Credential-Security

OpenClaw 的 Skill 凭据隔离存在四个互斥命题：Agent 不接触凭据明文、Skill 生态兼容、无代理执行、代理兼容任意 Skill——四者不可同时成立。本文逐条证明为什么，并给出三种务实折中方案。

OpenClaw 的 SecretRef 机制通过引用分离实现了配置文件级别的凭据保护，但运行时内存中仍存在明文凭据。本文从凭据视角完整分析 SecretRef 的安全边界与实际风险。

AI Agent 的本质是 LLM 推理 + 环境上下文 + Skills/MCP 执行。本文厘清凭据安全的核心矛盾——LLM 能看到运行时的一切，以及本质解法：执行层隔离。同时澄清凭据与 Skills 的概念边界，提出凭据安全的三个判断维度。