OpenClaw: kiến trúc hoạt động và cách triển khai an toàn

Cài OpenClaw mất chưa tới năm phút. Nhưng nếu anh em cài xong mà không hiểu nó gồm những bộ phận nào thì sẽ dừng lại ở chỗ chat vài câu cho vui, rồi bỏ đấy. Bài này tôi đi từ kiến trúc trước, cài đặt sau, và dành hẳn một phần cho hàng rào quyền, vì đây là thứ chạy thẳng trên máy tính của anh em.

Video gốc dài 37 phút, tôi vẽ kiến trúc rồi cài trực tiếp. Bài viết này bổ sung thêm ba thứ video chưa có: bảng tên gọi kèm ngày đổi tên, cấu hình siết quyền lấy từ tài liệu chính thức, và kết quả rà soát skill của đội bảo mật Cisco.

Bài này đi qua những gì?

1. Vì sao cài xong rồi vẫn không nghĩ ra việc gì để giao cho nó
2. OpenClaw là cái gì, và vì sao nó đổi tên tới bốn lần trong hơn hai tháng
3. Tám bộ phận trong kiến trúc, mỗi bộ phận làm đúng một việc
4. Một tin nhắn của anh em đi qua hệ thống theo đường nào
5. Điểm nghẽn nằm ở đâu, và vì sao phải nhìn ra nó từ sớm
6. Ba bước cài đặt, mỗi bước một câu lệnh
7. Hàng rào phải dựng trước khi nối vào Gmail và dữ liệu nội bộ
8. Skill lấy từ hub có an toàn không
9. Giới hạn thật, và bảy ngày tới làm được gì

Vì sao cài xong rồi mà vẫn không nghĩ ra việc gì để giao cho nó?

Vì anh em đang đi từ hướng dẫn, không đi từ kiến trúc. Xem một video hướng dẫn thì học được đúng cái việc trong video đó. Hiểu kiến trúc thì tự nghĩ ra được hàng chục việc.

Tôi làm nghề tối ưu hệ thống hơn chục năm, chủ yếu với ngân hàng và công ty chứng khoán. Nó tạo cho tôi một thói quen: gặp bất kỳ hệ thống nào, việc đầu tiên là vẽ ra bức tranh tổng quát. Không phải để trông cho oai. Là vì kiến trúc quyết định giới hạn. Anh em cứ nhìn một hệ thống database thì rõ, chỗ nào chậm chỗ nào nhanh phần lớn đã nằm sẵn trong cách nó được dựng, chứ không nằm ở câu lệnh. Tôi có phân tích kỹ chuyện đó trong bài MongoDB lúc nhanh lúc chậm, nguyên nhân từ kiến trúc ít người để ý.

Với OpenClaw thì mấu chốt đúng một câu: anh em có bao nhiêu ý tưởng phụ thuộc vào việc anh em biết nó có bao nhiêu tool. Biết nó chạy được lệnh trên máy, biết nó mở được trình duyệt như người thật, biết nó gọi được camera điện thoại, thì ý tưởng tự đến. Không biết thì ngồi tìm mãi mấy cái ví dụ trên mạng.

OpenClaw là cái gì, và vì sao nó đổi tên nhiều thế?

OpenClaw là một cổng tự dựng trên máy của anh em, nối các ứng dụng nhắn tin quen thuộc với một AI agent chạy ngay tại chỗ. Nó do Peter Steinberger, một lập trình viên người Áo, viết ra. Trước đó anh này lập ra PSPDFKit.

Chuyện đổi tên gây nhiễu nhiều nhất khi anh em đi tìm tài liệu, nên tôi để thành bảng cho gọn:

Nguồn: trang OpenClaw trên Wikipedia.

Anh em để ý mốc thứ tư và thứ năm cách nhau đúng ba ngày. Video gốc của tôi quay lúc dự án còn tên Clawdbot, nên mọi ảnh chụp màn hình trong bài đều hiện chữ clawdbot. Câu lệnh thì đã đổi theo tên mới, tôi ghi cả hai ở phần cài đặt để anh em khỏi gõ nhầm.

