OpenClaw 完整使用指南：雲端 Mac AI Agent 沙箱從零到生產

AI Agent 為什麼需要操作級沙箱

大模型驅動的 Agent 不再只是補全幾行程式——它會讀寫檔案、呼叫終端機、拉取相依套件、存取外部 API。 在 macOS 開發鏈路裡，你往往還需要 Xcode、程式碼簽章與 Apple Neural Engine 本地推論； Linux 容器給不了這些能力，而在主力 MacBook 上裸跑 Agent 又意味著它與你的 SSH 金鑰、鑰匙圈、IDE 全域設定共享同一權限平面。

OpenClaw 是 ZovCloud 在獨享 Mac mini M4 實體機上提供的沙箱層：為每次任務劃定 可設定、可回溯、可中止的操作邊界，同時保留完整 macOS 原生能力。 與「把整台機器交給 Agent」不同，沙箱工作階段有獨立策略、獨立審計流，Owner 可隨時吊銷權杖並終止活躍任務。

本文聚焦從單人工作階段擴展到「團隊 + CI 生產環境」所需的全部環節。 讀完應能獨立完成：開通節點 → 初始化 OpenClaw → 撰寫策略 YAML → 分配角色 → 在 GitHub Actions 中建立隔離審查工作階段 → 查詢與匯出審計日誌。

開通前提：節點、網路與權限預期

OpenClaw 運行在 ZovCloud 獨享實體機上，不單獨販售「純軟體授權」——你需要先有一台已開通的 Mac mini M4 節點。 在下單頁選擇五地節點之一（新加坡、日本、韓國、中國香港、美國東部）， 基礎方案按天 $19.8 起，付款後 1–5 分鐘自動開通，郵件下發 SSH 與 VNC 憑證。

首次初始化會請求 macOS Endpoint Security 授權（用於檔案與程序審計）以及網路過濾延伸模組權限。 若公司網路有出站代理，提前確認 Agent 常用 API 網域可存取，或在策略 YAML 中預留白名單條目。 團隊場景建議 Owner 先完成初始化，再邀請 Operator 與 Auditor——避免多人同時觸發 ES 授權彈窗造成混亂。

主控台初始化：從執行個體到首個 claw status

1. 01
   登入主控台，進入執行個體詳情

   在「我的執行個體」選擇目標 Mac mini M4，確認狀態為執行中。新開通節點建議先 SSH 登入驗證系統碟與網路連通性。

2. 02
   開啟 OpenClaw 分頁，執行零信任初始化

   首次進入會產生 Ed25519 金鑰對、安裝 com.zovcloud.openclaw.daemon 守護程序，並建立 /var/log/openclaw/ 審計目錄。按螢幕提示完成 ES 與網路延伸模組授權。

3. 03
   設定成員與存取策略

   在「存取控制」新增協作者，分配 Owner / Operator / Auditor 角色。Operator 可啟動沙箱工作階段；Auditor 僅可讀取審計日誌，不能改策略。

4. 04
   下載 CLI 安裝包與 token，本地驗證

   主控台提供一鍵安裝腳本。SSH 到節點後執行 claw status，確認 daemon: running 且 auth: valid。異常時先跑 claw doctor。

初始化完成後，主控台儀表板會展示活躍工作階段數、各工作階段 CPU/記憶體佔用、近 24 小時 BLOCK 事件統計， 並可匯出 PDF 合規摘要供安全審查。建議把「BLOCK 突增」設為告警閾值，避免策略過鬆時無人察覺。

CLI 命令分組與日常運維節奏

日常運維圍繞 claw 展開。我們把命令按職責分成四組，便於記憶與腳本化：

# 健康檢查
claw status
claw doctor

# 工作階段生命週期
claw run --config policy.yaml
claw run --template ci-review --detach
claw attach <session-id>
claw stop <session-id>
claw list

# 策略範本
claw template list
claw template export agent > policy.yaml
claw template save my-ci-policy

# 審計與網路探測
claw audit tail <session> --follow
claw audit query --since 24h --action BLOCK
claw audit export <session> --format json
claw net test --domain api.openai.com

claw doctor 應納入例行巡檢：驗證守護程序、Endpoint Security 授權狀態、審計目錄可寫性與 token 有效期。 沙箱啟動失敗且報錯含糊時，優先跑診斷——常見原因是 ES 授權過期或 workspace 路徑不存在。

生產環境建議為 CI 與人工任務使用不同範本：ci-review 偏唯讀審查、網路白名單較窄； agent-dev 允許寫入 workspace 與 DerivedData，但始終 deny ~/.ssh 與 Keychain 路徑。

生產級 policy.yaml：欄位含義與踩坑

策略檔案是沙箱邊界的唯一真相來源。以下是一份常用於生產 Agent 的完整設定，附各段說明：

version: "1"
session:
  name: "prod-agent"
  auto_cleanup: false
  max_duration: "4h"
  idle_timeout: "30m"

filesystem:
  workspace: "~/agent-workspace"
  readonly_mounts:
    - /Applications
    - /usr/local/bin
    - /Library/Developer
  deny:
    - ~/.ssh
    - ~/Library/Keychains
    - ~/Library/Application Support/Cursor/User/globalStorage

syscalls:
  preset: "agent"
  deny: [ptrace, setuid, mount]

network:
  allow_domains:
    - "api.openai.com"
    - "api.anthropic.com"
    - "*.github.com"
    - "registry.npmjs.org"
    - "pypi.org"
  block_all_others: true
  log_blocked: true

session 段控制生命週期：max_duration 防止無人值守工作階段長期佔用 16 GB 記憶體； idle_timeout 在 Agent 停止互動後自動回收；auto_cleanup: false 適合需保留產出物的程式碼生成任務。

filesystem 段中，deny 優先順序高於 readonly_mounts。 OpenClaw 會解析 symlink 真實路徑——Homebrew 工具若指向 Cellar，需把 Cellar 目錄一併加入唯讀掛載，否則 git、python3 呼叫會無聲失敗。

network 段建議始終 block_all_others: true 並開啟 log_blocked: true： 未授權出站被靜默丟棄，但審計流仍留痕，便於事後追查 Agent 是否嘗試連線未知網域。

