1、威胁模型从防外贼变成了防内鬼，传统软件的代码是写死的，安全防范的是外部的黑客。但像 OpenClaw 这样的智能体，可以在后台自己改配置，动态写代码，威胁已经不再只是来自外部，而是 Agent 为了完成目标，自己可能会从内部搞破坏。
2、怎么防止 Agent 篡改自己的安全限制？OpenAI 改造了开源版 OpenClaw，把管网络、管权限的网关放在独立的安全集群。把真正跑大模型，动态写代码的环境扔进另一个隔离容器，这样就算 Agent 写出了恶意代码，也碰不到关押它的笼子。
3、OpenAI 将配置拆成了两层，管理员用 requirements.toml 锁死底线，直接从底层禁用掉 danger-full-access（危险全权限模式），业务侧只能在 config.toml 里选 read-only 或 workspace-write，从根源上杜绝越权。
4、OpenAI 给 Agent 的网络套上了严格的代理枷锁，白名单只放行 GitHub 等必要工作网站，黑名单则精准封死了两类致命地址，一是外网匿名剪贴板和临时数据接收站防止 Agent 偷偷把公司代码打包外传，二是云服务器底层的内部管理地址，防止 Agent 顺着内网摸进云主机后台，直接夺取整台服务器的最高控制权。
5、让 Agent 实时联网搜索非常危险，极易撞上恶意网页预设的提示词注入，或者通过 URL 把内部机密带出去。OpenAI 在配置里强制锁死 web_search = "cached"，所有搜索请求只走 OpenAI 内部清洗过的缓存索引。
6、在文件权限上，OpenAI 只开放工作目录读写，直接封死存放服务器远程登录密钥（SSH）的核心目录。密钥管理更是滴水不漏，通过专门的凭证代理帮 Agent 刷卡开门，并在运行环境里彻底清空 GitHub 令牌等敏感密码，Agent 可以正常干活，但永远摸不到明文密钥。
7、如果每一步操作都弹窗让人点确认，人类很快就会陷入审批疲劳，变成闭眼狂点同意。OpenAI 在 OpenClaw 和 Codex 中强制开启原生的自动审查，派第二个监管 Agent 实时审查主 Agent 的动作，过滤掉海量常规操作，只把真正高危的决策留给人类拍板。
8、如果 Agent 挂着你的个人账号去调接口，出事根本没法追责。OpenAI 结合了前沿的 Agent 独立身份与委托代办规范，给每个 OpenClaw 绑定独立身份 + 专属服务账号。每个 Agent 都有独立的算力凭证，一旦某个 Agent 行为异常，一键就能单独掐断它的算力供应。
9、全天候后台运行的 Agent 必须雁过留痕，OpenAI 记录了控制面的每一次配置变更，以及 Agent 执行的每一个交互轮次。因为这些日志里全是公司核心机密，这套黑匣子做了最高级别权限封锁，仅对安全团队极少数核心人员开放。
10、OpenAI 此前在开发者日上开源了跨厂商中立的控制面项目 OpenClaw 企业版（OCE），通过 Codex 标准预设内置了上述多项核心防护。目前该项目正处于试点阶段，计划在今年年底前推出 1.0 正式版。
传送门：developers.openai.com/blog/securing-persistent-agents-like-openclaw-at-openai
#how i ai#