云工作者安全模型

当会话工作在一次性计算机上运行时所存在的边界：工作人员可以调用什么、它接收哪些凭据以及哪些凭据永远不会离开网关。

安全模型

• 封闭的工作进程入口。 在工作轮转模式下，注册节点启动工作进程子进程，该子进程拨打网关的经过身份验证的公共工作进程路由，并使用具有封闭方法白名单的专用协议 - 工作进程无法调用操作员 RPC。
• 网关拥有的工具权限。 在工作轮转模式下，网关应用共享本地工具组装策略，并在工作轮准入响应中发送准确的工具定义和解析的文件系统策略。已安装节点的启动信封限制了本地部署的实现；网关拥有的工具使用独立于主管工具词汇的发布表面。明确限制的计划轮次重用其受信任的所有者组上下文，而不将该身份发送到盒子。所签发表面之外的工具仍然不可用；无需任何工具即可运行空结果。
• Turn 绑定网关工具。 准备好的表面中的每个网关拥有的工具都使用一个封闭的调用传输，由相同构建的 worker-gateway-tools-v1 功能控制。网关通过现有的节点主管合约安装匹配的工作工件。句柄属于确切承认的运行、声明、环境纪元和布局生成。每次调用都会重新验证当前权限；工作人员无法选择其他源会话或操作员 RPC。工具效果和 before/after 挂钩保留在其网关所有者和保留的插件一代中。取消和更新使用相同的工作连接，而不会阻止心跳或转录确认。取消排队的网关工具调用会阻止其启动；已运行的工具保留合作取消和结算。状态查询保留其超时并在工作连接关闭时结束。 Spawn/send 保留其持久重播选举、拓扑限制和不确定结果处理；重新连接永远不会创建新的操作标识。
• 铸造凭据，静态哈希存储。 每次调度都会铸造一个工作者凭据；网关仅存储其哈希值。凭据轮换和所有者纪元隔离保证每个会话最多只有一个有效所有者——重新连接的过期工作者会被隔离，绝不会被合并。
• E环境绑定注册。 仅节点设置凭证绑定到持久环境，并且只能在其注册处于活动状态时注册其第一个设备。关闭或超时未完成的注册将撤销证书；重播为相同的设置身份颁发新的凭据。网关重新启动后，只有实时替换注册可以采用幸存的待处理凭证。第一个经过身份验证的 Ed25519 设备身份在设置完成时自动记录；同设备传送重试仍然有效，并且重放不能替代不相关的节点。
• 显式 Codex 节点授权。 云节点和配对设备远程执行需要明确允许的 codex.exec-server.stdio.v1 命令、批准的配对表面和关键节点调用批准。允许一次永远不会允许稍后启动。允许始终创建当前网关进程拥有的内存中常设授权，最长生存期为 30 天。网关重新启动会清除它，并且每次启动都会在调度之前立即重新验证确切的活动放置、节点配对、环境所有者、命令批准范围和工作区。托管执行服务器从一个全新的私人住宅和经过消毒的环境开始。其托管工作区不是 OS 沙箱：批准的执行可以访问节点帐户允许的进程和文件，因此在需要隔离时请使用单独的最低权限帐户。
• 模型放置是显式的。 OpenClaw工作线程默认通过{provider, model}引用进行代理推理，从而使网关模型凭据远离工作线程。显式配置的配对设备配置文件上的 Worker-local inference 相反，使用节点配置的模型配置和不透明的外部代理身份验证；网关仍然仅发送模型参考和授权的放置选择。将受信任的网关和凭证保管人置于不受信任的工作负载之外，并且永远不要在那里提供实际的提供者密钥。启动传输和编辑不是同一用户隔离。 Codex Remote-exec 将应用程序服务器以及 ChatGPT 订阅或 API-key 身份验证保留在网关上，并且仅将沙箱操作发送到盒子。 Remote-exec 需要准备好的身份验证并拒绝环境身份验证回退。在设置之前，会针对实例角色对 Crabbox AWS 租赁元数据进行权威检查。也保持设置命令无需凭据。
• Turn 绑定模型准备。 每个网关代理的工作轮次在提供者请求（包括工具调用后的请求）中重用其批准的模型、凭证和插件生成。新的转折又让他们做好了准备。每个提供程序请求都必须与分派的模型引用相匹配，并保留当前的运行和放置权限。
• 轮流绑定的GitHub身份。 OpenClaw工作人员轮流通过私有启动信封接收网关的有效共享GitHub访问令牌，该信封在后台准备并绑定到已承认的存储库会话。仅当原始调用者、会话编写者、放置和配置文件保持最新状态时，心跳才会更新同一帐户的凭据。工作人员将其具体化在其一次性状态目录内的私人配置文件中。每个回合都有自己的配置文件目录，该目录在该回合承认的命令和任何运行中的凭证写入解决后删除。从较早的回合保留的进程仅保留其启动时使用的令牌。这种轮换限制了继承的路径，而不是相同用户的访问：以工作线程的操作系统用户身份运行的进程（包括先前轮流中代理自己的后台命令）可以读取工作线程状态，就像在网关主机上一样。云工作者是单会话一次性机器；当需要与代理的早期命令隔离时，在专用的最低权限帐户下运行配对的会话主机。密封的工作启动器会读取每个 exec 启动的配置文件，并将令牌仅公开给子进程；它永远不会被记录或记录下来。不使用配对设备自己的 gh 登录名。
• Gateway 拥有的 GitHub 发布。 Control UI 和 Codex 远程执行发布使用网关代理，并使用网关上选定的 GitHub 配置文件中的凭据。存储库会话通过 GitHub 的树、提交和比较和交换引用 API 发布可接受的 Git 规范化检查点。网关工作树会话使用临时索引 git commit-tree 和命令本地凭据帮助程序。这两个路径都会禁用存储库挂钩并拒绝不安全的 Git 配置。两者都不会将不记名令牌写入 argv、远程 URL、.git/config、发布请求或转录本。
• 提供商拥有的出口。 网关代理推理消除了任何 OpenClaw 直接模型访问的需要，但 OpenClaw 不会重写提供商防火墙。当任务需要时，限制工作提供程序中的出站流量。
• 持久的、一次性的工作人员转录。 在工作轮转模式下，工作人员通过比较和交换协议针对会话的叶子提交转录批次；过时的基础失败会停止运行，而不是复制或重新设置付费输出的基础。 Remote-exec 通过网关的正常本地harness路径进行写入。