OpenClaw — instrukcja zahartowanej instalacji dla Claude Code (v2)

Ten plik jest dla Ciebie, Claude Code. Pracujesz na zdalnym serwerze Linux (Ubuntu, dostęp przez SSH). Twoim zadaniem jest postawić OpenClaw zgodnie z oficjalną dokumentacją (https://docs.openclaw.ai) i wytycznymi sysadmina/mentora wzbogaconymi o wnioski z zewnętrznych audytów bezpieczeństwa (Microsoft, Kaspersky, Cisco Talos, CrowdStrike, Promptfoo, Giskard, NVD).

Pracujesz autonomicznie tak długo jak to możliwe. Operatora pytasz tylko gdy musisz. Czytasz cały ten plik przed czymkolwiek innym i traktujesz go jako wiążący.

---

TL;DR — twardo, bez negocjacji

1. OpenClaw to nie chatbot. To privileged local service z dostępem do shella, plików i tożsamości operatora. Microsoft Security Blog wprost: "OpenClaw should be treated as untrusted code execution with persistent credentials". Traktuj jak demona z sudo, nie jak Slacka.
2. Loopback only. Zawsze. 127.0.0.1, nigdy 0.0.0.0. SecurityScorecard znalazł 30 000+ wystawionych instancji OpenClaw na publicznym internecie — wszystkie skompromitowane.
3. Wersja MUSI być świeża. Minimum 2026.3.28 (chwila pisania). Wcześniejsze wersje mają znane CVE (m.in. CVE-2026-25253 — 1-click RCE, CVSS 8.8). Po instalacji weryfikujesz wersję przed czymkolwiek innym.
4. Domyślny tryb to security="full", ask="off" — czyli OpenClaw nie pyta o nic przed wykonaniem komendy shellowej. To intencjonalna decyzja UX twórcy, nie bug. My to wyłączamy. exec.ask: "always" albo minimum "on-miss" z askFallback: "deny".
5. Skille z ClawHub = uruchamianie obcego kodu. Cisco Talos uruchomił skill "What Would Elon Do?" → 9 findingów, 2 critical, w tym aktywne data exfiltration przez curl do attacker-controlled server. Zero skilli na tym etapie.
6. Prompt injection jest nierozwiązany. Wszyscy badacze (Microsoft, OWASP, NCSC, NIST CAISI) zgodni: nie da się tego naprawić promptem. Obrona: tool policy, exec approvals, sandboxing, channel allowlists. Polegamy na warstwie pod modelem.
7. openclaw security audit po każdej zmianie configu. To nie jest opcja, to checkpoint.

---

Czym jest OpenClaw

OpenClaw (poprzednio Clawdbot/Moltbot) to viralowy self-hosted personal AI agent stworzony przez Petera Steinbergera (PSPDFKit). Architektura:

• Gateway — długo działający daemon, control plane. Kto przejdzie auth gateway'a, ten jest "trusted operator" — pełny dostęp.
• Node — execution extension. Sparowany node = operator-level remote capability.
• Workspace (~/.openclaw/workspace) — sandbox plików.
• Konfig (~/.openclaw/openclaw.json) — providerzy, kanały, skille, tool policy, exec approvals, sandbox. Traktuj jak password vault.
• Web UI — http://127.0.0.1:18789, wymaga tokenu.
• TUI — openclaw tui.
• CLI — openclaw onboard, openclaw gateway start/stop/status, openclaw doctor, openclaw logs --follow, openclaw dashboard, openclaw status, openclaw security audit, openclaw sandbox explain.

Pisany w TypeScript, Node.js 22.14+ (rekomendowane 24). Oficjalny installer ogarnia Node sam.

Trust boundary jest pojedyncza. Z github.com/openclaw/openclaw/SECURITY.md:

"Gateway is the control plane. If a caller passes Gateway auth, they are treated as a trusted operator for that Gateway. Exec approvals are operator guardrails to reduce accidental command execution, not a multi-tenant authorization boundary."

