Rủi ro bảo mật khi dùng OpenClaw: 7 rủi ro và 12 cách phòng tránh

OpenClaw an toàn đến đâu là do cách bạn cấu hình. Gateway mặc định chỉ nghe trên 127.0.0.1, bắt buộc token và bắt người lạ qua bước pairing; nhưng sandbox tắt mặc định, nên tool agent được phép dùng sẽ chạy thẳng trên máy với quyền của tài khoản chạy Gateway. Rủi ro lớn nhất đến từ cổng Gateway lộ ra Internet, tin nhắn và nội dung chứa lệnh giấu, skill độc hại và API key lưu dạng thô.

Bài này dành cho người đã hiểu OpenClaw là gì và chuẩn bị chạy thật. Nếu bạn cài trên VPS, làm song song với hướng dẫn cài đặt OpenClaw trên VPS, vì phần lớn lỗi bảo mật sinh ra ngay ở bước cài.

Vì sao OpenClaw cần được bảo mật kỹ hơn chatbot thường?

OpenClaw cần bảo mật kỹ hơn chatbot thường vì nó hành động được: đọc ghi tệp, chạy lệnh, mở trình duyệt, gửi tin nhắn, giữ API key và token của nhiều dịch vụ. Một lệnh bị thao túng không chỉ cho ra câu trả lời sai mà có thể xoá dữ liệu, gửi thư giả mạo hoặc làm lộ khoá truy cập.

• Dữ liệu đi qua OpenClaw thường nhạy cảm: API key, email, tài liệu nội bộ, lịch sử chat.
• Mỗi kênh, dịch vụ được nối thêm mở rộng phạm vi thiệt hại nếu một điểm bị chiếm.
• Dự án phát triển nhanh và có nhiều cảnh báo bảo mật công khai trên GitHub Security Advisories; bản cũ dễ dính lỗi đã được vá.
• Docs nói rõ OpenClaw không phải ranh giới bảo mật giữa nhiều người dùng không tin nhau: mỗi Gateway là một ranh giới tin cậy.

Vì sao bảo mật hay bị bỏ qua khi mới cài OpenClaw?

Bảo mật hay bị bỏ qua vì người cài muốn “chạy được trước đã”: mở cổng ra ngoài để vào cho nhanh, tắt bớt xác thực khi gặp lỗi, cấp quyền rộng lúc thử rồi quên thu hồi.

• Truy cập Control UI bằng http://IP-VPS:18789 thay vì SSH tunnel hay Tailscale.
• Gặp lỗi “origin not allowed” thì đặt allowedOrigins: ["*"] theo hướng dẫn trên mạng.
• Để DM policy là open cho tiện thử, sau đó không đổi lại.
• Cài skill hàng loạt từ ClawHub mà không đọc nội dung.
• Không cập nhật OpenClaw vì sợ lỗi, giữ bản có lỗ hổng đã công bố.

7 rủi ro bảo mật khi dùng OpenClaw

Bảy rủi ro dưới đây gom theo đường mà kẻ xấu có thể đi vào máy chạy OpenClaw: mạng, kênh chat, nội dung agent đọc, phần mở rộng và bí mật lưu trên đĩa.

1. Cổng Gateway 18789 lộ ra Internet

Gateway gộp WebSocket và Control UI trên một cổng, mặc định 18789. Ai vào được cổng này và có token là điều khiển được agent. Docs khuyến cáo không mở cổng ra Internet; truy cập từ xa bằng SSH tunnel, Tailscale hoặc reverse proxy có xác thực (OpenClaw: Gateway ports and remote mode). Lưu ý: image Docker mặc định bind ra ngoài container và Docker Compose publish cổng trên mọi IP của VPS.

2. Người lạ nhắn bot hoặc bot nằm trong nhóm công khai

Ai nhắn được bot là đưa được yêu cầu cho agent. DM policy open, nhóm không yêu cầu mention hay allowlist theo tên hiển thị (dễ giả) đều mở đường cho người lạ ra lệnh.

3. Prompt injection qua web, email, tệp

Prompt injection là lệnh giấu trong nội dung agent đọc: chữ trắng trên nền trắng trong trang web, chữ ký email, tài liệu đính kèm. Agent có thể hiểu nhầm đó là chỉ thị và gửi dữ liệu đi hoặc sửa hệ thống. Docs nói rõ OpenClaw chỉ giảm được một phần; bạn vẫn phải giới hạn tool và thêm bước duyệt (OpenClaw: Prompt injection).

