云安全中心：Agent 风险检测与防护

检测说明

• 检测耗时：具体时间取决于资产复杂度。

• 系统影响：检测过程为只读分析，不会影响线上业务运行。

• 结果有效期：检测结果反映检测时刻的风险状态，建议在配置变更后重新检测。

系统定时自动检测

接入Agent 安全中心后，系统每天自动对已接入的 AI 资产进行风险检测。

• 扫描时间和频率：每天自动执行一次。

• 扫描范围：已接入的全部 AI 资产。

• 扫描结果：可在Agent 风险的风险事件列表中查看及处理。

手动检测

手动检测操作步骤如下：

1. 访问云安全中心控制台-Agent安全中心-Agent概览，在页面左侧顶部，选择需防护资产所在的区域：中国内地或非中国内地。

2. 在接入平台区域，单击右上角的资产同步。

3. 系统将同步平台的AI Agent、模型服务、工具集、数据集、应用配置等相关数据，同时进行风险检测。

   说明

   资产同步可能需要一定的时间，请耐心等待。

AI安全护栏

AI 安全护栏是独立的商业化安全服务，提供更全面的实时防护能力。开通后，检测结果（风险事件）将同步至Agent 安全中心的Agent 风险列表中，便于统一管理。

1. 前往 | AI 安全护栏产品开通服务页面，开通 AI 安全护栏产品服务。

   说明

   默认付费方式为按量后付费，按 API 调用次数计费，不调用服务不收费。具体价格和免费额度参考产品购买页说明。

2. 配置检测项、词库等信息。具体操作，参考检测项配置、词库管理。

3. 设置自定义检测 Agent（可选），具体操作，参考快速使用自定义检测Agent。

4. 执行检测后，系统将自动同步检测结果至Agent 安全中心，可在Agent 风险的风险事件列表中查看和处理。

办公安全平台（SASE）

SASE可扫描终端 AI 资产、识别风险终端、执行安全管控，建立终端 AI 使用合规管理流程。开通 SASE 服务后，相关资产和风险数据将自动同步至 Agent 安全中心。

