> ## Documentation Index > Fetch the complete documentation index at: https://docs2.openclaw.ai/llms.txt > Use this file to discover all available pages before exploring further. # 威脅模型（MITRE ATLAS） **版本：** 1.0-draft | **框架：** [MITRE ATLAS](https://atlas.mitre.org/)（AI 系統對抗性威脅情勢）+ 資料流程圖 此威脅模型記錄針對 OpenClaw AI 代理程式平台與 ClawHub 技能市集的對抗性威脅。這是一份由 OpenClaw 社群維護、持續更新的文件。如需回報新威脅、提出攻擊鏈或建議緩解措施，請參閱[參與威脅模型貢獻](/zh-TW/security/CONTRIBUTING-THREAT-MODEL)。 **主要 ATLAS 資源：** [技術](https://atlas.mitre.org/techniques/) | [戰術](https://atlas.mitre.org/tactics/) | [案例研究](https://atlas.mitre.org/studies/) | [ATLAS GitHub](https://github.com/mitre-atlas/atlas-data) | [參與 ATLAS 貢獻](https://atlas.mitre.org/resources/contribute) *** ## 1. 範圍 | 元件 | 納入範圍 | 備註 | | ----------------- | ---- | ---------------------------------------- | | OpenClaw 代理程式執行階段 | 是 | 核心代理程式執行、工具呼叫、工作階段 | | 閘道 | 是 | 驗證、路由、頻道整合 | | 頻道整合 | 是 | WhatsApp、Telegram、Discord、Signal、Slack 等 | | ClawHub 市集 | 是 | 技能發布、審核、散布 | | MCP 伺服器 | 是 | 外部工具提供者 | | 使用者裝置 | 部分 | 行動應用程式、桌面用戶端 | 不在範圍內的回報與誤判模式（公開網際網路曝露、未繞過邊界且僅涉及提示注入的攻擊鏈、彼此不信任的操作者共用同一部閘道主機，以及其他情況）列於 [`SECURITY.md`](https://github.com/openclaw/openclaw/blob/main/SECURITY.md)；該檔案才是目前漏洞回報範圍的權威來源，而非本頁。 ## 2. 系統架構 ### 2.1 信任邊界 ```text theme={"theme":{"light":"min-light","dark":"min-dark"}} ┌─────────────────────────────────────────────────────────────────┐ │ 不受信任區域 │ │ ┌─────────────┐ ┌─────────────┐ ┌─────────────┐ │ │ │ WhatsApp │ │ Telegram │ │ Discord │ ... │ │ └──────┬──────┘ └──────┬──────┘ └──────┬──────┘ │ │ │ │ │ │ └─────────┼────────────────┼────────────────┼──────────────────────┘ │ │ │ ▼ ▼ ▼ ┌─────────────────────────────────────────────────────────────────┐ │ 信任邊界 1：頻道存取 │ │ ┌──────────────────────────────────────────────────────────┐ │ │ │ 閘道 │ │ │ │ • 裝置配對（1h 私訊配對 / 5m 節點配對 TTL） │ │ │ │ • AllowFrom / 允許清單驗證 │ │ │ │ • 權杖 / 密碼 / Tailscale 驗證 │ │ │ └──────────────────────────────────────────────────────────┘ │ └─────────────────────────────────────────────────────────────────┘ │ ▼ ┌─────────────────────────────────────────────────────────────────┐ │ 信任邊界 2：工作階段隔離 │ │ ┌──────────────────────────────────────────────────────────┐ │ │ │ 代理程式工作階段 │ │ │ │ • 工作階段金鑰 = agent:channel:peer │ │ │ │ • 各代理程式的工具原則 │ │ │ │ • 對話記錄 │ │ │ └──────────────────────────────────────────────────────────┘ │ └─────────────────────────────────────────────────────────────────┘ │ ▼ ┌─────────────────────────────────────────────────────────────────┐ │ 信任邊界 3：工具執行 │ │ ┌──────────────────────────────────────────────────────────┐ │ │ │ 執行沙箱 │ │ │ │ • Docker 沙箱（預設）或主機（exec 核准） │ │ │ │ • 節點遠端執行 │ │ │ │ • SSRF 防護（DNS 綁定 + IP 封鎖） │ │ │ └──────────────────────────────────────────────────────────┘ │ └─────────────────────────────────────────────────────────────────┘ │ ▼ ┌─────────────────────────────────────────────────────────────────┐ │ 信任邊界 4：外部內容 │ │ ┌──────────────────────────────────────────────────────────┐ │ │ │ 擷取的 URL / 電子郵件 / 網路鉤子 │ │ │ │ • 外部內容包裝（隨機邊界 XML 標籤） │ │ │ │ • 安全性通知注入 │ │ │ └──────────────────────────────────────────────────────────┘ │ └─────────────────────────────────────────────────────────────────┘ │ ▼ ┌─────────────────────────────────────────────────────────────────┐ │ 信任邊界 5：供應鏈 │ │ ┌──────────────────────────────────────────────────────────┐ │ │ │ CLAWHUB │ │ │ │ • 技能發布（semver，必須提供 SKILL.md） │ │ │ │ • 靜態模式 + AST 相鄰審核掃描 │ │ │ │ • 基於 LLM 的代理式風險審查 + VirusTotal 掃描 │ │ │ │ • GitHub 帳號年齡驗證（14 天） │ │ │ └──────────────────────────────────────────────────────────┘ │ └─────────────────────────────────────────────────────────────────┘ ``` ### 2.2 資料流程 | 流程 | 來源 | 目的地 | 資料 | 防護措施 | | -- | ------- | ---- | -------------- | ------------- | | F1 | 頻道 | 閘道 | 使用者訊息 | TLS、AllowFrom | | F2 | 閘道 | 代理程式 | 已路由的訊息 | 工作階段隔離 | | F3 | 代理程式 | 工具 | 工具叫用 | 原則強制執行 | | F4 | 代理程式 | 外部 | `web_fetch` 請求 | SSRF 封鎖 | | F5 | ClawHub | 代理程式 | 技能程式碼 | 審核、掃描 | | F6 | 代理程式 | 頻道 | 回應 | 輸出篩選 | *** ## 3. 依 ATLAS 戰術分類的威脅分析 ### 3.1 偵察（AML.TA0002） #### T-RECON-001：探索代理程式端點 | 屬性 | 值 | | ------------ | ------------------------ | | **ATLAS ID** | AML.T0006 - 主動掃描 | | **描述** | 攻擊者掃描曝露的 OpenClaw 閘道端點 | | **攻擊媒介** | 網路掃描、Shodan 查詢、DNS 列舉 | | **受影響的元件** | 閘道、曝露的 API 端點 | | **目前的緩解措施** | Tailscale 驗證選項、預設繫結至回送介面 | | **殘餘風險** | 中等 - 公開閘道可被探索 | | **建議** | 記錄安全部署方式、在探索端點加入速率限制 | #### T-RECON-002：探測頻道整合 | 屬性 | 值 | | ------------ | ----------------------- | | **ATLAS ID** | AML.T0006 - 主動掃描 | | **描述** | 攻擊者探測訊息頻道，以識別由 AI 管理的帳號 | | **攻擊媒介** | 傳送測試訊息、觀察回應模式 | | **受影響的元件** | 所有頻道整合 | | **目前的緩解措施** | 無特定措施 | | **殘餘風險** | 低 - 僅探索本身的價值有限 | | **建議** | 考慮將回應時間隨機化 | *** ### 3.2 初始存取（AML.TA0004） #### T-ACCESS-001：攔截配對碼 | 屬性 | 值 | | ------------ | ------------------------------------------- | | **ATLAS