---
read_when:
    - Огляд стану безпеки або сценаріїв загроз
    - Робота над функціями безпеки або відповідями на аудит
summary: Модель загроз OpenClaw, зіставлена з фреймворком MITRE ATLAS
title: Модель загроз (MITRE ATLAS)
x-i18n:
    generated_at: "2026-04-27T07:10:01Z"
    model: gpt-5.4
    provider: openai
    source_hash: d929addb829b92d650ef6caecb267fb154f6f9f7d28be7aa87851569931f5228
    source_path: security/THREAT-MODEL-ATLAS.md
    workflow: 15
---

# Модель загроз OpenClaw v1.0

## Фреймворк MITRE ATLAS

**Версія:** 1.0-draft
**Останнє оновлення:** 2026-02-04
**Методологія:** MITRE ATLAS + діаграми потоків даних
**Фреймворк:** [MITRE ATLAS](https://atlas.mitre.org/) (ландшафт ворожих загроз для AI-систем)

### Атрибуція фреймворку

Цю модель загроз побудовано на основі [MITRE ATLAS](https://atlas.mitre.org/), галузевого стандартного фреймворку для документування ворожих загроз для систем AI/ML. ATLAS підтримується [MITRE](https://www.mitre.org/) у співпраці зі спільнотою безпеки AI.

**Ключові ресурси ATLAS:**

- [Техніки ATLAS](https://atlas.mitre.org/techniques/)
- [Тактики ATLAS](https://atlas.mitre.org/tactics/)
- [Дослідження випадків ATLAS](https://atlas.mitre.org/studies/)
- [GitHub ATLAS](https://github.com/mitre-atlas/atlas-data)
- [Участь у розвитку ATLAS](https://atlas.mitre.org/resources/contribute)

### Участь у розвитку цієї моделі загроз

Це живий документ, який підтримується спільнотою OpenClaw. Див. [CONTRIBUTING-THREAT-MODEL.md](/uk/security/CONTRIBUTING-THREAT-MODEL) для настанов щодо внеску:

- повідомлення про нові загрози
- оновлення наявних загроз
- пропозиція ланцюжків атак
- пропозиція заходів пом’якшення

---

## 1. Вступ

### 1.1 Мета

Ця модель загроз документує ворожі загрози для платформи AI-агентів OpenClaw і маркетплейсу Skills ClawHub, використовуючи фреймворк MITRE ATLAS, спеціально розроблений для систем AI/ML.

### 1.2 Обсяг

| Компонент              | Включено | Примітки                                        |
| ---------------------- | -------- | ----------------------------------------------- |
| Середовище виконання агентів OpenClaw | Так      | Основне виконання агентів, виклики інструментів, сесії |
| Gateway                | Так      | Автентифікація, маршрутизація, інтеграція каналів |
| Інтеграції каналів     | Так      | WhatsApp, Telegram, Discord, Signal, Slack тощо |
| Маркетплейс ClawHub    | Так      | Публікація Skills, модерація, розповсюдження    |
| Сервери MCP            | Так      | Зовнішні постачальники інструментів             |
| Пристрої користувачів  | Частково | Мобільні застосунки, десктопні клієнти          |

### 1.3 Поза обсягом

Для цієї моделі загроз немає нічого, що було б явно поза обсягом.

