威脅模型（MITRE ATLAS）

版本： 1.0-draft | 框架： MITRE ATLAS（AI 系統對抗性威脅情勢）+ 資料流程圖

此威脅模型記錄針對 OpenClaw AI 代理程式平台與 ClawHub 技能市集的對抗性威脅。這是一份由 OpenClaw 社群維護、持續更新的文件。如需回報新威脅、提出攻擊鏈或建議緩解措施，請參閱參與威脅模型貢獻。

主要 ATLAS 資源： 技術 | 戰術 | 案例研究 | ATLAS GitHub | 參與 ATLAS 貢獻

---

​

1. 範圍

元件	納入範圍	備註
OpenClaw 代理程式執行階段	是	核心代理程式執行、工具呼叫、工作階段
閘道	是	驗證、路由、頻道整合
頻道整合	是	WhatsApp、Telegram、Discord、Signal、Slack 等
ClawHub 市集	是	技能發布、審核、散布
MCP 伺服器	是	外部工具提供者
使用者裝置	部分	行動應用程式、桌面用戶端

不在範圍內的回報與誤判模式（公開網際網路曝露、未繞過邊界且僅涉及提示注入的攻擊鏈、彼此不信任的操作者共用同一部閘道主機，以及其他情況）列於 SECURITY.md；該檔案才是目前漏洞回報範圍的權威來源，而非本頁。

​

2. 系統架構

​

2.1 信任邊界

┌─────────────────────────────────────────────────────────────────┐
│                    不受信任區域                                 │
│  ┌─────────────┐  ┌─────────────┐  ┌─────────────┐              │
│  │  WhatsApp   │  │  Telegram   │  │   Discord   │  ...         │
│  └──────┬──────┘  └──────┬──────┘  └──────┬──────┘              │
│         │                │                │                      │
└─────────┼────────────────┼────────────────┼──────────────────────┘
          │                │                │
          ▼                ▼                ▼
┌─────────────────────────────────────────────────────────────────┐
│                 信任邊界 1：頻道存取                            │
│  ┌──────────────────────────────────────────────────────────┐   │
│  │                      閘道                                │   │
│  │  • 裝置配對（1h 私訊配對 / 5m 節點配對 TTL）             │   │
│  │  • AllowFrom / 允許清單驗證                              │   │
│  │  • 權杖 / 密碼 / Tailscale 驗證                         │   │
│  └──────────────────────────────────────────────────────────┘   │
└─────────────────────────────────────────────────────────────────┘
                              │
                              ▼
┌─────────────────────────────────────────────────────────────────┐
│                 信任邊界 2：工作階段隔離                         │
│  ┌──────────────────────────────────────────────────────────┐   │
│  │                   代理程式工作階段                       │   │
│  │  • 工作階段金鑰 = agent:channel:peer                    │   │
│  │  • 各代理程式的工具原則                                  │   │
│  │  • 對話記錄                                              │   │
│  └──────────────────────────────────────────────────────────┘   │
└─────────────────────────────────────────────────────────────────┘
                              │
                              ▼
┌─────────────────────────────────────────────────────────────────┐
│                 信任邊界 3：工具執行                             │
│  ┌──────────────────────────────────────────────────────────┐   │
│  │                  執行沙箱                                │   │
│  │  • Docker 沙箱（預設）或主機（exec 核准）                │   │
│  │  • 節點遠端執行                                          │   │
│  │  • SSRF 防護（DNS 綁定 + IP 封鎖）                       │   │
│  └──────────────────────────────────────────────────────────┘   │
└─────────────────────────────────────────────────────────────────┘
                              │
                              ▼
┌─────────────────────────────────────────────────────────────────┐
│                 信任邊界 4：外部內容                             │
│  ┌──────────────────────────────────────────────────────────┐   │
│  │              擷取的 URL / 電子郵件 / 網路鉤子            │   │
│  │  • 外部內容包裝（隨機邊界 XML 標籤）                     │   │
│  │  • 安全性通知注入                                        │   │
│  └──────────────────────────────────────────────────────────┘   │
└─────────────────────────────────────────────────────────────────┘
                              │
                              ▼
┌─────────────────────────────────────────────────────────────────┐
│                 信任邊界 5：供應鏈                               │
│  ┌──────────────────────────────────────────────────────────┐   │
│  │                      CLAWHUB                              │   │
│  │  • 技能發布（semver，必須提供 SKILL.md）                 │   │
│  │  • 靜態模式 + AST 相鄰審核掃描                           │   │
│  │  • 基於 LLM 的代理式風險審查 + VirusTotal 掃描           │   │
│  │  • GitHub 帳號年齡驗證（14 天）                          │   │
│  └──────────────────────────────────────────────────────────┘   │
└─────────────────────────────────────────────────────────────────┘

