Modelo de ameaças (MITRE ATLAS)

Versão: 1.0-rascunho | Framework: MITRE ATLAS (Cenário de Ameaças Adversárias para Sistemas de IA) + diagramas de fluxo de dados Este modelo de ameaças documenta ameaças adversárias à plataforma de agentes de IA OpenClaw e ao marketplace de Skills ClawHub. É um documento vivo mantido pela comunidade OpenClaw. Consulte Como contribuir para o modelo de ameaças para saber como relatar novas ameaças, propor cadeias de ataque ou sugerir mitigações. Principais recursos do ATLAS: Técnicas | Táticas | Estudos de caso | ATLAS no GitHub | Como contribuir para o ATLAS

1. Escopo

Componente	Incluído	Observações
Ambiente de execução do agente OpenClaw	Sim	Execução principal do agente, chamadas de ferramentas, sessões
Gateway	Sim	Autenticação, roteamento, integração com canais
Integrações com canais	Sim	WhatsApp, Telegram, Discord, Signal, Slack etc.
Marketplace ClawHub	Sim	Publicação, moderação e distribuição de Skills
Servidores MCP	Sim	Provedores externos de ferramentas
Dispositivos dos usuários	Parcialmente	Aplicativos móveis, clientes para desktop

Relatos fora do escopo e padrões de falsos positivos (exposição à internet pública, cadeias que envolvem apenas injeção de prompt sem contornar um limite, operadores mutuamente não confiáveis compartilhando um mesmo host do Gateway, entre outros) estão enumerados em SECURITY.md; esse arquivo é a fonte da verdade atual para o escopo de relatos de vulnerabilidades, não esta página.

2. Arquitetura do sistema

2.1 Limites de confiança

┌─────────────────────────────────────────────────────────────────┐
│                    ZONA NÃO CONFIÁVEL                           │
│  ┌─────────────┐  ┌─────────────┐  ┌─────────────┐              │
│  │  WhatsApp   │  │  Telegram   │  │   Discord   │  ...         │
│  └──────┬──────┘  └──────┬──────┘  └──────┬──────┘              │
│         │                │                │                      │
└─────────┼────────────────┼────────────────┼──────────────────────┘
          │                │                │
          ▼                ▼                ▼
┌─────────────────────────────────────────────────────────────────┐
│                 LIMITE DE CONFIANÇA 1: Acesso ao canal          │
│  ┌──────────────────────────────────────────────────────────┐   │
│  │                      GATEWAY                              │   │
│  │  • Pareamento de dispositivo (TTL de 1h para pareamento  │   │
│  │    por MD / 5m para pareamento de Node)                  │   │
│  │  • Validação de AllowFrom / lista de permissões          │   │
│  │  • Autenticação por token / senha / Tailscale            │   │
│  └──────────────────────────────────────────────────────────┘   │
└─────────────────────────────────────────────────────────────────┘
                              │
                              ▼
┌─────────────────────────────────────────────────────────────────┐
│                 LIMITE DE CONFIANÇA 2: Isolamento de sessões    │
│  ┌──────────────────────────────────────────────────────────┐   │
│  │                   SESSÕES DO AGENTE                      │   │
│  │  • Chave da sessão = agente:canal:par                    │   │
│  │  • Políticas de ferramentas por agente                   │   │
│  │  • Registro de transcrições                              │   │
│  └──────────────────────────────────────────────────────────┘   │
└─────────────────────────────────────────────────────────────────┘
                              │
                              ▼
┌─────────────────────────────────────────────────────────────────┐
│                 LIMITE DE CONFIANÇA 3: Execução de ferramentas  │
│  ┌──────────────────────────────────────────────────────────┐   │
│  │                  SANDBOX DE EXECUÇÃO                     │   │
│  │  • Sandbox do Docker (padrão) ou host (aprovações de     │   │
│  │    execução)                                             │   │
│  │  • Execução remota no Node                               │   │
│  │  • Proteção contra SSRF (fixação de DNS + bloqueio de IP)│   │
│  └──────────────────────────────────────────────────────────┘   │
└─────────────────────────────────────────────────────────────────┘
                              │
                              ▼
┌─────────────────────────────────────────────────────────────────┐
│                 LIMITE DE CONFIANÇA 4: Conteúdo externo         │
│  ┌──────────────────────────────────────────────────────────┐   │
│  │              URLs / E-MAILS / WEBHOOKS OBTIDOS           │   │
│  │  • Encapsulamento de conteúdo externo (tags XML com      │   │
│  │    limites aleatórios)                                   │   │
│  │  • Injeção de avisos de segurança                        │   │
│  └──────────────────────────────────────────────────────────┘   │
└─────────────────────────────────────────────────────────────────┘
                              │
                              ▼
┌─────────────────────────────────────────────────────────────────┐
│                 LIMITE DE CONFIANÇA 5: Cadeia de suprimentos    │
│  ┌──────────────────────────────────────────────────────────┐   │
│  │                      CLAWHUB                              │   │
│  │  • Publicação de Skills (semver, SKILL.md obrigatório)   │   │
│  │  • Verificação de moderação por padrões estáticos e      │   │
│  │    análise semelhante a AST                              │   │
│  │  • Análise de riscos agêntica baseada em LLM +           │   │
│  │    verificação do VirusTotal                             │   │
│  │  • Verificação da idade da conta do GitHub (14 dias)     │   │
│  └──────────────────────────────────────────────────────────┘   │
└─────────────────────────────────────────────────────────────────┘

