Claw Permission Firewall 是一款专为代理行为设计的运行时最小权限防火墙，旨在为智能体（agent）或技能（skill）的每个操作执行细粒度的安全评估。它并非传统的网关加固工具，而是作为现有安全扫描器的补充，在代码实际执行前对请求的动作进行实时策略检查。该工具通过分析动作的类型、目标地址、内容等关键信息，判断其潜在风险，并据此返回三种决策之一：允许执行、直接拒绝或需要用户确认。同时，它还会在允许的情况下提供一个脱敏后的动作副本，并生成结构化的审计记录，从而帮助开发者实现更精细的安全控制。
其核心设计理念是‘最小权限’原则，即只授予执行任务所必需的最小权限集。系统默认会阻止一系列高风险行为，例如向未知域名发送数据、尝试读取本地敏感文件（如 SSH 密钥、AWS 凭证、环境变量文件等）、执行危险命令（如 `rm -rf` 或 `curl | sh`）以及潜在的提示注入攻击。这种主动拦截机制能够有效防止因配置错误或恶意代码导致的敏感信息泄露和系统破坏。
为了适应不同安全需求，Claw Permission Firewall 支持多种运行模式，包括严格（strict）、平衡（balanced）和宽松（permissive），用户可根据项目阶段灵活调整策略强度。整个系统的策略定义集中在一个名为 `policy.yaml` 的配置文件中，便于维护和版本化管理。
核心功能特点
- 对代理或技能发起的每个动作进行实时风险评估，返回 ALLOW、DENY 或 NEED_CONFIRMATION 三种决策
- 自动识别并屏蔽敏感信息（如 Authorization 头、API Key、Cookie 等），提供脱敏后的动作供执行
- 默认阻止高风险行为，包括向黑名单域名外发数据、读取本地敏感文件和执行危险命令
- 支持严格的沙箱化文件访问，限制所有文件操作只能在指定的工作区根目录下进行
- 生成详细的结构化审计日志，包含动作指纹、策略版本和决策原因，便于事后追踪与分析
- 可通过 policy.yaml 配置文件自定义规则，支持 strict/balanced/permissive 等多种安全模式
适用场景
Claw Permission Firewall 特别适用于那些需要动态执行外部脚本或调用第三方 API 的智能代理系统。例如，在一个自动化运维场景中，某个技能可能需要从互联网下载并执行一个更新脚本。此时，防火墙可以首先评估该 `exec` 类型的动作，发现其来源不明且命令中包含 `curl | sh` 这类高危模式，从而将其决策设为 DENY，有效防止恶意脚本的执行。如果是一个合法的内部脚本，但需要访问某些敏感目录，防火墙也能基于策略判断其风险等级，并在必要时要求人工二次确认。
另一个典型应用场景是在开发多技能协作平台时，确保各个独立技能之间不会越权访问彼此的数据或系统资源。假设 Skill A 需要读取 Skill B 生成的报告文件，Claw Permission Firewall 可以通过检查其 `file_read` 动作的目标路径是否在允许的工作区内，来决定是否放行。这避免了因技能逻辑缺陷导致的数据泄露风险。此外，当技能尝试向 Pastebin 等服务发送调试信息时，防火墙能立即识别出这是典型的数据外泄行为，并将其阻断，保护了底层系统的安全边界。
对于追求高安全标准的团队而言，该工具还能显著降低生产环境中的事故率。通过在 CI/CD 流程中集成 Claw Permission Firewall，可以在部署前对所有即将执行的代理动作进行预检，提前发现潜在威胁。一旦检测到需要确认的高危操作，系统会自动暂停流程并通知开发人员介入处理，而不是等到上线后才发现问题。这种‘事前防御’的机制，结合详尽的审计日志，为构建安全可靠的大规模 AI 应用提供了坚实的技术保障。