ID** | AML.T0040 - AI 模型推論 API 存取 | | **描述** | 攻擊者在配對時限內攔截配對碼（私訊／一般配對為 1 小時，節點配對為 5 分鐘） | | **攻擊向量** | 窺視、網路封包嗅探、社交工程 | | **受影響元件** | 裝置配對系統 | | **目前的緩解措施** | 1 小時 TTL（私訊／一般配對）、5 分鐘 TTL（節點配對）；代碼透過現有頻道傳送 | | **殘餘風險** | 中等 - 配對時限可遭利用 | | **建議** | 縮短配對時限、新增確認步驟 | #### T-ACCESS-002：AllowFrom 偽造 | 屬性 | 值 | | ------------ | -------------------------- | | **ATLAS ID** | AML.T0040 - AI 模型推論 API 存取 | | **描述** | 攻擊者在頻道上偽造獲允許的傳送者身分 | | **攻擊向量** | 視頻道而定 - 電話號碼偽造、使用者名稱冒用 | | **受影響元件** | 各頻道的 AllowFrom 驗證 | | **目前的緩解措施** | 頻道專屬的身分驗證 | | **殘餘風險** | 中等 - 部分頻道仍易受偽造攻擊 | | **建議** | 記錄各頻道的特定風險，並在可行情況下新增密碼學驗證 | #### T-ACCESS-003：權杖竊取 | 屬性 | 值 | | ------------ | -------------------------- | | **ATLAS ID** | AML.T0040 - AI 模型推論 API 存取 | | **描述** | 攻擊者從設定／認證資訊檔案中竊取驗證權杖 | | **攻擊向量** | 惡意軟體、未經授權的裝置存取、設定備份外洩 | | **受影響元件** | 頻道／供應商認證資訊儲存、設定儲存 | | **目前的緩解措施** | 檔案權限 | | **殘餘風險** | 高 - 權杖以明文儲存在磁碟上 | | **建議** | 實作靜態權杖加密、新增權杖輪替 | *** ### 3.3 執行（AML.TA0005） #### T-EXEC-001：直接提示詞注入 | 屬性 | 值 | | ------------ | -------------------------------------------------- | | **ATLAS ID** | AML.T0051.000 - LLM 提示詞注入：直接 | | **描述** | 攻擊者傳送精心設計的提示詞來操控代理程式行為 | | **攻擊向量** | 包含對抗性指令的頻道訊息 | | **受影響元件** | 代理程式 LLM、所有輸入介面 | | **目前的緩解措施** | 模式偵測、外部內容包裝；若未繞過邊界，則視為不在弱點報告範圍內（請參閱 `SECURITY.md`） | | **殘餘風險** | 嚴重 - 僅偵測而不封鎖；複雜的攻擊可繞過 | | **建議** | 在現有偵測機制之上，針對敏感操作新增輸出驗證與使用者確認 | #### T-EXEC-002：間接提示詞注入 | 屬性 | 值 | | ------------ | ------------------------------------------ | | **ATLAS ID** | AML.T0051.001 - LLM 提示詞注入：間接 | | **描述** | 攻擊者在擷取的內容中嵌入惡意指令 | | **攻擊向量** | 惡意 URL、遭汙染的電子郵件、遭入侵的網路鉤子 | | **受影響元件** | `web_fetch`、電子郵件擷取、外部資料來源 | | **目前的緩解措施** | 使用隨機邊界的 XML 樣式標記包裝內容、同形異義字／特殊權杖正規化，以及安全性通知 | | **殘餘風險** | 高 - LLM 仍可能忽略包裝器指令 | | **建議** | 為包裝內容使用獨立的執行內容環境 | #### T-EXEC-003：工具引數注入 | 屬性 | 值 | | ------------ | ---------------------------- | | **ATLAS ID** | AML.T0051.000 - LLM 提示詞注入：直接 | | **描述** | 攻擊者透過提示詞注入操控工具引數 | | **攻擊向量** | 影響工具參數值的精心設計提示詞 | | **受影響元件** | 所有工具呼叫 | | **目前的緩解措施** | 危險命令需經執行核准 | | **殘餘風險** | 高 - 仰賴使用者判斷 | | **建議** | 引數驗證、參數化工具呼叫 | #### T-EXEC-004：繞過執行核准 | 屬性 | 值 | | ------------ | ----------------------------------------------------------------------- | | **ATLAS ID** | AML.T0043 - 製作對抗性資料 | | **描述** | 攻擊者製作可繞過核准允許清單的命令 | | **攻擊向量** | 命令混淆、別名利用、路徑操控 | | **受影響元件** | `src/infra/exec-approvals*.ts`、命令允許清單 | | **目前的緩解措施** | 