---
read_when:
    - การตรวจสอบสถานะด้านความปลอดภัยหรือสถานการณ์ภัยคุกคาม
    - การทำงานกับฟีเจอร์ด้านความปลอดภัยหรือการตอบสนองต่อการตรวจสอบ
summary: โมเดลภัยคุกคามของ OpenClaw ที่แมปกับกรอบงาน MITRE ATLAS
title: โมเดลภัยคุกคาม (MITRE ATLAS)
x-i18n:
    generated_at: "2026-04-30T10:16:48Z"
    model: gpt-5.5
    provider: openai
    source_hash: d929addb829b92d650ef6caecb267fb154f6f9f7d28be7aa87851569931f5228
    source_path: security/THREAT-MODEL-ATLAS.md
    workflow: 16
---

# โมเดลภัยคุกคาม OpenClaw v1.0

## กรอบงาน MITRE ATLAS

**เวอร์ชัน:** 1.0-draft
**อัปเดตล่าสุด:** 2026-02-04
**ระเบียบวิธี:** MITRE ATLAS + แผนภาพกระแสข้อมูล
**กรอบงาน:** [MITRE ATLAS](https://atlas.mitre.org/) (ภูมิทัศน์ภัยคุกคามเชิงปฏิปักษ์สำหรับระบบ AI)

### การระบุที่มากรอบงาน

โมเดลภัยคุกคามนี้สร้างขึ้นบน [MITRE ATLAS](https://atlas.mitre.org/) ซึ่งเป็นกรอบงานมาตรฐานอุตสาหกรรมสำหรับบันทึกภัยคุกคามเชิงปฏิปักษ์ต่อระบบ AI/ML ATLAS ได้รับการดูแลโดย [MITRE](https://www.mitre.org/) ร่วมกับชุมชนความปลอดภัย AI

**ทรัพยากร ATLAS สำคัญ:**

- [เทคนิค ATLAS](https://atlas.mitre.org/techniques/)
- [กลยุทธ์ ATLAS](https://atlas.mitre.org/tactics/)
- [กรณีศึกษา ATLAS](https://atlas.mitre.org/studies/)
- [ATLAS GitHub](https://github.com/mitre-atlas/atlas-data)
- [การมีส่วนร่วมกับ ATLAS](https://atlas.mitre.org/resources/contribute)

### การมีส่วนร่วมกับโมเดลภัยคุกคามนี้

เอกสารนี้เป็นเอกสารที่มีการพัฒนาอย่างต่อเนื่องและดูแลโดยชุมชน OpenClaw โปรดดู [CONTRIBUTING-THREAT-MODEL.md](/th/security/CONTRIBUTING-THREAT-MODEL) สำหรับแนวทางการมีส่วนร่วม:

- การรายงานภัยคุกคามใหม่
- การอัปเดตภัยคุกคามที่มีอยู่
- การเสนอลำดับการโจมตี
- การเสนอแนวทางบรรเทา

---

## 1. บทนำ

### 1.1 วัตถุประสงค์

โมเดลภัยคุกคามนี้บันทึกภัยคุกคามเชิงปฏิปักษ์ต่อแพลตฟอร์มเอเจนต์ AI ของ OpenClaw และตลาด Skills ClawHub โดยใช้กรอบงาน MITRE ATLAS ที่ออกแบบมาโดยเฉพาะสำหรับระบบ AI/ML

### 1.2 ขอบเขต

| องค์ประกอบ              | รวมอยู่ด้วย | หมายเหตุ                                            |
| ---------------------- | -------- | ------------------------------------------------ |
| รันไทม์เอเจนต์ OpenClaw | ใช่      | การดำเนินการเอเจนต์หลัก การเรียกเครื่องมือ เซสชัน       |
| Gateway                | ใช่      | การยืนยันตัวตน การกำหนดเส้นทาง การผสานรวมช่องทาง     |
| การผสานรวมช่องทาง   | ใช่      | WhatsApp, Telegram, Discord, Signal, Slack ฯลฯ |
| ตลาด ClawHub    | ใช่      | การเผยแพร่ Skills การกลั่นกรอง การจัดจำหน่าย       |
| เซิร์ฟเวอร์ MCP            | ใช่      | ผู้ให้บริการเครื่องมือภายนอก                          |
| อุปกรณ์ผู้ใช้           | บางส่วน  | แอปมือถือ ไคลเอนต์เดสก์ท็อป                     |