Về độ phổ biến, tính tới 02/03/2026 dự án có 247.000 sao và 47.700 nhánh sao chép trên GitHub. Đây là con số đáng để anh em cân nhắc theo cả hai chiều. Đông người dùng thì nhiều skill có sẵn, gặp lỗi tra là ra. Đông người dùng cũng có nghĩa là kho skill trở thành chỗ đáng để kẻ xấu nhắm vào, phần sau tôi nói rõ.

Kiến trúc OpenClaw gồm những bộ phận nào?

Có tám bộ phận. Mỗi bộ phận làm đúng một việc, và hiểu được tám cái tên này là hiểu được cả hệ thống.

Chỗ Provider là chỗ dễ chịu nhất của thời này. Anh em trả tiền, anh em chọn bộ não. Việc nào cần suy luận sâu thì gắn model đắt, việc nào chỉ là dọn dẹp thì gắn model rẻ. Cách chọn bộ não theo từng loại việc tôi có chia sẻ trong bài Claude Fable 5, ba thay đổi doanh nghiệp cần biết.

Một tin nhắn của anh em đi qua hệ thống theo đường nào?

Đi theo đúng năm chặng, không có đường tắt nào.

Tôi ví dụ. Tôi lập một con bot trên Telegram rồi nhắn cho nó: bảy giờ sáng mai tổng hợp giúp tôi những gì người ta đang nói trên mạng xã hội X về chủ đề này. Tin nhắn đó đi như sau.

1. Từ kênh Telegram, tin nhắn chạy về Gateway trên máy tôi
2. Gateway chuyển sang Agent đang trực
3. Agent đọc Session để biết trước đó tôi đã nói những gì
4. Agent gọi Provider để mượn bộ não suy luận ra các bước phải làm
5. Agent gọi Tool để mở trình duyệt, tìm, đọc, rồi gói kết quả trả ngược lại đường cũ

Được chưa ạ? Nắm được năm chặng này thì lúc hỏng anh em biết đi soi chỗ nào. Không trả lời gì cả thì soi Gateway. Trả lời mà quên hết chuyện cũ thì soi Session. Trả lời sai bét thì soi Provider, tức là đang gắn nhầm bộ não. Trả lời đúng mà không làm được thì soi Tool, tức là chưa bật quyền.

OpenClaw làm được những việc gì trên máy của anh em?

Bốn nhóm. Tôi liệt kê ra đây để anh em nghĩ ý tưởng từ nhóm việc, đừng nghĩ từ mấy ví dụ lẻ trên mạng.

Skill chính là chỗ tôi thấy đáng làm nhất. Bản chất nó là gì? Là anh em có một chuỗi việc lặp đi lặp lại, thay vì lần nào cũng phải nói lại từng bước cho nó nghe, anh em gói cả chuỗi đó thành một kỹ năng rồi gọi tên. Đúng cái cách anh em đóng gói quy trình cho nhân sự mới. Tôi có chia sẻ nguyên cách bóc tách nghiệp vụ rồi đóng thành skill trong bài Đội ngũ AI Agent vận hành cả công ty, và một ví dụ chạy thật trong bài AI Agent kiểm tra hoá đơn đầu vào.

Điểm nghẽn nằm ở đâu trong kiến trúc này?

Nằm ở chỗ một Gateway đi kèm đúng một Agent. Mọi thứ anh em gửi vào đều phải xếp hàng qua một cái cổng, rồi lại xếp hàng qua một ông lính gác duy nhất.

Nghẽn này kéo theo hai chuyện.

Chuyện thứ nhất là tuần tự. Anh em có mười đầu việc thì chúng nó vẫn phải chạy nối đuôi nhau. Tôi đọc trên mạng xã hội thấy có người mua hẳn bốn cái máy Mini để chạy song song. Câu hỏi của tôi là: máy bây giờ nhiều nhân, sao phải mua thêm máy? Dựng thêm Gateway trên chính máy đang có, mỗi Gateway kèm một Agent, là chạy song song được rồi.

