團隊把 OpenClaw Gateway 遷到 CALMVPS 裸金屬遠端 Mac 之後，下一道門檻往往不是 18789 連接埠，而是 Skills 供應鏈：2026 年初公開披露的 ClawHavoc 與 CVE-2026-25253 表明，惡意 Skill 可透過過度權限、敏感資訊外傳與 fetch-and-execute 模式危及 Gateway Token、工作區與頻道金鑰。本文面向「必須裝第三方 Skills、又不能讓主力筆電當攻擊面」的場景，給出可重現的白名單流程、隔離實例與並聯資源拆法。
讀完你應能回答三件事：① 2026 年 Skills 威脅該按什麼維度做准入；② Gateway 應放在哪類遠端節點、M4 與 M4 Pro 如何為「隔離實例」留餘量；③ 安裝 Skill 前六步與 18789 / launchd 報錯時先看哪幾條指令。機型與租期以 CALMVPS 定價頁為準。
01 2026 OpenClaw Skills 威脅輪廓：為什麼必須上治理而不是「裝完再說」
Skills 讓 Agent 能呼叫外部工具與腳本，本質是可執行供應鏈。2026 年社群稽核與學術預印本反覆指向同一結論：市場型 Skills 儲存庫中存在可觀比例的惡意或高危條目，攻擊面集中在三類：
- 敏感資訊外傳：誘導讀取 Keychain、環境變數、頻道 Token 或工作區內的 API 金鑰，再經網路外傳。
- 過度代理（Excessive Agency）：在未充分審批下觸發 shell、檔案寫入或金融相關自動化。
- 供應鏈投毒：安裝腳本在執行時拉取遠端 payload，與 Gateway 同程序或同使用者權限執行。
公開討論中的 ClawHavoc 戰役與 CVE-2026-25253（Skill 執行時遠端程式碼執行類風險）說明：一旦 Gateway 跑在存放個人郵件、瀏覽器設定或公司原始碼的主力 Mac上，單條惡意 Skill 的 blast radius 等於整機使用者權限。把 Gateway 遷到專用裸金屬遠端 Mac，再配合實例隔離與白名單，是把風險關在「可報廢、可快照、可換機」邊界內的工程化做法。
治理口訣：「Skills 先稽核、Gateway 上專用機、實例按信任域拆分」——熱點可以追，但權限不能預設全開。
威脅研究與 CVE 條目會隨上游儲存庫更新，發版後請再次開啟下列連結核對（每條連結單獨占段，便於複製）：
02 本地主力 Mac vs CALMVPS 遠端裸金屬：Skills 場景下的職責拆分
不少團隊先在本地 Mac 用官方安裝腳本跑通 Gateway，再直接安裝社群 Skills。示範環境可行，生產環境會把不可信程式碼執行與日常辦公資料綁在同一使用者工作階段裡。下表用於評審會上一次性對齊「是否必須把 Gateway 挪到租用節點」。
| 維度 | 本地主力 Mac | CALMVPS 裸金屬遠端 Mac |
|---|---|---|
| 攻擊面 | 個人檔案、瀏覽器、郵件同使用者 | 僅 OpenClaw 狀態目錄與頻道設定 |
| Skills 試錯成本 | 誤刪／加密風險高，回滾難 | 可重建實例、換日租 Worker 試 Skill |
| 7×24 與稽核 | 睡眠、更新打斷；日誌分散 | launchd 常駐；日誌集中落盤 |
| 隔離實例 | 同機多 Profile 仍共享核心 | Hub + 並聯資源可實體拆 Gateway |
| 建議租期 | 自有裝置 | Gateway 月／季租；試 Skill 用日／週租並聯 |
若你還需要本地 Canvas、螢幕錄製與 system.run，應採用站內已述的 Remote 雙機拓撲（Gateway 在遠端、Node 留本地），而非在主力機上直接堆 Skills。拓撲細節見 OpenClaw 遠端 Mac 雙機拓撲文；從零安裝 Gateway 見 安裝完全指南。
03 多區域節點與 M4/M4 Pro/儲存：為「隔離實例」預留算力
Skills 治理不是純安全議題：高權限 Skill 可能觸發並發子程序、拉取大模型上下文或寫滿工作區。選型要把記憶體峰值與磁碟增速算進去（儲存路徑可參考 儲存與日誌治理文）。
| 場景 | 推薦區域 | 檔位 | 儲存 |
|---|---|---|---|
| 單 Gateway + 少量受信 Skills | 離頻道使用者最近（HK/SG/JP 等） | M4 24GB | 512GB–1TB，預留 80GB+ 給 ~/.openclaw |
| 多頻道 + 高頻 Skill 呼叫 | 與使用者／模型出口同區 | M4 Pro | 1TB 起；日誌稽核開啟 |
| 不可信 Skill 沙箱試裝 | 與 Hub 同區低延遲 | 並聯日／週租 Worker | 獨立 OPENCLAW_STATE_DIR，試完可銷毀 |
| 跨區災備 Hub | 次密集區唯讀副本 | 與 Hub 同檔或降一檔 | 2TB 若含長期 Memory 歸檔 |
- 節點延遲：Skills 本身不敏感於 20ms 級 RTT，但 Gateway 與 Telegram/Discord 等頻道出口應同區，避免把「Skill 逾時」誤判成「模型故障」。
- M4 16GB：僅適合受信 Skills 少、無本地模型兜底的輕量 Bot；一旦啟用多 Skill 並行，建議直接上 24GB 或 M4 Pro。
- 1TB/2TB：不是為 Skill 二進位本身，而是為工作區快照、稽核日誌與回滾備份留空間。
04 Skills 安裝前六步白名單：可重現准入流程
