与其他 Claw 实现对比

4.1 项目概览

4.1.1 对比项目选择

本次调研选取了 4 个代表性的实现进行对比：

4.1.2 隔离技术对比

4.2 NanoClaw：默认容器化执行

4.2.1 核心架构

// 每个 group 独立容器，ephemeral (--rm)
const containerArgs = [
  'run', '-i', '--rm', '--name', containerName,
  '-e', `TZ=${TIMEZONE}`,
  '--user', `${hostUid}:${hostGid}`,  // 非 root 执行
  ...mountArgs,  // 显式挂载点
  CONTAINER_IMAGE
];

4.2.2 隔离特性

4.2.3 安全模型

信任边界：Docker 容器
挂载策略：外部白名单 (~/.config/nanoclaw/mount-allowlist.json)
凭据处理：stdin 传递，Bash 子进程无法访问
IPC 授权：基于群组身份验证

4.3 OpenClaw：可选容器化

4.3.1 核心架构

// 配置驱动的容器创建
export async function ensureSandboxContainer(params: {
  sessionKey: string;
  cfg: SandboxConfig;
}) {
  const args = buildSandboxCreateArgs({
    name: containerName,
    cfg: params.cfg.docker,
    scopeKey,
    configHash: expectedHash,  // 配置哈希用于漂移检测
  });
  
  // 安全验证
  validateSandboxSecurity({
    ...params.cfg,
    allowedSourceRoots: [workspaceDir],
    allowSourcesOutsideAllowedRoots: false,
  });
}

4.3.2 配置示例

# openclaw.config.yaml
agents:
  defaults:
    sandbox:
      mode: "non-main"  # "off" | "non-main" | "all"
      docker:
        memory: "512m"
        cpus: 1.0
        pidsLimit: 100
        capDrop: ["ALL"]
        securityOpt:
          - "no-new-privileges"
          - "seccomp=default.json"
          - "apparmor=openclaw-sandbox"

4.3.3 隔离特性

4.3.4 安全验证

const BLOCKED_HOST_PATHS = [
  "/etc", "/proc", "/sys", "/dev", "/root", "/boot",
  "/run", "/var/run", "/var/run/docker.sock"
];

export function validateBindMounts(binds: string[], options) {
  for (const bind of binds) {
    // 阻断系统路径挂载
    if (blockedReason = getBlockedBindReason(bind)) {
      throw formatBindBlockedError({ bind, reason: blockedReason });
    }
    // 阻断非绝对路径
    if (!sourceRaw.startsWith("/")) {
      throw { kind: "non_absolute", sourcePath: sourceRaw };
    }
    // 白名单验证
    if (!isPathInsideAllowedRoots(sourceNormalized, allowedRoots)) {
      throw { kind: "outside_allowed_roots" };
    }
  }
}

4.4 Container-MCP：多层防御隔离

4.4.1 核心架构

# 三层隔离：容器 + Firejail + AppArmor
def _get_sandbox_command(self, command: str) -> List[str]:
    if self._is_container():
        return [
            "firejail",
            "--noprofile", "--quiet",
            f"--private={self.sandbox_dir}",  # 私有目录
            "--private-dev", "--private-tmp",  # 私有设备/临时
            "--caps.drop=all",  # 移除所有 capabilities
            "--nonewprivs",  # 禁止提权
            "--noroot",  # 禁止 root
            "--seccomp",  # 系统调用过滤
            "bash", "-c", command
        ]

4.4.2 隔离层次

┌─────────────────────────────────────┐
│  Layer 3: AppArmor                  │
│  - 强制访问控制 (MAC)               │
│  - 文件系统 ACL                     │
│  - 网络 ACL                         │
└─────────────────────────────────────┘
         ↓
┌─────────────────────────────────────┐
│  Layer 2: Firejail                  │
│  - 进程级沙盒                       │
│  - 私有命名空间                     │
│  - Seccomp 过滤                     │
└─────────────────────────────────────┘
         ↓
┌─────────────────────────────────────┐
│  Layer 1: Docker/Podman             │
│  - 容器隔离                         │
│  - 资源限制                         │
│  - 文件系统挂载                     │
└─────────────────────────────────────┘
         ↓
┌─────────────────────────────────────┐
│  Host Kernel                        │
└─────────────────────────────────────┘