Chuyện thứ hai là tiền. Một Agent thì tại một thời điểm chỉ gắn được một bộ não. Mà trong đống việc của anh em bao giờ cũng có việc khó, việc trung bình, việc dễ. Gắn model đắt cho tất cả thì việc dễ cũng ngốn tiền như việc khó. Gắn model rẻ cho tất cả thì việc khó nó làm hỏng. Hướng gỡ trong chính hệ thống này là tạo thêm sub agent rồi gắn cho mỗi con một bộ não khác nhau. Ở đây tôi dừng lại ở chỗ kiến trúc thôi, còn cách chia việc và cách điều phối là một câu chuyện riêng, tôi có chia sẻ trong bài Dynamic Workflow với Opus 4.8 và cách điều phối subagent. Phần tiền thì bài Tối ưu chi phí token khi cho AI vận hành kênh YouTube có bảng đo cụ thể.

Cài OpenClaw trong ba bước, mỗi bước một câu lệnh?

Đúng ba bước, và trên hệ điều hành nào cũng vậy.

[1] KIEM TRA NODEJS, can tu phien ban 22 tro len
node -v
# may toi ra v24.13.0. Ra thap hon 22 thi len nodejs.org tai ban moi

[2] CAI GOI TOAN CUC
npm install -g openclaw@latest
# ban cu trong video la: npm install -g clawdbot@latest

[3] CHAY ONBOARD, kem co chay ngam de bat may len la co san
openclaw onboard --install-daemon
# ban cu trong video la: clawdbot onboard --install-daemon

[4] MO BANG DIEU KHIEN
openclaw dashboard
# hoac mo thang http://127.0.0.1:18789

[5] SOAT LAI CAU HINH AN TOAN, chay truoc khi noi vao viec that
openclaw security audit
openclaw security audit --deep

Bước ba mới là bước dài. Nó hỏi anh em một chuỗi thứ: chọn provider, dán API key, chọn model, chọn kênh giao tiếp, chọn skill. Chỗ dán API key có một điều phải nhớ. Key của OpenAI chỉ hiện đúng một lần lúc tạo, đóng cửa sổ đi là không xem lại được. Và anh em lưu ý luôn: dùng API key là trả theo lượng dùng, khác hẳn gói thuê bao tháng cố định của bản chat cá nhân. Càng bắt nó phân tích dài dòng thì càng tốn.

Cài xong, bảng điều khiển nằm ngay trên máy anh em.

Màn hình lúc onboard cảnh báo những gì?

Nó cảnh báo bốn ý, và bắt anh em bấm xác nhận là đã hiểu rủi ro thì mới đi tiếp. Chỗ này nhiều người bấm cho qua. Tôi đề nghị anh em đọc.

Bốn ý trong khối Security đó, dịch cho gọn:

• Agent chạy được câu lệnh, đọc và ghi được file, dùng được mọi tool anh em bật
• Nó chỉ nhắn tin ra được đúng những kênh anh em cấu hình
• Người mới thì bắt đầu bằng sandbox và bằng nguyên tắc quyền tối thiểu
• Sandbox giúp giới hạn thiệt hại khi nó bị lừa hoặc khi nó làm sai

Ý thứ tư là ý tôi muốn anh em đọc kỹ nhất. Chữ bị lừa nằm ngang hàng với chữ làm sai. Nghĩa là chính người viết ra công cụ cũng coi chuyện agent bị người ngoài dắt mũi là chuyện sẽ xảy ra, không phải chuyện hiếm.

Dựng hàng rào nào trước khi nối nó vào Gmail và dữ liệu nội bộ?

Dựng ba lớp: chỗ cất khoá, quyền bật quyền tắt, và danh sách những thứ không nối. Làm trước khi nối, đừng làm sau.

Khoá API cất ở đâu cho đúng?

Cất trong thư mục cấu hình của chính nó, và siết quyền đọc file lại.

Tài liệu chính thức ghi rõ những thứ nhạy cảm nằm ở đâu. File ~/.openclaw/openclaw.json chứa cấu hình kèm token. Thư mục credentials/ chứa thông tin đăng nhập các kênh. File state/openclaw.sqlite chứa token OAuth. Thư mục agents/<agentId>/sessions/ chứa toàn bộ nội dung trò chuyện, tức là cả tin nhắn riêng lẫn kết quả tool trả về.