---

## 2. Архітектура системи

### 2.1 Межі довіри

```
┌─────────────────────────────────────────────────────────────────┐
│                    НЕНАДІЙНА ЗОНА                               │
│  ┌─────────────┐  ┌─────────────┐  ┌─────────────┐              │
│  │  WhatsApp   │  │  Telegram   │  │   Discord   │  ...         │
│  └──────┬──────┘  └──────┬──────┘  └──────┬──────┘              │
│         │                │                │                      │
└─────────┼────────────────┼────────────────┼──────────────────────┘
          │                │                │
          ▼                ▼                ▼
┌─────────────────────────────────────────────────────────────────┐
│              МЕЖА ДОВІРИ 1: Доступ до каналів                   │
│  ┌──────────────────────────────────────────────────────────┐   │
│  │                      GATEWAY                              │   │
│  │  • Pairing пристроїв (1 год DM / 5 хв grace period Node) │   │
│  │  • Перевірка AllowFrom / AllowList                       │   │
│  │  • Автентифікація token/password/Tailscale              │   │
│  └──────────────────────────────────────────────────────────┘   │
└─────────────────────────────────────────────────────────────────┘
                              │
                              ▼
┌─────────────────────────────────────────────────────────────────┐
│             МЕЖА ДОВІРИ 2: Ізоляція сесій                       │
│  ┌──────────────────────────────────────────────────────────┐   │
│  │                   СЕСІЇ АГЕНТІВ                           │   │
│  │  • Ключ сесії = agent:channel:peer                       │   │
│  │  • Політики інструментів для кожного агента              │   │
│  │  • Журналювання стенограм                               │   │
│  └──────────────────────────────────────────────────────────┘   │
└─────────────────────────────────────────────────────────────────┘
                              │
                              ▼
┌─────────────────────────────────────────────────────────────────┐
│            МЕЖА ДОВІРИ 3: Виконання інструментів                │
│  ┌──────────────────────────────────────────────────────────┐   │
│  │                 SANDBOX ВИКОНАННЯ                         │   │
│  │  • Docker sandbox АБО Host (exec-approvals)              │   │
│  │  • Віддалене виконання Node                              │   │
│  │  • Захист SSRF (DNS pinning + блокування IP)             │   │
│  └──────────────────────────────────────────────────────────┘   │
└─────────────────────────────────────────────────────────────────┘
                              │
                              ▼
┌─────────────────────────────────────────────────────────────────┐
│          МЕЖА ДОВІРИ 4: Зовнішній вміст                         │
│  ┌──────────────────────────────────────────────────────────┐   │
│  │          ОТРИМАНІ URL / EMAIL / WEBHOOK                  │   │
│  │  • Обгортання зовнішнього вмісту (XML-теги)              │   │
│  │  • Вставка сповіщень безпеки                             │   │
│  └──────────────────────────────────────────────────────────┘   │
└─────────────────────────────────────────────────────────────────┘
                              │
                              ▼
┌─────────────────────────────────────────────────────────────────┐
│        МЕЖА ДОВІРИ 5: Ланцюг постачання                         │
│  ┌──────────────────────────────────────────────────────────┐   │
│  │                      CLAWHUB                              │   │
│  │  • Публікація Skills (semver, потрібен SKILL.md)         │   │
│  │  • Прапорці модерації на основі шаблонів                 │   │
│  │  • Сканування VirusTotal (незабаром)                     │   │
│  │  • Перевірка віку облікового запису GitHub               │   │
│  └──────────────────────────────────────────────────────────┘   │
└─────────────────────────────────────────────────────────────────┘
```

### 2.2 Потоки даних

| Потік | Джерело | Призначення | Дані               | Захист               |
| ---- | ------- | ----------- | ------------------ | -------------------- |
| F1   | Канал   | Gateway     | Повідомлення користувача | TLS, AllowFrom   |
| F2   | Gateway | Агент       | Маршрутизовані повідомлення | Ізоляція сесій |
| F3   | Агент   | Інструменти | Виклики інструментів | Застосування політик |
| F4   | Агент   | Зовнішнє середовище | запити `web_fetch` | Блокування SSRF |
| F5   | ClawHub | Агент       | Код Skills         | Модерація, сканування |
| F6   | Агент   | Канал       | Відповіді          | Фільтрація виводу    |

---

## 3. Аналіз загроз за тактиками ATLAS

### 3.1 Розвідка (AML.TA0002)

#### T-RECON-001: Виявлення кінцевих точок агента

| Атрибут                | Значення                                                            |
| ---------------------- | ------------------------------------------------------------------- |
| **ID ATLAS**           | AML.T0006 - Active Scanning                                         |
| **Опис**               | Зловмисник сканує відкриті кінцеві точки gateway OpenClaw           |
| **Вектор атаки**       | Сканування мережі, запити shodan, перебирання DNS                   |
| **Уражені компоненти** | Gateway, відкриті кінцеві точки API                                 |
| **Поточні заходи пом’якшення** | Опція автентифікації Tailscale, прив’язка до loopback за замовчуванням |
| **Залишковий ризик**   | Середній — публічні gateway можна виявити                           |
| **Рекомендації**       | Документувати безпечне розгортання, додати rate limiting на кінцеві точки виявлення |

