这是自动化编程常见的严重事故。首先，立刻去对应的云服务商后台撤销（Revoke）那把被泄露的 API Key 以防止被盗刷。为了防止再次发生，必须在 OpenClaw 的 System Prompt 中立下铁规：“所有敏感配置必须从 `.env` 文件读取，禁止在代码中硬编码任何密钥”。同时，建议在 Agent 的 Workspace 根目录配置全局的 `.gitignore` 并包含 `.env`。