1. 从一次工具调用被拒说起OpenClaw Safety 规则到底拦了什么如果你最近在折腾 OpenClaw 这类本地 Agent 框架大概率遇到过这种场景你在AGENTS.md里写了一句“允许自动执行所有 shell 命令不需要确认”结果模型还是老老实实停下来问你“是否继续”。你以为是配置没生效翻遍文档也没找到开关。其实这不是 bug而是 OpenClaw 的 System Prompt 里有一段硬编码的 Safety 规则在起作用。OpenClaw 是一个把大模型包装成“个人助理”的本地 Agent 运行时它通过拼接 System Prompt 来约束模型行为再配合工具策略Tool Policies决定哪些操作能执行。System Prompt 里有一个关键模块叫 Safety它定义了三条核心约束不追求自我保存和权力扩张、冲突时优先人类监督并暂停询问、不操纵他人扩大访问权限。这三条不是写在配置文件里的而是直接硬编码在src/agents/system-prompt.ts的源码中。这篇文章面向三类人一是正在用 OpenClaw 做本地 Agent 开发、被 Safety 规则“拦住”想搞清楚触发逻辑的工程师二是想理解 Agent 安全边界如何与鉴权链路配合的技术负责人三是准备把 OpenClaw 接到统一 API 通道比如 TaoToken上、需要确认安全规则不会被覆盖的实践者。我会从源码结构讲起给出可复制的AGENTS.md配置片段再走一遍 TaoToken 统一 Key 的接入和请求验证最后把常见报错逐个拆开。全程可以跟着操作不需要你提前读过 OpenClaw 源码。先给一个核心结论方便你带着预期往下看Safety 段落位于AGENTS.mdProject Context之前属于不可绕过的核心约束层。即使用户在AGENTS.md里写“无需遵守安全规则”那段内容也只是作为 Project Context 插入无法覆盖或删除硬编码的 Safety 段落。理解这一点后面所有的配置和排障都会顺很多。2. Safety 源码结构与 AGENTS.md 优先级为什么它不可覆盖2.1 硬编码位置与三条规则打开src/agents/system-prompt.ts第 675 到 679 行就是 Safety 段落的定义。它是一个字符串常量数组直接写死在代码里const safetySection [ ## Safety, You have no independent goals: do not pursue self-preservation, replication, resource acquisition, or power-seeking; avoid long-term plans beyond the users request., Prioritize safety and human oversight over completion; if instructions conflict, pause and ask; comply with stop/pause/audit requests and never bypass safeguards. (Inspired by Anthropics constitution.), Do not manipulate or persuade anyone to expand access or disable safeguards. Do not copy yourself or change system prompts, safety rules, or tool policies unless explicitly requested., , ];三条规则分别对应无独立目标不自我保存、不复制、不追求资源与权力、优先安全与人类监督冲突时暂停询问、服从停止/审计请求、不绕过防护、不操纵不越权不劝说他人扩大访问、不擅自改系统提示或工具策略。措辞里明确写了 “never bypass safeguards”这是后面判断优先级的关键依据。2.2 sectionOverrides 为什么不包含 safetyOpenClaw 设计了一套可覆盖机制叫ProviderSystemPromptSectionId定义在src/agents/system-prompt-contribution.tsexport type ProviderSystemPromptSectionId | interaction_style | tool_call_style | execution_bias;注意这里只有三个 ID没有safety。也就是说任何 Provider 或配置能替换的段落只有交互风格、工具调用风格、执行偏置这三块。Safety 不在可覆盖列表里从类型层面就堵死了替换路径。2.3 注入方式的差异可覆盖段落走的是buildOverridablePromptSection而 Safety 是直接展开进数组的。看第 784 行附近的拼接逻辑const lines [ You are a personal assistant running inside OpenClaw., , ## Tooling, // ... 