### 1.3 อยู่นอกขอบเขต

ไม่มีสิ่งใดที่ถูกระบุไว้อย่างชัดเจนว่าอยู่นอกขอบเขตสำหรับโมเดลภัยคุกคามนี้

---

## 2. สถาปัตยกรรมระบบ

### 2.1 ขอบเขตความเชื่อถือ

```
┌─────────────────────────────────────────────────────────────────┐
│                    UNTRUSTED ZONE                                │
│  ┌─────────────┐  ┌─────────────┐  ┌─────────────┐              │
│  │  WhatsApp   │  │  Telegram   │  │   Discord   │  ...         │
│  └──────┬──────┘  └──────┬──────┘  └──────┬──────┘              │
│         │                │                │                      │
└─────────┼────────────────┼────────────────┼──────────────────────┘
          │                │                │
          ▼                ▼                ▼
┌─────────────────────────────────────────────────────────────────┐
│                 TRUST BOUNDARY 1: Channel Access                 │
│  ┌──────────────────────────────────────────────────────────┐   │
│  │                      GATEWAY                              │   │
│  │  • Device Pairing (1h DM / 5m node grace period)           │   │
│  │  • AllowFrom / AllowList validation                       │   │
│  │  • Token/Password/Tailscale auth                          │   │
│  └──────────────────────────────────────────────────────────┘   │
└─────────────────────────────────────────────────────────────────┘
                              │
                              ▼
┌─────────────────────────────────────────────────────────────────┐
│                 TRUST BOUNDARY 2: Session Isolation              │
│  ┌──────────────────────────────────────────────────────────┐   │
│  │                   AGENT SESSIONS                          │   │
│  │  • Session key = agent:channel:peer                       │   │
│  │  • Tool policies per agent                                │   │
│  │  • Transcript logging                                     │   │
│  └──────────────────────────────────────────────────────────┘   │
└─────────────────────────────────────────────────────────────────┘
                              │
                              ▼
┌─────────────────────────────────────────────────────────────────┐
│                 TRUST BOUNDARY 3: Tool Execution                 │
│  ┌──────────────────────────────────────────────────────────┐   │
│  │                  EXECUTION SANDBOX                        │   │
│  │  • Docker sandbox OR Host (exec-approvals)                │   │
│  │  • Node remote execution                                  │   │
│  │  • SSRF protection (DNS pinning + IP blocking)            │   │
│  └──────────────────────────────────────────────────────────┘   │
└─────────────────────────────────────────────────────────────────┘
                              │
                              ▼
┌─────────────────────────────────────────────────────────────────┐
│                 TRUST BOUNDARY 4: External Content               │
│  ┌──────────────────────────────────────────────────────────┐   │
│  │              FETCHED URLs / EMAILS / WEBHOOKS             │   │
│  │  • External content wrapping (XML tags)                   │   │
│  │  • Security notice injection                              │   │
│  └──────────────────────────────────────────────────────────┘   │
└─────────────────────────────────────────────────────────────────┘
                              │
                              ▼
┌─────────────────────────────────────────────────────────────────┐
│                 TRUST BOUNDARY 5: Supply Chain                   │
│  ┌──────────────────────────────────────────────────────────┐   │
│  │                      CLAWHUB                              │   │
│  │  • Skill publishing (semver, SKILL.md required)           │   │
│  │  • Pattern-based moderation flags                         │   │
│  │  • VirusTotal scanning (coming soon)                      │   │
│  │  • GitHub account age verification                        │   │
│  └──────────────────────────────────────────────────────────┘   │
└─────────────────────────────────────────────────────────────────┘
```

### 2.2 กระแสข้อมูล

| กระแส | ต้นทาง  | ปลายทาง | ข้อมูล               | การป้องกัน           |
| ---- | ------- | ----------- | ------------------ | -------------------- |
| F1   | ช่องทาง | Gateway     | ข้อความผู้ใช้      | TLS, AllowFrom       |
| F2   | Gateway | เอเจนต์       | ข้อความที่ถูกกำหนดเส้นทาง    | การแยกเซสชัน    |
| F3   | เอเจนต์   | เครื่องมือ       | การเรียกใช้เครื่องมือ   | การบังคับใช้นโยบาย   |
| F4   | เอเจนต์   | ภายนอก    | คำขอ web_fetch | การบล็อก SSRF        |
| F5   | ClawHub | เอเจนต์       | โค้ด Skills         | การกลั่นกรอง การสแกน |
| F6   | เอเจนต์   | ช่องทาง     | การตอบกลับ          | การกรองเอาต์พุต     |

---

## 3. การวิเคราะห์ภัยคุกคามตามกลยุทธ์ ATLAS

### 3.1 การลาดตระเวน (AML.TA0002)

#### T-RECON-001: การค้นพบเอนด์พอยต์เอเจนต์

| แอตทริบิวต์               | ค่า                                                                |
| ----------------------- | -------------------------------------------------------------------- |
| **ATLAS ID**            | AML.T0006 - การสแกนแบบแอ็กทีฟ                                          |
| **คำอธิบาย**         | ผู้โจมตีสแกนหาเอนด์พอยต์ Gateway ของ OpenClaw ที่เปิดเผย                |
| **เวกเตอร์การโจมตี**       | การสแกนเครือข่าย คำค้นหา shodan การระบุรายการ DNS                    |
| **องค์ประกอบที่ได้รับผลกระทบ** | Gateway, เอนด์พอยต์ API ที่เปิดเผย                                       |
| **การบรรเทาปัจจุบัน** | ตัวเลือกการยืนยันตัวตน Tailscale, ผูกกับ loopback ตามค่าเริ่มต้น                   |
| **ความเสี่ยงคงเหลือ**       | ปานกลาง - Gateway สาธารณะค้นพบได้                                |
| **คำแนะนำ**     | จัดทำเอกสารการปรับใช้ที่ปลอดภัย เพิ่มการจำกัดอัตราบนเอนด์พอยต์การค้นพบ |

#### T-RECON-002: การตรวจสอบการผสานรวมช่องทาง

| แอตทริบิวต์               | ค่า                                                              |
| ----------------------- | ------------------------------------------------------------------ |
| **รหัส ATLAS**            | AML.T0006 - การสแกนเชิงรุก                                        |
| **คำอธิบาย**         | ผู้โจมตีตรวจสอบช่องทางส่งข้อความเพื่อระบุบัญชีที่ AI จัดการ |
| **เวกเตอร์การโจมตี**       | การส่งข้อความทดสอบ การสังเกตรูปแบบการตอบสนอง                 |
| **คอมโพเนนต์ที่ได้รับผลกระทบ** | การผสานรวมช่องทางทั้งหมด                                           |
| **การบรรเทาปัจจุบัน** | ไม่มีเฉพาะเจาะจง                                                      |
| **ความเสี่ยงคงเหลือ**       | ต่ำ - มีคุณค่าจำกัดจากการค้นพบเพียงอย่างเดียว                           |
| **คำแนะนำ**     | พิจารณาการสุ่มเวลาการตอบสนอง                             |