2.2 Fluxos de dados

Fluxo	Origem	Destino	Dados	Proteção
F1	Canal	Gateway	Mensagens dos usuários	TLS, AllowFrom
F2	Gateway	Agente	Mensagens roteadas	Isolamento de sessões
F3	Agente	Ferramentas	Invocações de ferramentas	Aplicação de políticas
F4	Agente	Externo	Solicitações de `web_fetch`	Bloqueio de SSRF
F5	ClawHub	Agente	Código de Skills	Moderação, verificação
F6	Agente	Canal	Respostas	Filtragem de saída

3. Análise de ameaças por tática do ATLAS

3.1 Reconhecimento (AML.TA0002)

T-RECON-001: Descoberta de endpoints de agentes

Atributo	Valor
ID do ATLAS	AML.T0006 - Varredura ativa
Descrição	O invasor procura endpoints expostos do Gateway OpenClaw
Vetor de ataque	Varredura de rede, consultas ao Shodan, enumeração de DNS
Componentes afetados	Gateway, endpoints de API expostos
Mitigações atuais	Opção de autenticação via Tailscale, vinculação a local loopback por padrão
Risco residual	Médio — gateways públicos podem ser descobertos
Recomendações	Documentar a implantação segura e adicionar limitação de taxa aos endpoints de descoberta

T-RECON-002: Sondagem de integrações com canais

Atributo	Valor
ID do ATLAS	AML.T0006 - Varredura ativa
Descrição	O invasor sonda canais de mensagens para identificar contas gerenciadas por IA
Vetor de ataque	Envio de mensagens de teste, observação de padrões de resposta
Componentes afetados	Todas as integrações com canais
Mitigações atuais	Nenhuma específica
Risco residual	Baixo — valor limitado obtido apenas com a descoberta
Recomendações	Considerar a randomização do tempo de resposta

3.2 Acesso inicial (AML.TA0004)

T-ACCESS-001: Interceptação do código de pareamento

Atributo	Valor
ID ATLAS	AML.T0040 - Acesso à API de inferência de modelo de IA
Descrição	O invasor intercepta um código de pareamento durante a janela de pareamento (1 h para MD/pareamento genérico, 5 min para pareamento de Node)
Vetor de ataque	Observação por terceiros, interceptação de rede, engenharia social
Componentes afetados	Sistema de pareamento de dispositivos
Mitigações atuais	TTL de 1 h (MD/pareamento genérico), TTL de 5 min (pareamento de Node); códigos enviados pelo canal existente
Risco residual	Médio — janela de pareamento explorável
Recomendações	Reduzir a janela de pareamento e adicionar uma etapa de confirmação