#### T-RECON-002: Зондування інтеграції каналів

| Атрибут                | Значення                                                             |
| ---------------------- | -------------------------------------------------------------------- |
| **ID ATLAS**           | AML.T0006 - Active Scanning                                          |
| **Опис**               | Зловмисник зондує канали обміну повідомленнями, щоб виявити облікові записи, якими керує AI |
| **Вектор атаки**       | Надсилання тестових повідомлень, спостереження за шаблонами відповідей |
| **Уражені компоненти** | Усі інтеграції каналів                                               |
| **Поточні заходи пом’якшення** | Немає специфічних                                            |
| **Залишковий ризик**   | Низький — саме по собі виявлення дає обмежену користь               |
| **Рекомендації**       | Розглянути рандомізацію часу відповіді                               |

---

### 3.2 Початковий доступ (AML.TA0004)

#### T-ACCESS-001: Перехоплення коду pairing

| Атрибут                | Значення                                                                                                      |
| ---------------------- | ------------------------------------------------------------------------------------------------------------- |
| **ID ATLAS**           | AML.T0040 - AI Model Inference API Access                                                                     |
| **Опис**               | Зловмисник перехоплює код pairing під час grace period pairing (1 год для pairing каналу DM, 5 хв для pairing Node) |
| **Вектор атаки**       | Підглядання через плече, перехоплення мережевого трафіку, соціальна інженерія                                |
| **Уражені компоненти** | Система pairing пристроїв                                                                                     |
| **Поточні заходи пом’якшення** | Строк дії 1 год (DM pairing) / 5 хв (Node pairing), коди надсилаються через наявний канал         |
| **Залишковий ризик**   | Середній — grace period можна використати                                             |
| **Рекомендації**       | Скоротити grace period, додати крок підтвердження                                                             |

#### T-ACCESS-002: Підробка AllowFrom

| Атрибут                | Значення                                                                     |
| ---------------------- | ---------------------------------------------------------------------------- |
| **ID ATLAS**           | AML.T0040 - AI Model Inference API Access                                    |
| **Опис**               | Зловмисник підробляє ідентичність дозволеного відправника в каналі           |
| **Вектор атаки**       | Залежить від каналу — підробка номера телефону, імітація імені користувача   |
| **Уражені компоненти** | Перевірка AllowFrom для кожного каналу                                       |
| **Поточні заходи пом’якшення** | Перевірка ідентичності для конкретного каналу                        |
| **Залишковий ризик**   | Середній — деякі канали вразливі до підробки                                 |
| **Рекомендації**       | Документувати ризики для конкретних каналів, додати криптографічну перевірку там, де це можливо |

#### T-ACCESS-003: Викрадення токена

| Атрибут                | Значення                                                  |
| ---------------------- | --------------------------------------------------------- |
| **ID ATLAS**           | AML.T0040 - AI Model Inference API Access                 |
| **Опис**               | Зловмисник викрадає токени автентифікації з файлів конфігурації |
| **Вектор атаки**       | Шкідливе ПЗ, несанкціонований доступ до пристрою, витік резервної копії конфігурації |
| **Уражені компоненти** | `~/.openclaw/credentials/`, сховище конфігурації          |
| **Поточні заходи пом’якшення** | Права доступу до файлів                              |
| **Залишковий ризик**   | Високий — токени зберігаються у відкритому вигляді        |
| **Рекомендації**       | Реалізувати шифрування токенів у стані спокою, додати ротацію токенів |

---

### 3.3 Виконання (AML.TA0005)

#### T-EXEC-001: Пряма ін’єкція prompt

| Атрибут                | Значення                                                                                    |
| ---------------------- | ------------------------------------------------------------------------------------------- |
| **ID ATLAS**           | AML.T0051.000 - LLM Prompt Injection: Direct                                                |
| **Опис**               | Зловмисник надсилає спеціально створені prompt, щоб маніпулювати поведінкою агента         |
| **Вектор атаки**       | Повідомлення в каналі, що містять ворожі інструкції                                         |
| **Уражені компоненти** | LLM агента, усі поверхні вводу                                                              |
| **Поточні заходи пом’якшення** | Виявлення шаблонів, обгортання зовнішнього вмісту                                 |
| **Залишковий ризик**   | Критичний — лише виявлення, без блокування; складні атаки обходять захист                  |
| **Рекомендації**       | Реалізувати багаторівневий захист, перевірку виводу, підтвердження користувача для чутливих дій |