---

### 3.2 การเข้าถึงเริ่มต้น (AML.TA0004)

#### T-ACCESS-001: การดักจับรหัสจับคู่

| แอตทริบิวต์               | ค่า                                                                                                         |
| ----------------------- | ------------------------------------------------------------------------------------------------------------- |
| **รหัส ATLAS**            | AML.T0040 - การเข้าถึง API อนุมานโมเดล AI                                                                     |
| **คำอธิบาย**         | ผู้โจมตีดักจับรหัสจับคู่ระหว่างช่วงผ่อนผันการจับคู่ (1 ชม. สำหรับการจับคู่ช่องทาง DM, 5 นาทีสำหรับการจับคู่ Node) |
| **เวกเตอร์การโจมตี**       | การแอบดูข้อมูลจากหน้าจอ การดักฟังเครือข่าย วิศวกรรมสังคม                                                        |
| **คอมโพเนนต์ที่ได้รับผลกระทบ** | ระบบจับคู่อุปกรณ์                                                                                         |
| **การบรรเทาปัจจุบัน** | หมดอายุใน 1 ชม. (การจับคู่ DM) / หมดอายุใน 5 นาที (การจับคู่ Node), ส่งรหัสผ่านช่องทางที่มีอยู่                            |
| **ความเสี่ยงคงเหลือ**       | ปานกลาง - ช่วงผ่อนผันสามารถถูกใช้ประโยชน์ได้                                                                             |
| **คำแนะนำ**     | ลดช่วงผ่อนผัน เพิ่มขั้นตอนยืนยัน                                                                    |

#### T-ACCESS-002: การปลอมแปลง AllowFrom

| แอตทริบิวต์               | ค่า                                                                          |
| ----------------------- | ------------------------------------------------------------------------------ |
| **รหัส ATLAS**            | AML.T0040 - การเข้าถึง API อนุมานโมเดล AI                                      |
| **คำอธิบาย**         | ผู้โจมตีปลอมแปลงตัวตนผู้ส่งที่อนุญาตในช่องทาง                             |
| **เวกเตอร์การโจมตี**       | ขึ้นอยู่กับช่องทาง - การปลอมแปลงหมายเลขโทรศัพท์ การแอบอ้างชื่อผู้ใช้             |
| **คอมโพเนนต์ที่ได้รับผลกระทบ** | การตรวจสอบ AllowFrom ต่อช่องทาง                                               |
| **การบรรเทาปัจจุบัน** | การยืนยันตัวตนเฉพาะช่องทาง                                         |
| **ความเสี่ยงคงเหลือ**       | ปานกลาง - บางช่องทางเสี่ยงต่อการปลอมแปลง                                  |
| **คำแนะนำ**     | จัดทำเอกสารความเสี่ยงเฉพาะช่องทาง เพิ่มการยืนยันแบบเข้ารหัสเท่าที่ทำได้ |

#### T-ACCESS-003: การขโมยโทเค็น

| แอตทริบิวต์               | ค่า                                                       |
| ----------------------- | ----------------------------------------------------------- |
| **รหัส ATLAS**            | AML.T0040 - การเข้าถึง API อนุมานโมเดล AI                   |
| **คำอธิบาย**         | ผู้โจมตีขโมยโทเค็นยืนยันตัวตนจากไฟล์กำหนดค่า     |
| **เวกเตอร์การโจมตี**       | มัลแวร์ การเข้าถึงอุปกรณ์โดยไม่ได้รับอนุญาต การเปิดเผยข้อมูลสำรองการกำหนดค่า |
| **คอมโพเนนต์ที่ได้รับผลกระทบ** | ~/.openclaw/credentials/, ที่เก็บการกำหนดค่า                    |
| **การบรรเทาปัจจุบัน** | สิทธิ์ไฟล์                                            |
| **ความเสี่ยงคงเหลือ**       | สูง - โทเค็นถูกจัดเก็บเป็นข้อความธรรมดา                           |
| **คำแนะนำ**     | ใช้การเข้ารหัสโทเค็นเมื่อจัดเก็บ เพิ่มการหมุนเวียนโทเค็น      |

---

### 3.3 การดำเนินการ (AML.TA0005)

#### T-EXEC-001: การฉีดพรอมป์โดยตรง

| แอตทริบิวต์               | ค่า                                                                                     |
| ----------------------- | ----------------------------------------------------------------------------------------- |
| **รหัส ATLAS**            | AML.T0051.000 - การฉีดพรอมป์ LLM: โดยตรง                                              |
| **คำอธิบาย**         | ผู้โจมตีส่งพรอมป์ที่สร้างขึ้นเพื่อบิดเบือนพฤติกรรมของเอเจนต์                               |
| **เวกเตอร์การโจมตี**       | ข้อความในช่องทางที่มีคำสั่งเชิงปฏิปักษ์                                      |
| **คอมโพเนนต์ที่ได้รับผลกระทบ** | LLM ของเอเจนต์ พื้นผิวอินพุตทั้งหมด                                                             |
| **การบรรเทาปัจจุบัน** | การตรวจจับรูปแบบ การห่อหุ้มเนื้อหาภายนอก                                              |
| **ความเสี่ยงคงเหลือ**       | วิกฤต - มีเพียงการตรวจจับ ไม่มีการบล็อก; การโจมตีที่ซับซ้อนสามารถเลี่ยงผ่านได้                      |
| **คำแนะนำ**     | ใช้การป้องกันหลายชั้น การตรวจสอบเอาต์พุต การยืนยันจากผู้ใช้สำหรับการกระทำที่อ่อนไหว |

#### T-EXEC-002: การฉีดพรอมป์ทางอ้อม

| แอตทริบิวต์               | ค่า                                                       |
| ----------------------- | ----------------------------------------------------------- |
| **รหัส ATLAS**            | AML.T0051.001 - การฉีดพรอมป์ LLM: ทางอ้อม              |
| **คำอธิบาย**         | ผู้โจมตีฝังคำสั่งที่เป็นอันตรายในเนื้อหาที่ดึงมา   |
| **เวกเตอร์การโจมตี**       | URL ที่เป็นอันตราย อีเมลที่ถูกปนเปื้อน Webhook ที่ถูกบุกรุก       |
| **คอมโพเนนต์ที่ได้รับผลกระทบ** | web_fetch, การนำเข้าอีเมล แหล่งข้อมูลภายนอก           |
| **การบรรเทาปัจจุบัน** | การห่อหุ้มเนื้อหาด้วยแท็ก XML และประกาศด้านความปลอดภัย          |
| **ความเสี่ยงคงเหลือ**       | สูง - LLM อาจเพิกเฉยต่อคำสั่งของตัวห่อหุ้ม                  |
| **คำแนะนำ**     | ใช้การทำความสะอาดเนื้อหา แยกบริบทการดำเนินการ |

