OpenClaw v2026.5.3 Dateiwerkzeuge
Default-Deny · Pairing · Allowlist-Audit

02

Entscheidungsmatrix: nur SSH, SSH plus VNC, Pairing-Mehrwert

Die Matrix ist absichtlich schmal und beantwortet nur, welche Evidenzklassen eine grafische Sitzung brauchen versus rein textuell. Remote-Mac-Anbieter optimieren SSH-first, doch OpenClaw-Operator:innen brauchen oft browserlokalen Beweis bei Streit über Tool-Panels und Drag-Ziele.

04

Vier ticketfertige Fakten

• Fakt 1: Jeder erfolgreiche Read-Screenshot braucht die passende Audit-JSON-Zeile mit kanonischem Pfad und Tool-Semver.
• Fakt 2: Tiefenlimits und Extension-Filter sind eigenständige Change-Items gegenüber Pairing-Rotation.
• Fakt 3: Pairing-Profile müssen Multi-Projekt-Isolation kreuzen, damit zwei writable Monorepos nie ein Profil ohne Lock teilen.
• Fakt 4: Dokumentieren Sie auf gemieteten Multi-Tenant-Hosts, welche Audit-Datei On-Call zuerst tailt; Finder unter Daemon-User verifizieren.

06

Deep Dive und Grenzen

v2026.5.3 verschiebt die Dateifläche von implizitem Vertrauen zu expliziten Verträgen. file_fetch und dir_fetch verweigern standardmäßig, verlangen Präfix-Allowlists, emittieren strukturierte Audit-Events mit kanonischen Pfaden und führen Pairing-Profile für Artefakt-Sync zwischen Maschinen ein. Nach beta.2 beweisen Sie nicht nur Daemon-Boot, sondern dass Agenten keine sensitiven Verzeichnisse lesen, die nicht im Contract stehen.

Der zu verhindernde Fehlmodus ist subtil: Prozesse crashen selten bei falschen Pfaden; sie lesen leise falsche Dateien, cachen in Kontext und liefern plausible Antworten. Default-Deny macht die erste unerwartete Lesung zu einem deterministischen PATH_DENIED-Fehler, den Automation klassifizieren kann, während Menschen klare Gateway-Texte sehen.

Pairing-Knoten existieren, weil Allowlists allein kein Cross-Host-Vertrauen ausdrücken. Konfigkopie auf einen anderen gemieteten Mac soll nicht still dieselben Privilegien erben. Pairing bindet Profile an Fingerabdrücke und rotierende Tokens, sodass laterale Bewegung eine Zeremonie braucht. Zusammen mit Multi-Projekt-Isolation verhindern Sie geteilte writable Monorepo-Wurzeln ohne dokumentierten Lock.

Symlinks brauchen eine eigene Audit-Spur: Literalpfade können im erlaubten Präfix liegen, während kanonische Ziele auf andere Volumes oder User-Homes zeigen. Release-Notes zu 5.3 verlangen geloggte kanonische Pfade und Escape-Events, wenn Auflösung den Contract verlässt. Teams, die nur Allowlist-Hits grepen, verpassen diese Klasse ohne dedizierte Symlink-Proben.

Remote-Mac-Miete verstärkt Identitätsverwirrung: SSH administrieren, VNC debuggen unter anderem User. File-Tools cachen Policy pro Gateway-User; SSH-Edits in einem HOME während der Daemon in einem anderen HOME läuft erzeugt Geister. Die Abnahmegrid besteht daher auf Same-User-VNC, selbst wenn meiste Edits CLI sind.

Verzeichnis-Enumeration braucht numerische Guardrails jenseits von Präfixen. Naive Rekursion kann riesige node_modules trotz erlaubter Wurzel schmelzen. Setzen Sie maxDepth, Eintragsdeckel, Extension-Filter und explizite Build-Cache-Ausschlüsse; reviewen Sie diese unabhängig von Pairing-Rotation.

SecretRef-Ausrichtung bleibt relevant, obwohl File-Tools keine Secrets entschlüsseln: divergierende Workspace-Allowlist vs. Exec-cwd erzeugt falsche Negative bei Credential-Snapshots. Halten Sie den SecretRef-Audit-Artikel im selben Ticket.

Bei paralleler Validierung von 5.6 Fetch-Fixes oder Gateway-Timeouts splitten Sie Evidenzpakete, weil Netz-Latenzen und lokale Denies ähnliche Symptome erzeugen. Kurze Screenrecords für UI-Denies mit sichtbarem Pfadtext beenden Ownership-Debatten schneller als Chat-Prosa.

