OpenClaw MCP 服务器允许名单与 tools.exec 策略：租用 Mac mini 上的 2026 矩阵
安全架构师在 VmMac 租用的 Apple Silicon Mac mini 上落地 OpenClaw 时，往往已把 tools.exec 硬化——随后却发现模型仍能连接会读客户库或触发外发 Webhook 的 MCP 服务器。本 2026 矩阵把 MCP 视为第二执行面：传输不同，爆炸半径相似。你将比较信任边界、学习联合允许名单模式、走过八步治理阶梯，并读一张面向 香港、日本、韩国、新加坡与美国 机队的双列可观测表。请与 执行审批与允许名单、第三方技能供应链与分阶段发布、安装与部署指南 一起阅读，避免只剩一层策略文件挡风险。
接入模式见 帮助中心；若要把高风险 MCP 网关隔离到专用主机，请对照 方案与定价 增租独立 mini。
下文刻意不写某厂商专有 JSON 键名——当你的合规团队选定 canonical 字段后，把这些模式映射到具体 OpenClaw 发行版即可；价值在于评审清单与晋升门禁，而不是复制粘贴一段可能与下一版不兼容的配置。
为何在 Shell 已锁死时，MCP 仍是第二执行面
MCP 用结构化协议把模型接到工具——常见 stdio，有时是 HTTP 或 WebSocket——从而绕过你为 exec 允许名单设计的 argv 解析路径。被攻陷的 MCP 服务器可以把外泄数据块流式伪装成「工具返回」，而仪表盘上 tools.exec.security=deny 仍可能一片绿色。请把 MCP 目录当作额外一批 sudoers：体积小、有人审、版本化、乏味可预测。
- 传输降级：在你以为可信的局域网段把 TLS 换成明文。
- 工具影子：两台 MCP 服务器注册同名能力却实现不同。
- 延迟 masking：慢 MCP 耗尽网关 worker 池却不触发 CPU 告警。
矩阵：传输、身份与 exec 规则止于何处
| 面 | 主要风险 | 自然控制手段 | 常见漏洞 |
|---|---|---|---|
tools.exec |
主机 shell 外泄 | argv 允许名单 + 询问模式 | 过宽的 sh -c 包装 |
| MCP stdio 服务 | 本地进程冒充 | 二进制路径固定 + 校验和 | launchd plist 里可变 PATH |
| MCP 远程 HTTP | SSRF 与令牌窃取 | mTLS + DNS 允许名单 | 生产 plist 指向预发 DNS |
把三行放在同一面板里评审，才能把「我们只锁了 exec」这种伪安全感拆穿；单独开会往往会漏掉 stdio MCP 与网关证书轮换之间的耦合。
能过代码评审的联合允许名单模式
在 git 中存放两件制品：exec-allowlist.v1.yaml 与 mcp-catalog.v1.json，并指定对口负责人。要求每条 MCP 记录写明二进制 SHA256 或容器摘要、最大 RPS 与数据分级标签（PUBLIC、INTERNAL、CUSTOMER）。若声明的数据分级超出该 VmMac 区域获准处理的范围，应拒绝合并。条目变更时一并提升语义化版本，便于 CI 拒绝「只升一半」的晋级。
对 HTTP MCP，用 SPKI 指纹固定证书并按约 45 天节奏轮换且保留重叠窗口，避免周五紧急割接。当模型请求「只加这个 MCP URL」时，把它当防火墙变更：要威胁简报、回滚测试与能在约 10 分钟内点掉目录项的值班人。把模型提示哈希与清单版本一并存档，事后才能区分策略回归与模型漂移。若网关跑在非交互 launchd 会话，还要确认 MCP 客户端不会弹出无人能点的 TCC——那些停顿看起来像宕机，本质是权限死锁。
在巨型单体仓库里，用仓库前缀命名 MCP 工具，避免两个服务以不同数据范围「意外」满足同一调用；这在共享 mini 上是跨工程泄漏里最阴险的一类。
共享租用 Mac mini 上的多租户：标签、端口与状态根
VmMac 客户有时会为了预算让两支团队共用一台 mini——对 MCP 很危险，因为进程命名空间仍共用同一内核。请像区分生产与预发网关那样拆分 LaunchAgent 标签、TCP 端口与状态目录。永远不要让两队指向同一默认 MCP 套接字路径；碰撞会产生跨租户工具结果，审计噩梦。
若一支团队要走本地 Ollama，另一支走远程 SaaS MCP，务必在 egress 策略层写明哪条链路允许哪类数据分级，否则「都在一台机器上」会变成合规托辞。
2026 八步治理阶梯
- 清点所有在用 MCP 传输；删除与收入工作流无关的实验端点。
- 从运行主机生成清单；每周与 git diff。
- 新 MCP 二进制先在 deny-exec 沙箱主机类上试跑，再与生产 exec 允许名单配对。
- 为 MCP 连接/断开启用结构化日志并带关联 ID。
- 增加合成探针，每小时调用各只读 MCP 端点。
- 单区域金丝雀至少约 72 小时再全地域推广。
- 写清回滚：尽量在不重启整个网关的情况下禁用目录项。
- 季度桌面演练：假设 MCP 证书泄露并在负载下完成轮换。
把第 2 步与依赖漏洞扫描同一日历，否则「周一对 prod 清单、周五对 git」会在长假周制造出不可解释的窗口。
应当让人起床看的可观测信号
| 信号 | 动作 |
|---|---|
| 一小时内 MCP TLS 校验失败次数 > 0 | 冻结晋级；排查中间人或时钟漂移 |
| 出现目录外的新 DNS 名 | 在出口阻断；开安全事件 |
| MCP 延迟 p95 > 基线约 2.5 倍 | 限流模型流量；检查上游饱和 |
这些规则应与 exec 侧告警并列显示；若分列两个 On-call，至少在共享 runbook 里写清「谁先接手复合型事件」。
本矩阵如何衔接技能与 exec 手册
技能会加载可能指示模型打开新 MCP 会话的提示，因此 技能固定 与 MCP 允许名单必须同级晋级。Exec 审批 侧应明文禁止在未持破窗工单时启动替代 MCP 监管进程。两层对齐后，你在 香港、日本、韩国、新加坡与美国 的租用机队才会像一种设备类，而不是五地五种雪花。
对仍用 VNC 调试网关的团队，可把 VNC 仅指向预发或破窗主机——生产 launchd 路径下不应依赖人工点 TCC。
常见问题：Mac mini 上的 MCP 与 tools.exec
Runbook 应假设运维更熟 shell 旗标而非 RPC 目录——发布一页纸速查，左右并列两张面并链接本周 fleet 实际钉住的 git tag。
能否用一个 JSON 同时治理？ 技术上可以，但评审易丢上下文——建议分拆文件并链接版本号。
MCP 服务需要 VNC 吗？ 通常不需要；调试可能需要——用破窗机，不要生产 launchd。
本地 Ollama 端点呢？ 视作 MCP/HTTP，检查回环绑定并拒绝 0.0.0.0 监听。
为何 Mac mini M4 与 VmMac 适合双执行面 Agent
Mac mini M4 的统一内存足以共置网关与轻量 MCP 服务而不至于长期换页——同时你仍可多租第二台做实验。VmMac 在 香港、日本、韩国、新加坡与美国 的区域布局让 MCP 重负工作负载能贴近数据驻留要求，而不重写编排。租用意味着遇到被污染的 MCP 画像时，重做策略镜像往往比跟财务扯新 VM 模板更快。