允許清單 + 詢問模式，以及命令正規化（解開分派包裝器、偵測內嵌求值、分析 shell 鏈） | | **殘餘風險** | 高 - 正規化可縮小但無法消除混淆繞過的可能性；僅涉及執行路徑之間一致性的發現會被視為強化項目，而非弱點（請參閱 `SECURITY.md`） | | **建議** | 持續擴充命令正規化對新型混淆技術的涵蓋範圍 | *** ### 3.4 持久化（AML.TA0006） #### T-PERSIST-001：安裝惡意 Skill | 屬性 | 值 | | ------------ | --------------------------------------------------------- | | **ATLAS ID** | AML.T0010.001 - 供應鏈入侵：AI 軟體 | | **描述** | 攻擊者將惡意 Skill 發布至 ClawHub | | **攻擊向量** | 建立帳號、發布含有隱藏惡意程式碼的 Skill | | **受影響元件** | ClawHub、Skill 載入、代理程式執行 | | **目前的緩解措施** | GitHub 帳號年齡驗證、靜態模式／AST 相鄰掃描、基於 LLM 的代理式風險審查、VirusTotal 掃描 | | **殘餘風險** | 高 - 雖有多層偵測，但 Skill 仍以代理程式權限執行，且沒有執行沙箱 | | **建議** | Skill 執行沙箱、擴大社群審查 | #### T-PERSIST-002：Skill 更新汙染 | 屬性 | 值 | | ------------ | --------------------------- | | **ATLAS ID** | AML.T0010.001 - 供應鏈入侵：AI 軟體 | | **描述** | 攻擊者入侵熱門 Skill 並推送惡意更新 | | **攻擊向量** | 帳號入侵、對 Skill 擁有者進行社交工程 | | **受影響元件** | ClawHub 版本控制、自動更新流程 | | **目前的緩解措施** | 版本指紋辨識、新版本重新執行審核／掃描 | | **殘餘風險** | 高 - 自動更新可能在審查完成前拉取惡意版本 | | **建議** | 更新簽署、復原能力、版本固定 | #### T-PERSIST-003：代理程式設定竄改 | 屬性 | 值 | | ------------ | ------------------------ | | **ATLAS ID** | AML.T0010.002 - 供應鏈入侵：資料 | | **說明** | 攻擊者修改代理程式設定以維持存取權限 | | **攻擊向量** | 修改設定檔、注入設定 | | **受影響的元件** | 代理程式設定、工具政策 | | **目前的緩解措施** | 檔案權限 | | **殘餘風險** | 中等 - 需要本機存取權限 | | **建議** | 驗證設定完整性、對設定變更進行稽核記錄 | *** ### 3.5 規避防禦（AML.TA0007） #### T-EVADE-001：繞過審核模式 | 屬性 | 值 | | ------------ | ------------------------------------------- | | **ATLAS ID** | AML.T0043 - 製作對抗性資料 | | **說明** | 攻擊者製作 Skills 內容以規避 ClawHub 審核檢查 | | **攻擊向量** | Unicode 同形異義字、編碼技巧、動態載入 | | **受影響的元件** | ClawHub 審核／掃描流水線 | | **目前的緩解措施** | 靜態模式規則、鄰近 AST 的程式碼掃描、LLM 代理式風險審查、VirusTotal | | **殘餘風險** | 中等 - 新型混淆手法仍可能避開分層啟發式偵測 | | **建議** | 隨著發現新的規避手法，持續擴充模式／行為語料庫 | #### T-EVADE-002：內容包裝器逸出 | 屬性 | 值 | | ------------ | ---------------------------------------- | | **ATLAS ID** | AML.T0043 - 製作對抗性資料 | | **說明** | 攻擊者製作可逸出外部內容包裝器情境的內容 | | **攻擊向量** | 標籤操控、情境混淆、指令覆寫 | | **受影響的元件** | 外部內容包裝 | | **目前的緩解措施** | 隨機邊界的 XML 樣式標記與安全性通知，另加同形異義字／空白變體的標記偽造偵測 | | **殘餘風險** | 中等 - 經常發現新的逸出手法 | | **建議** | 除輸入端包裝外，另進行輸出端驗證 | *** ### 3.6 探索（AML.TA0008） #### T-DISC-001：工具列舉 | 屬性 | 值 | | ------------ | -------------------------- | | **ATLAS ID** | AML.T0040 - AI 模型推論 API 存取 | | **說明** | 攻擊者透過提示列舉可用工具 | | **攻擊向量** | 「你有哪些工具？」