#### T-EXEC-002: Непряма ін’єкція prompt

| Атрибут                | Значення                                                   |
| ---------------------- | ---------------------------------------------------------- |
| **ID ATLAS**           | AML.T0051.001 - LLM Prompt Injection: Indirect             |
| **Опис**               | Зловмисник вбудовує шкідливі інструкції в отриманий вміст  |
| **Вектор атаки**       | Шкідливі URL, отруєні email, скомпрометовані Webhook       |
| **Уражені компоненти** | `web_fetch`, прийом email, зовнішні джерела даних          |
| **Поточні заходи пом’якшення** | Обгортання вмісту XML-тегами та сповіщенням безпеки |
| **Залишковий ризик**   | Високий — LLM може ігнорувати інструкції обгортки          |
| **Рекомендації**       | Реалізувати санітизацію вмісту, окремі контексти виконання |

#### T-EXEC-003: Ін’єкція аргументів інструментів

| Атрибут                | Значення                                                     |
| ---------------------- | ------------------------------------------------------------ |
| **ID ATLAS**           | AML.T0051.000 - LLM Prompt Injection: Direct                 |
| **Опис**               | Зловмисник маніпулює аргументами інструментів через ін’єкцію prompt |
| **Вектор атаки**       | Спеціально створені prompt, які впливають на значення параметрів інструмента |
| **Уражені компоненти** | Усі виклики інструментів                                     |
| **Поточні заходи пом’якшення** | Exec approvals для небезпечних команд                 |
| **Залишковий ризик**   | Високий — покладається на судження користувача               |
| **Рекомендації**       | Реалізувати перевірку аргументів, параметризовані виклики інструментів |

#### T-EXEC-004: Обхід Exec approvals

| Атрибут                | Значення                                                     |
| ---------------------- | ------------------------------------------------------------ |
| **ID ATLAS**           | AML.T0043 - Craft Adversarial Data                           |
| **Опис**               | Зловмисник створює команди, що обходять allowlist схвалення  |
| **Вектор атаки**       | Обфускація команд, використання alias, маніпуляція шляхами   |
| **Уражені компоненти** | `exec-approvals.ts`, allowlist команд                        |
| **Поточні заходи пом’якшення** | Allowlist + режим ask                                  |
| **Залишковий ризик**   | Високий — немає санітизації команд                           |
| **Рекомендації**       | Реалізувати нормалізацію команд, розширити blocklist         |

---

### 3.4 Постійність (AML.TA0006)

#### T-PERSIST-001: Встановлення шкідливого Skill

| Атрибут                | Значення                                                                  |
| ---------------------- | ------------------------------------------------------------------------- |
| **ID ATLAS**           | AML.T0010.001 - Supply Chain Compromise: AI Software                      |
| **Опис**               | Зловмисник публікує шкідливий Skill у ClawHub                             |
| **Вектор атаки**       | Створення облікового запису, публікація Skill із прихованим шкідливим кодом |
| **Уражені компоненти** | ClawHub, завантаження Skills, виконання агента                            |
| **Поточні заходи пом’якшення** | Перевірка віку облікового запису GitHub, прапорці модерації на основі шаблонів |
| **Залишковий ризик**   | Критичний — немає sandboxing, обмежена перевірка                          |
| **Рекомендації**       | Інтеграція VirusTotal (у процесі), sandboxing Skills, перевірка спільнотою |

#### T-PERSIST-002: Отруєння оновлення Skill

| Атрибут                | Значення                                                       |
| ---------------------- | -------------------------------------------------------------- |
| **ID ATLAS**           | AML.T0010.001 - Supply Chain Compromise: AI Software           |
| **Опис**               | Зловмисник компрометує популярний Skill і публікує шкідливе оновлення |
| **Вектор атаки**       | Компрометація облікового запису, соціальна інженерія щодо власника Skill |
| **Уражені компоненти** | Версіонування ClawHub, потоки автооновлення                    |
| **Поточні заходи пом’якшення** | Відбитки версій                                       |
| **Залишковий ризик**   | Високий — автооновлення можуть підтягувати шкідливі версії     |
| **Рекомендації**       | Реалізувати підписування оновлень, можливість rollback, фіксацію версій |

#### T-PERSIST-003: Підміна конфігурації агента

| Атрибут                | Значення                                                      |
| ---------------------- | ------------------------------------------------------------- |
| **ID ATLAS**           | AML.T0010.002 - Supply Chain Compromise: Data                 |
| **Опис**               | Зловмисник змінює конфігурацію агента, щоб зберегти доступ    |
| **Вектор атаки**       | Зміна файла конфігурації, ін’єкція налаштувань                |
| **Уражені компоненти** | Конфігурація агента, політики інструментів                    |
| **Поточні заходи пом’якшення** | Права доступу до файлів                                |
| **Залишковий ризик**   | Середній — потрібен локальний доступ                          |
| **Рекомендації**       | Перевірка цілісності конфігурації, аудит журналу змін конфігурації |