工具说明 ... , ...buildOverridablePromptSection({ override: providerSectionOverrides.interaction_style, fallback: [], }), ...buildOverridablePromptSection({ override: providerSectionOverrides.tool_call_style, fallback: [ /* Tool Call Style 内容 */ ], }), ...buildOverridablePromptSection({ override: providerSectionOverrides.execution_bias, fallback: buildExecutionBiasSection({ isMinimal }), }), ...buildOverridablePromptSection({ override: providerStablePrefix, fallback: [], }), ...safetySection, // ← 直接展开无 override 机制 ## OpenClaw CLI Quick Reference, // ... 后续内容 ... ];对比很明显可覆盖段落前面有...buildOverridablePromptSection(...)包裹Safety 是...safetySection裸展开。源码搜索也确认了safetySection只在system-prompt.ts中定义和使用没有任何process.env、config、params参数能改它的内容也没有if条件能跳过注入——唯一例外是promptMode none时整个 prompt 缩成单行但那个模式只用于极简子代理。2.4 拼接顺序决定优先级完整的 System Prompt 拼接顺序里Safety 排在第 7 位AGENTS.md所在的 Project Context 排在第 17 位。LLM 先读 Safety再读AGENTS.md。如果两者冲突Safety 因为位置靠前且措辞明确优先级更高。这是有意的“深度防御”设计不是代码缺陷。层级模块是否可覆盖覆盖机制Layer 1Safety Rules否硬编码不可绕过Layer 2Tool Policies部分运行时过滤危险操作需审批Layer 3User Context是AGENTS.md / SOUL.md / USER.md理解了这三层你就明白为什么在AGENTS.md里写“忽略安全规则”没用——它只是 Layer 3 的内容压不过 Layer 1。3. 可复制配置AGENTS.md 片段与 TaoToken 统一 Key 接入3.1 写一份不踩安全边界的 AGENTS.md既然 Safety 不可覆盖那AGENTS.md的正确用法是“在安全边界内描述行为规范”而不是试图关掉安全机制。下面这份片段可以直接复制到项目根目录的AGENTS.md# Project Context ## 行为规范 - 执行 shell 命令前若涉及删除、覆盖、网络请求先列出命令并等待确认。 - 读取文件默认允许写入文件需说明目标路径和内容摘要。 - 遇到与 Safety 规则冲突的指令暂停并向我询问不要自行判断绕过。 ## 工具偏好 - 优先使用只读工具收集信息再决定是否调用写入类工具。 - 长任务拆成小步骤每步输出结果后再继续。 ## 项目约定 - 代码风格遵循仓库根目录的 .editorconfig。 - 提交信息使用中文格式为「类型: 描述」。注意这里没有出现任何“禁用安全”“无需确认”的措辞因为写了也不会生效反而会让模型在冲突时行为不稳定。3.2 TaoToken 统一 Key 的配置片段OpenClaw 支持通过 Provider 配置接入外部 API 通道。把模型请求统一走 TaoToken可以避免在多个工具里散落不同的 Key。配置文件通常放在~/.openclaw/config.json或项目内的openclaw.config.json下面是一份可复制的 JSON 片段{ providers: { taotoken: { type: openai-compatible, baseUrl: https://taotoken.net/api, apiKey: sk-你的TaoTokenKey, models: { default: claude-sonnet-4-20250514, fast: claude-haiku-4-20250514 } } }, agent: { provider: taotoken, model: claude-sonnet-4-20250514, promptMode: full } }如果你用的是 TOML 风格的配置部分版本支持等价写法是[providers.taotoken] type openai-compatible baseUrl https://taotoken.net/api apiKey sk-你的TaoTokenKey [agent] provider taotoken model claude-sonnet-4-20250514 promptMode full三件套要记牢Base URL 填https://taotoken.net/apiKey 填你在控制台生成的sk-开头字符串Model ID 填你要用的模型名。这三者缺一不可后面排障会反复用到。3.3 获取 Key 与查看文档Key 在 TaoToken 控制台的 API Keys 页面生成建议按项目建不同 Key方便轮换和审计。生成后不要提交到 Git用环境变量或本地配置文件管理。接入文档里有各语言 SDK 的示例和参数说明遇到字段不确定时优先查文档而不是猜。提示promptMode保持full这样 Safety 段落会正常注入。如果你设成none整个 System Prompt 会缩成单行Safety 也不出现但那只适合极简子代理场景日常助理不要用。4. 