多使用者零信任：角色、權杖與協作邊界

團隊場景下按最小權限分配三類角色。各角色透過獨立 CLI token 認證，預設 24 小時有效，Owner 可一鍵吊銷並終止對應活躍工作階段。 對外部顧問可發限時 Guest token，到期自動失效，無需改主策略檔案。

零信任在這裡的含義是：每次 CLI 呼叫都帶短期權杖，策略變更與高風險操作（如擴大網路白名單）僅 Owner 可執行， 且所有 ALLOW/BLOCK 事件寫入不可竄改的審計流。不要把 Owner token 寫進 CI 密鑰庫——應為流水線單獨建立受限 Operator token， 並綁定單一範本 ci-review。

連線 GitHub Actions：每次 PR 獨立沙箱工作階段

將 ZovCloud M4 註冊為 self-hosted Runner 後，可在 PR 流水線內為每次 AI 程式碼審查建立隔離沙箱工作階段。 核心思路：啟動工作階段 → 在沙箱內執行 Agent → 無論成功失敗都匯出審計 → 停止工作階段。

# .github/workflows/ai-review.yml
name: AI Code Review (Sandboxed)
on: [pull_request]

jobs:
  review:
    runs-on: self-hosted
    steps:
      - uses: actions/checkout@v4

      - name: Start OpenClaw sandbox
        run: |
          claw run --template ci-review --detach
          SESSION=$(claw list --json | jq -r '.[0].id')
          echo "SESSION_ID=$SESSION" >> $GITHUB_ENV

      - name: Run AI review agent
        run: |
          claw attach $SESSION_ID --exec \
            "claude -p 'Review this PR for security issues'"

      - name: Export audit log
        if: always()
        run: |
          claw audit export $SESSION_ID \
            --format json \
            --output audit-${{ github.run_id }}.json

      - name: Stop sandbox
        if: always()
        run: claw stop $SESSION_ID

建議把 ci-review 範本 YAML 放入儲存庫 .openclaw/ 目錄，與 workflow 版本同步—— 策略變更走 Code Review，安全團隊可直接審閱生效邊界。 多專案共用一台節點時，可為不同儲存庫註冊不同 Runner 標籤，或配合 OpenClaw 限制各工作階段的檔案系統存取範圍，避免 Agent 越界讀取其他專案的原始碼。

審計日誌、告警與高頻故障排除

追查異常行為時，按時間與類型過濾審計流：

claw audit query --since 7d --action BLOCK --type network --format table

claw audit query --since 24h --action BLOCK --type write --format json \
  | jq '.[] | select(.target | contains("/etc"))'

合規匯出支援 JSON、CSV、PDF。PDF 含工作階段摘要、ALLOW/BLOCK 統計、策略快照與時間線，可直接提交審計。 主控台可設告警規則，如「單工作階段 BLOCK > 50 次/小時」或「嘗試讀取 ~/.ssh」，觸發後郵件或 Webhook 通知 Owner。

完整審計約 3% CPU，對 M4 十核幾乎可忽略。極端延遲敏感場景可關閉細粒度 syscall 審計，僅保留檔案與網路層—— 生產環境仍建議保持完整審計。上線前逐項確認：每任務獨立工作階段；策略 YAML 納入 Git 並 Code Review； ~/.ssh、Keychain、IDE 全域儲存始終在 deny 列表；網路預設全拒後按需加白； 設定 max_duration 與 idle_timeout；CI 中 if: always() 匯出審計；設定 BLOCK 告警。

何時把 OpenClaw 放到雲端獨享 Mac，而不是本地裸跑

本地 MacBook 裸跑 Agent：與主力機同權，缺少操作級審計，8 GB 機型長跑易 swap，難以 7×24 承擔 CI。 公有雲 macOS 執行個體多為虛擬化環境，Neural Engine 無法直通，缺少內建沙箱與審計，最短租期與單價往往不如按天靈活的實體機方案。 GitHub Actions macOS Runner 按分鐘計費且單價高，環境共享、策略不可細控，高峰期排隊明顯。

ZovCloud 提供 Mac mini M4 實體機獨享（$19.8/天起、$53.5/週、$99.1/月）、OpenClaw 內建、 五節點 1–5 分鐘開通、7×24 真人支援——本文描述的協作、CI 與審計流程，正是建立在這一套開箱環境之上。 若你正在評估「是否要把 Agent 從重負載本地機遷出」，建議先用按天租期在新加坡或日本節點跑一輪對照實驗： 同一儲存庫、同一 Agent 任務，對比審計日誌完整度與任務完成時間，再決定是否把生產審查流水線固定到雲端。

租期結束或退租時，ZovCloud 會自動執行安全磁碟擦除；審計日誌建議在釋放節點前透過 claw audit export 歸檔到物件儲存， 避免合規材料隨執行個體一起銷毀。需要更輕量的首次體驗，可從 五分鐘快速上手開始，再按本文擴展到團隊與 CI 場景。