Chuyển đến nội dung chính
Mô hình mối đe dọa là một tài liệu được cập nhật liên tục. Mọi người đều được chào đón đóng góp; bạn không cần có kiến thức nền tảng về bảo mật hoặc MITRE ATLAS.
Nội dung này dành cho việc bổ sung vào mô hình mối đe dọa, không phải để báo cáo các lỗ hổng đang tồn tại. Nếu bạn phát hiện một lỗ hổng có thể bị khai thác, hãy làm theo hướng dẫn tiết lộ có trách nhiệm trên trang Tin cậy.

​
Các cách đóng góp

Thêm một mối đe dọa. Mở một issue trên openclaw/trust, mô tả kịch bản tấn công bằng lời của bạn. Các thông tin sau hữu ích nhưng không bắt buộc:
  • Kịch bản tấn công và cách kẻ tấn công có thể khai thác.
  • Những thành phần bị ảnh hưởng (CLI, Gateway, các kênh, ClawHub, máy chủ MCP, v.v.).
  • Ước tính của bạn về mức độ nghiêm trọng (thấp / trung bình / cao / nghiêm trọng).
  • Liên kết đến các nghiên cứu, CVE hoặc ví dụ thực tế có liên quan.
Các nhà bảo trì sẽ chỉ định ánh xạ ATLAS, mã mối đe dọa và mức độ rủi ro trong quá trình xem xét. Đề xuất biện pháp giảm thiểu. Mở một issue hoặc PR có tham chiếu đến mối đe dọa. Hãy cụ thể và có tính khả thi: “giới hạn tốc độ theo từng người gửi ở mức 10 tin nhắn/phút tại Gateway” hữu ích hơn “triển khai giới hạn tốc độ.” Đề xuất một chuỗi tấn công. Chuỗi tấn công cho thấy cách nhiều mối đe dọa kết hợp thành một kịch bản thực tế. Hãy mô tả các bước và cách kẻ tấn công xâu chuỗi chúng; một đoạn tường thuật ngắn hiệu quả hơn một mẫu biểu chính thức. Sửa hoặc cải thiện nội dung hiện có. Lỗi chính tả, nội dung làm rõ, thông tin lỗi thời, ví dụ tốt hơn: hoan nghênh các PR, không cần mở issue.

​
Tham chiếu khung

Các mối đe dọa được ánh xạ tới MITRE ATLAS (Bối cảnh Mối đe dọa Đối kháng dành cho Hệ thống AI), một khung dành cho các mối đe dọa đặc thù của AI/ML như chèn prompt, lạm dụng công cụ và khai thác tác nhân. Bạn không cần biết ATLAS để đóng góp; các nhà bảo trì sẽ ánh xạ nội dung gửi lên trong quá trình xem xét. Mã mối đe dọa. Mỗi mối đe dọa nhận một mã như T-EXEC-003, do các nhà bảo trì chỉ định trong quá trình xem xét. Mức độ rủi ro. Nếu bạn không chắc về mức độ, chỉ cần mô tả tác động; các nhà bảo trì sẽ đánh giá.

​
Quy trình xem xét

  1. Phân loại - các nội dung mới gửi lên được xem xét trong vòng 48 giờ.
  2. Đánh giá - các nhà bảo trì xác minh tính khả thi, chỉ định ánh xạ ATLAS và mã mối đe dọa, đồng thời xác thực mức độ rủi ro.
  3. Hoàn thiện tài liệu - kiểm tra định dạng và tính đầy đủ.
  4. Hợp nhất - thêm vào mô hình mối đe dọa và phần trực quan hóa.

​
Tài nguyên

​
Liên hệ

  • Lỗ hổng bảo mật: xem hướng dẫn báo cáo trên trang Tin cậy hoặc gửi email đến security@openclaw.ai.
  • Câu hỏi về mô hình mối đe dọa: mở một issue trên openclaw/trust.
  • Trò chuyện chung: kênh Discord #security.

​
Ghi nhận

Những người đóng góp cho mô hình mối đe dọa được ghi nhận trong phần cảm ơn của mô hình mối đe dọa, ghi chú phát hành và bảng vinh danh bảo mật của OpenClaw đối với các đóng góp đáng kể.

​
Liên quan