2026: плагины OpenClaw — fail-closed и обязательный manifest на удалённом физическом Mac‑шлюзе 7×24: аудит openclaw doctor, переключатели ACP dispatch и контролируемый откат (grep + FAQ)

Три класса боли

1. Ограничение: неявные полномочия и «запустилось — в прод». Возможности вроде fs, network или subprocess, не попавшие в manifest, в режиме fail-open часто разрешаются молча — аудит не докажет, что именно было дозволено.
2. Скрытая стоимость: doctor зелёный ≠ политика реально включена. openclaw doctor может закрывать рантайм и порты, тогда как hot reload так и не подхватил новые флаги enforcement manifest — снаружи остаётся legacy‑поведение.
3. Стабильность и аудит: откат без парных снимков — фикция. Агрессивный fail-closed ломает легитимную автоматизацию ночью; без снимков конфигурации и бандла плагина вы окажетесь с правкой JSON под дежурство, нарушая SLO 7×24.

Матрицы fail-closed × manifest

Первая таблица отвечает на вопрос «насколько жёстко». Вторая — на сигналы изменений и проверки.

Чек-лист аудита openclaw doctor

Считайте doctor доказательством того, что политика реально загружена — отмечайте каждый пункт в тикете (ключи сопоставляйте с openclaw.json или переменными окружения по документации вашей поставки).

• Рантайм и PATH: соответствуют пользователю launchd; which openclaw совпадает с бинарником из plist.
• Разрешение manifest: печатает эффективные корни плагинов; отклоняет каталоги без manifest при включённом enforcement.
• Флаги fail-closed: doctor печатает boolean и файл-источник; WARN для релиза — блокер.
• ACP dispatch: состояние переключателя и мощность allow list; пустой allow list при включённом dispatch должен предупреждать, что ни один клиент не войдёт.
• Внешнее здоровье: пара curl на localhost и /ready (если есть), чтобы не получить «самопроверка зелёная, reverse proxy красный».

Переключатели ACP dispatch

ACP dispatch здесь означает, могут ли запросы от агент‑клиентов (IDE, CLI, внешние оркестраторы) попасть в планировщик плагинов. При fail-closed порядок операций: сначала валидация набора плагинов по manifest, затем dispatch как охрана входной двери, чтобы скомпрометированный клиент не прыгнул сразу в high-risk hook.

Иллюстративный JSON (замените ключи на схему вашего релиза перед продом):

{
  "plugins": {
    "requireManifest": true,
    "failClosed": true,
    "manifestSchemaVersion": "2026-05"
  },
  "acp": {
    "dispatchEnabled": true,
    "allowedClientIds": ["ci-runner-prod", "vscode-workspace-ops"],
    "denyByDefault": true
  }
}

Согласуйте allowedClientIds с внутренним OAuth или субъектами mTLS и логируйте декартово произведение clientId × pluginId в JSONL для криминалистики.

Фрагменты grep для приёмки

Запускайте из архива или живого workspace (пути подставьте свои):

# Явные флаги fail-closed / requireManifest
grep -RniE 'failClosed|fail_closed|requireManifest|require_manifest' \
  ~/.config/openclaw ./openclaw.json 2>/dev/null

# У каждого каталога плагина должен быть manifest (нет = не грузим)
find "$OPENCLAW_PLUGIN_ROOT" -maxdepth 2 -type f \( -name 'manifest.json' -o -name 'plugin.yaml' \) | wc -l

# В проде allow list ACP dispatch не должен быть пустым
grep -Rni 'dispatchEnabled|allowedClientIds|denyByDefault' ~/.config/openclaw ./openclaw.json 2>/dev/null

Если первый grep ничего не находит, вы, вероятно, всё ещё на неявном fail-open — не подписывайте прод «на память».

Семь шагов контролируемого отката

1. Заморозка: объявите обслуживание; приостановите cron, расширяющий поверхность вызовов.
2. Снимок: tar openclaw.json, деревьев плагинов, plist launchd и stdout doctor.
3. Обязательные manifest: reload, проверка grep, счётчики «отказ в загрузке».
4. Fail-closed: единые коды ошибок для необъявленных capabilities; пятиминутный базовый JSONL.
5. Ужесточение ACP dispatch: сначала shadow (только лог), затем deny-by-default.
6. Триггер отката: при нарушении SLO восстановите парные снимки, launchctl kickstart, повторите doctor.
7. RCA: обновите grep-чек-лист и тикет; назначьте следующую канарейку.

Ориентиры для сносок

• Окно наблюдения: смотрите минимум пятиминутное скользящее окно после правок политики прежде чем решать «оставить / откатить» — пики при старте не инцидент.
• Хранение снимков: держите в проде три восстановимые ревизии конфигурации, каждая с checksum tarball плагинов.
• Аудит: полный вывод doctor и захваты grep храните с тикетом ≥30 дней под типичные внутренние выборочные проверки комплаенса.

FAQ

Китайская версия: OpenClaw 插件 fail-closed 与 manifest（简体）.