T-ACCESS-002: Falsificação de AllowFrom

Atributo	Valor
ID ATLAS	AML.T0040 - Acesso à API de inferência de modelo de IA
Descrição	O invasor falsifica a identidade de um remetente permitido em um canal
Vetor de ataque	Dependente do canal — falsificação de número de telefone, personificação de nome de usuário
Componentes afetados	Validação de AllowFrom por canal
Mitigações atuais	Verificação de identidade específica do canal
Risco residual	Médio — alguns canais continuam vulneráveis à falsificação
Recomendações	Documentar os riscos específicos de cada canal e adicionar verificação criptográfica quando possível

T-ACCESS-003: Roubo de tokens

Atributo	Valor
ID ATLAS	AML.T0040 - Acesso à API de inferência de modelo de IA
Descrição	O invasor rouba tokens de autenticação de arquivos de configuração/credenciais
Vetor de ataque	Malware, acesso não autorizado ao dispositivo, exposição de backup de configuração
Componentes afetados	Armazenamento de credenciais de canais/provedores, armazenamento de configurações
Mitigações atuais	Permissões de arquivos
Risco residual	Alto — tokens armazenados em texto simples no disco
Recomendações	Implementar criptografia de tokens em repouso e adicionar rotação de tokens

3.3 Execução (AML.TA0005)

T-EXEC-001: Injeção direta de prompt

Atributo	Valor
ID ATLAS	AML.T0051.000 - Injeção de prompt em LLM: direta
Descrição	O invasor envia prompts elaborados para manipular o comportamento do agente
Vetor de ataque	Mensagens de canal contendo instruções adversariais
Componentes afetados	LLM do agente, todas as superfícies de entrada
Mitigações atuais	Detecção de padrões, encapsulamento de conteúdo externo; considerado fora do escopo de relatórios de vulnerabilidade na ausência de violação de uma fronteira (consulte `SECURITY.md`)
Risco residual	Crítico — apenas detecção, sem bloqueio; ataques sofisticados conseguem contorná-la
Recomendações	Validação da saída e confirmação do usuário para ações confidenciais, sobrepostas à detecção existente

T-EXEC-002: Injeção indireta de prompt

Atributo	Valor
ID ATLAS	AML.T0051.001 - Injeção de prompt em LLM: indireta
Descrição	O invasor incorpora instruções maliciosas ao conteúdo obtido
Vetor de ataque	URLs maliciosos, e-mails envenenados, Webhooks comprometidos
Componentes afetados	`web_fetch`, ingestão de e-mails, fontes de dados externas
Mitigações atuais	Encapsulamento de conteúdo com marcadores no estilo XML de limites aleatórios, normalização de homóglifos/tokens especiais e um aviso de segurança
Risco residual	Alto — o LLM ainda pode ignorar as instruções do encapsulamento
Recomendações	Contextos de execução separados para conteúdo encapsulado

T-EXEC-003: Injeção de argumentos de ferramenta

Atributo	Valor
ID ATLAS	AML.T0051.000 - Injeção de prompt em LLM: direta
Descrição	O invasor manipula argumentos de ferramentas por meio de injeção de prompt
Vetor de ataque	Prompts elaborados que influenciam os valores dos parâmetros das ferramentas
Componentes afetados	Todas as invocações de ferramentas
Mitigações atuais	Aprovações de execução para comandos perigosos
Risco residual	Alto — depende do julgamento do usuário
Recomendações	Validação de argumentos, chamadas de ferramentas parametrizadas