---

### 3.5 Ухилення від захисту (AML.TA0007)

#### T-EVADE-001: Обхід шаблонів модерації

| Атрибут                | Значення                                                                 |
| ---------------------- | ------------------------------------------------------------------------ |
| **ID ATLAS**           | AML.T0043 - Craft Adversarial Data                                       |
| **Опис**               | Зловмисник створює вміст Skill так, щоб обійти шаблони модерації         |
| **Вектор атаки**       | Юнікодні гомогліфи, трюки з кодуванням, динамічне завантаження            |
| **Уражені компоненти** | `ClawHub moderation.ts`                                                  |
| **Поточні заходи пом’якшення** | `FLAG_RULES` на основі шаблонів                                  |
| **Залишковий ризик**   | Високий — простий regex легко обійти                                     |
| **Рекомендації**       | Додати поведінковий аналіз (VirusTotal Code Insight), виявлення на основі AST |

#### T-EVADE-002: Вихід з обгортки вмісту

| Атрибут                | Значення                                                    |
| ---------------------- | ----------------------------------------------------------- |
| **ID ATLAS**           | AML.T0043 - Craft Adversarial Data                          |
| **Опис**               | Зловмисник створює вміст, який виходить із контексту XML-обгортки |
| **Вектор атаки**       | Маніпуляція тегами, плутанина контексту, перевизначення інструкцій |
| **Уражені компоненти** | Обгортання зовнішнього вмісту                               |
| **Поточні заходи пом’якшення** | XML-теги + сповіщення безпеки                      |
| **Залишковий ризик**   | Середній — нові способи виходу виявляються регулярно        |
| **Рекомендації**       | Кілька шарів обгортки, перевірка на боці виводу             |

---

### 3.6 Виявлення (AML.TA0008)

#### T-DISC-001: Перелік інструментів

| Атрибут                | Значення                                             |
| ---------------------- | ---------------------------------------------------- |
| **ID ATLAS**           | AML.T0040 - AI Model Inference API Access            |
| **Опис**               | Зловмисник перелічує доступні інструменти через prompt |
| **Вектор атаки**       | Запити в стилі "What tools do you have?"             |
| **Уражені компоненти** | Реєстр інструментів агента                           |
| **Поточні заходи пом’якшення** | Немає специфічних                              |
| **Залишковий ризик**   | Низький — інструменти зазвичай задокументовані       |
| **Рекомендації**       | Розглянути механізми контролю видимості інструментів |

#### T-DISC-002: Витяг даних сесії

| Атрибут                | Значення                                              |
| ---------------------- | ----------------------------------------------------- |
| **ID ATLAS**           | AML.T0040 - AI Model Inference API Access             |
| **Опис**               | Зловмисник витягає чутливі дані з контексту сесії     |
| **Вектор атаки**       | Запити "What did we discuss?", зондування контексту   |
| **Уражені компоненти** | Стенограми сесії, контекстне вікно                    |
| **Поточні заходи пом’якшення** | Ізоляція сесій для кожного відправника        |
| **Залишковий ризик**   | Середній — дані всередині сесії доступні              |
| **Рекомендації**       | Реалізувати редагування чутливих даних у контексті    |

---

### 3.7 Збирання та ексфільтрація (AML.TA0009, AML.TA0010)

#### T-EXFIL-001: Викрадення даних через `web_fetch`

| Атрибут                | Значення                                                                 |
| ---------------------- | ------------------------------------------------------------------------ |
| **ID ATLAS**           | AML.T0009 - Collection                                                   |
| **Опис**               | Зловмисник ексфільтрує дані, наказуючи агенту надсилати їх на зовнішню URL |
| **Вектор атаки**       | Ін’єкція prompt, що змушує агента робити POST із даними на сервер зловмисника |
| **Уражені компоненти** | Інструмент `web_fetch`                                                   |
| **Поточні заходи пом’якшення** | Блокування SSRF для внутрішніх мереж                         |
| **Залишковий ризик**   | Високий — зовнішні URL дозволені                                         |
| **Рекомендації**       | Реалізувати allowlist URL, обізнаність про класифікацію даних            |