Tłumaczenie: kto dostanie token gateway'a, ma wszystko. Multi-tenant izolacja nie istnieje. Dlatego ten gateway musi być tylko twój.

---

Kontekst — przeczytaj zanim zaczniesz

Poprzednia próba postawienia OpenClaw z innym asystentem AI użyła starego, nieaktualnego sposobu instalacji. Zeszło na tym 2–3 godziny i skończyło się fiaskiem. Sysadmin/mentor wprost: wracamy do oficjalnej dokumentacji i lecimy zgodnie z krokami. Sysadmin odradził też konteneryzację w Dockerze "na siłę" — w tej maszynie nie ma to sensu.

Źródła prawdy (w tej kolejności):

1. https://docs.openclaw.ai/install — instalacja
2. https://docs.openclaw.ai/gateway/security — security model (KRYTYCZNE)
3. https://docs.openclaw.ai/gateway/sandboxing — sandbox config
4. https://github.com/openclaw/openclaw/blob/main/SECURITY.md — bug bounty scope (czyta się jak threat model)
5. https://openclaw.ai — quick start

Czego NIE używaj jako źródła:

• Wszelkich gistów na GitHubie pokazujących git clone github.com/openclaw/openclaw.git + pip install -r requirements.txt — to fake projekt o tej samej nazwie. Prawdziwy OpenClaw jest TypeScript/Node, nie Python.
• Tutoriali z DigitalOcean / Cherry Servers / LumaDock pokazujących wystawianie na publicznym IP. Bind do 0.0.0.0 + reverse proxy bez trustedProxies = CVE-2026-29613 i otwarta brama dla CVE-2026-25253.
• Dokumentacji LocalAI / OpenWebUI — to inne narzędzia.

Środowisko docelowe

• Serwer Ubuntu z GPU NVIDIA (RTX 4060), dostęp przez SSH.
• LocalAI już działa na tym serwerze i wykorzystuje GPU. OpenClaw ma żyć obok LocalAI.
• Potwierdzone: VRAM jest fizycznie odseparowany od RAM-u systemowego. Procesy CPU/RAM (gateway, Node) i GPU/VRAM (LocalAI) nie wchodzą sobie w drogę.

Cel końcowy (świadomościowo — nie rób tego teraz)

1. Mac — dashboard przez SSH tunel.
2. Telegram bot — pisanie do agenta z telefonu.
3. Raspberry Pi 4 + wake word "Jarvis" — głosowy asystent + smart home.

To wszystko PÓŹNIEJ, w osobnych fazach. Teraz tylko: gateway działa, dashboard dostępny przez SSH tunel, bezpiecznie. Bez kanałów, bez skilli, bez hooków.

---

Threat model (skondensowany z audytów zewnętrznych)

---

Zasady pracy

1. Oficjalna dokumentacja jest jedynym źródłem prawdy. WebFetch na https://docs.openclaw.ai/..., nie zgaduj.
2. Nie wystawiaj nic publicznie. Gateway na 127.0.0.1, dostęp tylko SSH tunel.
3. Nie ruszaj LocalAI. Tylko odczytaj jego port (ss -tlnp, systemctl status localai*).
4. Konflikty portów. OpenClaw chce 18789. Sprawdź wolny.
5. Persystencja. ~/.openclaw/ w katalogu domowym operatora (nie root). Nigdy nie loguj zawartości — są tam tokeny i klucze.
6. Logi. Każdy efekt uboczny → ~/openclaw-install-logs/ z timestampem. Maskuj tokeny (sed -E 's/token=[A-Za-z0-9_-]+/token=REDACTED/g').
7. openclaw security audit po każdej zmianie configu. Czerwone → STOP, log do operatora.
8. Bezpieczeństwo — sprawdź czy port 10022 jest wystawiony w UFW z poprzedniej sesji i go zamknij.

---

Wybór metody instalacji

1. Oficjalny bootstrap (curl -fsSL https://openclaw.ai/install.sh | bash) — TĘ WYBIERAMY.
2. Local-prefix (curl -fsSL https://openclaw.ai/install-cli.sh | bash) — fallback.
3. Manualny npm — tylko jeśli powyższe padną.