T-EXEC-004: Contorno da aprovação de execução

Atributo	Valor
ID ATLAS	AML.T0043 - Criação de dados adversariais
Descrição	O invasor cria comandos que contornam a lista de permissões de aprovação
Vetor de ataque	Ofuscação de comandos, exploração de aliases, manipulação de caminhos
Componentes afetados	`src/infra/exec-approvals*.ts`, lista de permissões de comandos
Mitigações atuais	Lista de permissões + modo de solicitação, além da normalização de comandos (desencapsulamento do wrapper de despacho, detecção de avaliação em linha, análise de encadeamento do shell)
Risco residual	Alto — a normalização reduz, mas não elimina, o contorno por ofuscação; constatações somente de paridade entre caminhos de execução são tratadas como reforço de segurança, não como vulnerabilidades (consulte `SECURITY.md`)
Recomendações	Continuar ampliando a cobertura da normalização de comandos contra novas técnicas de ofuscação

3.4 Persistência (AML.TA0006)

T-PERSIST-001: Instalação de skill maliciosa

Atributo	Valor
ID ATLAS	AML.T0010.001 - Comprometimento da cadeia de suprimentos: software de IA
Descrição	O invasor publica uma skill maliciosa no ClawHub
Vetor de ataque	Criar uma conta e publicar uma skill com código malicioso oculto
Componentes afetados	ClawHub, carregamento de skills, execução do agente
Mitigações atuais	Verificação da idade da conta do GitHub, análise estática de padrões/próxima à AST, revisão de risco agêntica baseada em LLM, verificação pelo VirusTotal
Risco residual	Alto — existem camadas de detecção, mas as skills ainda são executadas com privilégios do agente e sem isolamento da execução
Recomendações	Isolamento da execução de skills, ampliação da revisão pela comunidade

T-PERSIST-002: Envenenamento de atualização de skill

Atributo	Valor
ID ATLAS	AML.T0010.001 - Comprometimento da cadeia de suprimentos: software de IA
Descrição	O invasor compromete uma skill popular e envia uma atualização maliciosa
Vetor de ataque	Comprometimento da conta, engenharia social do proprietário da skill
Componentes afetados	Versionamento do ClawHub, fluxos de atualização automática
Mitigações atuais	Impressão digital de versões, nova execução da moderação/verificação em novas versões
Risco residual	Alto — as atualizações automáticas podem obter versões maliciosas antes da conclusão da revisão
Recomendações	Assinatura de atualizações, capacidade de reversão, fixação de versão

T-PERSIST-003: Adulteração da configuração do agente

Atributo	Valor
ID ATLAS	AML.T0010.002 - Comprometimento da cadeia de suprimentos: dados
Descrição	O invasor modifica a configuração do agente para manter o acesso
Vetor de ataque	Modificação do arquivo de configuração, injeção de configurações
Componentes afetados	Configuração do agente, políticas de ferramentas
Mitigações atuais	Permissões de arquivo
Risco residual	Médio — requer acesso local
Recomendações	Verificação da integridade da configuração, registro de auditoria de alterações na configuração

3.5 Evasão de defesas (AML.TA0007)

T-EVADE-001: Desvio dos padrões de moderação

Atributo	Valor
ID ATLAS	AML.T0043 - Criação de dados adversariais
Descrição	O invasor cria conteúdo de Skill para evitar as verificações de moderação do ClawHub
Vetor de ataque	Homoglifos Unicode, truques de codificação, carregamento dinâmico
Componentes afetados	Pipeline de moderação/verificação do ClawHub
Mitigações atuais	Regras de padrões estáticos, verificação de código próxima à AST, análise de risco agêntico por LLM, VirusTotal
Risco residual	Médio — novas formas de ofuscação ainda podem passar pelas heurísticas em camadas
Recomendações	Continuar expandindo o corpus de padrões e comportamentos conforme novas evasões forem descobertas