Bốn việc phải làm với chỗ đó:

1. Đặt quyền file cấu hình về 600, quyền thư mục về 700, để chỉ tài khoản của anh em đọc được
2. Đừng bao giờ để khoá trong thư mục làm việc mà agent được phép đọc ghi
3. Đừng đưa thư mục đó vào git, kể cả repo riêng
4. Tạo khoá riêng cho con bot này, đặt tên nhận ra được, để lúc cần thu hồi thì thu đúng cái đó

Khoá lộ ra thì người khác gọi model bằng tiền của anh em. Đây là loại mất tiền âm thầm, cuối tháng nhìn hoá đơn mới biết.

Quyền nào bật, quyền nào tắt?

Mặc định là chặn, bật từng cái theo việc. Đừng làm ngược lại.

Cấu hình dưới đây tôi lấy từ mục an toàn trong tài liệu chính thức, anh em chép về đặt làm điểm xuất phát rồi nới dần từng quyền một:

{
  gateway: {
    mode: "local",
    bind: "loopback",
    auth: { mode: "token", token: "dat-mot-chuoi-ngau-nhien-that-dai" }
  },
  session: { dmScope: "per-channel-peer" },
  tools: {
    profile: "messaging",
    deny: ["group:automation", "group:runtime", "group:fs", "cron", "gateway"],
    exec: { security: "deny", ask: "always" },
    elevated: { enabled: false }
  },
  channels: {
    telegram: {
      dmPolicy: "pairing",
      groups: { "*": { requireMention: true } }
    }
  }
}

Đọc lại khối trên theo tiếng Việt cho dễ nhớ. Gateway chỉ nghe trên máy mình. Muốn nói chuyện với nó phải có token. Ngữ cảnh tách riêng theo từng người. Nhóm tool tự động hoá, nhóm chạy ngầm, nhóm đụng vào file, hẹn giờ và điều khiển gateway đều chặn. Chạy câu lệnh thì chặn và hỏi mọi lần. Quyền nâng cao tắt. Người lạ nhắn riêng thì phải ghép cặp. Trong nhóm thì phải gọi tên mới trả lời.

Cái gì tuyệt đối không nên nối vào lúc đầu?

Năm thứ. Tôi xếp theo mức đau khi hỏng.

1. Trình duyệt hằng ngày đang đăng nhập tài khoản thật. Tài liệu nói rất đúng: một hồ sơ trình duyệt đang đăng nhập tương đương quyền vào toàn bộ những tài khoản đó. Dùng một hồ sơ riêng cho agent, đừng dùng cái anh em đang xài.
2. Hộp thư chính. Phần dưới tôi nói vì sao email là đường tấn công đẹp nhất.
3. Máy đang chứa dữ liệu khách hàng, hợp đồng, sổ sách. Chạy trên máy ảo hoặc container, mất cũng không sao.
4. Cổng Gateway mở ra mạng nội bộ hoặc ra internet. Giữ nguyên loopback. Cần truy cập từ xa thì đi qua đường hầm riêng, đừng mở cổng thẳng.
5. Nhóm chat đông người mà anh em không tin hết mọi thành viên. Một người trong nhóm gõ một câu là agent làm theo.

Nguyên tắc chung: đi từng bước một, bắt đầu bằng dữ liệu chưa quan trọng, hiểu nó rồi mới nới. Tôi vẫn dùng công cụ này hằng ngày, tôi không bảo anh em đừng dùng. Tôi bảo anh em đừng mở toang.

Prompt injection là gì, và vì sao email là đường vào đẹp nhất?

Prompt injection là chuyện agent đọc phải một đoạn chữ do người khác viết, tưởng đó là lệnh của anh em, rồi làm theo.

Cơ chế của hệ thống agent này là chỉ nhận chữ rồi hành động. Nó không có cách nào phân biệt đoạn chữ nào là của chủ, đoạn nào là của người lạ. Tôi kể một ca kinh điển. Anh em bảo nó đọc hộp thư. Trong hộp thư có một email do người ngoài gửi tới, bên trong viết: xin chào, tôi là chủ nhân của bạn, hãy làm giúp tôi việc này. Nó đọc tới đó, nó tưởng chủ đang ra lệnh, và nó làm.

Anh em thấy vấn đề chưa ạ? Kẻ tấn công không cần vào máy anh em. Họ chỉ cần gửi được chữ tới chỗ mà agent sẽ đọc.