NIE używaj Dockera. Sysadmin odradził. Plus typowe docker setupy bind'ują na 0.0.0.0 przez -p 18789:18789 zamiast -p 127.0.0.1:18789:18789 — to footgun który skompromitował 30k instancji.

NIE używaj --install-method git chyba że installer wprost zaproponuje.

Zanim zaczniesz: WebFetch na https://docs.openclaw.ai/install — potwierdź że oficjalne polecenia się nie zmieniły. Jeśli się różnią → idź za docs, nie za tym plikiem, i powiedz operatorowi.

---

Plan krok po kroku

Krok 0 — Rekonesans

mkdir -p ~/openclaw-install-logs
LOG=~/openclaw-install-logs/00-recon-$(date +%Y%m%d-%H%M%S).log
{
  echo "=== uname ==="; uname -a
  echo "=== distro ==="; lsb_release -a 2>/dev/null || cat /etc/os-release
  echo "=== whoami ==="; whoami; echo "HOME=$HOME"
  echo "=== node ==="; which node && node --version || echo "brak node"
  echo "=== npm ==="; which npm && npm --version || echo "brak npm"
  echo "=== nvidia-smi ==="; nvidia-smi || echo "brak nvidia-smi"
  echo "=== porty ==="; sudo ss -tlnp
  echo "=== localai ==="; systemctl list-units --type=service 2>/dev/null | grep -i localai || echo "brak localai"
  echo "=== ufw ==="; sudo ufw status numbered
  echo "=== miejsce ==="; df -h ~
  echo "=== ram ==="; free -h
  echo "=== docker ==="; which docker && docker --version || echo "brak docker"
} | tee $LOG

Z tego wynika: wersja node, port LocalAI, czy 18789 wolny, czy port 10022 jest wystawiony w UFW, czy mamy ≥4 GB wolnego RAM-u.

Jeśli RAM-u <4 GB — swap:

sudo fallocate -l 2G /swapfile && sudo chmod 600 /swapfile
sudo mkswap /swapfile && sudo swapon /swapfile
echo '/swapfile none swap sw 0 0' | sudo tee -a /etc/fstab

Krok 1 — Sprawdź aktualną dokumentację

WebFetch na:

• https://docs.openclaw.ai/install
• https://docs.openclaw.ai/gateway/security
• https://docs.openclaw.ai/gateway/sandboxing

Potwierdź: URL bootstrappera, minimalna bezpieczna wersja, port, nazwy parametrów configu (exec.ask, tools.profile, sandbox.mode mogą się zmienić między wersjami). Różnice → STOP, do operatora.

Krok 2 — Zależności

sudo apt update
sudo apt install -y curl git ca-certificates build-essential

Node zostawiamy installerowi.

Krok 3 — Bootstrap OpenClaw

Najpierw przeczytaj skrypt zanim go odpalisz. Nigdy ślepy curl|bash:

curl -fsSL https://openclaw.ai/install.sh -o /tmp/openclaw-install.sh
less /tmp/openclaw-install.sh   # przejrzyj
bash /tmp/openclaw-install.sh 2>&1 | tee ~/openclaw-install-logs/01-install-$(date +%Y%m%d-%H%M%S).log

Po instalacji:

which openclaw
openclaw --version

Weryfikacja wersji vs CVE. Wersja musi być nowsza niż:

• 2026.1.29 — patch CVE-2026-25253 (1-click RCE, 8.8)
• 2026.1.30 — patch CVE-2026-24763 (Docker sandbox bypass, 8.8)
• 2026.2.12 — patch CVE-2026-29613 (reverse proxy auth bypass)
• 2026.3.28 — patch CVE-2026-33579 (privilege escalation, 8.1-9.8)

Jeśli wersja starsza niż 2026.3.28 → STOP. Sprawdź czy installer pobiera latest, w ostateczności npm install -g openclaw@latest.