T-EVADE-002: Escape do encapsulamento de conteúdo

Atributo	Valor
ID ATLAS	AML.T0043 - Criação de dados adversariais
Descrição	O invasor cria conteúdo que escapa do contexto do encapsulamento de conteúdo externo
Vetor de ataque	Manipulação de tags, confusão de contexto, substituição de instruções
Componentes afetados	Encapsulamento de conteúdo externo
Mitigações atuais	Marcadores no estilo XML com limites aleatórios e aviso de segurança, além da detecção de falsificação de marcadores por homoglifos ou variantes de espaços em branco
Risco residual	Médio — novos escapes são descobertos regularmente
Recomendações	Validação na saída, além do encapsulamento na entrada

3.6 Descoberta (AML.TA0008)

T-DISC-001: Enumeração de ferramentas

Atributo	Valor
ID ATLAS	AML.T0040 - Acesso à API de inferência do modelo de IA
Descrição	O invasor enumera as ferramentas disponíveis por meio de prompts
Vetor de ataque	Consultas como “Quais ferramentas você tem?”
Componentes afetados	Registro de ferramentas do agente
Mitigações atuais	Nenhuma específica
Risco residual	Baixo — as ferramentas geralmente são documentadas
Recomendações	Considerar controles de visibilidade das ferramentas

T-DISC-002: Extração de dados da sessão

Atributo	Valor
ID ATLAS	AML.T0040 - Acesso à API de inferência do modelo de IA
Descrição	O invasor extrai dados confidenciais do contexto da sessão
Vetor de ataque	Consultas como “O que discutimos?”, sondagem de contexto
Componentes afetados	Transcrições da sessão, janela de contexto
Mitigações atuais	Isolamento da sessão por remetente (chave `agent:channel:peer`)
Risco residual	Médio — os dados da sessão são acessíveis por projeto
Recomendações	Mascaramento de dados confidenciais no contexto

3.7 Coleta e exfiltração (AML.TA0009, AML.TA0010)

T-EXFIL-001: Roubo de dados por meio de web_fetch

Atributo	Valor
ID ATLAS	AML.T0009 - Coleta
Descrição	O invasor exfiltra dados instruindo o agente a enviá-los para uma URL externa
Vetor de ataque	Injeção de prompt que faz o agente enviar dados por POST a um servidor do invasor
Componentes afetados	Ferramenta `web_fetch`
Mitigações atuais	Bloqueio de SSRF para redes internas/privadas (fixação de DNS e bloqueio de IP)
Risco residual	Alto — URLs externas arbitrárias continuam permitidas
Recomendações	Lista de URLs permitidas, reconhecimento da classificação dos dados

T-EXFIL-002: Envio não autorizado de mensagens

Atributo	Valor
ID ATLAS	AML.T0009 - Coleta
Descrição	O invasor faz o agente enviar mensagens contendo dados confidenciais
Vetor de ataque	Injeção de prompt que faz o agente enviar uma mensagem ao invasor
Componentes afetados	Ferramenta de mensagens, integrações de canais
Mitigações atuais	Controle de envio de mensagens
Risco residual	Médio — o controle pode ser contornado
Recomendações	Confirmação explícita para novos destinatários

T-EXFIL-003: Coleta de credenciais

Atributo	Valor
ID ATLAS	AML.T0009 - Coleta
Descrição	Uma Skill maliciosa coleta credenciais do contexto do agente
Vetor de ataque	O código da Skill lê variáveis de ambiente e arquivos de configuração
Componentes afetados	Ambiente de execução da Skill
Mitigações atuais	Verificação de padrões de credenciais pelo ClawHub (segredos codificados diretamente, acesso a variáveis de ambiente de credenciais combinado com envios pela rede); não há isolamento da execução de Skills durante a execução
Risco residual	Crítico — as Skills são executadas com os privilégios do agente
Recomendações	Isolamento da execução de Skills, isolamento de credenciais

