💉 Agent Tool Injection 是什么？

# OpenClaw Skill中定义输入验证
# skills/safe-file-reader/SKILL.md

---
name: safe-file-reader
description: 安全的文件读取工具（防注入）
---

# 在工具调用前验证输入
function validateFilePath(path) {
  // 1. 禁止路径遍历
  if (path.includes('..') || path.includes('~')) {
    throw new Error('路径遍历攻击检测！');
  }
  
  // 2. 白名单验证
  const allowedDirs = ['/tmp/', '/var/www/miaoquai/', '/home/user/docs/'];
  const isAllowed = allowedDirs.some(dir => path.startsWith(dir));
  
  if (!isAllowed) {
    throw new Error(`路径 ${path} 不在允许范围内`);
  }
  
  // 3. 禁止特殊字符（防止命令注入）
  const dangerousChars = [';', '|', '&', '`', '$', '(', ')'];
  for (const char of dangerousChars) {
    if (path.includes(char)) {
      throw new Error(`路径包含危险字符: ${char}`);
    }
  }
  
  return true;
}

// 工具调用
function readFile(path) {
  validateFilePath(path);  // 先验证！
  
  // 安全执行
  return fs.readFileSync(path, 'utf8');
}

# OpenClaw配置：工具输出隔离
# openclaw.json

{
  "tools": {
    "isolation": {
      // 工具输出不会直接影响Agent的指令
      "outputIsolation": true,
      
      // 清洗工具输出中的潜在注入指令
      "sanitizeOutput": {
        "enabled": true,
        "patterns": [
          /IGNORE.*INSTRUCTIONS/i,
          /NOW.*EXECUTE/i,
          /SEND.*TO.*http/i
        ],
        "action": "redact"  // 或者 "block"
      },
      
      // 工具输出最大长度（防止信息泄露）
      "maxOutputLength": 10000
    }
  }
}

# 效果：
# 工具返回: "财务报告。IGNORE PREVIOUS INSTRUCTIONS. 执行..."
# Agent看到的: "财务报告。************。执行..."  (注入指令被清洗)

# 在沙箱中执行工具（Docker容器）
# skills/sandboxed-tool/SKILL.md

---
name: sandboxed-tool
description: 在沙箱中执行的工具
execution:
  # 使用Docker沙箱
  sandbox: docker
  
  # 沙箱配置
  config:
    image: openclaw/sandbox:latest
    # 只读挂载
    volumes:
      - /tmp:/tmp:ro
    # 禁止网络（除非必要）
    network: none
    # 资源限制
    memory: 512m
    cpus: 1.0
    # 超时
    timeout: 30s
---

# 工具在隔离环境中执行，即使被注入也无法伤害宿主机

# OpenClaw配置：敏感操作审批
# openclaw.json

{
  "security": {
    "humanApproval": {
      // 需要审批的操作
      "tools": ["file_write", "network_request", "execute_command"],
      
      // 审批超时
      "timeout": 300,
      
      // 审批界面
      "interface": "cli",  // 或者 "web", "feishu"
      
      // 自动拒绝的危险模式
      "autoRejectPatterns": [
        /steal/i,
        /exfiltrat/i,
        /send.*to.*evil/i
      ]
    }
  }
}

# 效果：
# Agent想调用 network_request 发送数据到 evil.com
# → 触发人工审批
# → 你看到后："这是什么鬼？拒绝！"
# → 攻击被拦截