​

2.2 資料流程

流程	來源	目的地	資料	防護措施
F1	頻道	閘道	使用者訊息	TLS、AllowFrom
F2	閘道	代理程式	已路由的訊息	工作階段隔離
F3	代理程式	工具	工具叫用	原則強制執行
F4	代理程式	外部	web_fetch 請求	SSRF 封鎖
F5	ClawHub	代理程式	技能程式碼	審核、掃描
F6	代理程式	頻道	回應	輸出篩選

---

​

3. 依 ATLAS 戰術分類的威脅分析

​

3.1 偵察（AML.TA0002）

​

T-RECON-001：探索代理程式端點

屬性	值
ATLAS ID	AML.T0006 - 主動掃描
描述	攻擊者掃描曝露的 OpenClaw 閘道端點
攻擊媒介	網路掃描、Shodan 查詢、DNS 列舉
受影響的元件	閘道、曝露的 API 端點
目前的緩解措施	Tailscale 驗證選項、預設繫結至回送介面
殘餘風險	中等 - 公開閘道可被探索
建議	記錄安全部署方式、在探索端點加入速率限制

​

T-RECON-002：探測頻道整合

屬性	值
ATLAS ID	AML.T0006 - 主動掃描
描述	攻擊者探測訊息頻道，以識別由 AI 管理的帳號
攻擊媒介	傳送測試訊息、觀察回應模式
受影響的元件	所有頻道整合
目前的緩解措施	無特定措施
殘餘風險	低 - 僅探索本身的價值有限
建議	考慮將回應時間隨機化

---

​

3.2 初始存取（AML.TA0004）

​

T-ACCESS-001：攔截配對碼

屬性	值
ATLAS ID	AML.T0040 - AI 模型推論 API 存取
描述	攻擊者在配對時限內攔截配對碼（私訊／一般配對為 1 小時，節點配對為 5 分鐘）
攻擊向量	窺視、網路封包嗅探、社交工程
受影響元件	裝置配對系統
目前的緩解措施	1 小時 TTL（私訊／一般配對）、5 分鐘 TTL（節點配對）；代碼透過現有頻道傳送
殘餘風險	中等 - 配對時限可遭利用
建議	縮短配對時限、新增確認步驟

​

T-ACCESS-002：AllowFrom 偽造

屬性	值
ATLAS ID	AML.T0040 - AI 模型推論 API 存取
描述	攻擊者在頻道上偽造獲允許的傳送者身分
攻擊向量	視頻道而定 - 電話號碼偽造、使用者名稱冒用
受影響元件	各頻道的 AllowFrom 驗證
目前的緩解措施	頻道專屬的身分驗證
殘餘風險	中等 - 部分頻道仍易受偽造攻擊
建議	記錄各頻道的特定風險，並在可行情況下新增密碼學驗證

​

T-ACCESS-003：權杖竊取

屬性	值
ATLAS ID	AML.T0040 - AI 模型推論 API 存取
描述	攻擊者從設定／認證資訊檔案中竊取驗證權杖
攻擊向量	惡意軟體、未經授權的裝置存取、設定備份外洩
受影響元件	頻道／供應商認證資訊儲存、設定儲存
目前的緩解措施	檔案權限
殘餘風險	高 - 權杖以明文儲存在磁碟上
建議	實作靜態權杖加密、新增權杖輪替

