Một AI Agent có khả năng đọc file, gửi tin nhắn, mở trình duyệt và tự thực thi lệnh trên máy chủ nghe rất hấp dẫn, nhưng cũng đồng nghĩa với một rủi ro bảo mật khổng lồ nếu thiếu lớp cách ly phù hợp. Chỉ một yêu cầu sai, một nội dung chứa prompt injection hoặc một Skill không an toàn cũng có thể khiến Agent thực hiện hành động ngoài mong muốn. Cùng Tìm hiểu phương pháp cách ly Sandbox cho AI Agent trên VPS qua bài viết dưới đây nhé!
Cách ly Sandbox cho AI Agent là gì?
Sandbox có thể hiểu đơn giản là một môi trường thực thi được giới hạn và tách biệt khỏi phần còn lại của máy chủ, tương tự việc cho trẻ nhỏ chơi trong một hộp cát thay vì thả tự do khắp căn nhà.
Thay vì cho AI Agent trực tiếp:
- đọc toàn bộ file trên VPS;
- chạy mọi câu lệnh Linux;
- truy cập thư mục chứa SSH Key;
- sử dụng toàn bộ CPU và RAM;
- kết nối tự do tới Internet;
- can thiệp vào các tiến trình khác;
quản trị viên có thể đưa những hoạt động có rủi ro cao vào một Sandbox riêng.
Lúc này, AI Agent vẫn có môi trường để xử lý công việc, nhưng chỉ được tiếp cận những tài nguyên đã được cấp phép.
Ví dụ, OpenClaw cần đọc một tài liệu và tạo file kết quả. Bạn có thể chỉ cấp cho Agent một workspace cụ thể thay vì cho phép truy cập /root, /etc, SSH Key và toàn bộ dữ liệu trên VPS.
Đây chính là nguyên tắc least privilege – quyền tối thiểu: AI Agent chỉ nhận những quyền thực sự cần để hoàn thành tác vụ.
Sandbox hoạt động như thế nào?
Có thể hình dung VPS là một ngôi nhà và AI Agent là một nhân viên được thuê để thực hiện công việc. Nếu trao toàn bộ chìa khóa, nhân viên có thể vào bất kỳ phòng nào.
Sandbox giống như việc chuẩn bị một phòng làm việc riêng. Trong phòng chỉ có những tài liệu, công cụ và thiết bị cần thiết. Các khu vực quan trọng khác vẫn bị khóa.
Với AI Agent trên VPS, Sandbox thường giới hạn 4 nhóm chính:
- Hệ thống file: Agent chỉ đọc hoặc ghi trong những thư mục được cấp quyền.
- Tiến trình: Các câu lệnh được chạy bên trong môi trường cách ly thay vì trực tiếp trên hệ điều hành VPS.
- Mạng: Có thể chặn hoàn toàn Internet hoặc chỉ mở khi thực sự cần.
- Tài nguyên: CPU, RAM, số lượng process và những tài nguyên khác có thể được giới hạn.
Docker là một trong những công nghệ phổ biến để tạo lớp cách ly dạng này trên Linux.
Sandbox khác gì với Docker?
Hai khái niệm này khá dễ nhầm.
Hình thức Mục đích Chạy OpenClaw Gateway trong Docker Cách ly ứng dụng OpenClaw khỏi hệ điều hành VPS OpenClaw Tool Sandbox Cách ly các hoạt động của Agent như exec, đọc file, ghi file và processKết hợp cả hai Tạo thêm nhiều lớp bảo vệ
Theo tài liệu OpenClaw hiện tại, container hóa toàn bộ Gateway và bật sandbox cho công cụ là hai lớp có thể sử dụng song song. Sandbox công cụ không bắt buộc Gateway phải chạy trong container.
Vì vậy, câu trả lời cho câu hỏi:
“Tôi đã chạy OpenClaw bằng Docker thì có cần Sandbox nữa không?”
là vẫn nên cân nhắc bật sandbox, đặc biệt khi Agent được phép chạy shell, xử lý file, sử dụng trình duyệt hoặc tiếp nhận nội dung từ người dùng bên ngoài.