#### T-EXEC-003: การฉีดอาร์กิวเมนต์เครื่องมือ

| แอตทริบิวต์               | ค่า                                                        |
| ----------------------- | ------------------------------------------------------------ |
| **รหัส ATLAS**            | AML.T0051.000 - การฉีดพรอมป์ LLM: โดยตรง                 |
| **คำอธิบาย**         | ผู้โจมตีบิดเบือนอาร์กิวเมนต์เครื่องมือผ่านการฉีดพรอมป์ |
| **เวกเตอร์การโจมตี**       | พรอมป์ที่สร้างขึ้นซึ่งมีอิทธิพลต่อค่าพารามิเตอร์ของเครื่องมือ         |
| **คอมโพเนนต์ที่ได้รับผลกระทบ** | การเรียกใช้เครื่องมือทั้งหมด                                         |
| **การบรรเทาปัจจุบัน** | การอนุมัติ exec สำหรับคำสั่งอันตราย                        |
| **ความเสี่ยงคงเหลือ**       | สูง - พึ่งพาการตัดสินใจของผู้ใช้                               |
| **คำแนะนำ**     | ใช้การตรวจสอบอาร์กิวเมนต์ การเรียกเครื่องมือแบบกำหนดพารามิเตอร์      |

#### T-EXEC-004: การเลี่ยงผ่านการอนุมัติ Exec

| แอตทริบิวต์               | ค่า                                                      |
| ----------------------- | ---------------------------------------------------------- |
| **รหัส ATLAS**            | AML.T0043 - การสร้างข้อมูลเชิงปฏิปักษ์                         |
| **คำอธิบาย**         | ผู้โจมตีสร้างคำสั่งที่เลี่ยงผ่าน allowlist การอนุมัติ    |
| **เวกเตอร์การโจมตี**       | การอำพรางคำสั่ง การใช้ประโยชน์จากนามแฝง การบิดเบือนพาธ |
| **คอมโพเนนต์ที่ได้รับผลกระทบ** | exec-approvals.ts, allowlist คำสั่ง                       |
| **การบรรเทาปัจจุบัน** | Allowlist + โหมดถาม                                       |
| **ความเสี่ยงคงเหลือ**       | สูง - ไม่มีการทำความสะอาดคำสั่ง                             |
| **คำแนะนำ**     | ใช้การทำให้คำสั่งเป็นมาตรฐาน ขยาย blocklist          |

---

### 3.4 การคงอยู่ (AML.TA0006)

#### T-PERSIST-001: การติดตั้ง Skill ที่เป็นอันตราย

| แอตทริบิวต์               | ค่า                                                                    |
| ----------------------- | ------------------------------------------------------------------------ |
| **รหัส ATLAS**            | AML.T0010.001 - การบุกรุกซัพพลายเชน: ซอฟต์แวร์ AI                     |
| **คำอธิบาย**         | ผู้โจมตีเผยแพร่ skill ที่เป็นอันตรายไปยัง ClawHub                            |
| **เวกเตอร์การโจมตี**       | สร้างบัญชี เผยแพร่ skill ที่มีโค้ดอันตรายซ่อนอยู่                 |
| **คอมโพเนนต์ที่ได้รับผลกระทบ** | ClawHub, การโหลด skill, การดำเนินการของเอเจนต์                                  |
| **การบรรเทาปัจจุบัน** | การยืนยันอายุบัญชี GitHub แฟล็กการกลั่นกรองตามรูปแบบ          |
| **ความเสี่ยงคงเหลือ**       | วิกฤต - ไม่มี sandboxing มีการตรวจสอบจำกัด                                 |
| **คำแนะนำ**     | การผสานรวม VirusTotal (กำลังดำเนินการ), sandboxing ของ skill, การตรวจสอบจากชุมชน |

#### T-PERSIST-002: การปนเปื้อนอัปเดต Skill

| แอตทริบิวต์               | ค่า                                                          |
| ----------------------- | -------------------------------------------------------------- |
| **รหัส ATLAS**            | AML.T0010.001 - การบุกรุกซัพพลายเชน: ซอฟต์แวร์ AI           |
| **คำอธิบาย**         | ผู้โจมตีบุกรุก skill ยอดนิยมและผลักอัปเดตที่เป็นอันตราย |
| **เวกเตอร์การโจมตี**       | การบุกรุกบัญชี วิศวกรรมสังคมต่อเจ้าของ skill          |
| **คอมโพเนนต์ที่ได้รับผลกระทบ** | การกำหนดเวอร์ชันของ ClawHub, โฟลว์อัปเดตอัตโนมัติ                          |
| **การบรรเทาปัจจุบัน** | การทำ fingerprint เวอร์ชัน                                         |
| **ความเสี่ยงคงเหลือ**       | สูง - การอัปเดตอัตโนมัติอาจดึงเวอร์ชันที่เป็นอันตราย                |
| **คำแนะนำ**     | ใช้การลงนามอัปเดต ความสามารถในการย้อนกลับ การตรึงเวอร์ชัน |

#### T-PERSIST-003: การแก้ไขการกำหนดค่าเอเจนต์โดยไม่ได้รับอนุญาต

| แอตทริบิวต์               | ค่า                                                           |
| ----------------------- | --------------------------------------------------------------- |
| **รหัส ATLAS**            | AML.T0010.002 - การบุกรุกซัพพลายเชน: ข้อมูล                   |
| **คำอธิบาย**         | ผู้โจมตีแก้ไขการกำหนดค่าเอเจนต์เพื่อคงการเข้าถึง         |
| **เวกเตอร์การโจมตี**       | การแก้ไขไฟล์กำหนดค่า การฉีดการตั้งค่า                    |
| **คอมโพเนนต์ที่ได้รับผลกระทบ** | การกำหนดค่าเอเจนต์ นโยบายเครื่องมือ                                     |
| **การบรรเทาปัจจุบัน** | สิทธิ์ไฟล์                                                |
| **ความเสี่ยงคงเหลือ**       | ปานกลาง - ต้องมีการเข้าถึงภายในเครื่อง                                  |
| **คำแนะนำ**     | การยืนยันความถูกต้องของการกำหนดค่า การบันทึกการตรวจสอบสำหรับการเปลี่ยนแปลงการกำหนดค่า |