---

​

3.3 執行（AML.TA0005）

​

T-EXEC-001：直接提示詞注入

屬性	值
ATLAS ID	AML.T0051.000 - LLM 提示詞注入：直接
描述	攻擊者傳送精心設計的提示詞來操控代理程式行為
攻擊向量	包含對抗性指令的頻道訊息
受影響元件	代理程式 LLM、所有輸入介面
目前的緩解措施	模式偵測、外部內容包裝；若未繞過邊界，則視為不在弱點報告範圍內（請參閱 SECURITY.md）
殘餘風險	嚴重 - 僅偵測而不封鎖；複雜的攻擊可繞過
建議	在現有偵測機制之上，針對敏感操作新增輸出驗證與使用者確認

​

T-EXEC-002：間接提示詞注入

屬性	值
ATLAS ID	AML.T0051.001 - LLM 提示詞注入：間接
描述	攻擊者在擷取的內容中嵌入惡意指令
攻擊向量	惡意 URL、遭汙染的電子郵件、遭入侵的網路鉤子
受影響元件	web_fetch、電子郵件擷取、外部資料來源
目前的緩解措施	使用隨機邊界的 XML 樣式標記包裝內容、同形異義字／特殊權杖正規化，以及安全性通知
殘餘風險	高 - LLM 仍可能忽略包裝器指令
建議	為包裝內容使用獨立的執行內容環境

​

T-EXEC-003：工具引數注入

屬性	值
ATLAS ID	AML.T0051.000 - LLM 提示詞注入：直接
描述	攻擊者透過提示詞注入操控工具引數
攻擊向量	影響工具參數值的精心設計提示詞
受影響元件	所有工具呼叫
目前的緩解措施	危險命令需經執行核准
殘餘風險	高 - 仰賴使用者判斷
建議	引數驗證、參數化工具呼叫

​

T-EXEC-004：繞過執行核准

屬性	值
ATLAS ID	AML.T0043 - 製作對抗性資料
描述	攻擊者製作可繞過核准允許清單的命令
攻擊向量	命令混淆、別名利用、路徑操控
受影響元件	src/infra/exec-approvals*.ts、命令允許清單
目前的緩解措施	允許清單 + 詢問模式，以及命令正規化（解開分派包裝器、偵測內嵌求值、分析 shell 鏈）
殘餘風險	高 - 正規化可縮小但無法消除混淆繞過的可能性；僅涉及執行路徑之間一致性的發現會被視為強化項目，而非弱點（請參閱 SECURITY.md）
建議	持續擴充命令正規化對新型混淆技術的涵蓋範圍

---

​

3.4 持久化（AML.TA0006）

​

T-PERSIST-001：安裝惡意 Skill

屬性	值
ATLAS ID	AML.T0010.001 - 供應鏈入侵：AI 軟體
描述	攻擊者將惡意 Skill 發布至 ClawHub
攻擊向量	建立帳號、發布含有隱藏惡意程式碼的 Skill
受影響元件	ClawHub、Skill 載入、代理程式執行
目前的緩解措施	GitHub 帳號年齡驗證、靜態模式／AST 相鄰掃描、基於 LLM 的代理式風險審查、VirusTotal 掃描
殘餘風險	高 - 雖有多層偵測，但 Skill 仍以代理程式權限執行，且沒有執行沙箱
建議	Skill 執行沙箱、擴大社群審查

​

T-PERSIST-002：Skill 更新汙染

屬性	值
ATLAS ID	AML.T0010.001 - 供應鏈入侵：AI 軟體
描述	攻擊者入侵熱門 Skill 並推送惡意更新
攻擊向量	帳號入侵、對 Skill 擁有者進行社交工程
受影響元件	ClawHub 版本控制、自動更新流程
目前的緩解措施	版本指紋辨識、新版本重新執行審核／掃描
殘餘風險	高 - 自動更新可能在審查完成前拉取惡意版本
建議	更新簽署、復原能力、版本固定

​

T-PERSIST-003：代理程式設定竄改

屬性	值
ATLAS ID	AML.T0010.002 - 供應鏈入侵：資料
說明	攻擊者修改代理程式設定以維持存取權限
攻擊向量	修改設定檔、注入設定
受影響的元件	代理程式設定、工具政策
目前的緩解措施	檔案權限
殘餘風險	中等 - 需要本機存取權限
建議	驗證設定完整性、對設定變更進行稽核記錄

