Security

Внесок у модель загроз

Модель загроз — це документ, який постійно оновлюється. Внески вітаються від усіх; досвід у сфері безпеки або знання MITRE ATLAS не потрібні.

Способи зробити внесок

Додайте загрозу. Створіть обговорення проблеми в openclaw/trust, описавши сценарій атаки власними словами. Корисно, але не обов’язково, зазначити:

Сценарій атаки та спосіб його використання.
Компоненти, яких це стосується (CLI, Gateway, канали, ClawHub, сервери MCP тощо).
Вашу оцінку серйозності (низька / середня / висока / критична).
Посилання на пов’язані дослідження, CVE або реальні приклади.

Під час перевірки супровідники визначають відповідність ATLAS, ідентифікатор загрози та рівень ризику.

Запропонуйте спосіб послаблення загрози. Створіть обговорення проблеми або PR із посиланням на загрозу. Пропозиція має бути конкретною та практичною: «обмеження частоти до 10 повідомлень на хвилину для кожного відправника на Gateway» корисніше, ніж «реалізувати обмеження частоти».

Запропонуйте ланцюжок атак. Ланцюжки атак показують, як кілька загроз поєднуються в реалістичний сценарій. Опишіть кроки та спосіб їх поєднання зловмисником; короткий виклад кращий за формальний шаблон.

Виправте або вдоскональте наявний вміст. Друкарські помилки, уточнення, застаріла інформація, кращі приклади: PR вітаються, створювати обговорення проблеми не потрібно.

Довідка щодо фреймворку

Загрози зіставляються з MITRE ATLAS (ландшафт зловмисних загроз для систем ШІ) — фреймворком для загроз, специфічних для ШІ/МН, як-от ін’єкція підказок, неналежне використання інструментів та експлуатація агентів. Для внеску знати ATLAS не потрібно; супровідники зіставляють подані матеріали під час перевірки.

Ідентифікатори загроз. Кожна загроза отримує ідентифікатор на кшталт T-EXEC-003, який супровідники призначають під час перевірки.

Код	Категорія
RECON	Розвідка — збирання інформації
ACCESS	Початковий доступ — отримання доступу
EXEC	Виконання — запуск зловмисних дій
PERSIST	Закріплення — збереження доступу
EVADE	Обхід захисту — уникнення виявлення
DISC	Виявлення — отримання відомостей про середовище
EXFIL	Ексфільтрація — викрадення даних
IMPACT	Вплив — завдання шкоди або порушення роботи

Рівні ризику. Якщо ви не впевнені щодо рівня, просто опишіть вплив; супровідники самі його оцінять.

Рівень	Значення
Критичний	Повна компрометація системи або висока ймовірність + критичний вплив
Високий	Значна шкода ймовірна або середня ймовірність + критичний вплив
Середній	Помірний ризик або низька ймовірність + високий вплив
Низький	Низька ймовірність і обмежений вплив

Процес перевірки

Сортування — нові матеріали перевіряють протягом 48 годин.
Оцінювання — супровідники перевіряють здійсненність, визначають відповідність ATLAS та ідентифікатор загрози, а також підтверджують рівень ризику.
Документування — перевірка форматування та повноти.
Злиття — додавання до моделі загроз і візуалізації.

Ресурси

Контакти

Вразливості безпеки: сторінка довіри з інструкціями щодо повідомлення або security@openclaw.ai.
Запитання щодо моделі загроз: створіть обговорення проблеми в openclaw/trust.
Загальний чат: канал #security у Discord.

Визнання

Авторів внесків до моделі загроз згадують у подяках моделі загроз, примітках до випуску, а за значні внески — у залі слави безпеки OpenClaw.

Пов’язані матеріали

Was this useful?