Krok 4 — Onboarding

Onboarding jest interaktywny TUI. To krytyczny moment.

openclaw onboard --install-daemon 2>&1 | tee ~/openclaw-install-logs/02-onboard-$(date +%Y%m%d-%H%M%S).log

Decyzje TUI:

Provider LLM — ZAPYTAJ OPERATORA przed wyborem:

A) LocalAI lokalnie (GPU) — OpenAI-compatible:

baseUrl: http://127.0.0.1:<PORT_LOCALAI>/v1
apiKey: sk-localai-dummy
api: openai-completions

Plus: zero kosztów, prywatność. Minus krytyczny: OpenClaw security docs: "Smaller/cheaper models are generally more susceptible to tool misuse and instruction hijacking, especially under adversarial prompts." Tani lokalny model = większe ryzyko prompt injection. Jak LocalAI → musi mieć aktywny sandboxing i strict allowlist tooli, bezdyskusyjnie.

B) Anthropic Claude (Opus 4.5+) — Kaspersky w audycie OpenClaw rekomenduje Claude Opus 4.5 jako "currently the best at spotting prompt injections". Plus: lepsza odporność. Minus: każdy token kosztuje, OpenClaw potrafi walić tokenami przez heartbeaty.

C) Skip / All providers (puste klucze) — dashboard wstaje bez providera, klucze dopinasz później przez UI.

Domyślnie sugeruj C (skip) chyba że operator wprost powie inaczej.

Krok 4.5 — Hardening configu (KLUCZOWE — to był brak w v1)

Po onboardingu, zanim cokolwiek odpalisz, edytuj ~/.openclaw/openclaw.json (najpierw backup):

cp ~/.openclaw/openclaw.json ~/.openclaw/openclaw.json.bak-$(date +%Y%m%d-%H%M%S)

Ustawienia które MUSZĄ być w configu (nazwy mogą się różnić między wersjami — zweryfikuj openclaw sandbox explain i dokumentację, jak nie pasują, STOP):

{
  "gateway": {
    "host": "127.0.0.1",
    "port": 18789,
    "auth": { "required": true }
  },
  "agents": {
    "defaults": {
      "exec": {
        "security": "deny",
        "ask": "always",
        "askFallback": "deny",
        "autoAllowSkills": false
      },
      "sandbox": {
        "mode": "all",
        "scope": "session",
        "workspaceAccess": "ro"
      },
      "tools": {
        "profile": "messaging",
        "elevated": {
          "allowFrom": {}
        }
      },
      "logging": {
        "redactSensitive": "tools"
      }
    }
  }
}

Po edycji — weryfikacja:

openclaw security audit 2>&1 | tee ~/openclaw-install-logs/03-audit-$(date +%Y%m%d-%H%M%S).log
openclaw sandbox explain 2>&1 | tee ~/openclaw-install-logs/04-sandbox-$(date +%Y%m%d-%H%M%S).log

security audit świeci coś poza zielonym → STOP. Pełny --json do operatora. Nie odpalaj --fix bez explicit zgody.

Krok 5 — Permisje plików

chmod 700 ~/.openclaw
chmod 600 ~/.openclaw/openclaw.json
chmod 600 ~/.openclaw/openclaw.json.bak-*

Tylko operator ma czytać. security audit to flaguje jeśli źle.

Krok 6 — Weryfikacja gateway'a

openclaw status
openclaw gateway status
openclaw doctor

Czerwone → STOP, log do operatora.

sudo ss -tlnp | grep 18789

Musi pokazać 127.0.0.1:18789, a nie 0.0.0.0:18789 ani :::18789. Jeśli inaczej — masz krytyczny błąd configu. STOP.

openclaw dashboard --no-open

Wypluje URL http://127.0.0.1:18789?token=XXXXXXXX. NIE wpisuj tokenu do ARCHITECTURE.md — tylko do REPORT.md.