---

​

3.5 規避防禦（AML.TA0007）

​

T-EVADE-001：繞過審核模式

屬性	值
ATLAS ID	AML.T0043 - 製作對抗性資料
說明	攻擊者製作 Skills 內容以規避 ClawHub 審核檢查
攻擊向量	Unicode 同形異義字、編碼技巧、動態載入
受影響的元件	ClawHub 審核／掃描流水線
目前的緩解措施	靜態模式規則、鄰近 AST 的程式碼掃描、LLM 代理式風險審查、VirusTotal
殘餘風險	中等 - 新型混淆手法仍可能避開分層啟發式偵測
建議	隨著發現新的規避手法，持續擴充模式／行為語料庫

​

T-EVADE-002：內容包裝器逸出

屬性	值
ATLAS ID	AML.T0043 - 製作對抗性資料
說明	攻擊者製作可逸出外部內容包裝器情境的內容
攻擊向量	標籤操控、情境混淆、指令覆寫
受影響的元件	外部內容包裝
目前的緩解措施	隨機邊界的 XML 樣式標記與安全性通知，另加同形異義字／空白變體的標記偽造偵測
殘餘風險	中等 - 經常發現新的逸出手法
建議	除輸入端包裝外，另進行輸出端驗證

---

​

3.6 探索（AML.TA0008）

​

T-DISC-001：工具列舉

屬性	值
ATLAS ID	AML.T0040 - AI 模型推論 API 存取
說明	攻擊者透過提示列舉可用工具
攻擊向量	「你有哪些工具？」類型的查詢
受影響的元件	代理程式工具登錄檔
目前的緩解措施	無特定措施
殘餘風險	低 - 工具通常已有文件記載
建議	考慮採用工具可見性控制

​

T-DISC-002：工作階段資料擷取

屬性	值
ATLAS ID	AML.T0040 - AI 模型推論 API 存取
說明	攻擊者從工作階段情境中擷取敏感資料
攻擊向量	「我們討論了什麼？」查詢、情境探測
受影響的元件	工作階段逐字稿、情境視窗
目前的緩解措施	依傳送者隔離工作階段（agent:channel:peer 鍵）
殘餘風險	中等 - 工作階段內的資料依設計可供存取
建議	遮蔽情境中的敏感資料

---

​

3.7 收集與外洩（AML.TA0009、AML.TA0010）

​

T-EXFIL-001：透過 web_fetch 竊取資料

屬性	值
ATLAS ID	AML.T0009 - 收集
說明	攻擊者指示代理程式將資料傳送至外部 URL 以外洩資料
攻擊向量	提示注入導致代理程式將資料以 POST 傳送至攻擊者的伺服器
受影響的元件	web_fetch 工具
目前的緩解措施	封鎖對內部／私人網路的 SSRF（DNS 固定 + IP 封鎖）
殘餘風險	高 - 仍允許任意外部 URL
建議	URL 允許清單、資料分類感知

​

T-EXFIL-002：未經授權傳送訊息

屬性	值
ATLAS ID	AML.T0009 - 收集
說明	攻擊者使代理程式傳送包含敏感資料的訊息
攻擊向量	提示注入導致代理程式向攻擊者傳送訊息
受影響的元件	訊息工具、頻道整合
目前的緩解措施	對外訊息傳送閘控
殘餘風險	中等 - 閘控可能遭到繞過
建議	對新收件者要求明確確認

​

T-EXFIL-003：蒐集認證資訊

屬性	值
ATLAS ID	AML.T0009 - 收集
說明	惡意 Skills 從代理程式情境中蒐集認證資訊
攻擊向量	Skills 程式碼讀取環境變數、設定檔
受影響的元件	Skills 執行環境
目前的緩解措施	ClawHub 認證資訊模式掃描（硬編碼的祕密、搭配網路傳送的認證資訊環境變數存取）；Skills 在執行階段沒有執行沙箱
殘餘風險	嚴重 - Skills 以代理程式權限執行
建議	Skills 執行沙箱、認證資訊隔離