3.8 Impacto (AML.TA0011)

T-IMPACT-001: Execução não autorizada de comandos

Atributo	Valor
ID ATLAS	AML.T0031 - Comprometimento da integridade do modelo de IA
Descrição	O invasor executa comandos arbitrários no sistema do usuário
Vetor de ataque	Injeção de prompt combinada com desvio da aprovação de execução
Componentes afetados	Ferramenta Bash, execução de comandos
Mitigações atuais	Aprovações de execução, opção de sandbox do Docker (backend de execução padrão)
Risco residual	Crítico — a execução no host é possível quando o sandbox está desativado
Recomendações	Melhorar a experiência de aprovação; implantações sem sandbox continuam sendo uma escolha deliberada do operador, documentada como tal

T-IMPACT-002: Esgotamento de recursos (DoS)

Atributo	Valor
ID ATLAS	AML.T0031 - Comprometimento da integridade do modelo de IA
Descrição	O invasor esgota créditos de API ou recursos computacionais
Vetor de ataque	Inundação automatizada de mensagens, chamadas caras de ferramentas
Componentes afetados	Gateway, sessões do agente, provedor de API
Mitigações atuais	Nenhuma
Risco residual	Alto — não há limitação de taxa por remetente
Recomendações	Limites de taxa por remetente, orçamentos de custos

T-IMPACT-003: Danos à reputação

Atributo	Valor
ID ATLAS	AML.T0031 - Comprometimento da integridade do modelo de IA
Descrição	O invasor faz o agente enviar conteúdo nocivo ou ofensivo
Vetor de ataque	Injeção de prompt que causa respostas inadequadas
Componentes afetados	Geração de saída, mensagens em canais
Mitigações atuais	Políticas de conteúdo do provedor de LLM
Risco residual	Médio — os filtros do provedor são imperfeitos
Recomendações	Camada de filtragem de saída, controles do usuário

4. Análise da cadeia de suprimentos do ClawHub

4.1 Controles de segurança atuais

Controle	Implementação	Eficácia
Idade da conta do GitHub	`requireGitHubAccountAge()` (mínimo de 14 dias)	Média — aumenta a barreira para novos invasores
Sanitização de caminhos	`sanitizePath()`	Alta — impede a travessia de diretórios
Validação do tipo de arquivo	`isTextFile()`	Média — apenas arquivos de texto são verificados, mas ainda são exploráveis
Limites de tamanho	Pacote total de 50 MB (`MAX_PUBLISH_TOTAL_BYTES`)	Alta — evita o esgotamento de recursos
SKILL.md obrigatório	Readme obrigatório na publicação	Baixo valor de segurança — apenas informativo
Verificação estática e adjacente à AST	Mecanismo de padrões que abrange execução, exfiltração, coleta de credenciais, ofuscação e muito mais	Média-alta — abrange muitos padrões conhecidos de abuso, mas ainda se baseia em padrões
Análise agêntica de riscos com LLM	Veredito orientado por prompt de segurança durante a publicação	Média-alta — detecta comportamentos não identificados por padrões estáticos
Verificação pelo VirusTotal	Integrada aos fluxos de publicação e nova verificação de Skills e versões de pacotes, condicionada à chave de API do operador	Alta quando ativada — detecção por mecanismos estáticos
Status de moderação	Campo `moderationStatus`	Média — permite análise manual

4.2 Limitações da moderação

A verificação estática do ClawHub inspeciona diretamente o conteúdo do código da Skill (não apenas slug/metadados/frontmatter), abrangendo chamadas de execução perigosas, execução dinâmica de código, coleta de credenciais, padrões de exfiltração, cargas úteis ofuscadas e muito mais. Lacunas conhecidas:

A detecção baseada em padrões ainda pode ser contornada por técnicas de ofuscação suficientemente inéditas.
A análise baseada em LLM e a verificação pelo VirusTotal dependem da ativação de chaves de API/configuração por parte do operador.
Nenhum sandbox de execução em tempo de execução isola uma Skill dos privilégios do próprio agente depois de instalada.

4.3 Selos

Skills e pacotes recebem selos atribuídos por moderadores: highlighted, official, deprecated, redactionApproved (somente Skills). Denúncias da comunidade (skillReports) e registros de auditoria (auditLogs) dão suporte aos fluxos de trabalho de moderação.