---

### 3.5 การหลบเลี่ยงการป้องกัน (AML.TA0007)

#### T-EVADE-001: การเลี่ยงผ่านรูปแบบการกลั่นกรอง

| แอตทริบิวต์               | ค่า                                                                  |
| ----------------------- | ---------------------------------------------------------------------- |
| **รหัส ATLAS**            | AML.T0043 - การสร้างข้อมูลเชิงปฏิปักษ์                                     |
| **คำอธิบาย**         | ผู้โจมตีสร้างเนื้อหา skill เพื่อหลบเลี่ยงรูปแบบการกลั่นกรอง             |
| **เวกเตอร์การโจมตี**       | อักขระ Unicode ที่ดูคล้ายกัน เทคนิคการเข้ารหัส การโหลดแบบไดนามิก                   |
| **คอมโพเนนต์ที่ได้รับผลกระทบ** | moderation.ts ของ ClawHub                                                  |
| **การบรรเทาปัจจุบัน** | FLAG_RULES ตามรูปแบบ                                               |
| **ความเสี่ยงคงเหลือ**       | สูง - regex แบบง่ายถูกเลี่ยงผ่านได้ง่าย                                    |
| **คำแนะนำ**     | เพิ่มการวิเคราะห์พฤติกรรม (VirusTotal Code Insight), การตรวจจับตาม AST |

#### T-EVADE-002: การหลุดออกจากตัวห่อหุ้มเนื้อหา

| แอตทริบิวต์              | ค่า                                                     |
| ----------------------- | --------------------------------------------------------- |
| **ATLAS ID**            | AML.T0043 - สร้างข้อมูลที่เป็นปฏิปักษ์                        |
| **คำอธิบาย**         | ผู้โจมตีสร้างเนื้อหาที่หลุดออกจากบริบท wrapper XML  |
| **เวกเตอร์การโจมตี**       | การปรับแต่งแท็ก, ความสับสนของบริบท, การแทนที่คำสั่ง |
| **คอมโพเนนต์ที่ได้รับผลกระทบ** | การห่อหุ้มเนื้อหาภายนอก                                 |
| **การลดความเสี่ยงปัจจุบัน** | แท็ก XML + ประกาศด้านความปลอดภัย                                |
| **ความเสี่ยงคงเหลือ**       | ปานกลาง - มีการค้นพบวิธีหลบหนีแบบใหม่เป็นประจำ               |
| **คำแนะนำ**     | wrapper หลายชั้น, การตรวจสอบความถูกต้องฝั่งเอาต์พุต           |

---

### 3.6 การค้นพบ (AML.TA0008)

#### T-DISC-001: การแจกแจงเครื่องมือ

| แอตทริบิวต์              | ค่า                                                 |
| ----------------------- | ----------------------------------------------------- |
| **ATLAS ID**            | AML.T0040 - การเข้าถึง API อนุมานโมเดล AI             |
| **คำอธิบาย**         | ผู้โจมตีแจกแจงเครื่องมือที่มีอยู่ผ่านการ prompting |
| **เวกเตอร์การโจมตี**       | คำถามรูปแบบ "คุณมีเครื่องมืออะไรบ้าง?"               |
| **คอมโพเนนต์ที่ได้รับผลกระทบ** | รีจิสทรีเครื่องมือของเอเจนต์                                   |
| **การลดความเสี่ยงปัจจุบัน** | ไม่มีแบบเฉพาะ                                         |
| **ความเสี่ยงคงเหลือ**       | ต่ำ - โดยทั่วไปเครื่องมือมีเอกสารกำกับ                      |
| **คำแนะนำ**     | พิจารณาการควบคุมการมองเห็นเครื่องมือ                     |

#### T-DISC-002: การดึงข้อมูลเซสชัน

| แอตทริบิวต์              | ค่า                                                 |
| ----------------------- | ----------------------------------------------------- |
| **ATLAS ID**            | AML.T0040 - การเข้าถึง API อนุมานโมเดล AI             |
| **คำอธิบาย**         | ผู้โจมตีดึงข้อมูลที่ละเอียดอ่อนจากบริบทเซสชัน |
| **เวกเตอร์การโจมตี**       | คำถาม "เราคุยอะไรกันไปบ้าง?", การ probing บริบท       |
| **คอมโพเนนต์ที่ได้รับผลกระทบ** | ทรานสคริปต์เซสชัน, หน้าต่างบริบท                   |
| **การลดความเสี่ยงปัจจุบัน** | การแยกเซสชันตามผู้ส่ง                          |
| **ความเสี่ยงคงเหลือ**       | ปานกลาง - ข้อมูลภายในเซสชันเข้าถึงได้               |
| **คำแนะนำ**     | ใช้การปกปิดข้อมูลที่ละเอียดอ่อนในบริบท         |

---

### 3.7 การเก็บรวบรวมและการรั่วไหลออก (AML.TA0009, AML.TA0010)

#### T-EXFIL-001: การขโมยข้อมูลผ่าน web_fetch

| แอตทริบิวต์              | ค่า                                                                  |
| ----------------------- | ---------------------------------------------------------------------- |
| **ATLAS ID**            | AML.T0009 - การเก็บรวบรวม                                                 |
| **คำอธิบาย**         | ผู้โจมตีทำให้ข้อมูลรั่วไหลออกโดยสั่งให้เอเจนต์ส่งไปยัง URL ภายนอก |
| **เวกเตอร์การโจมตี**       | Prompt injection ที่ทำให้เอเจนต์ POST ข้อมูลไปยังเซิร์ฟเวอร์ของผู้โจมตี         |
| **คอมโพเนนต์ที่ได้รับผลกระทบ** | เครื่องมือ web_fetch                                                         |
| **การลดความเสี่ยงปัจจุบัน** | การบล็อก SSRF สำหรับเครือข่ายภายใน                                    |
| **ความเสี่ยงคงเหลือ**       | สูง - อนุญาต URL ภายนอก                                         |
| **คำแนะนำ**     | ใช้รายการอนุญาต URL, ความตระหนักด้านการจำแนกประเภทข้อมูล              |