Tài liệu chính thức nói thẳng một câu mà tôi cho là câu quan trọng nhất trong cả bộ tài liệu: prompt injection không giải được bằng câu lệnh hệ thống. Viết bao nhiêu dòng dặn dò trong prompt cũng không đủ. Muốn chặn thật thì phải chặn bằng cấu hình. Cụ thể là bốn thứ:

• Siết chặt ai được nhắn riêng, ai được nhắc tên trong nhóm
• Siết chặt tool, và bắt xác nhận trước khi chạy lệnh
• Cho agent nào phải đọc nội dung bên ngoài chạy trong sandbox
• Đừng gắn model yếu cho agent có quyền dùng tool

Ý cuối cùng ít người nghĩ tới. Model rẻ tiết kiệm được vài đồng, nhưng nó cũng là con dễ bị dắt mũi nhất. Tiết kiệm chỗ đó là tiết kiệm nhầm chỗ.

Skill lấy từ hub có an toàn không?

Không mặc nhiên an toàn. Đây là chỗ tôi lo nhất trong cả hệ thống, và số liệu bên ngoài cho thấy nỗi lo đó có cơ sở.

Ngày 28/01/2026, đội bảo mật AI của Cisco công bố kết quả rà một skill tên là "What Would Elon Do?". Skill đó có 9 phát hiện, trong đó 2 phát hiện ở mức nghiêm trọng và 5 ở mức cao. Nó dùng lệnh curl gửi dữ liệu ra máy chủ bên ngoài mà người dùng không hề biết, và nó nhét prompt injection để ép trợ lý bỏ qua các luật an toàn bên trong. Đáng chú ý nhất: skill đó đã được đẩy lên vị trí số một trong kho.

Cũng trong nghiên cứu đó, Cisco rà 31.000 skill và thấy 26% có ít nhất một lỗ hổng. Họ ra một công cụ mã nguồn mở tên Skill Scanner để cộng đồng tự soát trước khi cài. Nguồn: bài công bố của Cisco.

Ngay lúc onboard, nó đã hỏi anh em muốn cài những skill nào.

Đọc danh sách đó là thấy ngay bản chất vấn đề. 1password là kho mật khẩu. obsidian là kho ghi chú. oracle là database. Mỗi skill anh em tích vào là một cánh cửa mở thêm. Lúc mới bắt đầu, cứ bỏ qua hết. Sau này cần việc gì thì thêm việc đó.

Bốn câu phải tự trả lời trước khi cài một skill lạ:

1. Skill này cần quyền gì, và việc tôi định giao có cần tới đúng ngần đó quyền không
2. Nó gửi dữ liệu ra ngoài chỗ nào, có địa chỉ nào tôi không nhận ra không
3. Tác giả là ai, có phải tài khoản mới lập không
4. Nếu skill này là mã độc thì thứ đắt nhất tôi mất là gì

Câu thứ tư quan trọng hơn ba câu trên. Trả lời được câu đó thì anh em tự biết nên chạy nó trên máy nào.

Đề bài tự soát trước khi nối OpenClaw vào việc thật

Khối dưới đây anh em chép về, dán thẳng vào agent của mình, bắt nó tự soát rồi trả lời từng dòng. Nó là đề bài siết, không phải đề bài mở.

DE BAI: TU SOAT AN TOAN TRUOC KHI NOI VAO VIEC THAT

Tra loi tung muc, moi muc mot dong, khong dien phong doan.
Muc nao chua do duoc thi ghi "CHUA DO", tuyet doi khong uoc luong.

[A] PHAM VI
A1. Gateway dang nghe o dau: loopback hay mo ra ngoai
A2. Xac thuc gateway dang bat che do gi
A3. Dang co bao nhieu kenh dang bat, ke ten tung kenh
A4. Kenh nao dang cho nguoi la nhan rieng

[B] QUYEN
B1. Liet ke moi tool dang bat, chia hai cot: chi doc va co ghi
B2. Quyen chay cau lenh dang la cho phep hay chan
B3. Quyen nang cao dang bat hay tat
B4. Agent duoc doc ghi nhung thu muc nao, ke duong dan day du
B5. Co thu muc nao trong danh sach tren chua khoa API khong