4.4.3 隔离特性

4.4.4 资源限制

# Container-MCP 配置
timeout_default: int = 30
timeout_max: int = 120
memory_limit: str = "256MB"
cpu_limit: float = 0.5

4.5 E2B：微虚拟机硬件隔离

4.5.1 核心架构

┌─────────────────────────────────────┐
│         Host Kernel                 │
├─────────────────────────────────────┤
│  Firecracker VMM                    │
├─────────────────────────────────────┤
│  ┌───────────┐  ┌───────────┐       │
│  │ MicroVM 1 │  │ MicroVM 2 │  ...  │
│  │ (Guest)   │  │ (Guest)   │       │
│  │ - Kernel  │  │ - Kernel  │       │
│  │ - Userspace│ │ - Userspace│      │
│  └───────────┘  └───────────┘       │
└─────────────────────────────────────┘

4.5.2 Firecracker 特性

4.5.3 安全优势

• ✅ 容器逃逸攻击无效（独立 kernel）
• ✅ CVE-2019-5736 类型攻击无法跨 VM 传播
• ✅ 网络完全隔离（可配置）
• ✅ 存储不可变（预构建模板）

4.5.4 局限性

• ❌ 需要云服务依赖（不自托管）
• ❌ 启动时间比容器慢 (~150ms vs ~1ms)
• ❌ 成本较高（按使用量计费）

4.6 安全性设计对比

4.6.1 隔离强度矩阵

4.6.2 威胁模型对比

4.6.3 凭据处理对比

4.7 架构对比图

4.7.1 NanoClaw 架构

┌─────────────────────────────────────────────────────┐
│                    Host System                       │
│  ┌─────────────────────────────────────────────────┐ │
│  │              NanoClaw Host Process              │ │
│  │  • Message Routing                              │ │
│  │  • IPC Authorization                            │ │
│  │  • Mount Validation (external allowlist)        │ │
│  │  • Container Lifecycle                          │ │
│  └─────────────────────┬───────────────────────────┘ │
│                        │                              │
│                        ▼                              │
│  ┌─────────────────────────────────────────────────┐ │
│  │            Docker Container (ephemeral)         │ │
│  │  ┌─────────────────────────────────────────────┐│ │
│  │  │  /workspace/project (ro) - Main only        ││ │
│  │  │  /workspace/group (rw)                      ││ │
│  │  │  /workspace/ipc (rw) - isolated per group   ││ │
│  │  │  /home/node/.claude (rw) - session data     ││ │
│  │  │                                              ││ │
│  │  │  Blocked: .ssh, .aws, .env, docker.sock     ││ │
│  │  └─────────────────────────────────────────────┘│ │
│  └─────────────────────────────────────────────────┘ │
└──────────────────────────────────────────────────────┘

4.7.2 OpenClaw 架构（可选容器化）

┌─────────────────────────────────────────────────────┐
│                    Host System                       │
│  ┌─────────────────────────────────────────────────┐ │
│  │              OpenClaw Gateway                   │ │
│  │                                                  │ │
│  │  Main Session: ─────────────┐                   │ │
│  │    Direct Execution          │                   │ │
│  │    (no container)            ▼                   │ │
│  │                                                  │ │
│  │  Non-Main Sessions: ─────► ┌─────────────────┐  │ │
│  │    Docker Containers        │ Per-Session     │  │ │
│  │    (configurable)           │ Sandbox         │  │ │
│  │                             └─────────────────┘  │ │
│  └─────────────────────────────────────────────────┘ │
└──────────────────────────────────────────────────────┘

4.7.3 Container-MCP 架构

┌─────────────────────────────────────────────────────┐
│                    Host System                       │
│  ┌─────────────────────────────────────────────────┐ │
│  │           Container-MCP Server                  │ │
│  │                                                  │ │
│  │  ┌───────────────────────────────────────────┐ │ │
│  │  │  Docker/Podman Container                  │ │ │
│  │  │  ┌─────────────────────────────────────┐ │ │ │
│  │  │  │  Firejail Sandbox                   │ │ │ │
│  │  │  │  ┌───────────────────────────────┐ │ │ │ │
│  │  │  │  │  AppArmor Profile             │ │ │ │ │
│  │  │  │  │  • File ACL                   │ │ │ │ │
│  │  │  │  │  • Network ACL                │ │ │ │ │
│  │  │  │  │  • Capabilities drop          │ │ │ │ │
│  │  │  │  └───────────────────────────────┘ │ │ │ │
│  │  │  └─────────────────────────────────────┘ │ │ │
│  │  └───────────────────────────────────────────┘ │ │
│  └─────────────────────────────────────────────────┘ │
└──────────────────────────────────────────────────────┘