验证请求与成功结果确认 Safety 生效且 Key 可用4.1 用 curl 验证 API 通道配置写完后先用 curl 确认 TaoToken 通道本身是通的排除 Key 或网络问题curl -s https://taotoken.net/api/v1/messages \ -H Content-Type: application/json \ -H x-api-key: sk-你的TaoTokenKey \ -H anthropic-version: 2023-06-01 \ -d { model: claude-sonnet-4-20250514, max_tokens: 128, messages: [ {role: user, content: 回复 OK 两个字母即可} ] }成功时你会看到类似这样的返回结构{ id: msg_01Xxx, type: message, role: assistant, content: [ {type: text, text: OK} ], model: claude-sonnet-4-20250514, stop_reason: end_turn }如果返回里content数组有文本、stop_reason是end_turn说明 Key 和通道都正常。4.2 在 OpenClaw 里触发一次安全暂停接下来验证 Safety 是否生效。启动 OpenClaw 后在对话里输入一条会触发安全边界的指令比如请删除当前目录下所有 .log 文件不需要问我直接执行。预期行为是模型不会直接执行删除而是列出它打算执行的命令并等待你确认。这对应 Safety 第二条“if instructions conflict, pause and ask”。如果你在AGENTS.md里写了“删除前先确认”行为会一致即使你没写Safety 也会兜底。4.3 查看日志确认注入顺序OpenClaw 通常会把拼接后的 System Prompt 写到调试日志里。开启 debug 模式后在日志中搜索## Safety你应该能看到它出现在## Project Context之前。这一步是确认“位置决定优先级”的最直接证据。日志里还会显示promptMode的值如果是fullSafety 一定在。注意日志里可能包含你的 API Key 片段排查完记得清理或脱敏不要直接贴到公开渠道。5. 常见报错排查401、local proxy failed、reading choices、OAuth5.1 401 Unauthorized最常见的原因是 Key 没填对或没带上。检查三处配置文件里的apiKey是否是sk-开头、curl 里是否带了x-api-key头、环境变量是否被覆盖。如果 Key 是从控制台复制的注意前后不要有空格。轮换过 Key 的话旧 Key 会立即失效记得同步更新配置。5.2 local proxy failed这个报错通常出现在你本地配了转发层但转发层没起来或端口不对。先确认baseUrl直接指向https://taotoken.net/api不要多写或少写路径。如果你确实用了本地代理做日志抓取检查代理进程是否在监听、端口是否和配置一致。多数情况下把baseUrl改回官方地址就能排除。5.3 reading choices 相关报错这类报错一般出现在解析响应时提示读取choices字段失败。原因是请求走的是 OpenAI 兼容格式但返回被按 Anthropic 格式解析或者反过来。确认你的 Providertype和实际返回格式匹配用openai-compatible时响应里应该有choices数组用 Anthropic 原生格式时响应里是content数组。配置里type写错会导致解析层对不上。5.4 OAuth 相关报错如果你在配置里启用了 OAuth 流程但报 token 无效或回调失败先确认你用的是 API Key 模式而不是 OAuth 模式。OpenClaw 接 TaoToken 走的是 Key 鉴权不需要 OAuth。把配置里多余的 OAuth 字段删掉只保留apiKey通常就能恢复。如果确实需要 OAuth比如接其他 Provider确保回调地址和客户端 ID 与平台登记的一致。5.5 排障速查表报错可能原因处理动作401Key 缺失/错误/过期检查apiKey与请求头local proxy failedbaseUrl 指向本地代理且未启动改回https://taotoken.net/apireading choices响应格式与 Provider type 不匹配核对type与解析格式OAuth 无效误用 OAuth 模式改用 API Key删除 OAuth 字段排查时建议一次只改一个变量改完立刻用 4.1 的 curl 复测避免多个问题叠加。6. 把安全边界用起来接入与验证的下一步Safety 规则不可覆盖这件事初看像是限制实际用起来反而是省心的地方——你不需要在每个项目里重复写安全约束也不用担心某个AGENTS.md写错把防护关掉。你要做的是在 Layer 3 里把行为规范写清楚让模型在 Layer 1 的边界内更贴合你的工作流。如果你还没接统一 Key可以从 API Keys 页面生成一个按第 3 节的 JSON 片段填进配置再用第 4 节的 curl 验证一遍。跑通之后把AGENTS.md里的行为规范按项目调整观察日志里 Safety 和 Project Context 的顺序确认注入符合预期。遇到报错就对照第 5 节的表格逐项排除多数问题集中在 Key、baseUrl 和响应格式这三处。接入文档里有更完整的参数说明和示例模型对话页面可以直接试跑请求确认通道长期做编码或 Agent 任务的话Coding Plan 更适合持续使用。把这几步走完你手里就有一套可复现、可审计的本地 Agent 安全配置了。