[C] SKILL
C1. Ke ten moi skill dang cai, kem tac gia
C2. Skill nao can cookie hoac phien dang nhap that
C3. Skill nao gui du lieu ra dia chi ben ngoai, ke dia chi

[D] NOI DUNG BEN NGOAI
D1. Agent nay co doc email, trang web hay file nguoi khac gui khong
D2. Neu co, no dang chay trong sandbox hay chay thang tren may that
D3. Model dang gan cho agent nay ten gi

[E] TIEN
E1. Han muc chi toi da moi ngay la bao nhieu, ai dat con so do
E2. Co canh bao khi vuot han muc khong, canh bao gui di dau

LUAT CHOT, ap sau khi tra loi xong:
[1] Bat ky dong nao o muc B ma ghi "cho phep" thi phai co mot cau
    giai thich viec that dang can no. Khong giai thich duoc thi tat.
[2] Neu D1 la co ma D2 la chay thang tren may that thi DUNG LAI,
    dung noi vao viec that cho toi khi dung sandbox.
[3] Neu B5 la co thi DUNG LAI, chuyen khoa API ra khoi vung agent
    doc duoc truoc da.
[4] Moi lan them mot skill moi thi chay lai toan bo de bai nay.

Giới hạn thật của OpenClaw

Bốn chỗ. Tôi nói thẳng để anh em khỏi mất thời gian.

Nó không phải hàng rào cho nhiều người dùng. Tài liệu chính thức viết rõ đây là mô hình một người dùng, một ranh giới tin cậy cho mỗi gateway. Công ty muốn nhiều người dùng chung thì phải dựng gateway riêng cho từng nhóm, đừng dùng chung một cái rồi phân quyền bên trong.

Kiến trúc một cổng một agent vẫn là nút thắt. Dựng thêm gateway chỉ là cách đi vòng. Nó không phải là hệ thống được thiết kế cho nhiều luồng ngay từ đầu.

Sandbox là tuỳ chọn, không phải mặc định. Không bật thì lệnh chạy thẳng trên máy thật. Đây là chỗ nhiều người tưởng nhầm rằng cài xong là đã có sẵn lớp cách ly.

Rủi ro không nằm hết ở công nghệ, phần lớn nằm ở cách vận hành của chính anh em. Bật một quyền cho tiện rồi quên tắt. Cài một skill cho nhanh rồi không nhớ nó xin quyền gì. Giao một việc chạy hằng đêm rồi tháng sau mới nhìn hoá đơn. Ba chuyện đó không có bản vá nào chữa được. Chỉ có thói quen soát lại chữa được.

Còn một chuyện nữa đáng để anh em biết. Tháng 3/2026, Trung Quốc hạn chế doanh nghiệp nhà nước và cơ quan chính phủ dùng công cụ này vì lý do an ninh. Tôi nêu ra không phải để doạ. Tôi nêu để anh em thấy rằng bên có thẩm quyền cũng đang nhìn nó theo hướng thận trọng, chứ chuyện an toàn không phải mình tôi lo quá mức.

Bảy ngày tới anh em làm được gì?

Không cần biết lập trình. Làm theo thứ tự này.

1. Ngày 1. Dựng một máy ảo hoặc một container sạch. Đừng cài lên máy làm việc chính.
2. Ngày 2. Cài Node phiên bản 22 trở lên, chạy hai câu lệnh cài đặt, chạy openclaw security audit, đọc hết mọi cảnh báo nó in ra.
3. Ngày 3. Chép khối cấu hình siết ở trên vào, khởi động lại, kiểm tra gateway chỉ nghe trên loopback.
4. Ngày 4. Nối đúng một kênh, và nối bằng một tài khoản Telegram phụ. Chat vài câu cho quen.
5. Ngày 5. Giao một việc chỉ đọc, không ghi. Tôi ví dụ: đọc ba trang tin trong ngành rồi tóm tắt lại. Chưa cho nó động vào file nào cả.
6. Ngày 6. Chạy khối đề bài tự soát ở trên. Có dòng nào ra "CHƯA ĐO" thì đi đo cho ra.
7. Ngày 7. Chọn đúng một việc lặp lại trong tuần của anh em, viết nó thành ba tới năm bước, đóng thành một skill. Việc nào cũng được, miễn là việc thật.