Betriebsrhythmus spiegelt v2026.5.7 Plugin-Publish: Semver-Nachweise nach Installs, JSON für Monitore, Rollback-Artefakte mit Diff. File-Tools ergänzen kanonische Pfadproben und Pairing-Fingerprints. Auditor:innen mögen maschinenlesbare Zeilen mehr als Essays.

Für Firmennetze hängen Sie den Outbound-Proxy-Runbook an, sobald Agents Downloads plus lokale Scans mischen.

Clipboard- und Drag-Drop-Ergonomie bleiben anderen Artikeln über Nutzerprojektgrenzen; dieser Guide bleibt bei expliziten Pfadtools und Pairing.

Die Policy-Schicht für Dateizugriffe ist kein kosmetisches Feature, sondern ein Contract zwischen Betrieb, Entwicklung und Sicherheitsteam. Jede erfolgreiche Leseoperation sollte im Ticket neben einem Screenshot die zugehörige JSON-Zeile mit kanonischem Pfad und Tool-Version tragen, damit spätere Audits nicht raten müssen, welche Binärversion tatsächlich entschieden hat. Ohne diese Kopplung verlieren Postmortems an Schärfe, weil Symptome auf Netzwerk oder Modelle projiziert werden, obwohl die Ursache lokal und deterministisch war.

Ein häufiger Fehler in gemieteten Umgebungen ist das Vermischen von Administratorkonten: per SSH wird eine Datei bearbeitet, während der Gateway-Dienst unter einem anderen Benutzer läuft. Die Folge sind scheinbar widersprüchliche Policies, weil LaunchAgent eine andere HOME geladen hat als der interaktive Editor. VNC unter dem Dienstkonto schafft hier Klarheit, weil Finder, Terminal und Gateway dieselbe Sicht auf Pfade erzwingen. Das kostet zehn Minuten, spart aber Stunden an Forensik.

Pairing-Profile sollten versioniert und getrennt von allgemeinen API-Schlüsseln behandelt werden. Wenn zwei Projekte dieselbe Profil-ID teilen, entsteht implizit eine Schreib-Lese-Symmetrie, die niemand explizit freigegeben hat. Dokumentieren Sie daher pro Profil, welche Host-Fingerprints erlaubt sind, welche Token-Rotation gilt und welche Monorepo-Wurzeln geschrieben werden dürfen. Multi-Projekt-Leitfäden helfen, HOME-Splits konsistent zu halten.

Symlink-Tests gehören in jede Release-Regression, nicht nur in Penetrationstests. Ein harmlos aussehender relativer Link kann außerhalb des erlaubten Präfixes landen, obwohl der String-Pfad innerhalb bleibt. Die Audit-Pipeline muss daher kanonische Ziele loggen und Escapes als eigene Event-Klasse führen. Teams, die nur auf Prefix-Matches filtern, unterschätzen diese Klasse systematisch.

dir_fetch braucht harte numerische Deckel. Tiefe allein reicht nicht, weil breite Verzeichnisse mit flacher Struktur trotzdem Millionen Einträge enthalten können. Kombinieren Sie maxDepth mit pro-Verzeichnis-Limits und Extension-Allowlists, und schließen Sie Build-Artefakte explizit aus. Diese Parameter sollten unabhängig von Pairing-Rotation reviewed werden, damit Risiken nicht in einem einzigen Change-Set verschmelzen.

Gateway-UI und CLI sollten identische Fehlertexte liefern, sobald ein Pfad verweigert wird. Abweichungen deuten auf Cache-Inkonsistenzen oder gemischte Versionen hin. In gemieteten Mac-Clustern passiert Letzteres leichter, wenn Canary- und Produktionsknoten unterschiedliche Plugin-Sets fahren. Halten Sie deshalb eine Semver-Matrix wie im Plugin-Publish-Artikel bereit und verknüpfen Sie sie mit File-Tool-Versionen.

Outbound-Proxies bleiben orthogonal, aber relevant, sobald Agents gleichzeitig remote ziehen und lokal scannen. Wenn Fetch scheitert, darf das nicht wie ein lokaler Deny aussehen. Trennen Sie Evidenzpakete: Netzwerktrace, Proxy-Logs und lokale Audit-Zeilen gehören in getrennte Anhänge. Das verkürzt MTTR, weil jeder Reviewer sofort weiß, welche Hypothese geprüft wird.

Rollback-Pläne müssen Bytes enthalten, nicht nur Absichten. Exportieren Sie Allowlists vor dem Upgrade, speichern Sie Hashes der plist-Dateien und verlinken Sie den Staging-Rollback-Leitfaden. Wenn ein Rollback nötig wird, sollte das Team in wenigen Minuten exakt den vorherigen Zustand rekonstruieren können, ohne aus Chatverläufen zu rekonstruieren.

