2026 Безопасность OpenClaw Skills:
белый список, изолированные инстансы и параллельные ресурсы на bare metal Mac

Skills расширяют агента внешними инструментами и скриптами — фактически исполняемая supply chain. Аудиты сообщества и препринты 2026 сходятся: в репозиториях типа marketplace заметная доля вредоносных или высокорисковых записей. Три класса:

• Эксфильтрация: чтение Keychain, переменных окружения, токенов каналов или API-ключей из workspace с отправкой в сеть.
• Excessive Agency: запуск shell, записи на диск или финансовой автоматизации без достаточного approve.
• Supply-chain poisoning: install-скрипты подтягивают remote payload с правами Gateway или пользователя.

ClawHavoc и CVE-2026-25253 (RCE в runtime Skill) показывают: если Gateway на основном Mac с почтой, браузером и корпоративным кодом, blast radius равен правам сессии. Перенос Gateway на выделенный bare metal удалённый Mac плюс whitelist и изоляция инстансов — инженерный ответ, а не опциональный overhead.

Правило: сначала аудит Skills, Gateway на выделенной машине, инстансы по доменам доверия — тренды не открывают права по умолчанию.

Если Skills или их логи обрабатывают персональные данные разговоров, заранее учтите регион и договор обработки; CALMVPS документирует площадки и контракты; держите audit-логи отдельно от личных ноутбуков.

Threat-research и CVE меняются с upstream — перед prod сверить:

https://github.com/openclaw/openclaw/issues/16052

https://docs.openclaw.ai/platforms/macos

Многие локально ставят Gateway и community Skills — в демо гладко, в проде недоверенное исполнение кода и офисные данные в одной сессии. Таблица для ревью «нужен ли арендованный узел?».

Если нужны локально Canvas, запись и system.run, используйте Remote-топологию двух машин (Gateway удалённо, узел локально), а не стек Skills на ноутбуке. См. OpenClaw удалённый Mac две машины; первичная установка: полный гайд.

Governance Skills — не только security: высокопривилегированные Skills порождают subprocess, большие контексты или заполняют workspace. Планируйте пики RAM и рост диска (пути хранения: governance хранилища и логов).

• Latency: Skills мало чувствительны к RTT; co-locate Gateway и egress Telegram/Discord, чтобы timeout Skill не списали на модель.
• M4 16 ГБ: для малого числа доверенных Skills без локальной модели; параллель multi-Skill → 24 ГБ или M4 Pro.
• 1 ТБ/2 ТБ: snapshots workspace, audit и rollback — не под бинарники Skills сами по себе.

Перед openclaw skills install на bare metal удалённом Mac зафиксируйте шесть шагов в team runbook (версию CLI сверить с официальной докой перед release):

1. Фиксированный источник: только одобренные Git-репо или внутренние артефакты; без неподписанных marketplace-записей на prod Gateway.
2. Статический просмотр: пакет на curl|bash, remote download, доступ к ~/.ssh, .env или Keychain API — подозрение → параллельный worker.
3. Минимальные права: в exec-approvals.json по умолчанию deny рискованный shell; Remote две машины: отдельные backup policies local и remote.
4. Изолированный state: тестовый инстанс с отдельным OPENCLAW_STATE_DIR (не в iCloud); не заражать токены hub.
5. Выравнивание версий: hub и worker openclaw --version одинаковы до install — меньше ложных срабатываний протокола.
6. Приёмка: health-check на loopback 18789; канал online, выборка без exfil-доменов — затем prod profile.

export OPENCLAW_STATE_DIR="$HOME/.openclaw-sandbox"
openclaw --version
openclaw gateway status
curl -fsS http://127.0.0.1:18789/healthz
При сбое: уничтожить worker, не повторять suspect-пакет на hub

Официальный install (версию перед prod проверить): https://openclaw.ai/install.sh

Hub-and-Spoke для Skills: prod hub только с доверенными Skills; эксперименты marketplace на spoke (параллельный worker сутки/неделя). Promotion во внутренний артефакт после теста — blast radius ограничен disposable worker.

• WS-порт Gateway по умолчанию: 18789; сначала lsof -i :18789, затем tunnel и token.
• LaunchAgent: ai.openclaw.gateway; multi-profile: ai.openclaw.<profile> — test и prod раздельно.
• State directory: ~/.openclaw или sandbox-suffix; при миграции сохранить exec-approvals.json и каналы, не rsync sandbox на hub.

Кейс: automation-команда, hub Сингапур M4 Pro месяц, двенадцать internally signed Skills; marketplace-новинки 48 ч на суточном worker Гонконг со static scan — каналы hub без простоя, суммарно дешевле single top-tier плюс ручной firefighting.

Сутки/неделя: Skill sandbox, pen-test или короткий PoC — затем освободить parallel node. Месяц/квартал: hub Gateway с утверждённым whitelist. Квартал + parallel: диск hub и Memory archive растут стабильно — квартал за unit price, пики через weekly worker.

FAQ:

• Whitelist только локально? Возможно, но remote bare metal упрощает destroy instance и secret rotation.
• Хватит M4 16 ГБ для Skills? Для малого числа доверенных Skills; marketplace tests и multi-agent → 24 ГБ или M4 Pro.
• Изолировать после CVE-fix? Да — патчи снижают вероятность RCE, не заменяют source governance.

Skills на личном ноутбуке или NAS часто связывают malicious code с приватными данными, audit, прерванный сном, tokens в невоспроизводимых каталогах; чистый Linux VPS без macOS toolchain и TCC node capabilities. Для auditable whitelist, isolated tests и Gateway 7×24 подходит CALMVPS multi-region bare metal Mac: выделенный Apple Silicon, выдача ~120 с, M4 Pro и parallel nodes под test spikes без upgrade hub. Узлы и условия: страница цен CALMVPS; поддержка: центр помощи.