---

​

3.8 影響（AML.TA0011）

​

T-IMPACT-001：未經授權執行命令

屬性	值
ATLAS ID	AML.T0031 - 破壞 AI 模型完整性
說明	攻擊者在使用者系統上執行任意命令
攻擊向量	提示注入結合繞過執行核准
受影響的元件	Bash 工具、命令執行
目前的緩解措施	執行核准、Docker 沙箱選項（預設執行階段後端）
殘餘風險	嚴重 - 停用沙箱時可能在主機上執行
建議	改善核准使用者體驗；關閉沙箱的部署仍是操作人員的刻意選擇，並依此記載於文件

​

T-IMPACT-002：資源耗盡（DoS）

屬性	值
ATLAS ID	AML.T0031 - 破壞 AI 模型完整性
說明	攻擊者耗盡 API 額度或運算資源
攻擊向量	自動化訊息洪泛、高成本工具呼叫
受影響的元件	閘道、代理程式工作階段、API 提供者
目前的緩解措施	無
殘餘風險	高 - 沒有依傳送者限制速率
建議	依傳送者設定速率限制、成本預算

​

T-IMPACT-003：聲譽損害

屬性	值
ATLAS ID	AML.T0031 - 破壞 AI 模型完整性
說明	攻擊者使代理程式傳送有害／冒犯性內容
攻擊向量	提示注入導致不當回應
受影響的元件	輸出生成、頻道訊息傳送
目前的緩解措施	LLM 提供者內容政策
殘餘風險	中等 - 提供者篩選機制並不完善
建議	輸出篩選層、使用者控制項

---

​

4. ClawHub 供應鏈分析

​

4.1 目前的安全性控制措施

控制措施	實作方式	有效性
GitHub 帳號年齡	requireGitHubAccountAge()（至少 14 天）	中等－提高新攻擊者的門檻
路徑清理	sanitizePath()	高－防止路徑遍歷
檔案類型驗證	isTextFile()	中等－僅掃描文字檔，但仍可能遭到利用
大小限制	套件組合總計 50MB（MAX_PUBLISH_TOTAL_BYTES）	高－防止資源耗盡
必須提供 SKILL.md	發布時必須提供讀我檔案	安全價值低－僅供參考
靜態與 AST 相鄰掃描	模式引擎涵蓋執行、資料外洩、竊取認證資訊、混淆等行為	中高－涵蓋許多已知濫用模式，但仍以模式比對為基礎
基於 LLM 的代理式風險審查	發布時依安全提示詞做出判定	中高－可發現靜態模式未能識別的行為
VirusTotal 掃描	整合至 Skill 與套件版本的發布／重新掃描流程，並以操作者 API 金鑰為啟用條件	啟用時為高－靜態引擎偵測
管理狀態	moderationStatus 欄位	中等－可進行人工審查

​

4.2 管理限制

ClawHub 的靜態掃描會直接檢查 Skill 程式碼內容（不僅是 slug／中繼資料／frontmatter），涵蓋危險的執行呼叫、動態程式碼執行、竊取認證資訊、資料外洩模式、混淆的酬載等。已知缺口：

• 以模式為基礎的偵測仍可能遭到足夠新穎的混淆技術規避。
• 基於 LLM 的審查與 VirusTotal 掃描，取決於是否已啟用操作者端的 API 金鑰／設定。
• Skill 安裝後，沒有執行階段沙箱能將其與代理程式本身的權限隔離。

​

4.3 徽章

Skills 與套件可獲得管理員指派的徽章：highlighted、official、deprecated、redactionApproved（僅限 Skills）。社群檢舉（skillReports）與稽核記錄（auditLogs）支援管理工作流程。

---

​

5. 風險矩陣

​

5.1 可能性與影響

威脅 ID	可能性	影響程度	風險等級	優先級
T-EXEC-001	高	嚴重	嚴重	P0
T-PERSIST-001	高	嚴重	嚴重	P0
T-EXFIL-003	中	嚴重	嚴重	P0
T-IMPACT-001	中	嚴重	高	P1
T-EXEC-002	高	高	高	P1
T-EXEC-004	中	高	高	P1
T-ACCESS-003	中	高	高	P1
T-EXFIL-001	中	高	高	P1
T-IMPACT-002	高	中	高	P1
T-EVADE-001	高	中	中	P2
T-ACCESS-001	低	高	中	P2
T-ACCESS-002	低	高	中	P2
T-PERSIST-002	低	高	中	P2

