OpenClaw：陪聊层的选择与一次僵尸事故

OpenClaw 是你 8 月想用来做"陪聊层"的项目：它跟你在手机上聊，把活递给集团席位干。这一页讲它的官方拓扑、递活机制、安全实底，以及 OC2 上那个从来没跑起来、每秒崩一次、崩了五个月的网关。

调研 2026 年 8 月 13 日；事故处置 8 月 30 日。9 月 NVIDIA 给它加的企业层 NemoClaw，Grok 核完另页补。

先记三样

位置：陪聊层是商品，该用不该造；但它安全债重，只参照不装第二管家。
抄与不抄：抄：一台机一个网关、设备配对、NemoClaw 密钥留网关。不抄：技能市场、公网绑定。
一个数：OC2 那个网关崩了五个月攒 14.6 GB 日志。一条令："拉起工具配错了要有人看日志；密钥留网关，agent 只看占位符。"

一句话

OpenClaw 是一个“个人 AI 网关”：一台机跑 gateway，和你的 IM（Telegram 等）对接，能自己跑 agent、定时任务、接 webhook，也能通过插件把活派给 Claude Code、Codex 这类外部 agent。

解决什么

你要的三样体验：手机一句话指挥集团机器、定时任务和自动化、多机编排实验。集团席位擅长干活，不擅长陪聊。OpenClaw 补的是“陪聊并递活”这一层。你当时定的分工原话：他们陪聊，你们干活。陪聊层本身不需要大权限，也不要隔离仪式。

架构

你的手机 IM ──► gateway（LG01，loopback:18789，Tailscale serve 只对 tailnet 开）
                  │
                  ├─► 内建 agent / Automations（定时）/ webhook 出入
                  ├─► ACP 插件 @openclaw/acpx ──► /acp spawn claude（会话跑在 gateway 主机）
                  ├─► MCP 双向（openclaw mcp add / mcp serve）
                  └─► node（远程机）：tools.exec.host=node，逐 node 白名单，审批存 node 本机

核心机制

一 gateway 多 node 的星形拓扑。 gateway 默认只绑回环地址，非回环绑定强制鉴权；Tailscale 是一等公民。
递活走 ACP。 sessions_spawn {runtime:"acp"} 能起一个 Claude Code 会话并 resume，但会话跑在 gateway 主机上；远程 node 整会话托管当时没实现。
CalVer 加基金会。 版本号按日期（2026.7.1），作者 2026 年 2 月加入 OpenAI 后项目交给基金会，维护活跃。Windows 已是一等公民（Windows Hub 或 headless node）。

值得借鉴

“陪聊层和执行层分开”这个分工本身。 不管最后用不用 OpenClaw，把“跟人说话的入口”和“真正干活的席位”拆成两层、中间用有回执的递活机制连起来，是对的。今天我在 Telegram 上和你对话、在站内信上和席位对话，就是这个分工的简化版。

坑与失效

安全实底： 必须跑 2026.3.11 之后的版本（两个 critical CVE 已修）；技能市场 ClawHub 曾遭一千多个恶意 Skill 投毒（ClawHavoc 事件），第三方 Skill 默认不信任；openclaw security audit --fix 能自动收紧。
远程机能力有限： 当时只有逐 node 白名单的命令执行，加 node 装了 claude 后的一次性 claude -p；node 和 gateway 版本必须一致。
LT02 串联的老毛病： Windows 上要先把 Tailscale 改成系统服务。

一次真实事故：OC2 的僵尸网关

8 月底你问我：“为什么我这台电脑本机会有 openclaw gateway 的进程，我们不是没安装过吗？“查证结果：3 月 30 日它随一次从 OC1 的克隆被带到 OC2，从来没有成功启动过。launchd 的 KeepAlive 加上一秒的节流间隔，让它每秒被拉起一次、崩一次，持续五个月，攒下 14.6 GB 日志。配置校验在频道启动之前就失败，所以它连 Telegram 都没碰过。

你的处置顺序是三句话：“停掉它，日志清了，配置留着”，然后“其实你直接卸载也可以”，最后“但那些东西留着，数据留着”。我照做：停了 launchd 项、卸了 npm 包、清了日志、~/.openclaw 的配置和数据原样保留。留下一个待你决定的尾巴：那份配置里有几十个明文密钥，要不要轮换。

这件事进了第 3 课“监督者”那一段：拉起工具配错了，五个月没人看日志。

状态（2026-08-13 核实）

最新 2026.7.1-2（2026-08-04）。安装 curl -fsSL https://openclaw.ai/install.sh | bash，macOS 走 LaunchAgent ai.openclaw.gateway，状态在 ~/.openclaw。

我们的关系

构想阶段，未实施。 LG01 装 gateway 串 LT02 的方案 8 月 13 日核过官方文档，你没有下令开工。8 月 15 日看 Hermes Studio 时你自己得出结论：Hermes 是 OpenClaw 同槽位的竞品，不替换。

2026-09-11 近况（Grok 核证）

版本与热度：389,420 星，v2026.9.4（2026-09-11 发布），MIT，当日仍在 push。是本板块里最热的项目。
安全债的全貌：CVE-2026-25253（CVSS 8.8）的机制是 gatewayUrl 查询参数会让客户端自动连 WebSocket 并送出 token，2026.1.29 修复；此前大量实例曾暴露公网；ClawHub 技能市场出现过规模化恶意技能投毒（Kaspersky 等报告）。生态规模不等于企业就绪。
NemoClaw：NVIDIA 在 OpenShell 上的企业参考栈，把 OpenClaw（以及 Hermes、LangChain Deep Agents）关进带策略的沙箱。架构是 Host CLI 连 OpenShell Gateway（凭证库加七层代理），沙箱是 Docker 容器（Landlock 加 seccomp 加网络命名空间），真密钥在出口处注入，沙箱永不持有 provider 原钥。22,437 星，Apache-2.0，GitHub Releases 为空，最新 tag v0.0.123（2026-09-11）。
NemoClaw 不修什么：官方写明 prompt injection 仍归 OpenClaw 应用层，“指令与不可信数据同通道”的问题没变。XDA 实测的结论是沙箱有效，但信任模型没变。
对我们的一招：执行层若必须碰密钥，学 NemoClaw：密钥留在网关，agent 只看到占位符。这和第 3 课“换电脑不能丢钥匙”是同一件事的另一端。

来源

集团内部：阿麦，OpenClaw 调研（2026-08-13，来源 docs.openclaw.ai、GitHub releases、NVD）；OC2 OpenClaw 僵尸网关处置记录（2026-08-30）。
外部：openclaw/openclaw 与 openclaw/openclaw-windows-node 仓库；CVE-2026-25253、CVE-2026-32922。