OpenClaw Threat Model v1.0
MITRE ATLAS 框架
版本： 1.0-draft 最後更新： 2026-02-04 方法論： MITRE ATLAS + 資料流圖 框架： MITRE ATLAS（敵對 AI 系統威脅景觀）框架歸屬
此威脅模型建置在 MITRE ATLAS，記錄 AI/ML 系統敵對威脅的業界標準框架。ATLAS 由 MITRE 與 AI 安全社群合作維護。 關鍵 ATLAS 資源：對此威脅模型的貢獻
這是由 OpenClaw 社群維護的活文件。參考 CONTRIBUTING-THREAT-MODEL.md，取得指導：- 報告新威脅
- 更新現有威脅
- 提議攻擊鏈
- 建議緩解措施
1. 介紹
1.1 目的
此威脅模型記錄對 OpenClaw AI agent 平台與 ClawHub 技能市場的敵對威脅，使用專為 AI/ML 系統設計的 MITRE ATLAS 框架。1.2 範疇
| 元件 | 包括 | 註記 |
|---|---|---|
| OpenClaw Agent Runtime | 是 | 核心 agent 執行、工具呼叫、工作階段 |
| Gateway | 是 | 認證、路由、channel 整合 |
| Channel 整合 | 是 | WhatsApp、Telegram、Discord、Signal、Slack 等 |
| ClawHub 市場 | 是 | 技能發佈、版主、分發 |
| MCP Servers | 是 | 外部工具提供者 |
| 使用者裝置 | 部分 | Mobile apps、desktop clients |
1.3 不在範疇內
此威脅模型沒有明確排除任何事項。2. 系統架構
2.1 信任邊界
┌─────────────────────────────────────────────────────────────────┐
│ 不受信任區域 │
│ ┌─────────────┐ ┌─────────────┐ ┌─────────────┐ │
│ │ WhatsApp │ │ Telegram │ │ Discord │ ... │
│ └──────┬──────┘ └──────┬──────┘ └──────┬──────┘ │
│ │ │ │ │
└─────────┼────────────────┼────────────────┼──────────────────────┘
│ │ │
▼ ▼ ▼
┌─────────────────────────────────────────────────────────────────┐
│ 信任邊界 1：Channel 存取 │
│ ┌──────────────────────────────────────────────────────────┐ │
│ │ GATEWAY │ │
│ │ • 裝置配對（30 秒寬限期） │ │
│ │ • AllowFrom / AllowList 驗證 │ │
│ │ • Token/Password/Tailscale auth │ │
│ └──────────────────────────────────────────────────────────┘ │
└─────────────────────────────────────────────────────────────────┘
│
▼
┌─────────────────────────────────────────────────────────────────┐
│ 信任邊界 2：工作階段隔離 │
│ ┌──────────────────────────────────────────────────────────┐ │
│ │ AGENT 工作階段 │ │
│ │ • 工作階段鍵 = agent:channel:peer │ │
│ │ • 每 agent 工具策略 │ │
│ │ • Transcript 記錄 │ │
│ └──────────────────────────────────────────────────────────┘ │
└─────────────────────────────────────────────────────────────────┘
│
▼
┌─────────────────────────────────────────────────────────────────┐
│ 信任邊界 3：工具執行 │
│ ┌──────────────────────────────────────────────────────────┐ │
│ │ 執行沙盒 │ │
│ │ • Docker 沙盒 OR Host（exec-approvals） │ │
│ │ • Node 遠端執行 │ │
│ │ • SSRF 保護（DNS pinning + IP 阻止） │ │
│ └──────────────────────────────────────────────────────────┘ │