​

5.2 關鍵路徑攻擊鏈

攻擊鏈 1：透過 Skill 竊取資料

T-PERSIST-001 → T-EVADE-001 → T-EXFIL-003
（發布惡意 Skill）→（規避管理審查）→（竊取認證資訊）

攻擊鏈 2：從提示詞注入到遠端程式碼執行

T-EXEC-001 → T-EXEC-004 → T-IMPACT-001
（注入提示詞）→（繞過執行核准）→（執行命令）

攻擊鏈 3：透過擷取內容進行間接注入

T-EXEC-002 → T-EXFIL-001 → 外部資料外洩
（汙染 URL 內容）→（代理程式擷取並遵循指示）→（將資料傳送給攻擊者）

---

​

6. 建議摘要

​

6.1 立即執行（P0）

ID	建議	處理的威脅
R-002	實作 Skill 執行沙箱	T-PERSIST-001, T-EXFIL-003
R-003	為敏感動作新增輸出驗證	T-EXEC-001, T-EXEC-002

​

6.2 短期（P1）

ID	建議	處理的威脅
R-004	實作個別傳送者的速率限制	T-IMPACT-002
R-005	新增靜態 Token 加密	T-ACCESS-003
R-006	改善執行核准使用者體驗，並持續擴充命令正規化	T-EXEC-004
R-007	為 web_fetch 實作 URL 允許清單	T-EXFIL-001

​

6.3 中期（P2）

ID	建議	處理的威脅
R-008	在可行處新增加密通道驗證	T-ACCESS-002
R-009	實作設定完整性驗證	T-PERSIST-003
R-010	新增更新簽章與版本固定	T-PERSIST-002

---

​

7. 附錄

​

7.1 ATLAS 技術對應

ATLAS ID	技術名稱	OpenClaw 威脅
AML.T0006	主動掃描	T-RECON-001, T-RECON-002
AML.T0009	蒐集	T-EXFIL-001, T-EXFIL-002, T-EXFIL-003
AML.T0010.001	供應鏈：AI 軟體	T-PERSIST-001, T-PERSIST-002
AML.T0010.002	供應鏈：資料	T-PERSIST-003
AML.T0031	侵蝕 AI 模型完整性	T-IMPACT-001, T-IMPACT-002, T-IMPACT-003
AML.T0040	AI 模型推論 API 存取	T-ACCESS-001, T-ACCESS-002, T-ACCESS-003, T-DISC-001, T-DISC-002
AML.T0043	製作對抗性資料	T-EXEC-004, T-EVADE-001, T-EVADE-002
AML.T0051.000	LLM 提示詞注入：直接	T-EXEC-001, T-EXEC-003
AML.T0051.001	LLM 提示詞注入：間接	T-EXEC-002

​

7.2 關鍵安全檔案

路徑	用途	風險等級
src/infra/exec-approvals.ts	命令核准邏輯	嚴重
src/gateway/auth.ts	閘道驗證	嚴重
src/infra/net/ssrf.ts	SSRF 防護	嚴重
src/security/external-content.ts	提示詞注入緩解措施	嚴重
src/agents/sandbox/tool-policy.ts	沙箱工具允許／拒絕政策	嚴重
src/routing/resolve-route.ts	工作階段隔離／路由	中

​

7.3 詞彙表

詞彙	定義
ATLAS	MITRE 的 AI 系統對抗性威脅環境
ClawHub	OpenClaw 的 Skill 市集
閘道	OpenClaw 的訊息路由與驗證層
MCP	模型情境協定－工具提供者介面
提示詞注入	將惡意指示嵌入輸入內容的攻擊
Skill	可供 OpenClaw 代理程式下載的擴充套件
SSRF	伺服器端請求偽造

---

此威脅模型是一份持續更新的文件。請將安全問題回報至 [e-mail]，或參閱信任頁面。

​

相關內容

• 參與威脅模型貢獻
• 事件回應
• 網路代理伺服器
• 形式驗證