Hướng dẫn cách ly Sandbox cho AI Agent trên VPS
Phần dưới đây minh họa một cấu hình ưu tiên an toàn cho người đang chạy OpenClaw trên VPS Linux.
Lưu ý: Hãy sao lưu file cấu hình OpenClaw trước khi chỉnh sửa. Cấu hình thực tế có thể cần thay đổi tùy theo Agent, Skill và công cụ đang sử dụng.
Bước 1: Kiểm tra OpenClaw trên VPS
Trước tiên, SSH vào VPS bằng Xshell, Terminal hoặc công cụ SSH đang sử dụng.
Kiểm tra OpenClaw:
openclaw --versionNếu hệ thống trả về phiên bản OpenClaw, bạn có thể tiếp tục.
Tiếp theo, kiểm tra file cấu hình OpenClaw đang sử dụng:
openclaw config fileThông thường, file cấu hình nằm tại:
~/.openclaw/openclaw.json
Tuy nhiên, nên sử dụng openclaw config file để xác định chính xác đường dẫn thay vì tự giả định vị trí.
OpenClaw hiện hỗ trợ các lệnh config get, config set, config patch và config validate, vì vậy phần hướng dẫn bên dưới không yêu cầu chỉnh sửa trực tiếp file JSON bằng nano.
Bước 2: Kiểm tra Docker trên VPS
Sandbox Docker cần Docker Engine để tạo các container cách ly.
Kiểm tra bằng:
docker --versionSau đó nhập lệnh:
docker infoNếu hai lệnh hoạt động bình thường, chuyển sang Bước 3.
Nếu VPS chưa có Docker
Đầu tiên kiểm tra hệ điều hành:
cat /etc/os-release
Nếu VPS đang sử dụng Ubuntu, có thể cài Docker Engine từ repository chính thức của Docker.
Cập nhật hệ thống và cài các gói cần thiết:
sudo apt update
sudo apt install -y ca-certificates curl
Tạo thư mục chứa khóa:
sudo install -m 0755 -d /etc/apt/keyringsTải khóa chính thức của Docker:
sudo curl -fsSL https://download.docker.com/linux/ubuntu/gpg \
-o /etc/apt/keyrings/docker.ascCấp quyền đọc:
sudo chmod a+r /etc/apt/keyrings/docker.ascThêm Docker repository:
sudo tee /etc/apt/sources.list.d/docker.sources <<EOF
Types: deb
URIs: https://download.docker.com/linux/ubuntu
Suites: $(. /etc/os-release && echo "${UBUNTU_CODENAME:-$VERSION_CODENAME}")
Components: stable
Architectures: $(dpkg --print-architecture)
Signed-By: /etc/apt/keyrings/docker.asc
EOFCập nhật repository:
sudo apt updateCài Docker:
sudo apt install -y docker-ce docker-ce-cli containerd.io docker-buildx-plugin docker-compose-plugin
Kiểm tra Docker:
sudo systemctl status docker
Sau đó thử chạy container:
sudo docker run hello-worldNếu xuất hiện thông báo Hello from Docker!, Docker đã hoạt động.
Bước 3: Tạo Docker image dành cho OpenClaw Sandbox
OpenClaw cần một Docker image để tạo môi trường chạy cách ly.
Sau khi Docker đã hoạt động, OpenClaw cần một Docker image riêng để tạo môi trường sandbox. Image mặc định hiện tại có tên:
openclaw-sandbox:bookworm-slimOpenClaw không tự chuyển sang một Debian image khác nếu image này chưa tồn tại. Vì vậy, bạn cần tạo image trước khi bật sandbox.
Bước 3.1: Kiểm tra image đã tồn tại chưa
Chạy:
docker images | grep openclaw-sandboxNếu xuất hiện dòng tương tự:
openclaw-sandbox bookworm-slim …image đã có sẵn và bạn có thể chuyển sang Bước 4: Bật Sandbox cho OpenClaw.
Nếu lệnh không hiển thị kết quả, hãy tiếp tục tạo image.
Bước 3.2: Tạo Dockerfile cho sandbox
Để tránh lỗi khi copy một khối lệnh nhiều dòng vào Xshell, hãy sử dụng lệnh dưới đây.