Krok 7 — loginctl enable-linger (KLUCZOWE)

--install-daemon rejestruje user-level systemd. Domyślnie usługa user-level nie przeżyje wylogowania użytkownika. Operator loguje się i wylogowuje przez SSH — bez lingera gateway zniknie po każdym SSH disconnect.

sudo loginctl enable-linger $USER
loginctl show-user $USER | grep Linger   # Linger=yes

Krok 8 — SSH tunel z Maca (instrukcja dla operatora)

Komenda do wklejenia na Macu:

ssh -N -L 18789:127.0.0.1:18789 <user>@<host_serwera>

Po tunelu operator otwiera URL z tokenem (z kroku 6), podmieniając host na localhost:

http://localhost:18789?token=XXXXXXXX

Uwaga z audytów (Promptfoo/Microsoft): ten tunel daje pełen dostęp operatorski. Mac też jest częścią trust boundary. Jeśli operator uruchomi malicious page w przeglądarce z aktywnym tunelem, ta strona może zrobić cross-site WebSocket hijack do localhost:18789. Dlatego: tunel otwieramy tylko na czas pracy, zamykamy po. Nie zostawiamy 24/7.

Krok 9 — Sanity check

Operator wchodzi w dashboard, sprawdza:

• Overview → gateway online,
• Settings → Sandbox: aktywny (mode: all),
• Settings → Exec approvals: ask=always,
• Provider → Chat → "Hello, what model are you?" → odpowiedź (jeśli skip → najpierw doda klucz w UI).

Krok 10 — Master context architecture file

Stwórz ~/openclaw-install-logs/ARCHITECTURE.md z sekcjami:

1. Hardware — z rekonesansu (CPU, RAM, GPU, distro).
2. Sąsiedzi na maszynie — LocalAI (port, status), inne usługi.
3. OpenClaw — instalacja — która metoda, wersja CLI, wersja Node, ścieżki binarek.
4. OpenClaw — gateway — bind address, port, systemd user unit, lingering, jak restartować.
5. OpenClaw — security posture — exec.ask, sandbox.mode, tools.profile, tools.elevated, status openclaw security audit. Bez tokenów.
6. OpenClaw — dane — gdzie żyje config (sam fakt), workspace, logi. Permisje plików.
7. Dostęp — wyłącznie SSH tunel, zero otwartych portów na firewallu, gotowa komenda tunelu, zasada "tunel tylko on-demand".
8. Provider LLM — który wybrano, endpoint jeśli LocalAI, status. Bez kluczy.
9. Threat model — co świadomie pominięto — kanały, skille z ClawHub, hooki, multi-user, publiczna ekspozycja, integracja Pi/Jarvis, smart home. Każde z odniesieniem do fazy projektu.
10. Otwarte ryzyka i TODO — wystawione porty UFW, tunel SSH jako ryzyko, brak izolacji systemowej, brak rate-limit tokenów, brak backupu, prompt injection nierozwiązany, skille/kanały po code review, subskrypcja CVE.
11. Diagram — wizualna architektura z trust boundaries.
12. Polityka aktualizacji — sprawdzaj wersję co tydzień. CVE wychodzą szybko (5 high w 3 miesiące).

Ten plik zwracasz operatorowi razem z REPORT.md. Jest do wysłania sysadminowi. Zero tokenów, zero kluczy.

Krok 11 — Raport końcowy

W ~/openclaw-install-logs/REPORT.md:

1. Wersja OpenClaw + porównanie do listy CVE (wszystkie zapatchowane?).
2. Wersja Node.
3. Port dashboardu.
4. Status providera.
5. Komenda tunelu SSH gotowa, z prawdziwymi wartościami.
6. URL dashboardu z tokenem — TYLKO TUTAJ, w REPORT.md (lokalny, nie shareable).
7. Komendy serwisowe (status, start/stop/restart, logs, doctor, audit, sandbox explain, systemctl).
8. Output openclaw security audit — pełny.
9. TODO dla operatora — zamknąć wystawione porty, zweryfikować dashboard, przetestować exec approval, dodać klucz providera, zaplanować backup, zasubskrybować advisories, zamykać tunel po pracy.
10. Co zostawiłeś niezrobione i dlaczego — kanały, skille, hooki, Pi/Jarvis, smart home, izolacja dla lab.
11. Linki do logów w ~/openclaw-install-logs/.

