OpenClaw Komplettanleitung: Cloud-Mac-KI-Agent-Sandbox von Null bis Produktion

Was OpenClaw in Produktion löst

KI-Agenten können Code ändern, Shell ausführen und Netzwerk nutzen – ohne Kontrolle drohen Fehlkonfiguration oder Key-Leaks. In der macOS-Entwicklungskette wird das verstärkt: Sie brauchen Xcode, Codesigning und Neural Engine; klassische Linux-Container bieten das nicht; nackte Agent-Ausführung keine auditierbare Grenze.

OpenClaw definiert auf SpinMacs exklusiven Mac mini M4 Bare-Metal-Maschinen für jede Aufgabe einen kontrollierbaren, nachvollziehbaren, abbrechbaren Aktionsrahmen bei voller nativer macOS-Fähigkeit. Dieser Artikel deckt alles von der Einzel-Session bis Team + CI-Produktion ab.

Vier Phasen in der Konsole

1. 01
   Mac mini M4-Instanz wählen

   Auf der Bestellseite einen von fünf Knoten wählen, Basispaket ab $21.2 pro Tag. Nach Zahlung 1–5 Minuten automatische Bereitstellung, E-Mail mit SSH- und VNC-Zugangsdaten.

2. 02
   Konsole → Instanz → OpenClaw-Tab

   Beim ersten Aufruf Zero-Trust-Initialisierung: Ed25519-Schlüsselpaar, Installation von com.spinmac.openclaw.daemon, Audit-Verzeichnis /var/log/openclaw/.

3. 03
   Zugriffsrichtlinien und Mitglieder

   Unter „Zugriffskontrolle“ Mitwirkende hinzufügen und Owner / Operator / Auditor zuweisen. Operator startet Sessions; Auditor liest nur Audit-Logs.

4. 04
   CLI installieren und prüfen

   Die Konsole liefert Installationsskript und Token-Download. claw status ausführen, daemon: running und auth: valid bestätigen.

Die Konsole bietet auch Live-Dashboard: aktive Sessions, CPU/RAM pro Session, BLOCK-Ereignisse der letzten 24 Stunden, PDF-Compliance-Zusammenfassung für Security-Reviews.

CLI-Befehlsgruppen im Überblick

Der Alltag dreht sich um claw, gruppiert nach Funktion:

# Status
claw status
claw doctor

# Sessions
claw run --config policy.yaml
claw run --template ci-review --detach
claw attach <session-id>
claw stop <session-id>
claw list

# Templates
claw template list
claw template export agent > policy.yaml
claw template save my-ci-policy

# Audit
claw audit tail <session> --follow
claw audit query --since 24h --action BLOCK
claw audit export <session> --format json

# Network dry-run
claw net test --domain api.openai.com

claw doctor gehört zur Routine: Daemon, Endpoint-Security-Berechtigung, beschreibbares Audit-Verzeichnis, Token-Gültigkeit. Bei unklaren Sandbox-Startfehlern zuerst Diagnose ausführen.

Produktions-YAML-Richtlinien im Detail

Nachfolgend eine typische Produktionskonfiguration für Agenten mit Felderklärung:

version: "1"
session:
  name: "prod-agent"
  auto_cleanup: false
  max_duration: "4h"
  idle_timeout: "30m"

filesystem:
  workspace: "~/agent-workspace"
  readonly_mounts:
    - /Applications
    - /usr/local/bin
    - /Library/Developer
  deny:
    - ~/.ssh
    - ~/Library/Keychains
    - ~/Library/Application Support/Cursor/User/globalStorage

syscalls:
  preset: "agent"
  deny: [ptrace, setuid, mount]

network:
  allow_domains:
    - "api.openai.com"
    - "api.anthropic.com"
    - "*.github.com"
    - "registry.npmjs.org"
    - "pypi.org"
  block_all_others: true
  log_blocked: true

Der session-Block steuert den Lebenszyklus: max_duration und idle_timeout verhindern unbeaufsichtigte Dauerbelegung; auto_cleanup: false für Code-Generierung mit Erhalt der Artefakte.

Im filesystem-Block hat deny Vorrang vor readonly_mounts. OpenClaw löst Symlink-Zielpfade – Homebrew-Tools in Cellar müssen mit eingebunden werden.

Im network-Block immer block_all_others: true und log_blocked: true: unautorisierte Verbindungen werden verworfen, bleiben aber protokolliert.

Multi-User Zero Trust und Rollenmodell

Im Team drei Rollen nach Least Privilege:

Jede Rolle authentifiziert sich per eigenem CLI-Token, standardmäßig 24 Stunden gültig; Owner kann mit einem Klick widerrufen und zugehörige aktive Sessions beenden. Externen Beratern zeitlich begrenzte Guest-Tokens – Ablauf automatisch.