Copy nguyên lệnh và dán vào VPS:
printf '%s\n' 'FROM debian:bookworm-slim' 'ENV DEBIAN_FRONTEND=noninteractive' 'RUN apt-get update && apt-get install -y --no-install-recommends bash ca-certificates curl git jq python3 ripgrep && rm -rf /var/lib/apt/lists/*' 'RUN useradd --create-home --shell /bin/bash sandbox' 'USER sandbox' 'WORKDIR /home/sandbox' 'CMD ["sleep", "infinity"]' > /tmp/openclaw-sandbox.DockerfileSau khi chạy xong, VPS sẽ quay trở lại dấu nhắc lệnh, ví dụ: root@server:~#
Lệnh trên sẽ tạo file:
/tmp/openclaw-sandbox.DockerfileNội dung Dockerfile tương đương image mặc định mà OpenClaw hướng dẫn cho bản cài đặt npm.
Bước 3.3: Kiểm tra Dockerfile vừa tạo
Chạy:
cat /tmp/openclaw-sandbox.DockerfileKết quả cần có dạng:
FROM debian:bookworm-slim
ENV DEBIAN_FRONTEND=noninteractive
RUN apt-get update && apt-get install -y --no-install-recommends bash ca-certificates curl git jq python3 ripgrep && rm -rf /var/lib/apt/lists/*
RUN useradd --create-home --shell /bin/bash sandbox
USER sandbox
WORKDIR /home/sandbox
CMD ["sleep", "infinity"]
Nếu nội dung tương tự như trên, Dockerfile đã được tạo thành công.
Bước 3.4: Build image OpenClaw Sandbox
Tiếp tục chạy:
docker build -t openclaw-sandbox:bookworm-slim -f /tmp/openclaw-sandbox.Dockerfile /tmp
Docker sẽ lần lượt tải Debian, cài các công cụ cần thiết như bash, curl, git, jq, python3, ripgrep, sau đó tạo image sandbox.
Quá trình này có thể mất một vài phút tùy tốc độ mạng và cấu hình VPS.
Khi thành công, cuối kết quả thường sẽ xuất hiện thông tin tương tự:
=> exporting to image
=> naming to docker.io/library/openclaw-sandbox:bookworm-slimBước 3.5: Kiểm tra image sau khi build
Chạy lại:
docker images | grep openclaw-sandboxNếu thành công, bạn sẽ thấy tương tự:
openclaw-sandbox bookworm-slim xxxxxxxxxxxx …
Bước 4: Bật Sandbox cho OpenClaw
Đây chính là thao tác bật Sandbox thực tế.
OpenClaw mặc định để:
sandbox.mode = offVì vậy, Sandbox sẽ chưa được sử dụng nếu bạn chưa thay đổi cấu hình.
Để hạn chế việc chỉnh sửa trực tiếp file openclaw.json, chúng ta sẽ tạo một file cấu hình bổ sung rồi ghép vào cấu hình hiện tại.
Bước 4.1: Tạo file cấu hình sandbox
Chạy:
cat > ~/openclaw-sandbox.patch.json5 <<'EOF'
{
agents: {
defaults: {
sandbox: {
mode: "all",
backend: "docker",
scope: "session",
workspaceAccess: "ro",
docker: {
image: "openclaw-sandbox:bookworm-slim",
readOnlyRoot: true,
tmpfs: [
"/tmp",
"/var/tmp",
"/run"
],
network: "none",
capDrop: [
"ALL"
],
pidsLimit: 256,
memory: "1g",
memorySwap: "2g",
cpus: 1
}
}
}
}
}
EOF
Lệnh trên sẽ tạo file: ~/openclaw-sandbox.patch.json5 mà không cần dùng nano.
Bước 4.2: Kiểm tra nội dung vừa tạo
Chạy:
cat ~/openclaw-sandbox.patch.json5Nếu toàn bộ cấu hình xuất hiện đầy đủ, tiếp tục bước tiếp theo.
Bước 5: Kiểm tra cấu hình trước khi áp dụng
Không nên áp dụng ngay.
OpenClaw hỗ trợ chế độ –dry-run, giúp kiểm tra patch trước mà chưa thay đổi cấu hình đang sử dụng.
Chạy:
openclaw config patch --file ~/openclaw-sandbox.patch.json5 --dry-run
- Nếu xuất hiện thông báo thành công và không báo lỗi schema, cấu hình có thể được áp dụng.
