Skip to main content
Le modèle de menace est un document évolutif. Les contributions de tout le monde sont les bienvenues ; aucune expérience en sécurité ou avec MITRE ATLAS n’est nécessaire.
Cette procédure sert à enrichir le modèle de menace, et non à signaler des vulnérabilités actives. Si vous avez découvert une vulnérabilité exploitable, suivez plutôt les instructions de divulgation responsable figurant sur la page de confiance.

​
Façons de contribuer

Ajouter une menace. Ouvrez un ticket sur openclaw/trust et décrivez le scénario d’attaque avec vos propres mots. Les informations suivantes sont utiles, mais facultatives :
  • Le scénario d’attaque et la manière dont il pourrait être exploité.
  • Les composants concernés (CLI, Gateway, canaux, ClawHub, serveurs MCP, etc.).
  • Votre estimation de la gravité (faible / moyenne / élevée / critique).
  • Des liens vers des recherches connexes, des CVE ou des exemples réels.
Lors de l’examen, les responsables attribuent la correspondance ATLAS, l’identifiant de menace et le niveau de risque. Suggérer une mesure d’atténuation. Ouvrez un ticket ou une PR faisant référence à la menace. Soyez précis et concret : « limitation du débit par expéditeur à 10 messages/minute au niveau du Gateway » est plus utile que « mettre en œuvre une limitation du débit ». Proposer une chaîne d’attaque. Les chaînes d’attaque montrent comment plusieurs menaces se combinent pour former un scénario réaliste. Décrivez les étapes et la manière dont un attaquant les enchaînerait ; un court récit vaut mieux qu’un modèle formel. Corriger ou améliorer le contenu existant. Fautes de frappe, clarifications, informations obsolètes, meilleurs exemples : les PR sont les bienvenues, sans qu’un ticket soit nécessaire.

​
Référence du cadre

Les menaces sont mises en correspondance avec MITRE ATLAS (Adversarial Threat Landscape for AI Systems), un cadre consacré aux menaces propres à l’IA et à l’apprentissage automatique, telles que l’injection de prompts, l’utilisation abusive d’outils et l’exploitation d’agents. Il n’est pas nécessaire de connaître ATLAS pour contribuer ; les responsables mettent les soumissions en correspondance lors de l’examen. Identifiants de menace. Chaque menace reçoit un identifiant tel que T-EXEC-003, attribué par les responsables lors de l’examen. Niveaux de risque. Si vous avez un doute sur le niveau, décrivez simplement l’impact ; les responsables l’évalueront.

​
Processus d’examen

  1. Triage - les nouvelles soumissions sont examinées sous 48 heures.
  2. Évaluation - les responsables vérifient la faisabilité, attribuent la correspondance ATLAS et l’identifiant de menace, puis valident le niveau de risque.
  3. Documentation - vérification de la mise en forme et de l’exhaustivité.
  4. Fusion - ajout au modèle de menace et à sa visualisation.

​
Ressources

​
Contact

  • Vulnérabilités de sécurité : consultez la page de confiance pour connaître les instructions de signalement, ou écrivez à security@openclaw.ai.
  • Questions sur le modèle de menace : ouvrez un ticket sur openclaw/trust.
  • Discussion générale : canal Discord #security.

​
Reconnaissance

Les personnes qui contribuent au modèle de menace sont citées dans les remerciements du modèle de menace et les notes de version, ainsi que dans le tableau d’honneur de la sécurité d’OpenClaw pour les contributions importantes.

​
Contenu associé