覃龙光最近一次安全检查，SIEM 平台上突然刷出来几百条告警，虽然大半是误报，但人工逐条核对、提取来源 IP、翻历史日志、写初步研判，硬是折腾到后半夜。当时我脑子里只有一个想法：这种活儿必须找个 AI Agent 来分担。我最后选择在蓝队的云服务器上部署 OpenClaw，把它变成团队里一个能读日志、能跑脚本、能写报告初稿的“安全运营助理”。这篇文章就是这次部署的完整记录，从选机器、装环境、接模型，到配技能、管权限、排故障，按实际执行顺序写下来。如果你也是蓝队、安全运维或者 DevSecOps，想把大模型能力真正落地到日常工作中，这篇应该能帮你少踩不少坑。
1. 为什么我在蓝队场景里选择 OpenClaw 而不是随便一个大模型对话
1.1 蓝队安全运营里的“杂活”清单
先盘一下蓝队日常到底在忙什么。很多人以为蓝队就是攻防演练时坐在屏幕前防守，其实平时的工作大量是告警研判、日志溯源、IOC 整理、报告撰写、规则调优。这些任务有一个共同点：碎片化、重复化、上下文老是断。
比如最常见的告警研判流程：SIEM 里拉出一批登录失败记录，你要找出哪些 IP 在短时间内暴破、哪些账号被命中、有没有已经成功的登录，然后写成一段结论贴到群里。过去我一天至少要把同样的话术复制粘贴十几遍：先贴日志片段，再贴模型对话框，等回复，再自己改写成团队口径，最后归档。一个中级蓝队人员，每天花在这种“复制、粘贴、改写”上的时间少说两三个小时。
我一开始也试过直接开个大模型对话框来问，但很快发现问题：对话式 AI 没有持久化的工作上下文，你上午让它分析某段日志，下午它就把规则忘干净了。它也不能直接读服务器上的文件、执行一条命令、把结果写入指定目录。最麻烦的是没有审计记录，所有问答都停留在聊天窗口里，出了问题根本没法溯源。
1.2 OpenClaw 和普通对话式 AI 的区别
OpenClaw 本质上是一个能“动手”的 Agent 框架，不是聊天窗口。它会把工作目录、技能、记忆、执行审批这些机制组合起来，让模型不再只是“回答你的问题”，而是“完成你的任务”。
我举个例子。你让普通大模型“分析 /opt/blue/logs 目录下的日志”，它只能让你把日志复制粘贴到对话框里，然后给你一段泛泛的分析。但 OpenClaw 可以直接读取 workspace 或指定目录下的文件，调用 Python 脚本做统计，提取异常 IP，最后在指定路径生成一份 Markdown 报告。它甚至能自己拆解任务：先列出目录内容，再判断哪些文件需要分析，然后写脚本处理，最后汇总结果。这就是 Agent 和 Chatbot 的分界线。
还有一点很关键：OpenClaw 本身不提供模型，只负责编排和工具调用。模型由后端 LLM 提供，你可以接本地 Ollama 开源的 Qwen、Llama，也可以接 DeepSeek API、NVIDIA NIM，或者任何 OpenAI 兼容接口。这意味着模型能力和 Agent 能力解耦，换模型不影响工作流。
1.3 为什么部署在云服务器而不是本机
我见过很多人把 Agent 装在自己电脑上，方便是方便，但蓝队场景真的不合适。首先，安全运营需要 7×24 小时在线，你电脑合上盖子任务就断了。其次，Agent 应该是一个团队共享的服务，而不是某个人桌面的私有工具。云服务器可以固定 IP、弹性扩容、做快照回滚，还能跟 SIEM、Webhook、工单系统做长期集成。
当然，选云服务器时也要考虑数据合规。如果分析的日志里含有业务敏感数据，尽量选择国内云厂商的合规区域，或者直接私有化部署在公司的 IDC，模型接口走内网。这一步在选型的时候就要想清楚，别等数据进去了再折腾迁移。
需要模型API调用？ 免费领10W Token，多模型网关一键接入 Claude、DeepSeek 等主流模型。
2. 部署前的规划：选机器、选系统、定架构
2.1 云服务器配置怎么选
OpenClaw 本身对资源的要求不高，真正吃资源的是本地模型。先想清楚一个问题：你打算用 API 模型还是本地模型？这直接决定硬件选型。
| 使用场景 | 推荐配置 | 说明 |
|---|---|---|
| 只跑 OpenClaw，模型走 API | 2 核 4G，系统盘 50G | 足够支撑日常任务和 Web 管理界面 |
| 多 Agent、定时批量任务、WebUI 对外服务 | 4 核 8G，系统盘 100G | 需要处理并发，留出内存余量 |
| 同时跑 7B~14B 本地模型 | 4 核 16G 起步，建议 GPU | 量化模型吃内存，推理速度吃算力 |
| 跑 70B 级别模型 | 8 核 32G + 24G 显存以上 | 一般建议模型单独部署，OpenClaw 只做编排 |
我们团队最初买的是一台 2 核 4G 的轻量服务器，计划模型全走 API。后来为了让日志分析不出公网、数据本地闭环，又加了一台带 GPU 的机器单独跑 Ollama。OpenClaw 这台轻量服务器只负责任务编排和调度，两台机器通过内网通信。这个架构现在跑得很稳。
2.2 系统与运行环境准备
操作系统我推荐 Ubuntu 22.04 LTS，稳定性好，安全补丁跟得也及时。环境方面主要装 Node.js 和 Docker，因为 OpenClaw 本身是 Node.js 生态的框架，Docker 则用来跑辅助服务和隔离沙箱。
bash复制sudo apt update && sudo apt upgrade -y
sudo apt install -y curl git build-essential
curl -fsSL https://deb.nodesource.com/setup_20.x | sudo -E bash -
sudo apt install -y nodejs
node -v
npm -v
build-essential 一定要装，有些 npm 原生模块在云服务器上需要本地编译，缺了它会出现各种编译报错。公司网络环境如果有限制，记得提前把 npm 镜像源切到国内源，避免下载依赖时卡到天荒地老：
bash复制npm config set registry https://registry.npmmirror.com
Docker 的安装也很简单：
bash复制curl -fsSL https://get.docker.com | sudo sh
sudo usermod -aG docker $USER
newgrp docker
docker run hello-world
跑