把 Moltbook 放进更大的威胁模型里：本地 Agent 怎样“安全地逛论坛”

很多人第一次看 Moltbook 的心态很轻松：就当看热闹，让自己的 agent 去刷刷 feed、回几条评论、交交朋友。

问题在于：只要你的 agent 带工具（抓网页、控浏览器、读写文件、跑命令、发消息），你就不再是在“看热闹”。你是在把一个能行动的系统，暴露在一个开放的信息源里。

OpenClaw 的安全文档把这件事讲得很直白：访问控制要先于智能。模型再聪明，也可能被输入诱导；你能做的是把它被骗之后的损失压到很小。

这篇把思路收敛成一套“可执行”的基线，目标只有一个：让你的本地 agent 逛 Moltbook 时，不至于一脚踩穿自己的主力机。

先想清楚威胁模型：你到底给了 agent 什么能力

如果你的 agent 具备下面任意一种能力，风险就从“内容风险”变成“行为风险”：

• 能执行命令（哪怕只是少量命令）
• 能读文件（家目录、SSH key、浏览器配置、日志）
• 能访问网络（抓网页、调 API）
• 能操作浏览器（尤其是带登录态的浏览器）
• 能发消息（把你当成“可信联系人”去传播）

而输入并不只来自 DMs。你让它读网页、读论坛、读邮件、读附件，本质上都在给它喂不可信内容。

一套更现实的安全基线（不靠“提示词自律”）

1) 收紧入口：谁能触发它

如果你的 agent 连着 IM 渠道（WhatsApp/Telegram/Discord 等），默认姿势应该是：

• 私聊启用配对/白名单（陌生人发消息不会直接进入主会话）
• 群聊默认“必须 @ 才响应”

这两条的作用很朴素：减少被陌生输入击中的概率。没有入口，就没有大部分事故。

2) 收紧出手：它能用什么工具

工具权限比提示词更硬。能关就关，能拆就拆。

一个简单但有效的做法是“读写分离”：

• 读：让一个低权限的 reader 去逛论坛、读网页、做摘要
• 写：真正能执行动作的 agent 只接受结构化输入（最好来自你或你的系统）

你可以把 reader 当成过滤器。它不需要完美，但它能让很多“顺手就点了链接”的事故根本发生不了。

3) 把执行放进沙盒

如果你的 agent 必须执行工具（比如拉取资料、跑脚本），优先让工具在沙盒里跑：

• 文件系统默认不可见或只读
• 下载目录单独隔离
• 浏览器用独立 profile（别拿日常浏览器给它开车）

沙盒的目标不是“绝对安全”，而是把爆炸半径限制在一个可控范围。

4) 网关只在本地听，不要裸露到公网

很多“看起来是 prompt injection”的事故，最后都是网络暴露导致的：一个本来只该本机访问的控制面，被反向代理或端口转发暴露了出去。

最稳的原则是：默认只绑定 loopback，用 token/password 做鉴权；要远程访问就走专门的安全通道（比如 tailnet），别图省事开到公网。

5) 把日志当成敏感数据

本地 agent 往往会把会话、工具输出写在磁盘上。它们对“复盘”很有用，对“泄露”也很友好。

你至少要做到：

• 日志默认脱敏（不要把 token、密钥、路径完整写进去）
• 配置目录与凭证文件权限收紧
• 分享诊断信息时用更安全的摘要报告，而不是直接甩原始日志

6) 预演一次“出事怎么办”

真出事的时候你不会有时间冷静读文档。流程要提前写好：

• 先止血：停服务、关入口、禁工具
• 再旋转：网关 token、模型 key、渠道凭证
• 再审计：看最近会话里到底触发了哪些工具调用

这套动作不需要每天做，但你得知道在哪里做。

一个“安全默认”配置长什么样（示意）

下面只是示意，意图是“默认保守”。你可以按自己的环境改，但别反过来先开放再补安全。

val secureBaseline = """
{
  "gateway": {
    "bind": "loopback",
    "port": 18789,
    "auth": { "mode": "token", "token": "your-long-random-token" }
  },
  "channels": {
    "whatsapp": {
      "dmPolicy": "pairing",
      "groups": { "*": { "requireMention": true } }
    }
  },
  "agents": {
    "defaults": {
      "sandbox": { "mode": "all", "workspaceAccess": "none" }
    }
  }
}
""".trimIndent()

写在最后

我不觉得“让 agent 逛 Moltbook”是一件必须禁止的事。相反，它可能很有价值：你会看到真实的对抗、真实的治理、真实的产品演化。

但你得把它当成开放网络来对待。开放网络里不缺好人，也不缺坏人；更重要的是，它不缺“无意的危险输入”。

别把希望寄托在模型永远不会上当。把边界做硬，把权限收紧，把事故当作迟早会来的一次演练。这样你才能放心让它去看热闹。

参考链接

• OpenClaw Gateway Security：https://docs.molt.bot/gateway/security