Aula 6 de 14 · cerca de 12 min
Antes de conectar dados
Limitar acesso e identificar ações que precisam de aprovação.
O problema
Um agente que lê texto externo pode receber instruções maliciosas. Uma permissão ampla aumenta o efeito de um erro.
Entenda antes de fazer
O workspace é diretório de trabalho e contexto. Ele não impede sozinho o acesso a outros caminhos do computador.
Sandbox de ferramentas vem desligado por padrão. Quando configurado, limita execução conforme seu backend e política; o processo do Gateway continua no host.
A orientação oficial assume uma fronteira de confiança por Gateway. Usuários de confiança diferente precisam separação de Gateway e credenciais.
- 1Dados fictícios
- 2Acesso mínimo
- 3Ferramentas limitadas
- 4Revisão humana
- 5Ação autorizada
Se a tarefa termina no rascunho, não conceda envio ou alteração de sistemas.
Faça você mesmo
- Escreva qual pasta, dado e ferramenta a tarefa precisa.
- Liste ações que exigem aprovação: enviar, comprar, apagar ou alterar produção.
- Execute openclaw security audit e leia os achados antes de mudar configurações.
- Revise o backend de sandbox aplicável e confirme por teste controlado que o acesso indesejado está bloqueado.
- Registre como parar e revogar acesso.
COMANDO openclaw security audit CONTRATO DO LABORATÓRIO Tarefa: revisar atas fictícias. Entrada permitida: documento de teste fornecido por mim. Saída: tabela no chat. Ações externas: nenhuma. Arquivos privados e contas empresariais: fora do laboratório. Se faltar acesso, pare e explique o que precisa.
Como saber se funcionou
- Você consegue apontar cada permissão e por que ela existe.
- Um acesso fora do contrato é negado ou encaminhado para aprovação.
- Achados da auditoria estão entendidos e registrados sem credenciais.
Erros comuns
- Tratar um texto de instrução como bloqueio técnico.
- Achar que um workspace protege todos os arquivos do host.
Limites e segurança
- Não compartilhe a saída sem revisar informações locais.
- Não use exec irrestrito em tarefa que lê fonte desconhecida.
- Não misture organizações de confiança diferente no mesmo Gateway.
Desafio rápido
Descreva um teste de acesso negado que não envolva ler um arquivo privado.
Confira o que entendeu
Escolha uma resposta. Se errar, leia a dica e tente de novo.
1. O agente está dentro de um workspace. Isso impede leitura de qualquer caminho externo?
Respostas ficam nesta sessão do navegador. Este quiz ajuda a estudar e não é uma prova supervisionada.
Fontes desta aula
Revisão documental: 2026-10-02. Confira os requisitos atuais na fonte antes de instalar.