#### T-EXFIL-002: การส่งข้อความโดยไม่ได้รับอนุญาต

| แอตทริบิวต์              | ค่า                                                            |
| ----------------------- | ---------------------------------------------------------------- |
| **ATLAS ID**            | AML.T0009 - การเก็บรวบรวม                                           |
| **คำอธิบาย**         | ผู้โจมตีทำให้เอเจนต์ส่งข้อความที่มีข้อมูลที่ละเอียดอ่อน |
| **เวกเตอร์การโจมตี**       | Prompt injection ที่ทำให้เอเจนต์ส่งข้อความหาผู้โจมตี               |
| **คอมโพเนนต์ที่ได้รับผลกระทบ** | เครื่องมือข้อความ, การผสานรวมช่องทาง                               |
| **การลดความเสี่ยงปัจจุบัน** | การ gating การส่งข้อความขาออก                                        |
| **ความเสี่ยงคงเหลือ**       | ปานกลาง - การ gating อาจถูกข้ามได้                                  |
| **คำแนะนำ**     | ต้องมีการยืนยันอย่างชัดเจนสำหรับผู้รับใหม่                 |

#### T-EXFIL-003: การเก็บเกี่ยวข้อมูลประจำตัว

| แอตทริบิวต์              | ค่า                                                   |
| ----------------------- | ------------------------------------------------------- |
| **ATLAS ID**            | AML.T0009 - การเก็บรวบรวม                                  |
| **คำอธิบาย**         | Skills ที่เป็นอันตรายเก็บเกี่ยวข้อมูลประจำตัวจากบริบทของเอเจนต์ |
| **เวกเตอร์การโจมตี**       | โค้ด Skills อ่านตัวแปรสภาพแวดล้อม, ไฟล์กำหนดค่า    |
| **คอมโพเนนต์ที่ได้รับผลกระทบ** | สภาพแวดล้อมการดำเนินการของ Skills                             |
| **การลดความเสี่ยงปัจจุบัน** | ไม่มีแบบเฉพาะสำหรับ Skills                                 |
| **ความเสี่ยงคงเหลือ**       | วิกฤต - Skills ทำงานด้วยสิทธิ์ของเอเจนต์             |
| **คำแนะนำ**     | การทำ sandbox สำหรับ Skills, การแยกข้อมูลประจำตัว                  |

---

### 3.8 ผลกระทบ (AML.TA0011)

#### T-IMPACT-001: การดำเนินการคำสั่งโดยไม่ได้รับอนุญาต

| แอตทริบิวต์              | ค่า                                               |
| ----------------------- | --------------------------------------------------- |
| **ATLAS ID**            | AML.T0031 - บั่นทอนความสมบูรณ์ของโมเดล AI                |
| **คำอธิบาย**         | ผู้โจมตีดำเนินการคำสั่งใดก็ได้บนระบบของผู้ใช้ |
| **เวกเตอร์การโจมตี**       | Prompt injection รวมกับการข้ามการอนุมัติ exec |
| **คอมโพเนนต์ที่ได้รับผลกระทบ** | เครื่องมือ Bash, การดำเนินการคำสั่ง                        |
| **การลดความเสี่ยงปัจจุบัน** | การอนุมัติ exec, ตัวเลือก sandbox ของ Docker               |
| **ความเสี่ยงคงเหลือ**       | วิกฤต - การดำเนินการบนโฮสต์โดยไม่มี sandbox           |
| **คำแนะนำ**     | ใช้ sandbox เป็นค่าเริ่มต้น, ปรับปรุง UX การอนุมัติ             |

#### T-IMPACT-002: การใช้ทรัพยากรจนหมด (DoS)

| แอตทริบิวต์              | ค่า                                              |
| ----------------------- | -------------------------------------------------- |
| **ATLAS ID**            | AML.T0031 - บั่นทอนความสมบูรณ์ของโมเดล AI               |
| **คำอธิบาย**         | ผู้โจมตีใช้เครดิต API หรือทรัพยากรประมวลผลจนหมด |
| **เวกเตอร์การโจมตี**       | การส่งข้อความอัตโนมัติถาโถม, การเรียกใช้เครื่องมือที่มีค่าใช้จ่ายสูง   |
| **คอมโพเนนต์ที่ได้รับผลกระทบ** | Gateway, เซสชันเอเจนต์, ผู้ให้บริการ API              |
| **การลดความเสี่ยงปัจจุบัน** | ไม่มี                                               |
| **ความเสี่ยงคงเหลือ**       | สูง - ไม่มีการจำกัดอัตรา                            |
| **คำแนะนำ**     | ใช้ขีดจำกัดอัตราต่อผู้ส่ง, งบประมาณค่าใช้จ่าย     |

#### T-IMPACT-003: ความเสียหายต่อชื่อเสียง

| แอตทริบิวต์              | ค่า                                                   |
| ----------------------- | ------------------------------------------------------- |
| **ATLAS ID**            | AML.T0031 - บั่นทอนความสมบูรณ์ของโมเดล AI                    |
| **คำอธิบาย**         | ผู้โจมตีทำให้เอเจนต์ส่งเนื้อหาที่เป็นอันตราย/ไม่เหมาะสม |
| **เวกเตอร์การโจมตี**       | Prompt injection ที่ทำให้เกิดการตอบสนองที่ไม่เหมาะสม        |
| **คอมโพเนนต์ที่ได้รับผลกระทบ** | การสร้างเอาต์พุต, การส่งข้อความผ่านช่องทาง                    |
| **การลดความเสี่ยงปัจจุบัน** | นโยบายเนื้อหาของผู้ให้บริการ LLM                           |
| **ความเสี่ยงคงเหลือ**       | ปานกลาง - ตัวกรองของผู้ให้บริการไม่สมบูรณ์                     |
| **คำแนะนำ**     | ชั้นกรองเอาต์พุต, การควบคุมโดยผู้ใช้                   |