└─────────────────────────────────────────────────────────────────┘
│
▼
┌─────────────────────────────────────────────────────────────────┐
│ 信任邊界 4：外部內容 │
│ ┌──────────────────────────────────────────────────────────┐ │
│ │ 已取得 URLs / EMAILS / WEBHOOKS │ │
│ │ • 外部內容包裝（XML 標籤） │ │
│ │ • 安全通知注入 │ │
│ └──────────────────────────────────────────────────────────┘ │
└─────────────────────────────────────────────────────────────────┘
│
▼
┌─────────────────────────────────────────────────────────────────┐
│ 信任邊界 5：供應鏈 │
│ ┌──────────────────────────────────────────────────────────┐ │
│ │ CLAWHUB │ │
│ │ • 技能發佈（semver、SKILL.md 必須） │ │
│ │ • 模式基版主標誌 │ │
│ │ • VirusTotal 掃描（即將推出） │ │
│ │ • GitHub 帳號年齡驗證 │ │
│ └──────────────────────────────────────────────────────────┘ │
└─────────────────────────────────────────────────────────────────┘
2.2 資料流
| 流 | 來源 | 目的地 | 資料 | 保護 |
|---|---|---|---|---|
| F1 | Channel | Gateway | 使用者訊息 | TLS、AllowFrom |
| F2 | Gateway | Agent | 路由訊息 | 工作階段隔離 |
| F3 | Agent | Tools | 工具叫用 | 策略強制 |
| F4 | Agent | 外部 | web_fetch 請求 | SSRF 阻止 |
| F5 | ClawHub | Agent | 技能代碼 | 版主、掃描 |
| F6 | Agent | Channel | 回覆 | 輸出過濾 |
3. ATLAS 戰術的威脅分析
3.1 偵察（AML.TA0002）
T-RECON-001：Agent 端點發現
| 屬性 | 值 |
|---|---|
| ATLAS ID | AML.T0006 - 主動掃描 |
| 說明 | 攻擊者掃描暴露的 OpenClaw gateway 端點 |
| 攻擊向量 | 網路掃描、shodan 查詢、DNS 列舉 |
| 受影響元件 | Gateway、暴露的 API 端點 |
| 目前緩解 | Tailscale auth 選項、預設綁定到 loopback |
| 剩餘風險 | 中等 - 公開 gateways 可發現 |
| 建議 | 記錄安全部署、加入發現端點上的速率限制 |
T-RECON-002：Channel 整合探測
| 屬性 | 值 |
|---|---|
| ATLAS ID | AML.T0006 - 主動掃描 |
| 說明 | 攻擊者探測傳訊 channels 以識別 AI 管理帳號 |
| 攻擊向量 | 傳送測試訊息、觀察回覆模式 |
| 受影響元件 | 所有 channel 整合 |
| 目前緩解 | 無特定 |
| 剩餘風險 | 低 - 發現單獨價值有限 |
| 建議 | 考慮回覆計時隨機化 |
3.2 初始存取（AML.TA0004）
T-ACCESS-001：配對代碼攔截
| 屬性 | 值 |
|---|---|
| ATLAS ID | AML.T0040 - AI 模型推理 API 存取 |
| 說明 | 攻擊者在 30 秒寬限期期間攔截配對代碼 |
| 攻擊向量 | 肩膀衝浪、網路嗅探、社會工程 |
| 受影響元件 | 裝置配對系統 |
| 目前緩解 | 30 秒過期、代碼透過現有 channel 傳送 |
| 剩餘風險 | 中等 - 寬限期可利用 |
| 建議 | 減少寬限期、加入確認步驟 |
T-ACCESS-002：AllowFrom 欺騙
| 屬性 | 值 |
|---|---|
| ATLAS ID | AML.T0040 - AI 模型推理 API 存取 |
| 說明 | 攻擊者在 channel 中欺騙允許的寄件者身分 |
| 攻擊向量 | 取決於 channel - 電話號碼欺騙、使用者名稱模仿 |
| 受影響元件 | 按 channel AllowFrom 驗證 |
| 目前緩解 | Channel 特定身分驗證 |
| 剩餘風險 | 中等 - 某些 channels 易受欺騙 |
| 建議 | 記錄 channel 特定風險、在可能的地方加入加密驗證 |