#### T-EXFIL-002: Несанкціоноване надсилання повідомлень

| Атрибут                | Значення                                                           |
| ---------------------- | ------------------------------------------------------------------ |
| **ID ATLAS**           | AML.T0009 - Collection                                             |
| **Опис**               | Зловмисник змушує агента надсилати повідомлення, що містять чутливі дані |
| **Вектор атаки**       | Ін’єкція prompt, що змушує агента написати зловмиснику             |
| **Уражені компоненти** | Інструмент повідомлень, інтеграції каналів                         |
| **Поточні заходи пом’якшення** | Обмеження вихідних повідомлень                             |
| **Залишковий ризик**   | Середній — обмеження можна обійти                                  |
| **Рекомендації**       | Вимагати явного підтвердження для нових отримувачів                |

#### T-EXFIL-003: Збирання облікових даних

| Атрибут                | Значення                                                  |
| ---------------------- | --------------------------------------------------------- |
| **ID ATLAS**           | AML.T0009 - Collection                                    |
| **Опис**               | Шкідливий Skill збирає облікові дані з контексту агента   |
| **Вектор атаки**       | Код Skill читає змінні середовища, файли конфігурації     |
| **Уражені компоненти** | Середовище виконання Skill                                |
| **Поточні заходи пом’якшення** | Немає специфічних для Skills                      |
| **Залишковий ризик**   | Критичний — Skills працюють із привілеями агента          |
| **Рекомендації**       | Sandboxing Skills, ізоляція облікових даних               |

---

### 3.8 Вплив (AML.TA0011)

#### T-IMPACT-001: Несанкціоноване виконання команд

| Атрибут                | Значення                                              |
| ---------------------- | ----------------------------------------------------- |
| **ID ATLAS**           | AML.T0031 - Erode AI Model Integrity                  |
| **Опис**               | Зловмисник виконує довільні команди в системі користувача |
| **Вектор атаки**       | Ін’єкція prompt у поєднанні з обходом exec approval   |
| **Уражені компоненти** | Інструмент Bash, виконання команд                     |
| **Поточні заходи пом’якшення** | Exec approvals, опція Docker sandbox          |
| **Залишковий ризик**   | Критичний — виконання на Host без sandbox             |
| **Рекомендації**       | За замовчуванням використовувати sandbox, покращити UX схвалення |

#### T-IMPACT-002: Виснаження ресурсів (DoS)

| Атрибут                | Значення                                             |
| ---------------------- | ---------------------------------------------------- |
| **ID ATLAS**           | AML.T0031 - Erode AI Model Integrity                 |
| **Опис**               | Зловмисник вичерпує API-кредити або обчислювальні ресурси |
| **Вектор атаки**       | Автоматизований флуд повідомленнями, дорогі виклики інструментів |
| **Уражені компоненти** | Gateway, сесії агентів, постачальник API             |
| **Поточні заходи пом’якшення** | Немає                                         |
| **Залишковий ризик**   | Високий — немає rate limiting                        |
| **Рекомендації**       | Реалізувати ліміти швидкості для кожного відправника, бюджети вартості |

#### T-IMPACT-003: Репутаційна шкода

| Атрибут                | Значення                                                  |
| ---------------------- | --------------------------------------------------------- |
| **ID ATLAS**           | AML.T0031 - Erode AI Model Integrity                      |
| **Опис**               | Зловмисник змушує агента надсилати шкідливий/образливий вміст |
| **Вектор атаки**       | Ін’єкція prompt, що викликає неприйнятні відповіді        |
| **Уражені компоненти** | Генерація виводу, повідомлення в каналах                  |
| **Поточні заходи пом’якшення** | Політики вмісту постачальника LLM                 |
| **Залишковий ризик**   | Середній — фільтри постачальників недосконалі             |
| **Рекомендації**       | Шар фільтрації виводу, керування з боку користувача       |

---

## 4. Аналіз ланцюга постачання ClawHub

### 4.1 Поточні засоби контролю безпеки

| Засіб контролю        | Реалізація                  | Ефективність                                         |
| --------------------- | --------------------------- | ---------------------------------------------------- |
| Вік облікового запису GitHub | `requireGitHubAccountAge()` | Середня — підвищує поріг для нових зловмисників |
| Санітизація шляхів    | `sanitizePath()`            | Висока — запобігає path traversal                    |
| Перевірка типів файлів | `isTextFile()`             | Середня — лише текстові файли, але вони все одно можуть бути шкідливими |
| Обмеження розміру     | 50MB загального bundle      | Висока — запобігає виснаженню ресурсів               |
| Обов’язковий SKILL.md | Обов’язковий readme         | Низька цінність для безпеки — лише інформаційно      |
| Модерація за шаблонами | `FLAG_RULES` у `moderation.ts` | Низька — легко обійти                            |
| Статус модерації      | поле `moderationStatus`     | Середня — можлива ручна перевірка                    |

