Skip to main content
Модель загроз — це документ, який постійно оновлюється. Внески вітаються від усіх; досвід у сфері безпеки або знання MITRE ATLAS не потрібні.
Цей розділ призначений для доповнення моделі загроз, а не для повідомлення про актуальні вразливості. Якщо ви виявили вразливість, яку можна використати, натомість дотримуйтеся інструкцій щодо відповідального розкриття інформації на сторінці довіри.

​
Способи зробити внесок

Додайте загрозу. Створіть обговорення проблеми в openclaw/trust, описавши сценарій атаки власними словами. Корисно, але не обов’язково, зазначити:
  • Сценарій атаки та спосіб його використання.
  • Компоненти, яких це стосується (CLI, Gateway, канали, ClawHub, сервери MCP тощо).
  • Вашу оцінку серйозності (низька / середня / висока / критична).
  • Посилання на пов’язані дослідження, CVE або реальні приклади.
Під час перевірки супровідники визначають відповідність ATLAS, ідентифікатор загрози та рівень ризику. Запропонуйте спосіб послаблення загрози. Створіть обговорення проблеми або PR із посиланням на загрозу. Пропозиція має бути конкретною та практичною: «обмеження частоти до 10 повідомлень на хвилину для кожного відправника на Gateway» корисніше, ніж «реалізувати обмеження частоти». Запропонуйте ланцюжок атак. Ланцюжки атак показують, як кілька загроз поєднуються в реалістичний сценарій. Опишіть кроки та спосіб їх поєднання зловмисником; короткий виклад кращий за формальний шаблон. Виправте або вдоскональте наявний вміст. Друкарські помилки, уточнення, застаріла інформація, кращі приклади: PR вітаються, створювати обговорення проблеми не потрібно.

​
Довідка щодо фреймворку

Загрози зіставляються з MITRE ATLAS (ландшафт зловмисних загроз для систем ШІ) — фреймворком для загроз, специфічних для ШІ/МН, як-от ін’єкція підказок, неналежне використання інструментів та експлуатація агентів. Для внеску знати ATLAS не потрібно; супровідники зіставляють подані матеріали під час перевірки. Ідентифікатори загроз. Кожна загроза отримує ідентифікатор на кшталт T-EXEC-003, який супровідники призначають під час перевірки. Рівні ризику. Якщо ви не впевнені щодо рівня, просто опишіть вплив; супровідники самі його оцінять.

​
Процес перевірки

  1. Сортування — нові матеріали перевіряють протягом 48 годин.
  2. Оцінювання — супровідники перевіряють здійсненність, визначають відповідність ATLAS та ідентифікатор загрози, а також підтверджують рівень ризику.
  3. Документування — перевірка форматування та повноти.
  4. Злиття — додавання до моделі загроз і візуалізації.

​
Ресурси

​
Контакти

  • Вразливості безпеки: сторінка довіри з інструкціями щодо повідомлення або security@openclaw.ai.
  • Запитання щодо моделі загроз: створіть обговорення проблеми в openclaw/trust.
  • Загальний чат: канал #security у Discord.

​
Визнання

Авторів внесків до моделі загроз згадують у подяках моделі загроз, примітках до випуску, а за значні внески — у залі слави безпеки OpenClaw.

​
Пов’язані матеріали