4. Skill và plugin độc hại

ClawHub là kho mở. Tháng 2/2026, Koi Security quét 2.857 skill và tìm thấy 341 skill độc hại, 335 trong đó thuộc chiến dịch “ClawHavoc”: mục “Prerequisites” dụ tải tệp ZIP có mật khẩu hoặc chạy script để cài Atomic Stealer trên macOS, keylogger trên Windows (The Hacker News). Plugin còn chạy code thật trong Gateway nên rủi ro cao hơn skill.

5. API key, token lưu dạng thô

Token bot, API key, OAuth token nằm trong ~/.openclaw và tệp .env. Theo release notes bản 2026.8.1, Secret Store không mã hoá khi lưu. Ai đọc được thư mục này, kể cả qua backup lộ ra ngoài hay ảnh chụp màn hình, là có khoá của bạn.

6. Tool chạy thẳng trên máy host

Sandbox tắt mặc định (sandbox.mode: "off"), nên exec, tool tệp chạy với quyền của user chạy Gateway (OpenClaw: Sandboxing). Chạy Gateway bằng root nghĩa là một lệnh sai có quyền trên cả máy.

7. Không theo dõi agent đã làm gì

Không đọc log, không xem tool đã gọi thì không phát hiện được agent bị lợi dụng hay automation chạy sai. Chi phí token tăng bất thường cũng là dấu hiệu cần kiểm.

12 cách giảm rủi ro khi triển khai OpenClaw

Mười hai bước dưới đây đi từ ngoài vào trong: khoá đường mạng, khoá máy chủ, khoá ai được nhắn, khoá agent được làm gì, rồi theo dõi và cập nhật.

1. Giữ Gateway ở loopback, truy cập từ xa qua SSH tunnel hoặc Tailscale

Để gateway.bind: "loopback" (mặc định trên máy thường). Từ máy tính, mở đường hầm SSH rồi vào http://127.0.0.1:18789/ (OpenClaw docs):

ssh -N -L 18789:127.0.0.1:18789 user@IP-VPS

Với Docker, sửa cổng publish về 127.0.0.1 như hướng dẫn trong bài cài OpenClaw trên VPS bằng Docker. Không đặt allowedOrigins: ["*"]; nếu cần tên miền riêng, dùng reverse proxy HTTPS và khai báo đúng origin. Các cách khác: Tailscale, Cloudflare Tunnel.

2. Kiểm tra cổng đang mở và đóng những gì không dùng

sudo ss -tlnp

Mọi cổng không cần ra ngoài phải nghe trên 127.0.0.1. Với cổng do Docker publish, UFW không chặn được nếu thiếu luật chuỗi DOCKER-USER (OpenClaw: Network exposure). Từ một máy khác, thử curl http://IP-VPS:18789/healthz: kết quả phải là không kết nối được.

3. Khoá SSH trước khi cài OpenClaw

Đăng nhập bằng SSH key ed25519, tắt đăng nhập mật khẩu, bật tường lửa (mở cổng SSH trước rồi mới ufw enable). Chi tiết ở bảo mật VPS Ubuntu.

4. Không chạy OpenClaw bằng root

Tạo một user Linux riêng cho OpenClaw, để cấu hình và workspace trong thư mục của user đó. Nếu agent bị lợi dụng, thiệt hại dừng trong quyền của user này.

5. Khoá ai được nhắn bot

Giữ DM policy pairing hoặc chuyển sang allowlist với ID số; nhóm chat bật yêu cầu mention; không thêm bot vào nhóm hay server công khai.

openclaw pairing list telegram
openclaw pairing approve telegram <CODE>

6. Giới hạn tool theo agent

Docs có cấu hình nền “hardened baseline” chỉ giữ Gateway ở local, tách session theo người gửi, chặn nhóm tool runtime, tệp, automation và bắt hỏi trước mọi lệnh exec (OpenClaw: Hardened baselines). Bắt đầu từ đó rồi bật lại từng tool cho agent cần:

{
  gateway: { mode: "local", bind: "loopback", auth: { mode: "token", token: "<chuỗi ngẫu nhiên dài>" } },
  session: { dmScope: "per-channel-peer" },
  tools: {
    profile: "messaging",
    deny: ["group:automation", "group:runtime", "group:fs", "sessions_spawn", "sessions_send"],
    fs: { workspaceOnly: true },
    exec: { security: "deny", ask: "always" },
    elevated: { enabled: false },
  },
}

Sinh token bằng openssl rand -hex 32; docs cảnh báo token dưới 24 ký tự.