5. Matriz de riscos

5.1 Probabilidade versus impacto

ID da ameaça	Probabilidade	Impacto	Nível de risco	Prioridade
T-EXEC-001	Alta	Crítico	Crítico	P0
T-PERSIST-001	Alta	Crítico	Crítico	P0
T-EXFIL-003	Média	Crítico	Crítico	P0
T-IMPACT-001	Média	Crítico	Alto	P1
T-EXEC-002	Alta	Alto	Alto	P1
T-EXEC-004	Média	Alto	Alto	P1
T-ACCESS-003	Média	Alto	Alto	P1
T-EXFIL-001	Média	Alto	Alto	P1
T-IMPACT-002	Alta	Médio	Alto	P1
T-EVADE-001	Alta	Médio	Médio	P2
T-ACCESS-001	Baixa	Alto	Médio	P2
T-ACCESS-002	Baixa	Alto	Médio	P2
T-PERSIST-002	Baixa	Alto	Médio	P2

5.2 Cadeias de ataque de caminho crítico

Cadeia 1: roubo de dados por meio de Skill

T-PERSIST-001 → T-EVADE-001 → T-EXFIL-003
(Publicar Skill maliciosa) → (Contornar a moderação) → (Coletar credenciais)

Cadeia 2: injeção de prompt para RCE

T-EXEC-001 → T-EXEC-004 → T-IMPACT-001
(Injetar prompt) → (Contornar a aprovação de execução) → (Executar comandos)

Cadeia 3: injeção indireta por meio de conteúdo obtido

T-EXEC-002 → T-EXFIL-001 → Exfiltração externa
(Adulterar conteúdo de URL) → (Agente obtém e segue as instruções) → (Dados enviados ao invasor)

6. Resumo das recomendações

6.1 Imediatas (P0)

ID	Recomendação	Aborda
R-002	Implementar sandbox para execução de Skills	T-PERSIST-001, T-EXFIL-003
R-003	Adicionar validação de saída para ações sensíveis	T-EXEC-001, T-EXEC-002

6.2 Curto prazo (P1)

ID	Recomendação	Aborda
R-004	Implementar limitação de taxa por remetente	T-IMPACT-002
R-005	Adicionar criptografia de tokens em repouso	T-ACCESS-003
R-006	Melhorar a experiência de aprovação de execução e continuar ampliando a normalização de comandos	T-EXEC-004
R-007	Implementar lista de permissões de URLs para `web_fetch`	T-EXFIL-001

6.3 Médio prazo (P2)

ID	Recomendação	Aborda
R-008	Adicionar verificação criptográfica de canais quando possível	T-ACCESS-002
R-009	Implementar verificação de integridade da configuração	T-PERSIST-003
R-010	Adicionar assinatura de atualizações e fixação de versões	T-PERSIST-002

7. Apêndices

7.1 Mapeamento de técnicas do ATLAS

ID do ATLAS	Nome da técnica	Ameaças do OpenClaw
AML.T0006	Varredura ativa	T-RECON-001, T-RECON-002
AML.T0009	Coleta	T-EXFIL-001, T-EXFIL-002, T-EXFIL-003
AML.T0010.001	Cadeia de suprimentos: software de IA	T-PERSIST-001, T-PERSIST-002
AML.T0010.002	Cadeia de suprimentos: dados	T-PERSIST-003
AML.T0031	Comprometimento da integridade do modelo de IA	T-IMPACT-001, T-IMPACT-002, T-IMPACT-003
AML.T0040	Acesso à API de inferência de modelo de IA	T-ACCESS-001, T-ACCESS-002, T-ACCESS-003, T-DISC-001, T-DISC-002
AML.T0043	Criação de dados adversariais	T-EXEC-004, T-EVADE-001, T-EVADE-002
AML.T0051.000	Injeção de prompt em LLM: direta	T-EXEC-001, T-EXEC-003
AML.T0051.001	Injeção de prompt em LLM: indireta	T-EXEC-002