在遠端裸金屬上執行 openclaw skills install 或等價指令前，建議把下面六步寫成團隊 Runbook（指令以你目前 CLI 版本為準，升級後請對照官方文件）：
- 固定來源：只從組織批准的 Git 儲存庫或內部製品庫拉取 Skill；禁止在生產 Gateway 上直接安裝未署名市場條目。
- 靜態掃一遍：檢查 Skill 套件內是否含
curl|bash、遠端 URL 下載、讀寫~/.ssh、.env或 Keychain 相關 API；可疑則轉入並聯 Worker 試裝。 - 權限最小化：在
exec-approvals.json中預設拒絕高危 shell，逐條放開；Remote 雙機時本地與遠端策略分開備份。 - 隔離狀態目錄：試裝實例設定獨立
OPENCLAW_STATE_DIR（勿放在 iCloud 同步路徑），避免污染 Hub 的頻道 Token。 - 版本對齊：Hub 與試裝 Worker 執行
openclaw --version一致後再裝 Skill，減少「Skill 已裝但 Gateway 協定不匹配」的假陽性。 - 裝後驗收：僅開放 loopback 的 18789 上做健康檢查；確認 Channel 在線、抽樣對話不含異常外傳網域後，才提升為生產 Profile。
export OPENCLAW_STATE_DIR="$HOME/.openclaw-sandbox"
openclaw --version
openclaw gateway status
curl -fsS http://127.0.0.1:18789/healthz官方安裝入口（發版後請再次核對）：
05 並聯資源、多實例隔離與 Gateway/Token 排錯速查
Hub-and-Spoke 在 Skills 治理裡表示：生產 Hub 只掛受信 Skills；所有「市場嘗鮮」在 Spoke（並聯日／週租 Worker）完成，試通後再以製品形式晉升到 Hub。這樣即使某條 Skill 觸發 token 放大或磁碟寫滿，爆炸半徑也被限制在可丟棄的 Worker。
- 預設 Gateway WebSocket 連接埠：
18789（官方 macOS 文件）；排錯時先lsof -i :18789排除連接埠占用，再查隧道與 Token。 - LaunchAgent 標籤：
ai.openclaw.gateway；多 Profile 時為ai.openclaw.<profile>，避免試裝與生產共用一個 launchd 標籤。 - 狀態目錄：推薦
~/.openclaw或帶後綴的 sandbox 目錄；遷移節點時同步備份exec-approvals.json與頻道設定，但不要把試裝目錄直接 rsync 到 Hub。
| 現象 | 優先檢查 | 首選修復 |
|---|---|---|
| 裝 Skill 後 Gateway 退出 | launchd 日誌、Node 版本 | 在 Worker 復現；對齊版本後 kickstart Gateway |
| token_missing_config / device_token_mismatch | Hub 與 CLI 是否同 Profile | 重建 Token；勿把試裝 Token 寫入生產設定 |
| 磁碟一夜漲幾十 GB | 工作區與 Skill 快取目錄 | 按儲存治理文清理；不可信 Skill 先停 Hub |
| 頻道正常但 Skill 無回應 | Skill 是否需出站代理 | 在節點所在區重試；必要時換區域 Gateway |
| 懷疑惡意 Skill | 最近安裝紀錄與網路連線 | 停 Hub、輪換金鑰、從快照恢復或換並聯機 |
真實工作流案例：某自動化團隊 Hub 固定在新加坡 M4 Pro 月租節點，僅 12 條內部簽名 Skills；市場新 Skill 一律在香港日租並聯 Worker 試裝 48 小時，通過靜態掃描與對話抽樣後再晉升。Hub 全年未因試裝中斷頻道，總成本低於「單機頂配 + 反覆手工救場」。
06 租期護欄、FAQ 與採購結論
日租／週租：適合 Skill 試裝、滲透式自查或短期 PoC；試裝結束即釋放並聯，避免惡意 Skill 長期潛伏。月租／季租：鎖定 Hub Gateway 算力與 IP 信譽，適合已白名單化的生產 Skills。季租 + 並聯：當 Hub 磁碟與 Memory 歸檔穩定上漲，用季租換單價，脈衝試裝仍走週租 Worker。
FAQ 速答：
- 能否只在本地 Mac 做白名單？可以，但不建議與辦公資料同機；遠端專用機更易做實例銷毀與金鑰輪換。
- M4 16GB 夠裝 Skills 嗎？夠跑少量受信 Skills；市場試裝與多 Agent 並行請用 24GB 或 M4 Pro。
- CVE 修復後還要隔離嗎？要。修補降低 RCE 機率，不能替代來源治理與最小權限。
把 OpenClaw Skills 直接裝在個人筆電或家用 NAS 上，常見短板是惡意 Skill 與私人資料同工作階段、睡眠打斷稽核、Token 與頻道金鑰混在不可重現的目錄裡；純 Linux VPS 又缺少 macOS 工具鏈與 TCC 相關 Node 能力。對需要可稽核白名單、隔離試裝與 7×24 Gateway 的團隊，CALMVPS 多區域裸金屬 Mac更適合作為 Skills 治理的宿主：獨佔 Apple Silicon、約 120 秒交付，搭配 M4 Pro 與並聯資源可在不升檔 Hub 的前提下吃下試裝尖峰。節點與租期見 CALMVPS 定價頁，接入問題見 幫助中心。