- Nếu xuất hiện lỗi, dừng tại đây và kiểm tra nội dung file trước khi tiếp tục.
Bước 6: Áp dụng cấu hình Sandbox
Khi dry-run không còn lỗi, chạy:
openclaw config patch --file ~/openclaw-sandbox.patch.json5Lệnh config patch sẽ merge cấu hình Sandbox vào cấu hình OpenClaw hiện có, thay vì thay toàn bộ file cấu hình. Vì vậy, các phần khác như model, API key, Telegram, Discord hoặc cấu hình Agent vẫn được giữ lại nếu không trùng với các trường đang patch.
Sau khi áp dụng, kiểm tra:
openclaw config get agents.defaults.sandboxBạn nên thấy các giá trị như:
mode: all
backend: docker
scope: session
workspaceAccess: ro
….
Tiếp tục kiểm tra toàn bộ cấu hình:
openclaw config validateNếu không có lỗi, Sandbox đã được bật trong cấu hình.
Trong ví dụ trên:
- mode: “all”: Tất cả session của Agent sẽ được đưa vào sandbox.
- backend: “docker”: OpenClaw sử dụng Docker làm môi trường cách ly.
- scope: “session”: Mỗi session có phạm vi Sandbox riêng. Đây là lựa chọn cách ly chặt hơn so với dùng chung một môi trường cho nhiều phiên.
- workspaceAccess: “ro”: Workspace chính của Agent chỉ được mount theo quyền đọc.
- network: “none”: Container Sandbox không được kết nối ra Internet.
- readOnlyRoot: true: Filesystem gốc của container ở trạng thái chỉ đọc.
- capDrop: [“ALL”]: Các Linux capability bổ sung bị loại bỏ.
- memory: “1g”, cpus: 1, pidsLimit: 256: Container chỉ được sử dụng lượng RAM, CPU và số tiến trình trong giới hạn đã đặt.
Bước 7: Tạo lại Sandbox theo cấu hình mới (nếu trước đây từng tạo)
Nếu OpenClaw từng tạo Sandbox trước đây, các container cũ có thể vẫn giữ cấu hình cũ.
Chạy:
openclaw sandbox recreate --allNếu hệ thống yêu cầu xác nhận, chọn đồng ý.
Muốn bỏ qua câu hỏi xác nhận:
openclaw sandbox recreate --all --forceOpenClaw sẽ xóa các runtime Sandbox cũ. Runtime mới sẽ được tạo tự động vào lần tiếp theo Agent cần sử dụng sandbox.
Nếu đây là lần đầu bật Sandbox và chưa có container nào, việc không thấy container ngay tại bước này là bình thường.
Bước 8: Gửi một yêu cầu cho OpenClaw để tạo Sandbox
Sau khi bật cấu hình, hãy quay lại OpenClaw và gửi một yêu cầu có sử dụng công cụ.
Ví dụ:
Hãy kiểm tra các file trong workspace hiện tại.
Hoặc yêu cầu Agent thực hiện một tác vụ cần đọc file hay chạy công cụ.
Khi Agent cần sử dụng tool, OpenClaw sẽ tự tạo container Sandbox theo scope đã cấu hình.
Bước 9: Kiểm tra Sandbox đã được tạo hay chưa
Chạy:
openclaw sandbox listNếu sandbox đang hoạt động, danh sách runtime sẽ xuất hiện.
Bạn cũng có thể kiểm tra trực tiếp Docker:
docker ps --filter "name=openclaw-sbx-"OpenClaw mặc định sử dụng prefix:
openclaw-sbx-cho Docker Sandbox Container.
Bước 10: Kiểm tra OpenClaw có thực sự sử dụng Sandbox hay không
Đây là bước rất nên thực hiện.
Chạy:
openclaw sandbox explainOpenClaw sẽ hiển thị các thông tin như:
- Sandbox mode
- Sandbox backend
- Sandbox scope
- Workspace access
- Docker mounts
- Tool policy
- Bạn cần kiểm tra các giá trị chính:
- mode = all
- backend = docker
- scope = session
- workspaceAccess = ro
Lệnh sandbox explain được OpenClaw cung cấp riêng để kiểm tra cấu hình sandbox thực tế đang có hiệu lực, thay vì chỉ nhìn vào file cấu hình.
