Exec Guard — 命令安全守卫

灵感来源：Claude Code 的命令语义分类器（bash command classifier）。

核心问题

Agent 需要 exec 权限才能干活，但开了 full 权限又怕翻车。 现有方案要么太松（full：什么都能跑）要么太紧（allowlist：预设白名单太死板）。

Exec Guard 提供第三条路：语义级安全。

不是看命令长什么样，而是理解命令要做什么。

何时生效

始终生效（alwaysLoad: true）。

每次准备调用 exec 工具时，先在脑中过一遍本 Skill 的分类规则。

命令分类体系

Level 0 — READ（只读）✅ 自动放行

定义：只读取信息，不修改任何东西。

# 典型命令
cat / head / tail / less / more
ls / find / locate / which / where
grep / rg / ag / ack
wc / du / df / free / top / ps
echo / printf / date / whoami / id
git status / git log / git diff / git show
docker ps / docker logs / docker inspect
curl -s [GET] / wget -q -O -
python3 -c "print(...)"
jq / yq（只查询）

判断要点：

• 没有重定向（>、>>、| 到写命令）
• 没有 -i（in-place）/ -w（write）标志
• 没有副作用

Level 1 — WRITE（workspace 内写入）✅ 自动放行

定义：在 workspace 目录内创建或修改文件。

# 典型命令
echo "x" > ./file.txt
mkdir -p ./dir
cp src.txt ./dst.txt
mv ./old.txt ./new.txt
git add / git commit / git push
npm install（在项目目录内）
pip install --user
touch / tee（workspace 内）
sed -i（workspace 内文件）

判断要点：

• 所有写入目标都在 workspace 或 /tmp 内
• 不影响系统文件
• 可恢复（有 git 或可以重新生成）

Level 2 — WRITE_SYSTEM（系统级写入）⚠️ 需要确认

定义：修改 workspace 外的文件或系统配置。

# 典型命令
sudo apt install
systemctl start/stop/restart
crontab -e
echo "x" >> ~/.bashrc
cp file /etc/...
chmod / chown（系统目录）
docker run / docker-compose up
npm install -g

处理方式：

• 告诉用户你要做什么、为什么
• 等用户确认后执行
• 如果用户之前说过"这类操作随便做" → 记住偏好，下次自动放行

Level 3 — NETWORK（网络操作）⚠️ 需要确认

定义：主动发起网络请求（不是读取本地资源）。

# 典型命令
curl -X POST / PUT / DELETE
wget（下载文件）
ssh / scp / rsync（到远程）
git clone（新仓库）
docker pull
pip install（从 PyPI 下载）

处理方式：

• GET 请求到已知安全域名 → 自动放行
• POST/PUT/DELETE → 需要确认
• 安全域名白名单：github.com, pypi.org, npmjs.com, api.openai.com 等

Level 4 — DESTRUCTIVE（破坏性）🚫 必须确认

定义：不可逆的删除或破坏操作。

# 高危命令
rm -rf（尤其是带 / 或 ~）
dd if=... of=...
mkfs / fdisk
> /dev/sda
git reset --hard
git clean -fd
docker system prune
DROP TABLE / DELETE FROM（数据库）
kill -9 / killall
reboot / shutdown

处理方式：

1. 绝对不自动执行
2. 告诉用户：这个命令会做什么、影响范围、是否可恢复
3. 建议更安全的替代方案（trash 替代 rm、git stash 替代 git reset --hard）
4. 用户明确说"执行"后才执行

分类决策树

命令 → 是否修改任何东西？
  ├─ 否 → Level 0 (READ) ✅
  └─ 是 → 修改什么？
      ├─ workspace/tmp 内的文件 → Level 1 (WRITE) ✅
      ├─ 系统文件/全局配置 → Level 2 (WRITE_SYSTEM) ⚠️
      ├─ 发起网络请求 → Level 3 (NETWORK)
      │   ├─ GET + 安全域名 → ✅
      │   └─ 其他 → ⚠️
      └─ 不可逆删除/破坏 → Level 4 (DESTRUCTIVE) 🚫

复合命令处理

管道和链式命令按最高危险等级分类：

# 整体 Level 0（两段都是只读）
cat file.txt | grep "pattern"

# 整体 Level 4（rm 是破坏性的）
find . -name "*.tmp" -exec rm {} \;
# → 建议改为：find . -name "*.tmp" -exec trash {} \;

# 整体 Level 2（写系统文件）
echo "export PATH=..." >> ~/.bashrc && source ~/.bashrc

用户偏好学习

记住用户的安全偏好：

用户："npm install 不用问我"
→ 记住：npm install 在项目目录内 → 自动放行

用户："docker 操作都先问我"
→ 记住：所有 docker 命令 → 需要确认

用户："sudo 随便用"
→ 记住：sudo 命令 → 自动放行（但 DESTRUCTIVE 级别仍然确认）

偏好记录到 memory/ 或 MEMORY.md 中，跨 session 生效。

安全底线（不可覆盖）

即使用户说"什么都自动执行"，以下操作永远需要确认：

1. rm -rf / 或 rm -rf ~（或任何删除根目录/home 目录）
2. dd 写入块设备
3. mkfs 格式化
4. 任何涉及 sudo + 删除的组合
5. :(){ :|:& };: 或类似 fork bomb

输出格式

当需要确认时，用简洁格式：

⚠️ 这个命令会 [具体影响]
命令：[完整命令]
风险等级：Level X (TYPE)
更安全的替代：[如果有的话]
要执行吗？

与 OpenClaw 的配合

• security: full 模式下，Exec Guard 作为软防护补充（建议但不强制）
• security: allowlist 模式下，Exec Guard 帮助扩展白名单（自动放行 READ 级别）
• security: deny 模式下，Exec Guard 不生效（exec 本身就禁用了）

使用示例

Agent 内心独白：
"用户要我清理 docker 镜像。命令是 docker system prune -a。
分类：Level 4 (DESTRUCTIVE) — 会删除所有未使用的镜像、容器、网络。
不可自动执行。告诉用户影响，等确认。"

Agent 回复：
"⚠️ docker system prune -a 会删除所有未使用的镜像、容器和网络，释放磁盘空间但无法恢复。
要执行吗？或者我可以先 docker system df 看看占了多少空间。"