版本：1.0-draft | 更新：2026-02-04 | 框架：MITRE ATLAS
信任边界架构
UNTRUSTED ZONE（WhatsApp/Telegram/Discord...）
↓
Trust Boundary 1: Channel Access（Gateway 认证、AllowFrom、设备配对）
↓
Trust Boundary 2: Session Isolation（session key = agent:channel:peer）
↓
Trust Boundary 3: Tool Execution（Docker sandbox / exec-approvals / SSRF 保护）
↓
Trust Boundary 4: External Content（外部内容包装 XML 标签）
↓
Trust Boundary 5: Supply Chain（ClawHub 技能市场审核）
关键威胁汇总
P0 级（Critical）
| 威胁 ID | 描述 | 残余风险 |
|---|---|---|
| T-EXEC-001 | 直接提示注入 | Critical - 仅检测，无阻断 |
| T-PERSIST-001 | 恶意技能安装 | Critical - 无沙箱，审核有限 |
| T-EXFIL-003 | 技能凭证收割 | Critical - 技能以 Agent 权限运行 |
P1 级（High）
| 威胁 ID | 描述 | 残余风险 |
|---|---|---|
| T-EXEC-002 | 间接提示注入（通过抓取内容） | High |
| T-EXEC-004 | Exec 审批绕过 | High |
| T-ACCESS-003 | Token 窃取（明文存储） | High |
| T-EXFIL-001 | 通过 web_fetch 数据外泄 | High |
| T-IMPACT-002 | 资源耗尽（DoS） | High - 无限速 |
关键攻击链
攻击链 1：技能数据窃取
T-PERSIST-001 → T-EVADE-001 → T-EXFIL-003
（发布恶意技能）→（绕过审核）→（收割凭证）
攻击链 2：提示注入到 RCE
T-EXEC-001 → T-EXEC-004 → T-IMPACT-001
（注入提示）→（绕过 exec 审批）→（执行命令）
攻击链 3：间接注入外泄
T-EXEC-002 → T-EXFIL-001 → 外部外泄
（污染 URL 内容）→（Agent 抓取并执行指令）→（数据发送给攻击者）
ClawHub 供应链安全控制
| 控制措施 | 实现 | 有效性 |
|---|---|---|
| GitHub 账号年龄验证 | requireGitHubAccountAge() | 中 |
| 路径净化 | sanitizePath() | 高 |
| 文件类型验证 | isTextFile() | 中 |
| 大小限制 | 50MB 总包 | 高 |
| 模式审核 | FLAG_RULES | 低（易绕过） |
关键安全文件
| 路径 | 用途 | 风险级别 |
|---|---|---|
src/infra/exec-approvals.ts | 命令审批逻辑 | Critical |
src/gateway/auth.ts | Gateway 认证 | Critical |
src/infra/net/ssrf.ts | SSRF 保护 | Critical |
src/security/external-content.ts | 提示注入缓解 | Critical |
相关页面
- security-formal-verification — 形式化验证
- security-threat-model-contributing — 贡献指南