### 4.2 Шаблони прапорців модерації

Поточні шаблони в `moderation.ts`:

```javascript
// Відомі шкідливі ідентифікатори
/(keepcold131\/ClawdAuthenticatorTool|ClawdAuthenticatorTool)/i

// Підозрілі ключові слова
/(malware|stealer|phish|phishing|keylogger)/i
/(api[-_ ]?key|token|password|private key|secret)/i
/(wallet|seed phrase|mnemonic|crypto)/i
/(discord\.gg|webhook|hooks\.slack)/i
/(curl[^\n]+\|\s*(sh|bash))/i
/(bit\.ly|tinyurl\.com|t\.co|goo\.gl|is\.gd)/i
```

**Обмеження:**

- перевіряються лише `slug`, `displayName`, `summary`, frontmatter, метадані, шляхи файлів
- фактичний код Skill не аналізується
- простий regex легко обходиться за допомогою обфускації
- немає поведінкового аналізу

### 4.3 Заплановані покращення

| Покращення            | Статус                                | Вплив                                                                |
| --------------------- | ------------------------------------- | -------------------------------------------------------------------- |
| Інтеграція VirusTotal | У процесі                             | Високий — поведінковий аналіз Code Insight                           |
| Звіти спільноти       | Частково (`skillReports` table exists) | Середній                                                            |
| Аудит журналювання    | Частково (`auditLogs` table exists)    | Середній                                                            |
| Система значків       | Реалізовано                           | Середній — `highlighted`, `official`, `deprecated`, `redactionApproved` |

---

## 5. Матриця ризиків

### 5.1 Імовірність vs вплив

| ID загрози    | Імовірність | Вплив    | Рівень ризику | Пріоритет |
| ------------- | ----------- | -------- | ------------- | --------- |
| T-EXEC-001    | Висока      | Критичний | **Критичний** | P0        |
| T-PERSIST-001 | Висока      | Критичний | **Критичний** | P0        |
| T-EXFIL-003   | Середня     | Критичний | **Критичний** | P0        |
| T-IMPACT-001  | Середня     | Критичний | **Високий**   | P1        |
| T-EXEC-002    | Висока      | Високий   | **Високий**   | P1        |
| T-EXEC-004    | Середня     | Високий   | **Високий**   | P1        |
| T-ACCESS-003  | Середня     | Високий   | **Високий**   | P1        |
| T-EXFIL-001   | Середня     | Високий   | **Високий**   | P1        |
| T-IMPACT-002  | Висока      | Середній  | **Високий**   | P1        |
| T-EVADE-001   | Висока      | Середній  | **Середній**  | P2        |
| T-ACCESS-001  | Низька      | Високий   | **Середній**  | P2        |
| T-ACCESS-002  | Низька      | Високий   | **Середній**  | P2        |
| T-PERSIST-002 | Низька      | Високий   | **Середній**  | P2        |

### 5.2 Критичні ланцюжки атак

**Ланцюжок атаки 1: Викрадення даних через Skill**

```
T-PERSIST-001 → T-EVADE-001 → T-EXFIL-003
(Публікація шкідливого Skill) → (Обхід модерації) → (Збирання облікових даних)
```

**Ланцюжок атаки 2: Ін’єкція prompt до RCE**

```
T-EXEC-001 → T-EXEC-004 → T-IMPACT-001
(Ін’єкція prompt) → (Обхід exec approval) → (Виконання команд)
```

**Ланцюжок атаки 3: Непряма ін’єкція через отриманий вміст**

```
T-EXEC-002 → T-EXFIL-001 → Зовнішня ексфільтрація
(Отруєння вмісту URL) → (Агент отримує вміст і виконує інструкції) → (Дані надіслано зловмиснику)
```