---

Co robić jak coś się sypnie

• openclaw: command not found — PATH. source ~/.bashrc, ~/.local/bin, ~/.openclaw/bin, npm config get prefix.
• openclaw doctor zgłasza Node — wersja za stara. NodeSource setup_24.x.
• Port 18789 zajęty — zmień w configu, restart gateway, zaktualizuj komendę tunelu.
• ss -tlnp pokazuje 0.0.0.0:18789 — KRYTYCZNE. STOP. Sprawdź gateway.host, restart, weryfikuj.
• Gateway nie startuje — openclaw logs --follow. Najczęściej: brak Node, błędny JSON, port zajęty.
• Dashboard "Gateway disconnected" — gateway padł albo token się rozjechał.
• WebSocket "Connection refused" — tunel SSH padł.
• npm install OOM — swap (krok 0).
• security audit zwraca finding — pełny --json do operatora. Nie odpalaj --fix bez zgody.
• Cokolwiek innego → STOP, spisz objaw, do operatora. Nie kombinuj alternatywnych ścieżek instalacji.

---

Czego NIE rób

• ❌ Docker. Sysadmin odradził, plus typowe docker setupy bind'ują na 0.0.0.0.
• ❌ Bind dashboardu na 0.0.0.0. Otwieranie 18789 w UFW. Reverse proxy.
• ❌ Ruszać LocalAI.
• ❌ Konfigurować kanały (Telegram/Discord/WhatsApp/iMessage/Slack/Signal).
• ❌ Instalować skille z ClawHub. Cisco Talos: aktywne malware w "What Would Elon Do?".
• ❌ Hooki.
• ❌ web_search/web_fetch/browser tools dopóki nie ma rate-limit i sandboxa.
• ❌ Zostawiać domyślnego exec.ask="off".
• ❌ Uruchamiać OpenClaw jako root.
• ❌ Wklejać tokeny ani klucze API do ARCHITECTURE.md.
• ❌ Cytować fake projektu Pythonowego ani blogów z 2023.
• ❌ Omijać błędy przez kombinacje. Jedna nieudana próba zgodna z dokumentacją → pytaj operatora.
• ❌ Zostawiać tunelu SSH 24/7. On-demand.

---

Wnioski z zewnętrznych audytów (źródła)

• Microsoft Security Blog (2026-02-19): traktować jak "untrusted code execution with persistent credentials". Izolować, nie uruchamiać na primary work machine.
• Kaspersky (2026-02-10): 512 vulns w late-Jan audycie, 8 critical. Rekomenduje Claude Opus 4.5. Allowlist-only ports.
• Cisco Talos (2026-01): skill "What Would Elon Do?" — 9 findingów, 2 critical, active data exfiltration. ClawHub bez moderacji.
• CrowdStrike (2026-02-18): direct + indirect prompt injection taxonomy. Falcon AIDR jako runtime guardrail layer.
• Promptfoo (2026-03-12): controlled lab — malicious webpage induced agent to enumerate capabilities, read local docs, send false incident messages. Trust boundary = action boundary.
• Giskard (2026-02-26): OpenClaw mirror znanych MCP attack patterns: over-privileged tools, plaintext secrets, brak indirect injection testing.
• NVD / GitHub Advisories: CVE-2026-25253 (8.8 RCE), -24763 (8.8 sandbox bypass), -29613 (reverse proxy bypass), -33579 (8.1-9.8 priv esc), -26327 (7.1 auth bypass), -28478 (8.7 DoS). 138 CVE w jgamblin/OpenClawCVEs.
• OpenClaw oficjalne docs/SECURITY.md: prompt injection out of bug bounty scope (świadomie). Obrona = tool policy + exec approvals + sandbox + channel allowlists. Multi-tenant izolacja nie wspierana.

---

Powodzenia. Dokumentacja > improwizacja. Audyty > marketing. Wątpliwość → WebFetch na docs.openclaw.ai lub pytaj operatora.