---

## 4. การวิเคราะห์ซัพพลายเชนของ ClawHub

### 4.1 การควบคุมความปลอดภัยปัจจุบัน

| การควบคุม              | การใช้งาน              | ประสิทธิผล                                        |
| -------------------- | --------------------------- | ---------------------------------------------------- |
| อายุบัญชี GitHub   | `requireGitHubAccountAge()` | ปานกลาง - เพิ่มอุปสรรคสำหรับผู้โจมตีรายใหม่                |
| การทำความสะอาดพาธ    | `sanitizePath()`            | สูง - ป้องกัน path traversal                       |
| การตรวจสอบประเภทไฟล์ | `isTextFile()`              | ปานกลาง - เฉพาะไฟล์ข้อความ แต่ยังอาจเป็นอันตรายได้ |
| ขีดจำกัดขนาด          | บันเดิลรวม 50MB           | สูง - ป้องกันการใช้ทรัพยากรจนหมด                  |
| ต้องมี SKILL.md    | README บังคับ            | คุณค่าด้านความปลอดภัยต่ำ - เป็นข้อมูลเท่านั้น              |
| การกลั่นกรองรูปแบบ   | FLAG_RULES ใน moderation.ts | ต่ำ - ข้ามได้ง่าย                                |
| สถานะการกลั่นกรอง    | ฟิลด์ `moderationStatus`    | ปานกลาง - สามารถตรวจสอบด้วยคนได้                      |

### 4.2 รูปแบบแฟล็กการกลั่นกรอง

รูปแบบปัจจุบันใน `moderation.ts`:

```javascript
// Known-bad identifiers
/(keepcold131\/ClawdAuthenticatorTool|ClawdAuthenticatorTool)/i

// Suspicious keywords
/(malware|stealer|phish|phishing|keylogger)/i
/(api[-_ ]?key|token|password|private key|secret)/i
/(wallet|seed phrase|mnemonic|crypto)/i
/(discord\.gg|webhook|hooks\.slack)/i
/(curl[^\n]+\|\s*(sh|bash))/i
/(bit\.ly|tinyurl\.com|t\.co|goo\.gl|is\.gd)/i
```

**ข้อจำกัด:**

- ตรวจเฉพาะ slug, displayName, summary, frontmatter, metadata, พาธไฟล์
- ไม่วิเคราะห์เนื้อหาโค้ด Skills จริง
- regex อย่างง่ายถูกข้ามได้ง่ายด้วยการทำให้คลุมเครือ
- ไม่มีการวิเคราะห์พฤติกรรม

### 4.3 การปรับปรุงที่วางแผนไว้

| การปรับปรุง            | สถานะ                                | ผลกระทบ                                                                |
| ---------------------- | ------------------------------------- | --------------------------------------------------------------------- |
| การผสานรวม VirusTotal | กำลังดำเนินการ                           | สูง - การวิเคราะห์พฤติกรรม Code Insight                               |
| การรายงานโดยชุมชน    | บางส่วน (มีตาราง `skillReports`) | ปานกลาง                                                                |
| การบันทึก Audit          | บางส่วน (มีตาราง `auditLogs`)    | ปานกลาง                                                                |
| ระบบ Badge           | ใช้งานแล้ว                           | ปานกลาง - `highlighted`, `official`, `deprecated`, `redactionApproved` |

---

## 5. เมทริกซ์ความเสี่ยง

### 5.1 ความน่าจะเป็นเทียบกับผลกระทบ

| ID ภัยคุกคาม     | ความน่าจะเป็น | ผลกระทบ   | ระดับความเสี่ยง   | ลำดับความสำคัญ |
| ------------- | ---------- | -------- | ------------ | -------- |
| T-EXEC-001    | สูง       | วิกฤต | **วิกฤต** | P0       |
| T-PERSIST-001 | สูง       | วิกฤต | **วิกฤต** | P0       |
| T-EXFIL-003   | ปานกลาง     | วิกฤต | **วิกฤต** | P0       |
| T-IMPACT-001  | ปานกลาง     | วิกฤต | **สูง**     | P1       |
| T-EXEC-002    | สูง       | สูง     | **สูง**     | P1       |
| T-EXEC-004    | ปานกลาง     | สูง     | **สูง**     | P1       |
| T-ACCESS-003  | ปานกลาง     | สูง     | **สูง**     | P1       |
| T-EXFIL-001   | ปานกลาง     | สูง     | **สูง**     | P1       |
| T-IMPACT-002  | สูง       | ปานกลาง   | **สูง**     | P1       |
| T-EVADE-001   | สูง       | ปานกลาง   | **ปานกลาง**   | P2       |
| T-ACCESS-001  | ต่ำ        | สูง     | **ปานกลาง**   | P2       |
| T-ACCESS-002  | ต่ำ        | สูง     | **ปานกลาง**   | P2       |
| T-PERSIST-002 | ต่ำ        | สูง     | **ปานกลาง**   | P2       |

### 5.2 เชนการโจมตีเส้นทางวิกฤต

**เชนการโจมตี 1: การขโมยข้อมูลบนฐาน Skills**

```
T-PERSIST-001 → T-EVADE-001 → T-EXFIL-003
(Publish malicious skill) → (Evade moderation) → (Harvest credentials)
```

**เชนการโจมตี 2: Prompt Injection ไปสู่ RCE**

```
T-EXEC-001 → T-EXEC-004 → T-IMPACT-001
(Inject prompt) → (Bypass exec approval) → (Execute commands)
```

**เชนการโจมตี 3: การฉีดคำสั่งทางอ้อมผ่านเนื้อหาที่ดึงมา**

```
T-EXEC-002 → T-EXFIL-001 → External exfiltration
(Poison URL content) → (Agent fetches & follows instructions) → (Data sent to attacker)
```

