исходящее управление превращает трафик агента в аудируемый контракт: egress по умолчанию запрещён, инструменты в Sandbox, структурированный JSONL и HITL там, где ошибка дорога. Такой стек позволяет держать OpenClaw на общих физических Mac, не превращая каждый узел в универсальный egress-реле.

macOS добавляет устойчивую ценность для безлюдных шлюзов: Gatekeeper, SIP и FileVault снижают классовый риск вредоносного ПО относительно типичных баз Windows; нативный Unix-стек и стабильный надзор launchd удерживают дрейф конфигурации на виду. Mac mini M4 — часто около 4 Вт в простое, бесшумно и надёжно для нагрузок 7×24 — подходит под шлюз и лёгкие инструменты без стойки. Те же политики на железе ZoneMac совпадают с реальными путями SSH и файлов в runbook.

Если нужны ограждения OpenClaw на предсказуемом Apple Silicon с минимальным операционным шумом, Mac mini M4 — сильная стартовая точка: оформите удалённый физический Mac через ZoneMac и закрепите этот runbook на выделенном узле.