4.7.4 E2B 架构

┌─────────────────────────────────────────────────────┐
│              E2B Cloud Infrastructure                │
│  ┌─────────────────────────────────────────────────┐ │
│  │              Firecracker VMM                    │ │
│  │                                                  │ │
│  │  ┌─────────────┐  ┌─────────────┐              │ │
│  │  │  MicroVM 1  │  │  MicroVM 2  │    ...       │ │
│  │  │ ┌─────────┐ │  │ ┌─────────┐ │              │ │
│  │  │ │ Kernel  │ │  │ │ Kernel  │ │              │ │
│  │  │ ├─────────┤ │  │ ├─────────┤ │              │ │
│  │  │ │ Userspace│ │  │ │ Userspace│ │            │ │
│  │  │ │ - Agent  │ │  │ │ - Agent  │ │            │ │
│  │  │ └─────────┘ │  │ └─────────┘ │              │ │
│  │  └─────────────┘  └─────────────┘              │ │
│  │        Isolated       Isolated                  │ │
│  └─────────────────────────────────────────────────┘ │
└──────────────────────────────────────────────────────┘

4.8 NanoClaw 默认容器化的优劣势

4.8.1 优势

1. 安全边界清晰

• 容器是明确的信任边界，而非应用级权限检查
• 文件系统访问由 Docker 强制控制，而非代码逻辑
• 即使 agent 发现漏洞，也无法突破容器边界

2. 简化威胁模型

非容器化方案:
  用户输入 → 权限检查 → 执行
              ↑
         代码漏洞 = 完全访问

容器化方案:
  用户输入 → 容器边界 → 权限检查 → 执行
              ↑              ↑
         Docker 强制      代码逻辑

3. 开发/生产一致性

• 开发环境和生产环境使用相同的隔离机制
• 避免”开发时测试通过，生产时权限不足”的问题

4. 会话隔离

• 每个 group 独立容器，防止跨组信息泄露
• 临时容器 (--rm) 确保无状态残留

4.8.2 劣势

1. 性能开销

操作类型           | 容器化   | 非容器化
-------------------|----------|----------
容器启动          | ~1-2 秒   | N/A
文件系统 I/O       | -5~10%   | 基准
网络延迟          | +0.1ms   | 基准
内存占用          | +50MB/容器 | 基准

2. 复杂性增加

• 需要管理 Docker 守护进程
• 挂载权限配置复杂
• 调试需要在容器内进行

3. 功能限制

• 某些系统调用在容器内不可用
• 无法直接访问 host 网络命名空间
• 特定硬件访问受限

4. 平台依赖

• macOS 需要 Docker Desktop 或 Apple Container
• Windows 需要 WSL2
• 某些云环境可能不支持 Docker-in-Docker

4.9 综合对比总结

4.9.1 特性矩阵

4.9.2 适用场景

4.10 小结

通过对比分析，我们发现：

1. NanoClaw 的”默认容器化”是独特的 - OpenClaw 将容器化作为可选配置，而 NanoClaw 将其作为默认安全基线

2. 挂载安全是核心差异点:

   • NanoClaw: 外部白名单文件（容器无法修改）
   • OpenClaw: 配置内白名单 + 运行时验证
   • Container-MCP: 私有目录隔离

3. E2B 代表最高安全级别 - Firecracker microVM 提供硬件级隔离，但需要云服务依赖

4. NanoClaw 的权衡 - 选择了安全性（默认容器化）而非性能（~1-2 秒启动延迟），对于个人用户场景是可接受的

下一章预告: 第 5 章将给出最终评估结论，包括威胁模型总结、优劣势分析、适用场景建议，以及改进方向。

参考资料

• OpenClaw GitHub
• Container-MCP GitHub
• E2B Documentation
• Firecracker Security Model