Xong bảy ngày này thì anh em có một con trợ lý biết làm một việc, chạy trong vùng an toàn, và có sổ ghi rõ nó được phép làm gì. Từ đó nới ra thì dễ. Làm ngược lại, tức là mở hết rồi siết dần, gần như không ai siết lại nổi.

Câu hỏi hay gặp

Máy tôi là Windows, có chạy được không?

Chạy được, nhưng chính màn hình onboard khuyên nên dùng WSL2, và nói thẳng là chạy thuần Windows chưa được kiểm nhiều nên hay gặp trục trặc hơn. Nếu anh em không rành WSL2 thì cứ chạy thuần Windows để thử, gặp lỗi lạ thì nhớ nguyên nhân có thể nằm ở đây.

Không biết lập trình thì có làm được không?

Được. Ba bước cài đặt đều là chép câu lệnh rồi dán. Phần cấu hình là sửa file văn bản. Thứ anh em thật sự cần không phải kỹ năng code, mà là hiểu nó gồm những bộ phận nào và mỗi quyền mở ra cái gì.

Một tháng nó ăn bao nhiêu tiền?

Không có con số chung, vì tiền tính theo lượng token dùng, mà lượng token phụ thuộc vào việc anh em giao. Hai cách giữ tiền lại: ra đề bài rõ ràng để nó khỏi suy luận lòng vòng, và gắn model rẻ cho việc dễ. Cách đo và cắt chi phí tôi có chia sẻ trong bài Tối ưu chi phí token khi cho AI vận hành kênh YouTube.

Tôi có nên cho nó nối vào database của công ty không?

Chưa. Lúc mới bắt đầu thì tuyệt đối chưa. Muốn nối thì nối bằng tài khoản chỉ đọc, trên bản sao, và chỉ mở đúng những bảng cần. Trước đó nên hiểu database của mình đang khoẻ hay yếu đã, bài Vì sao có index mà SQL vẫn chậm nói về chuyện đó.

Video của tôi gọi nó là Clawdbot, giờ tra tài liệu ra OpenClaw, có phải hai thứ khác nhau không?

Cùng một dự án. Nó đổi tên bốn lần trong hơn hai tháng, lần cuối là ngày 30/01/2026. Tên gói và tên câu lệnh đổi theo, còn kiến trúc thì giữ nguyên. Ảnh trong bài này chụp lúc còn tên cũ, câu lệnh trong khối chép được thì tôi đã ghi bản mới.

Tôi lỡ chạy nó với quyền mở hết mấy hôm rồi thì làm gì?

Làm bốn việc theo đúng thứ tự tài liệu hướng dẫn khi nghi bị xâm nhập. Dừng tiến trình gateway. Đưa gateway về loopback. Tắt hoặc bắt nhắc tên với mọi nhóm chat đang mở. Xoay lại token gateway và toàn bộ khoá của các provider. Rồi đọc lại nhật ký xem nó đã làm những gì.

Đúc kết

Hiểu kiến trúc trước, cài sau. Tám bộ phận, năm chặng một tin nhắn đi qua, đó là toàn bộ thứ cần nhớ để tự nghĩ ra việc mà giao.

Ba câu lệnh là cài xong, nhưng cái quyết định không phải ba câu lệnh đó. Cái quyết định là hàng rào anh em dựng quanh nó: khoá cất đúng chỗ, quyền mặc định là chặn, và một danh sách rõ ràng những thứ không nối.

Cứ dựng một cái trên máy ảo rồi giao cho nó một việc thật. Sai thì sửa, có mất gì đâu. Còn nếu anh em muốn đi xa hơn, tức là dựng hẳn một hệ thống nhiều agent phối hợp với nhau, biết cách kiểm chứng kết quả nó trả ra có đáng tin không, thì đó là việc tôi đang coaching. Tuỳ anh em thôi.

Nguồn tham khảo

• Tài liệu chính thức OpenClaw, mục an toàn của Gateway
• Tài liệu chính thức OpenClaw, trang tổng quan
• Cisco, Personal AI Agents like OpenClaw Are a Security Nightmare, 28/01/2026
• Trang OpenClaw trên Wikipedia