GitHub Actions Integrationsbeispiel

Nach Registrierung des SpinMac M4 als Self-hosted Runner lässt sich pro PR-Review eine isolierte Sandbox-Session anlegen:

# .github/workflows/ai-review.yml
name: AI Code Review (Sandboxed)
on: [pull_request]

jobs:
  review:
    runs-on: self-hosted
    steps:
      - uses: actions/checkout@v4

      - name: Start OpenClaw sandbox
        run: |
          claw run --template ci-review --detach
          SESSION=$(claw list --json | jq -r '.[0].id')
          echo "SESSION_ID=$SESSION" >> $GITHUB_ENV

      - name: Run AI review agent
        run: |
          claw attach $SESSION_ID --exec \
            "claude -p 'Review this PR for security issues'"

      - name: Export audit log
        if: always()
        run: |
          claw audit export $SESSION_ID \
            --format json \
            --output audit-${{ github.run_id }}.json

      - name: Stop sandbox
        if: always()
        run: claw stop $SESSION_ID

Empfehlung: ci-review-YAML-Vorlage ins Repo unter .openclaw/, mit Workflow versionieren; Richtlinienänderungen per Code Review, Security-Team prüft wirksame Grenzen direkt.

Audit-Logs – erweiterte Nutzung

Bedingte Massenabfrage – bei Anomalien nach Zeit und Typ filtern:

claw audit query --since 7d --action BLOCK --type network --format table

claw audit query --since 24h --action BLOCK --type write --format json \
  | jq '.[] | select(.target | contains("/etc"))'

Compliance-Export: JSON, CSV, PDF. PDF mit Session-Zusammenfassung, ALLOW/BLOCK-Statistik, Richtlinien-Snapshot und Timeline – direkt auditierbar.

Alarmregeln: Schwellen in der Konsole, z. B. „einzelne Session BLOCK > 50/Stunde“ oder „Leseversuch ~/.ssh“ – E-Mail oder Webhook an Owner.

Häufige Fehler & Performance-Tuning

Vollständiges Audit ca. 3 % CPU – auf M4 Zehn-Kern vernachlässigbar. Extrem latenzkritisch: feinkörniges Syscall-Audit aus, nur Datei/Netz – in Produktion trotzdem Vollaudit empfohlen. Wächst das Audit-Verzeichnis zu schnell: Aufbewahrung in der Konsole anpassen oder Sessions in Object Storage archivieren, damit neue Sessions schreiben können.

Sicherheits-Checkliste vor Go-Live

Vor Produktivstart Punkt für Punkt bestätigen:

Pro Aufgabe eigene Session; Richtlinien-YAML in Git mit Code Review; ~/.ssh, Keychain, IDE-Global-Storage immer auf deny; Netzwerk standardmäßig alles verweigern, Whitelist nach Bedarf; max_duration und idle_timeout setzen; Mitglieder nach Least Privilege und Token regelmäßig prüfen; in CI mit if: always() Audit exportieren; BLOCK-Alarme; vor Kündigung alle Logs archivieren. Nach Änderung an Syscall-Presets oder Netz-Whitelist mit claw net test und Kurz-Task verifizieren – zu strenge Regeln lassen Pipelines still scheitern, zu lockere hinterlassen Audit-Lücken.

Unterschied zu lokalem Bare-Run und Public-Cloud-macOS

Lokales MacBook bare: Agent mit Hauptrechner gleiche Rechte, kein operatives Audit, 8-GB-Modelle swapen bei Dauerjobs, schwer 7×24 für CI.

Öffentliche Cloud-macOS-Instanzen: oft virtualisiert, Neural Engine nicht durchgängig, keine eingebaute Sandbox/Audit, kürzere Mindestlaufzeit und oft höherer Stückpreis als flexible Tages-Bare-Metal-Maschinen.

GitHub Actions macOS Runner: Minutenabrechnung mit hohem macOS-Preis, geteilte Umgebung, keine feine Richtlinienkontrolle, Warteschlangen in Spitzenzeiten.

SpinMac: exklusiven physischen Mac mini M4 (ab $21,2/Tag), OpenClaw integriert, fünf Knoten in 1–5 Minuten, 7×24 echter Support – Kollaboration, CI und Audit in diesem Artikel bauen auf dieser Umgebung. Wer prüft, ob der Agent vom überlasteten lokalen Rechner weg soll: Tagesmiete in Singapur oder Japan, gleiches Repo und gleiche Agent-Aufgabe, Audit-Vollständigkeit und Laufzeit vergleichen, dann Produktions-Review-Pipeline in die Cloud legen.