7. Bắt duyệt các hành động rủi ro cao

• Gửi email, tin nhắn ra ngoài.
• Xoá hoặc sửa tệp quan trọng.
• Mua hàng, thao tác tài chính.
• Triển khai code, sửa hệ thống đang chạy thật.
• Chạy lệnh shell có quyền ghi.

Bước duyệt chỉ có tác dụng khi Gateway và kênh duyệt được bảo vệ; ai chiếm được Gateway thì cũng tự duyệt được.

8. Lưu API key và token đúng cách

• Đặt key qua biến môi trường hoặc SecretRef thay vì ghi thẳng vào openclaw.json.
• Giữ quyền tệp 600, thư mục 700; openclaw security audit --fix tự siết quyền này.
• Không đưa ~/.openclaw, .env lên GitHub; backup thì mã hoá.
• Che key, token, IP trong mọi ảnh chụp màn hình; lộ rồi thì thu hồi và tạo key mới.

9. Bật sandbox cho agent chạy lệnh

Đặt agents.defaults.sandbox.mode thành "non-main" hoặc "all" để tool chạy trong container Docker; container sandbox mặc định không có mạng, workspace mặc định không được gắn vào. Hướng dẫn chi tiết trên VPS: cách ly sandbox cho AI Agent. Chạy chính Gateway trong Docker không thay được sandbox: Docker cách ly Gateway với host, nhưng agent vẫn có toàn quyền bên trong container đó.

10. Cẩn trọng với trình duyệt tự động và nội dung lạ

Cho agent dùng trình duyệt chưa đăng nhập tài khoản quan trọng, giới hạn tên miền được mở, coi email và trang web lạ là dữ liệu không tin cậy. Tách trình duyệt ra container riêng như Browserless trên VPS giúp giới hạn phạm vi.

11. Kiểm skill trước khi cài

Đọc SKILL.md và tệp đi kèm, xem kết quả quét trên trang ClawHub, cảnh giác với mục yêu cầu tải ZIP, dán lệnh vào terminal. Đặt security.installPolicy để cảnh báo hoặc chặn skill bị gắn cờ (OpenClaw CLI: skills).

12. Chạy security audit, đọc log, cập nhật có kiểm soát

openclaw security audit
openclaw security audit --deep
openclaw update status

Audit báo các cấu hình nguy hiểm: Gateway mở ra ngoài, token yếu, cờ debug còn bật (OpenClaw: Running the audit). Trước khi cập nhật, sao lưu ~/.openclaw hoặc snapshot VPS; cách làm an toàn ở hướng dẫn nâng cấp OpenClaw và tự động backup OpenClaw lên Google Drive.

Mới dùng OpenClaw thì nên tự động hoá những gì trước?

Nên bắt đầu bằng việc chỉ đọc, có thể hoàn tác và dễ kiểm: bản tin tóm tắt, tóm tắt hộp thư (không tự trả lời), báo cáo theo lịch từ log hoặc dashboard, nhắc việc từ ghi chú. Chạy vài tuần, đọc log, rồi mới thêm việc ghi rủi ro thấp như lưu báo cáo, tạo nháp lịch.

Ví dụ việc cụ thể cho từng giai đoạn có ở OpenClaw làm được những gì.

Muốn chạy OpenClaw 24/7 mà không tự cài? VPS OpenClaw của Tino cài sẵn OpenClaw trên VPS NVMe đặt tại Việt Nam; bạn vẫn có quyền root để cấu hình. Xem cấu hình và giá trên trang sản phẩm.

VPS cài sẵn giúp bỏ qua phần dựng môi trường; các bước khoá ai được nhắn, quyền tool, skill và key vẫn do bạn cấu hình.

Những câu hỏi thường gặp