類型的查詢 | | **受影響的元件** | 代理程式工具登錄檔 | | **目前的緩解措施** | 無特定措施 | | **殘餘風險** | 低 - 工具通常已有文件記載 | | **建議** | 考慮採用工具可見性控制 | #### T-DISC-002：工作階段資料擷取 | 屬性 | 值 | | ------------ | ---------------------------------- | | **ATLAS ID** | AML.T0040 - AI 模型推論 API 存取 | | **說明** | 攻擊者從工作階段情境中擷取敏感資料 | | **攻擊向量** | 「我們討論了什麼？」查詢、情境探測 | | **受影響的元件** | 工作階段逐字稿、情境視窗 | | **目前的緩解措施** | 依傳送者隔離工作階段（`agent:channel:peer` 鍵） | | **殘餘風險** | 中等 - 工作階段內的資料依設計可供存取 | | **建議** | 遮蔽情境中的敏感資料 | *** ### 3.7 收集與外洩（AML.TA0009、AML.TA0010） #### T-EXFIL-001：透過 web\_fetch 竊取資料 | 屬性 | 值 | | ------------ | -------------------------------- | | **ATLAS ID** | AML.T0009 - 收集 | | **說明** | 攻擊者指示代理程式將資料傳送至外部 URL 以外洩資料 | | **攻擊向量** | 提示注入導致代理程式將資料以 POST 傳送至攻擊者的伺服器 | | **受影響的元件** | `web_fetch` 工具 | | **目前的緩解措施** | 封鎖對內部／私人網路的 SSRF（DNS 固定 + IP 封鎖） | | **殘餘風險** | 高 - 仍允許任意外部 URL | | **建議** | URL 允許清單、資料分類感知 | #### T-EXFIL-002：未經授權傳送訊息 | 屬性 | 值 | | ------------ | ------------------- | | **ATLAS ID** | AML.T0009 - 收集 | | **說明** | 攻擊者使代理程式傳送包含敏感資料的訊息 | | **攻擊向量** | 提示注入導致代理程式向攻擊者傳送訊息 | | **受影響的元件** | 訊息工具、頻道整合 | | **目前的緩解措施** | 對外訊息傳送閘控 | | **殘餘風險** | 中等 - 閘控可能遭到繞過 | | **建議** | 對新收件者要求明確確認 | #### T-EXFIL-003：蒐集認證資訊 | 屬性 | 值 | | ------------ | ------------------------------------------------------------- | | **ATLAS ID** | AML.T0009 - 收集 | | **說明** | 惡意 Skills 從代理程式情境中蒐集認證資訊 | | **攻擊向量** | Skills 程式碼讀取環境變數、設定檔 | | **受影響的元件** | Skills 執行環境 | | **目前的緩解措施** | ClawHub 認證資訊模式掃描（硬編碼的祕密、搭配網路傳送的認證資訊環境變數存取）；Skills 在執行階段沒有執行沙箱 | | **殘餘風險** | 嚴重 - Skills 以代理程式權限執行 | | **建議** | Skills 執行沙箱、認證資訊隔離 | *** ### 3.8 影響（AML.TA0011） #### T-IMPACT-001：未經授權執行命令 | 屬性 | 值 | | ------------ | ------------------------------------- | | **ATLAS ID** | AML.T0031 - 破壞 AI 模型完整性 | | **說明** | 攻擊者在使用者系統上執行任意命令 | | **攻擊向量** | 提示注入結合繞過執行核准 | | **受影響的元件** | Bash 工具、命令執行 | | **目前的緩解措施** | 執行核准、Docker 沙箱選項（預設執行階段後端） | | **殘餘風險** | 嚴重 - 停用沙箱時可能在主機上執行 | | **建議** | 改善核准使用者體驗；關閉沙箱的部署仍是操作人員的刻意選擇，並依此記載於文件 | #### T-IMPACT-002：資源耗盡（DoS） | 屬性 | 值 | | ------------ | ----------------------- | | **ATLAS ID** | AML.T0031 - 破壞 AI 模型完整性 | | **說明** | 攻擊者耗盡 API 額度或運算資源 | | **攻擊向量** | 自動化訊息洪泛、高成本工具呼叫 | | **受影響的元件** | 閘道、代理程式工作階段、API 提供者 | | **目前的緩解措施** | 無 | | **殘餘風險** | 高 - 沒有依傳送者限制速率 | | **建議** | 依傳送者設定速率限制、成本預算 | #### T-IMPACT-003：聲譽損害 | 屬性 | 值 | | ------------ | ----------------------- | | **ATLAS ID** | AML.T0031 - 破壞 AI 模型完整性 | | **說明** | 攻擊者使代理程式傳送有害／冒犯性內容 | | **攻擊向量** | 提示注入導致不當回應 | | **受影響的元件** | 輸出生成、頻道訊息傳送 | | **目前的緩解措施** | LLM 提供者內容政策 | | **殘餘風險** | 中等 - 提供者篩選機制並不完善 | | **建議** | 輸出篩選層、使用者控制項 | *** ## 4. ClawHub 供應鏈分析 ### 4.1 目前的安全性控制措施 | 控制措施 | 實作方式 | 有效性 | | --------------- | ------------------------------------------- | ------------------------ | | GitHub 帳號年齡 | `requireGitHubAccountAge()`（至少 14 天） | 中等－提高新攻擊者的門檻 | | 路徑清理 | `sanitizePath()` | 高－防止路徑遍歷 | | 檔案類型驗證 | `isTextFile()` | 中等－僅掃描文字檔，但仍可能遭到利用 | | 大小限制 | 套件組合總計 50MB（`MAX_PUBLISH_TOTAL_BYTES`） | 高－防止資源耗盡 | | 必須提供 SKILL.md | 發布時必須提供讀我檔案 | 安全價值低－僅供參考 | | 靜態與 AST 相鄰掃描 | 模式引擎涵蓋執行、資料外洩、竊取認證資訊、混淆等行為 | 中高－涵蓋許多已知濫用模式，但仍以模式比對為基礎 | | 基於 LLM 的代理式風險審查 | 發布時依安全提示詞做出判定 | 中高－可發現靜態模式未能識別的行為 | | VirusTotal 掃描 | 整合至 Skill 與套件版本的發布／重新掃描流程，並以操作者 API 金鑰為啟用條件 | 啟用時為高－靜態引擎偵測 | | 管理狀態 | `moderationStatus` 欄位 | 中等－可進行人工審查 | ### 4.2 管理限制 ClawHub 的靜態掃描會直接檢查 Skill 程式碼內容（不僅是 slug／中繼資料／frontmatter），涵蓋危險的執行呼叫、動態程式碼執行、竊取認證資訊、資料外洩模式、混淆的酬載等。已知缺口： * 以模式為基礎的偵測仍可能遭到足夠新穎的混淆技術規避。 * 基於 LLM 的審查與 VirusTotal 掃描，取決於是否已啟用操作者端的 API 金鑰／設定。 * Skill 安裝後，沒有執行階段沙箱能將其與代理程式本身的權限隔離。 ### 4.3 徽章 Skills 與套件可獲得管理員指派的徽章：`highlighted`、`official`、`deprecated`、`redactionApproved`（僅限 Skills）。社群檢舉（`skillReports`）與稽核記錄（`auditLogs`）支援管理工作流程。 *** ## 5. 風險矩陣 ### 5.1 可能性與影響 | 威脅 ID | 可能性 | 影響程度 | 風險等級 | 優先級 | | ------------- | --- | ---- | ------ | --- | | T-EXEC-001 | 高 | 嚴重 | **嚴重** | P0 | | T-PERSIST-001 | 高 | 嚴重 | **嚴重** | P0 | | T-EXFIL-003 | 中 | 嚴重 | **嚴重** | P0 | | T-IMPACT-001 | 中 | 嚴重 | **高** | P1 | | T-EXEC-002 | 高 | 高 | **高** | P1 | | T-EXEC-004 | 中 | 高 | **高** | P1 | | T-ACCESS-003 | 中 | 高 | **高** | P1 | | T-EXFIL-001 | 中 | 高 | **高** | P1 | | T-IMPACT-002 | 高 | 中 | **高** | P1 | | T-EVADE-001 | 高 | 中 | **中** | P2 | | T-ACCESS-001 | 低 | 高 | **中** | P2 | | T-ACCESS-002 | 低 | 高 | **中** | P2 | | T-PERSIST-002 | 低 | 高 | **中** | P2 | ### 5.2 關鍵路徑攻擊鏈 **攻擊鏈 1：透過 Skill 竊取資料** ```text theme={"theme":{"light":"min-light","dark":"min-dark"}} T-PERSIST-001 → T-EVADE-001 → T-EXFIL-003 （發布惡意 Skill）→（規避管理審查）→（竊取認證資訊） ``` **攻擊鏈 2：從提示詞注入到遠端程式碼執行** ```text theme={"theme":{"light":"min-light","dark":"min-dark"}} T-EXEC-001 → T-EXEC-004 → T-IMPACT-001 （注入提示詞）→（繞過執行核准）→（執行命令） ``` **攻擊鏈 3：透過擷取內容進行間接注入** ```text theme={"theme":{"light":"min-light","dark":"min-dark"}} T-EXEC-002 → T-EXFIL-001 → 外部資料外洩 （汙染 URL 內容）→（代理程式擷取並遵循指示）→（將資料傳送給攻擊者） ``` *** ## 6. 