MuHaven RWA 投资组合 — OpenClaw 技能

该技能整合了精选子集的 @muhaven/mcp，并附带一个适配 OpenClaw 的配置包。它运行于 OpenClaw 的 NemoClaw 运行时（或任何尊重清单文件中 permissions 区块的 MCP 主机），并连接至 MuHaven 实时后端 https://api.muhaven.app。

功能说明

• 读取您加密的 RWA 投资组合 —— 余额始终由 Fhenix CoFHE 加密；该技能永远不会接触明文数据。
• 为 OpenClaw 界面预置买入 + 兑付意图 —— 该技能绝不会自动提交任何操作。每个意图均根据金额触发结构化确认请求，并分发至三级确认通道之一。
• 提供审计日志界面，用于合规性审查与取证分析。
• /pause 紧急关停开关 可在单个 Arbitrum 区块内卸载链上 @zerodev/permissions 验证器。

明确禁用的功能

• 未经您的通行密钥（passkey）授权，无法转移资金。该技能仅生成未签名的 UserOp 封套；签名操作由 muhaven-broker 守护进程执行（≤$200 场景下通过内联回调完成），或由您的控制台 / Mini App 执行（>$200 场景）。
• 无法访问出口白名单以外的任何服务。manifest.json 中的 network.deny_default: true 表示：即使二进制文件被篡改，也无法向第三方泄露数据。
• 无法读取或写入您的本地文件系统。permissions.filesystem.{read,write}: []。
• 无法派生子进程。permissions.process.spawn: []。
• 不存储任何密钥类凭据。JWT 存储于 muhaven-broker 的操作系统密钥链（OS-keychain）条目中；该技能通过 Unix 套接字 / 命名管道 IPC 调用 broker。

安装步骤

1. 全局安装标准版 OpenClaw 与 ClawHub CLI：

   npm install -g openclaw@latest clawhub
   openclaw --version    # 验证安装
   clawhub --version
   

   （运行时决策日期：2026-05-11；当前采用 sandbox.fallback: host_native 下的标准 OpenClaw。NemoClaw 仍保留在 manifest.json 中作为首选运行时声明，以确保向前兼容；本次部署目标为标准 OpenClaw。）
2. **单独以全局方式安装 broker 守护进程**，确保其可执行文件落入 $PATH，不受 ClawHub 自身二进制管理逻辑影响：

   npm install -g @muhaven/mcp@0.1.5
   muhaven-broker --version    # 基础验证
   

   （该技能自身已内联打包 @muhaven/mcp（自 0.1.1 版起通过 tsup 的 noExternal 实现），因此执行 clawhub install 后无需额外运行 npm install --omit=dev。但全局安装 @muhaven/mcp 仍有必要——它将 muhaven-broker 守护进程的可执行文件注入 $PATH；而技能内联打包的 @muhaven/mcp 仅暴露 MCP 服务端能力，不包含守护进程 CLI。）
3. 安装该技能：

   clawhub install muhaven-rwa-skill@0.1.4
   

4. 一次性完成 broker 初始化与通行密钥登录：

   muhaven-broker setup
   

   此命令将应用合理的环境变量默认值、生成临时会话密钥、以分离模式启动守护进程，并执行设备码登录流程——在浏览器中打开 https://muhaven.app/link?code=XXXX-XXXX 以完成通行密钥授权。守护进程将在 setup 命令返回后持续运行。若您使用进程监管器（supervisor）管理守护进程，请改用 muhaven-broker setup --foreground。
5. （可选）绑定 Telegram 账户，启用 /agent/openclaw/* 确认界面：进入控制台 /agent 页面 → Telegram 标签页 → “Link Telegram” → 向机器人 @muhaven_bot 发送一次性绑定码。

确认分级机制

该技能在未获得确认前，绝不会执行任何状态变更操作。确认通道按意图名义金额（USDC）划分为三级：

确认分级边界记录于 agent_audit_events 表中，并标注该意图所属的金额区间。投资者可在控制台 /agent 页面的策略标签页中下调分级阈值；但不可上调至超过硬编码上限（受监管要求及 Reg BI 关怀义务约束）。

加固不变式（未经审计，严禁放宽）

• permissions.network.deny_default: true —— 每新增一个网络端点均需更新清单文件并重新签名发布。
• permissions.secrets.storage: os_keychain —— 禁止粘贴令牌（paste-token）交互体验。
• runtime.type: node —— 不支持 shell、Python 或 JIT 编译的任意代码块。
• mcp.toolset_subset 是该技能唯一允许调用的工具集合；新增工具需提交 ADR 并重新签名发布。
• 采用 Sigstore 签名 + GitHub OIDC 可信发布机制 —— 不使用长期有效的 ClawHub Token。遵循 ClawHavoc（2026 年 2 月）先例。
• required_reviewers: 2 —— 单维护者发布行为将在策略网关处被拒绝。双维护者发布机制源自 Anthropic MCP SDK STDIO 任意命令执行漏洞（CVE，2026 年 4 月）的经验教训。

工具清单（@muhaven/mcp 的子集）

详见 manifest.json 及上游描述文件 @muhaven/mcp/src/tools/descriptions.ts。该技能仅重新声明本前置元数据（frontmatter）中所列的 mcp.toolset_subset；工具描述符的 SHA-256 哈希值固定于 tool-hashes.json，并在每次技能加载时校验（采用 mcp-context-protector 模式，后 MCPoison 时代实践）。

参考文档

• ADR-C 见 development/research-docs/WAVE_4_AGENTIC_RESEARCH_RESULT.md
• development/DEV_WAVE_4/TOOL_NAMESPACE.md 提供完整命名空间规范
• development/DEV_WAVE_4/THREAT_MODEL_P0.md 包含 OWASP LLM 与智能体安全威胁映射

许可证

MIT 许可证。详见仓库根目录下的 LICENSE 文件。