1. 前往办公安全平台 | 购买页，购买内网访问安全（Private Access ）任意版本合适的服务。更多说明，请参见办公安全平台计费概述。

2. 登录 办公安全平台控制台，配置AI 资产扫描策略。

3. 配置 Agent 风险分析策略，具体操作，参考Agent 管理最佳实践。

4. 风险策略分析完成后，系统将自动同步相关风险和 AI 资产数据至Agent 安全中心，可在Agent 风险的风险事件列表中查看和处理。

操作步骤

1. 开启AI安全护栏

   1. 登录 | AI 安全护栏产品控制台。

   2. 在防护配置 > 检测项配置页面，搜索 agent_runtime_guard（agent运行时防护）防护服务。

   3. 单击 agent_runtime_guard操作列的管理。

   4. 按业务需求开启防护维度，更多操作参考检测项配置。

2. 安装 Agent 安全防护插件。

   系统自动安装

   • 适用场景：仅支持已被 Agent 安全中心检测出的 OpenClaw 资产。

   • 操作步骤：

     • 一键批量安装：

       1. 在Agent 概览页接入平台的 OpenClaw 区域，单击立即防护。

       2. 在启用 OpenClaw 实时防护弹窗中，选择一键批量安装。

          说明

          安装任务提交后，预计 10 分钟内完成。可关闭此窗口，完成后将自动同步 Agent 资产。

     • 单个 Agent 安装：

       1. 进入Agent 概览页面，单击 Agents 图标，进入Agent详情页，切换视图模式至列表。

       2. 在 Agent 列表页，单击目标 Agent 安全防护列下的图标。

       3. 在安装提示框中，单击确定。

   手动安装

   • 适用场景：系统自动安装失败或未被 Agent 安全中心自动检测到的 OpenClaw 资产。安装完成后，相关数据将自动同步至 Agent 安全中心。

   • 操作步骤：

     1. 在Agent 概览页接入平台的 OpenClaw 区域，单击立即防护。

     2. 在启用 OpenClaw 实时防护弹窗中，选择手动安装并复制安装命令。安装命令格式如下：

        重要

        安装命令具有时效性，请注意在执行安装指令区域显示的过期时间，过期后需重新获取。

        wget -q "https://update.aegis.aliyun.com/download/openclaw-security-assistant/1.1.0/linux/installer.sh" && chmod +x installer.sh && ./installer.sh install --key "<YOUR-INSTALLATION-KEY>" --autoRestart

     3. 登录 OpenClaw 部署服务器，执行安装命令。

        警告

        • 服务器必须已安装 OpenClaw 且 Node.js 版本 ≥ 22。可运行 node --version 查看当前版本。

        • 安装过程中需要重启 OpenClaw Gateway，请先暂停 OpenClaw 相关操作。

     4. 确认安装状态：

        • 方式一：刷新Agent 概览页，查看 OpenClaw 区域下已防护的资产是否增加。

        • 方式二：

          1. 在Agent 概览的关系图谱区域，单击中央的 AGENTS 图标。

          2. 进入Agent详情页面，切换查看模式为列表，安全防护列显示为即表示安装成功。更多说明，请参考安全防护插件安装情况。

插件安装故障排查

以下为常见安装失败场景及排查建议：

• sudo 用户不存在错误

  • 错误信息：sudo: unknown user <username> 和 sudo: error initializing audit plugin sudoers_audit

  • 可能原因：

    • sudo 配置中引用了不存在的用户（可能是用户名格式异常或已被删除）。

    • sudoers 审计插件初始化失败，可能与 sudo 版本或 PAM 配置有关。

  • 排查方法：

    • 检查 /etc/sudoers 及 /etc/sudoers.d/ 下的配置文件中是否存在异常用户引用。

    • 确认该用户是否在系统中存在：执行 id <username> 命令验证。

  • 解决方案：尝试修复 sudoers 配置或重新安装 sudo 包。

• OpenClaw 未检测到

  • 错误信息：ERROR: 未检测到可用的 openclaw（已尝试 global / pnpm / docker）

  • 可能原因：

    • 服务器上未安装 OpenClaw 或安装路径不在系统 PATH 中。

    • OpenClaw 通过 pnpm 或 Docker 方式部署，但安装脚本未能正确检测到。

  • 排查方法：

    • 确认 OpenClaw 已安装并可正常运行：执行 which openclaw 或 openclaw --version。

    • 若 OpenClaw 通过 Docker 部署，确认容器正在运行：执行 docker ps | grep openclaw。

    • 若通过 pnpm 安装，确认 pnpm 全局 bin 目录在 PATH 中：执行 pnpm bin -g。

  • 解决方案：将 OpenClaw 可执行文件路径添加到系统 PATH 后重新执行安装命令。

• OpenClaw Gateway 进程缺失

  • 错误信息：openclaw-gateway process not found

  • 可能原因：

    • openclaw-gateway 进程未运行或未安装。

    • gateway 进程已崩溃或异常退出。

    • 进程名称或路径不匹配检测脚本

  • 排查方法：

    • 检查 gateway 是否已安装：which openclaw。

    • 检查进程状态：ps auxI grep openclaw-gateway。

    • 查看是否有相关 systemd 服务：ps auxI grep openclaw-gateway。

    • 检查日志确认 gateway 是否启动失败：journalctl -u openclaw-gatevay或查看应用日志。

  • 解决方案：重启openclaw gateway restart或重新安装OpenClaw Gateway 即可。

OpenClaw 实时防护无法使用的原因是什么？

• 未购买AI安全护栏：启用 OpenClaw 实时防护，需购买AI安全护栏。

• 防护插件安装失败：安装命令失效，若为手动安装，在执行安装指令区域可查看过期时间，过期后需重新获取。