Doctor-Läufe nach dem Upgrade sollten File-Tools explizit listen und melden, wenn Konfigurationen noch permissive Defaults erwarten. Breaking-Änderungen aus 4.5 können sonst still mitspielen und falsche Sicherheit vortäuschen. Kombinieren Sie daher Migrationsartikel und diesen Leitfaden in einem Change-Ticket, damit CAB die Abhängigkeiten sieht.

VNC-Evidenz muss kurz sein: zehn Sekunden Video oder Screenshot mit sichtbarem Pfad und Ticketnummer im Audio oder Overlay. Lange Sessions verwässern die Zuordnung. Halten Sie eine Checkliste parat, die exakt die Tabellenzeilen aus Abschnitt fünf abarbeitet, damit neue Operator nicht improvisieren.

Pairing-Tokens sollten kurzlebig sein und getrennt von Langzeit-API-Keys rotieren. Wenn ein Token kompromittiert wird, ist der Blast-Radius auf das Profil begrenzt, sofern Fingerprints korrekt gepinnt sind. Dokumentieren Sie, wer Tokens ausstellt und wer sie widerruft, damit keine informelle Weitergabe über Chat entsteht.

SecretRef-Ausrichtung bedeutet, dass Arbeitsverzeichnisse für Exec und Allowlist-Wurzeln zusammenpassen. Andernfalls sehen File-Tools Dateien, die zur Laufzeit nicht konsistent mit Credential-Snapshots sind. Das erzeugt falsche Negative in Tests und echte Lecks in Produktion, wenn jemand die Allowlist erweitert, ohne cwd zu prüfen.

Performance ist Teil der Sicherheit: ein ungebremstes dir_fetch kann IO-Starvation erzeugen und andere Dienste auf demselben Miet-Mac beeinträchtigen. Setzen Sie deshalb Rate-Limits oder Batchfenster für große Inventare und überwachen Sie CPU-Last neben Audit-Events. Ohne diese Kopplung riskieren Sie, dass ein legitimer Pfad als DoS-Waffe missbraucht wird.

Schulen Sie Support so, dass PATH_DENIED nicht automatisch als Bug klassifiziert wird. Häufig ist es korrektes Verhalten, das auf eine falsch erweiterte Allowlist hinweist. Ein kurzer Playbook-Eintrag reduziert unnötige Eskalationen und hält den Fokus auf echten Regressionen.

Integration mit Gateway-Timeouts aus 5.6 erfordert disjunkte Tests: simulieren Sie Netzwerktimeouts getrennt von lokalen Verweigerungen, damit Dispatcher-Bereinigung nicht fälschlich als Filesystem-Thema interpretiert wird. Parallel laufende Checks sollten unterschiedliche Ports oder Korrelations-IDs nutzen, um Logs sauber zu trennen.

Langfristig sollten Sie Metrics exportieren, die Häufigkeit von Deny-Events, Symlink-Escapes und Pairing-Handshakes pro Host zählen. Trends zeigen Drift früher als Einzelfälle. Verknüpfen Sie diese Dashboards mit Release-Zeitachsen, um Korrelationen sichtbar zu machen, ohne narrative Reports zu duplizieren.

Schließlich bleibt die menschliche Komponente: Peer-Reviews für Allowlist-Änderungen mit vier Augen, getrennt vom normalen Code-Review. Die Datei ist klein, die Wirkung groß. Ein zusätzlicher Reviewer, der nur Pfadsemantik prüft, verhindert klassische Copy-Paste-Fehler zwischen ähnlich benannten Verzeichnissen.

Betriebsleitung sollte wöchentlich Allowlist-Diffs lesen und Token-Ablauf-Kalender pflegen. Mündliche Zusicherungen ersetzen keine JSON-Zeilen. Auf gemieteten Macs ist monatliches VNC-Abgleichen von Finder- und Terminal-Home unter dem Dienstuser eine billige Versicherung gegen Identitätsdrift.

Automation sollte PATH_DENIED zweistufig eskalieren: einmalige Muster beobachten, wiederholte Muster seiten. Symlink-Escapes sofort seiten, weil sie nicht linear wachsen, aber kritisch sind.

Schließlich bleibt der strategische Wert: ein Remote-Mac mietet Apple Silicon ohne Bürofußabdruck und hält Gateway, Terminal und Audit in einer Desktop-Sitzung konsistent. Das ist schwerer mit reinem SSH von wechselnden Laptops zu reproduzieren.