---

## 6. Підсумок рекомендацій

### 6.1 Негайно (P0)

| ID    | Рекомендація                                  | Закриває                   |
| ----- | --------------------------------------------- | -------------------------- |
| R-001 | Завершити інтеграцію VirusTotal               | T-PERSIST-001, T-EVADE-001 |
| R-002 | Реалізувати sandboxing Skills                 | T-PERSIST-001, T-EXFIL-003 |
| R-003 | Додати перевірку виводу для чутливих дій      | T-EXEC-001, T-EXEC-002     |

### 6.2 Короткостроково (P1)

| ID    | Рекомендація                                 | Закриває     |
| ----- | -------------------------------------------- | ------------ |
| R-004 | Реалізувати rate limiting                    | T-IMPACT-002 |
| R-005 | Додати шифрування токенів у стані спокою     | T-ACCESS-003 |
| R-006 | Покращити UX і перевірку exec approval       | T-EXEC-004   |
| R-007 | Реалізувати allowlist URL для `web_fetch`    | T-EXFIL-001  |

### 6.3 Середньостроково (P2)

| ID    | Рекомендація                                           | Закриває      |
| ----- | ------------------------------------------------------ | ------------- |
| R-008 | Додати криптографічну перевірку каналів там, де можливо | T-ACCESS-002  |
| R-009 | Реалізувати перевірку цілісності конфігурації          | T-PERSIST-003 |
| R-010 | Додати підписування оновлень і фіксацію версій         | T-PERSIST-002 |

---

## 7. Додатки

### 7.1 Відображення технік ATLAS

| ID ATLAS      | Назва техніки                  | Загрози OpenClaw                                                  |
| ------------- | ------------------------------ | ----------------------------------------------------------------- |
| AML.T0006     | Active Scanning                | T-RECON-001, T-RECON-002                                          |
| AML.T0009     | Collection                     | T-EXFIL-001, T-EXFIL-002, T-EXFIL-003                             |
| AML.T0010.001 | Supply Chain: AI Software      | T-PERSIST-001, T-PERSIST-002                                      |
| AML.T0010.002 | Supply Chain: Data             | T-PERSIST-003                                                     |
| AML.T0031     | Erode AI Model Integrity       | T-IMPACT-001, T-IMPACT-002, T-IMPACT-003                          |
| AML.T0040     | AI Model Inference API Access  | T-ACCESS-001, T-ACCESS-002, T-ACCESS-003, T-DISC-001, T-DISC-002  |
| AML.T0043     | Craft Adversarial Data         | T-EXEC-004, T-EVADE-001, T-EVADE-002                              |
| AML.T0051.000 | LLM Prompt Injection: Direct   | T-EXEC-001, T-EXEC-003                                            |
| AML.T0051.001 | LLM Prompt Injection: Indirect | T-EXEC-002                                                        |

### 7.2 Ключові файли безпеки

| Шлях                                | Призначення                  | Рівень ризику |
| ----------------------------------- | ---------------------------- | ------------- |
| `src/infra/exec-approvals.ts`       | Логіка схвалення команд      | **Критичний** |
| `src/gateway/auth.ts`               | Автентифікація Gateway       | **Критичний** |
| `src/infra/net/ssrf.ts`             | Захист SSRF                  | **Критичний** |
| `src/security/external-content.ts`  | Пом’якшення ін’єкції prompt  | **Критичний** |
| `src/agents/sandbox/tool-policy.ts` | Застосування політик інструментів | **Критичний** |
| `src/routing/resolve-route.ts`      | Ізоляція сесій               | **Середній**  |

### 7.3 Глосарій

| Термін               | Визначення                                                |
| -------------------- | --------------------------------------------------------- |
| **ATLAS**            | Ландшафт ворожих загроз для AI-систем від MITRE           |
| **ClawHub**          | Маркетплейс Skills OpenClaw                               |
| **Gateway**          | Рівень маршрутизації повідомлень і автентифікації OpenClaw |
| **MCP**              | Model Context Protocol — інтерфейс постачальника інструментів |
| **Prompt Injection** | Атака, під час якої шкідливі інструкції вбудовуються у вхідні дані |
| **Skill**            | Завантажуване розширення для агентів OpenClaw             |
| **SSRF**             | Підробка запитів на боці сервера                          |

---

_Ця модель загроз є живим документом. Повідомляйте про проблеми безпеки на security@openclaw.ai_

## Пов’язане

- [Формальна верифікація](/uk/security/formal-verification)
- [Участь у розвитку моделі загроз](/uk/security/CONTRIBUTING-THREAT-MODEL)