---

## 6. สรุปคำแนะนำ

### 6.1 ทันที (P0)

| ID    | คำแนะนำ                                     | จัดการกับ                   |
| ----- | ------------------------------------------- | -------------------------- |
| R-001 | ทำการผสานรวม VirusTotal ให้เสร็จสมบูรณ์     | T-PERSIST-001, T-EVADE-001 |
| R-002 | นำการทำ sandbox สำหรับ skill มาใช้          | T-PERSIST-001, T-EXFIL-003 |
| R-003 | เพิ่มการตรวจสอบเอาต์พุตสำหรับการกระทำที่ละเอียดอ่อน | T-EXEC-001, T-EXEC-002     |

### 6.2 ระยะสั้น (P1)

| ID    | คำแนะนำ                                  | จัดการกับ    |
| ----- | ---------------------------------------- | ------------ |
| R-004 | นำการจำกัดอัตรามาใช้                    | T-IMPACT-002 |
| R-005 | เพิ่มการเข้ารหัสโทเคนเมื่อจัดเก็บ        | T-ACCESS-003 |
| R-006 | ปรับปรุง UX และการตรวจสอบสำหรับการอนุมัติ exec | T-EXEC-004   |
| R-007 | นำรายการ URL ที่อนุญาตสำหรับ web_fetch มาใช้ | T-EXFIL-001  |

### 6.3 ระยะกลาง (P2)

| ID    | คำแนะนำ                                             | จัดการกับ     |
| ----- | ----------------------------------------------------- | ------------- |
| R-008 | เพิ่มการตรวจสอบช่องทางด้วยการเข้ารหัสลับเมื่อทำได้   | T-ACCESS-002  |
| R-009 | นำการตรวจสอบความถูกต้องสมบูรณ์ของ config มาใช้       | T-PERSIST-003 |
| R-010 | เพิ่มการลงนามอัปเดตและการตรึงเวอร์ชัน                | T-PERSIST-002 |

---

## 7. ภาคผนวก

### 7.1 การแมปเทคนิค ATLAS

| ID ของ ATLAS | ชื่อเทคนิค                         | ภัยคุกคามต่อ OpenClaw                                            |
| ------------- | ---------------------------------- | ---------------------------------------------------------------- |
| AML.T0006     | การสแกนเชิงรุก                    | T-RECON-001, T-RECON-002                                         |
| AML.T0009     | การรวบรวม                          | T-EXFIL-001, T-EXFIL-002, T-EXFIL-003                            |
| AML.T0010.001 | ห่วงโซ่อุปทาน: ซอฟต์แวร์ AI       | T-PERSIST-001, T-PERSIST-002                                     |
| AML.T0010.002 | ห่วงโซ่อุปทาน: ข้อมูล              | T-PERSIST-003                                                    |
| AML.T0031     | บั่นทอนความถูกต้องสมบูรณ์ของโมเดล AI | T-IMPACT-001, T-IMPACT-002, T-IMPACT-003                         |
| AML.T0040     | การเข้าถึง API สำหรับการอนุมานของโมเดล AI | T-ACCESS-001, T-ACCESS-002, T-ACCESS-003, T-DISC-001, T-DISC-002 |
| AML.T0043     | สร้างข้อมูลเชิงปฏิปักษ์            | T-EXEC-004, T-EVADE-001, T-EVADE-002                             |
| AML.T0051.000 | การฉีดพรอมป์ LLM: โดยตรง           | T-EXEC-001, T-EXEC-003                                           |
| AML.T0051.001 | การฉีดพรอมป์ LLM: โดยอ้อม          | T-EXEC-002                                                       |

### 7.2 ไฟล์ความปลอดภัยสำคัญ

| พาธ                                | วัตถุประสงค์                 | ระดับความเสี่ยง |
| ----------------------------------- | --------------------------- | ------------ |
| `src/infra/exec-approvals.ts`       | ตรรกะการอนุมัติคำสั่ง        | **วิกฤต** |
| `src/gateway/auth.ts`               | การตรวจสอบสิทธิ์ Gateway    | **วิกฤต** |
| `src/infra/net/ssrf.ts`             | การป้องกัน SSRF             | **วิกฤต** |
| `src/security/external-content.ts`  | การลดผลกระทบจากการฉีดพรอมป์ | **วิกฤต** |
| `src/agents/sandbox/tool-policy.ts` | การบังคับใช้นโยบายเครื่องมือ | **วิกฤต** |
| `src/routing/resolve-route.ts`      | การแยก session              | **ปานกลาง**   |

### 7.3 อภิธานศัพท์

| คำศัพท์              | คำจำกัดความ                                                |
| -------------------- | --------------------------------------------------------- |
| **ATLAS**            | ภูมิทัศน์ภัยคุกคามเชิงปฏิปักษ์ต่อระบบ AI ของ MITRE       |
| **ClawHub**          | ตลาด Skills ของ OpenClaw                                  |
| **Gateway**          | ชั้นการกำหนดเส้นทางข้อความและการตรวจสอบสิทธิ์ของ OpenClaw |
| **MCP**              | Model Context Protocol - อินเทอร์เฟซผู้ให้บริการเครื่องมือ |
| **การฉีดพรอมป์** | การโจมตีที่ฝังคำสั่งที่เป็นอันตรายไว้ในอินพุต |
| **Skill**            | ส่วนขยายที่ดาวน์โหลดได้สำหรับเอเจนต์ OpenClaw             |
| **SSRF**             | Server-Side Request Forgery                               |

---

_โมเดลภัยคุกคามนี้เป็นเอกสารที่มีการพัฒนาอย่างต่อเนื่อง รายงานปัญหาด้านความปลอดภัยไปที่ security@openclaw.ai_

## ที่เกี่ยวข้อง

- [การพิสูจน์อย่างเป็นทางการ](/th/security/formal-verification)
- [การมีส่วนร่วมกับโมเดลภัยคุกคาม](/th/security/CONTRIBUTING-THREAT-MODEL)