Bước 11: Kiểm tra Agent có bị giới hạn quyền hay chưa
Sau khi Sandbox hoạt động, có thể thử một vài tác vụ đơn giản.
Ví dụ yêu cầu Agent đọc file trong workspace. Sau đó thử yêu cầu Agent ghi vào workspace chính.
Với workspaceAccess: “ro”: Agent không nên được phép chỉnh sửa trực tiếp workspace chính.
Tiếp tục kiểm tra Internet bằng một tác vụ cần truy cập mạng.
Với network: “none”: Các tiến trình bên trong Docker Sandbox sẽ không có outbound network.
Bước 12: Chạy kiểm tra bảo mật OpenClaw
Sau khi hoàn thành, chạy:
openclaw security auditCó thể kiểm tra sâu hơn:
openclaw security audit --deepOpenClaw khuyến nghị chạy security audit sau khi thay đổi cấu hình hoặc trước khi mở thêm bề mặt truy cập mạng. Chế độ –deep bổ sung kiểm tra Gateway trực tiếp cùng các kiểm tra Plugin và Skill liên quan.
Cuối cùng kiểm tra lại sandbox:
openclaw sandbox explainvà:
openclaw sandbox listNếu các thông tin đều đúng, quá trình cách ly Sandbox cho OpenClaw trên VPS đã hoàn tất.
Những sai lầm thường gặp khi cách ly Sandbox cho AI Agent trên VPS
Khi thiết lập sandbox cho OpenClaw hoặc các AI Agent tương tự, bạn nên tránh một số lỗi sau:
- Chỉ chạy Docker rồi cho rằng đã an toàn: Docker giúp cách ly ứng dụng, nhưng vẫn cần kết hợp Tool Policy, firewall, quyền file và sandbox.
- Cấp quyền đọc/ghi quá rộng: Không nên cho Agent truy cập toàn bộ /root, /home hoặc các thư mục hệ thống.
- Cho phép ghi workspace khi không cần thiết: Nếu Agent chỉ cần đọc dữ liệu, nên sử dụng workspaceAccess: “ro”.
- Mở Internet cho mọi Agent: Nếu tác vụ không cần truy cập bên ngoài, nên giữ network: “none”.
- Không giới hạn CPU và RAM: Một tác vụ lỗi có thể sử dụng quá nhiều tài nguyên VPS.
- Cấp quá nhiều công cụ: Agent không cần chạy lệnh thì không nên cấp quyền exec.
- Lưu API Key hoặc SSH Key trong workspace: Thông tin nhạy cảm nên được quản lý riêng.
- Mount Docker socket vào sandbox: Đây là cấu hình có rủi ro cao vì Agent có thể tiếp cận Docker trên máy chủ.
- Thay đổi cấu hình nhưng không tạo lại sandbox: Container cũ có thể tiếp tục sử dụng thiết lập trước đó.
- Không kiểm tra sau khi cấu hình: Nên dùng openclaw sandbox explain và openclaw security audit –deep để xác nhận.
Sandbox có bảo vệ AI Agent tuyệt đối không?
Không. Sandbox chỉ là một lớp bảo mật trong toàn bộ hệ thống.
Để bảo vệ AI Agent trên VPS tốt hơn, nên kết hợp:
- Xác thực OpenClaw Gateway.
- Giới hạn người được phép nhắn tin với Agent.
- Chỉ cấp các công cụ thực sự cần thiết.
- Sử dụng Sandbox cho các thao tác có rủi ro.
- Giới hạn quyền đọc và ghi file.
- Giới hạn kết nối Internet.
- Giới hạn CPU, RAM và số tiến trình.
- Không lưu credential ở vị trí Agent có thể đọc dễ dàng.
- Cập nhật OpenClaw và Docker thường xuyên.
- Kiểm tra log và chạy security audit định kỳ.
Có thể hiểu đơn giản: Sandbox giúp giảm phạm vi thiệt hại nếu AI Agent thực hiện sai hành động, nhưng không thể thay thế toàn bộ các biện pháp bảo mật khác.