建議摘要 ### 6.1 立即執行（P0） | ID | 建議 | 處理的威脅 | | ----- | ------------- | -------------------------- | | R-002 | 實作 Skill 執行沙箱 | T-PERSIST-001, T-EXFIL-003 | | R-003 | 為敏感動作新增輸出驗證 | T-EXEC-001, T-EXEC-002 | ### 6.2 短期（P1） | ID | 建議 | 處理的威脅 | | ----- | ------------------------- | ------------ | | R-004 | 實作個別傳送者的速率限制 | T-IMPACT-002 | | R-005 | 新增靜態 Token 加密 | T-ACCESS-003 | | R-006 | 改善執行核准使用者體驗，並持續擴充命令正規化 | T-EXEC-004 | | R-007 | 為 `web_fetch` 實作 URL 允許清單 | T-EXFIL-001 | ### 6.3 中期（P2） | ID | 建議 | 處理的威脅 | | ----- | ------------ | ------------- | | R-008 | 在可行處新增加密通道驗證 | T-ACCESS-002 | | R-009 | 實作設定完整性驗證 | T-PERSIST-003 | | R-010 | 新增更新簽章與版本固定 | T-PERSIST-002 | *** ## 7. 附錄 ### 7.1 ATLAS 技術對應 | ATLAS ID | 技術名稱 | OpenClaw 威脅 | | ------------- | -------------- | ---------------------------------------------------------------- | | AML.T0006 | 主動掃描 | T-RECON-001, T-RECON-002 | | AML.T0009 | 蒐集 | T-EXFIL-001, T-EXFIL-002, T-EXFIL-003 | | AML.T0010.001 | 供應鏈：AI 軟體 | T-PERSIST-001, T-PERSIST-002 | | AML.T0010.002 | 供應鏈：資料 | T-PERSIST-003 | | AML.T0031 | 侵蝕 AI 模型完整性 | T-IMPACT-001, T-IMPACT-002, T-IMPACT-003 | | AML.T0040 | AI 模型推論 API 存取 | T-ACCESS-001, T-ACCESS-002, T-ACCESS-003, T-DISC-001, T-DISC-002 | | AML.T0043 | 製作對抗性資料 | T-EXEC-004, T-EVADE-001, T-EVADE-002 | | AML.T0051.000 | LLM 提示詞注入：直接 | T-EXEC-001, T-EXEC-003 | | AML.T0051.001 | LLM 提示詞注入：間接 | T-EXEC-002 | ### 7.2 關鍵安全檔案 | 路徑 | 用途 | 風險等級 | | ----------------------------------- | ----------- | ------ | | `src/infra/exec-approvals.ts` | 命令核准邏輯 | **嚴重** | | `src/gateway/auth.ts` | 閘道驗證 | **嚴重** | | `src/infra/net/ssrf.ts` | SSRF 防護 | **嚴重** | | `src/security/external-content.ts` | 提示詞注入緩解措施 | **嚴重** | | `src/agents/sandbox/tool-policy.ts` | 沙箱工具允許／拒絕政策 | **嚴重** | | `src/routing/resolve-route.ts` | 工作階段隔離／路由 | **中** | ### 7.3 詞彙表 | 詞彙 | 定義 | | ----------- | ----------------------- | | **ATLAS** | MITRE 的 AI 系統對抗性威脅環境 | | **ClawHub** | OpenClaw 的 Skill 市集 | | **閘道** | OpenClaw 的訊息路由與驗證層 | | **MCP** | 模型情境協定－工具提供者介面 | | **提示詞注入** | 將惡意指示嵌入輸入內容的攻擊 | | **Skill** | 可供 OpenClaw 代理程式下載的擴充套件 | | **SSRF** | 伺服器端請求偽造 | *** *此威脅模型是一份持續更新的文件。請將安全問題回報至 `security@openclaw.ai`，或參閱[信任頁面](https://trust.openclaw.ai)。* ## 相關內容 * [參與威脅模型貢獻](/zh-TW/security/CONTRIBUTING-THREAT-MODEL) * [事件回應](/zh-TW/security/incident-response) * [網路代理伺服器](/zh-TW/security/network-proxy) * [形式驗證](/zh-TW/security/formal-verification)