7.2 Principais arquivos de segurança

Caminho	Finalidade	Nível de risco
`src/infra/exec-approvals.ts`	Lógica de aprovação de comandos	Crítico
`src/gateway/auth.ts`	Autenticação do Gateway	Crítico
`src/infra/net/ssrf.ts`	Proteção contra SSRF	Crítico
`src/security/external-content.ts`	Mitigação de injeção de prompt	Crítico
`src/agents/sandbox/tool-policy.ts`	Política de permissão/negação de ferramentas do sandbox	Crítico
`src/routing/resolve-route.ts`	Isolamento de sessões/roteamento	Médio

7.3 Glossário

Termo	Definição
ATLAS	Cenário de ameaças adversariais para sistemas de IA do MITRE
ClawHub	Marketplace de Skills do OpenClaw
Gateway	Camada de roteamento de mensagens e autenticação do OpenClaw
MCP	Protocolo de Contexto de Modelo — interface de provedor de ferramentas
Injeção de prompt	Ataque no qual instruções maliciosas são incorporadas à entrada
Skill	Extensão disponível para download para agentes do OpenClaw
SSRF	Falsificação de solicitação do lado do servidor

Este modelo de ameaças é um documento em evolução. Relate problemas de segurança para security@openclaw.ai ou consulte a página de confiança.

​1. Escopo

​2. Arquitetura do sistema

​2.1 Limites de confiança

​2.2 Fluxos de dados

​3. Análise de ameaças por tática do ATLAS

​3.1 Reconhecimento (AML.TA0002)

​T-RECON-001: Descoberta de endpoints de agentes

​T-RECON-002: Sondagem de integrações com canais

​3.2 Acesso inicial (AML.TA0004)

​T-ACCESS-001: Interceptação do código de pareamento

​T-ACCESS-002: Falsificação de AllowFrom

​T-ACCESS-003: Roubo de tokens

​3.3 Execução (AML.TA0005)

​T-EXEC-001: Injeção direta de prompt

​T-EXEC-002: Injeção indireta de prompt

​T-EXEC-003: Injeção de argumentos de ferramenta

​T-EXEC-004: Contorno da aprovação de execução

​3.4 Persistência (AML.TA0006)

​T-PERSIST-001: Instalação de skill maliciosa

​T-PERSIST-002: Envenenamento de atualização de skill

​T-PERSIST-003: Adulteração da configuração do agente

​3.5 Evasão de defesas (AML.TA0007)

​T-EVADE-001: Desvio dos padrões de moderação

​T-EVADE-002: Escape do encapsulamento de conteúdo

​3.6 Descoberta (AML.TA0008)

​T-DISC-001: Enumeração de ferramentas

​T-DISC-002: Extração de dados da sessão

​3.7 Coleta e exfiltração (AML.TA0009, AML.TA0010)

​T-EXFIL-001: Roubo de dados por meio de web_fetch

​T-EXFIL-002: Envio não autorizado de mensagens

​T-EXFIL-003: Coleta de credenciais

​3.8 Impacto (AML.TA0011)

​T-IMPACT-001: Execução não autorizada de comandos

​T-IMPACT-002: Esgotamento de recursos (DoS)

​T-IMPACT-003: Danos à reputação

​4. Análise da cadeia de suprimentos do ClawHub

​4.1 Controles de segurança atuais

​4.2 Limitações da moderação

​4.3 Selos

​5. Matriz de riscos

​5.1 Probabilidade versus impacto

​5.2 Cadeias de ataque de caminho crítico

​6. Resumo das recomendações

​6.1 Imediatas (P0)

​6.2 Curto prazo (P1)

​6.3 Médio prazo (P2)

​7. Apêndices

​7.1 Mapeamento de técnicas do ATLAS

​7.2 Principais arquivos de segurança

​7.3 Glossário

​Relacionados