Kinh nghiệm bảo mật AI Agent trên VPS
Khi triển khai OpenClaw trên VPS, bạn có thể áp dụng các nguyên tắc sau:
- Bắt đầu với quyền thấp nhất rồi mở thêm khi cần.
- Ưu tiên workspaceAccess: “none” nếu Agent không cần workspace chính.
- Sử dụng workspaceAccess: “ro” nếu Agent chỉ cần đọc.
- Chỉ dùng workspaceAccess: “rw” khi Agent thực sự cần chỉnh sửa file.
- Giữ network: “none” nếu tác vụ không yêu cầu Internet.
- Sử dụng scope: “agent” hoặc “session” thay vì chia sẻ Sandbox giữa nhiều phiên.
- Không cấp exec nếu Agent không cần chạy lệnh Linux.
- Không cho Agent tiếp cận SSH Key hoặc file .env.
- Đặt giới hạn CPU, RAM và process cho container.
Khi nào nên bật Sandbox cho OpenClaw?
Bạn nên cân nhắc bật Sandbox nếu OpenClaw được cấp các khả năng như:
- Chạy câu lệnh Linux.
- Đọc file trên VPS.
- Chỉnh sửa hoặc tạo file.
- Viết và chạy code.
- Sử dụng trình duyệt.
- Truy cập website hoặc API bên ngoài.
- Sử dụng Skill hoặc Plugin.
- Xử lý file do người dùng gửi.
- Phục vụ nhiều người dùng.
- Chạy tự động 24/7.
- Thực hiện tác vụ mà không cần xác nhận từng bước.
Nếu OpenClaw chỉ dùng để trò chuyện đơn giản và không được cấp các công cụ có quyền tác động đến hệ thống, nhu cầu Sandbox sẽ thấp hơn.
Kết luận
Cách ly Sandbox không phải là một tùy chọn nâng cao dành riêng cho đội ngũ kỹ thuật, mà là điều kiện bắt buộc để bất kỳ AI Agent nào có thể hoạt động an toàn trên VPS. Hãy bắt đầu từ một cấu hình Sandbox tối giản, rồi mở rộng quyền dần theo nhu cầu thực tế thay vì cấp quyền toàn bộ ngay từ đầu.
Những câu hỏi thường gặp
Làm sao kiểm tra Sandbox đang áp dụng đúng chính sách bảo mật đã cấu hình?
Dùng lệnh openclaw sandbox explain để xem chi tiết phạm vi cách ly, quyền truy cập workspace và chính sách công cụ đang có hiệu lực cho từng agent. Sau mỗi lần đổi cấu hình, cần chạy openclaw sandbox recreate --all vì thay đổi không tự áp dụng lên container đang chạy.
Nên chọn backend Sandbox nào cho OpenClaw: Docker, SSH hay OpenShell?
Với cá nhân và nhóm nhỏ triển khai trên một VPS duy nhất, Docker là lựa chọn dễ cài đặt và duy trì nhất. SSH phù hợp khi muốn tách agent sang một máy chủ vật lý khác, còn OpenShell phù hợp môi trường doanh nghiệp cần áp chính sách runtime chi tiết theo chuẩn tuân thủ.
Sandbox có ngăn chặn hoàn toàn tấn công prompt injection không?
Sandbox không loại bỏ hoàn toàn nguy cơ prompt injection, vì cuộc tấn công dạng này nhắm vào cách mô hình ngôn ngữ hiểu văn bản đầu vào. Tuy nhiên, Sandbox giới hạn hậu quả nếu tấn công thành công, bằng cách ngăn lệnh độc hại vượt ra khỏi môi trường cách ly để ảnh hưởng đến toàn bộ VPS.
OpenClaw Sandbox có được bật mặc định không?
Không. Theo tài liệu OpenClaw hiện tại, agents.defaults.sandbox.mode mặc định là off. Quản trị viên cần bật Sandbox nếu muốn áp dụng rộng cho Agent.
OpenClaw Sandbox có Internet không?
Docker Sandbox mặc định sử dụng network: "none", tức không có outbound network. Nếu công việc cần Internet, quản trị viên có thể chuyển sang bridge hoặc network phù hợp sau khi cân nhắc rủi ro.
