---
read_when:
    - การทบทวนสถานะความปลอดภัยหรือสถานการณ์ภัยคุกคาม
    - การทำงานกับฟีเจอร์ด้านความปลอดภัยหรือการตอบกลับการตรวจสอบ audit
summary: โมเดลภัยคุกคามของ OpenClaw ที่แมปกับกรอบงาน MITRE ATLAS
title: โมเดลภัยคุกคาม (MITRE ATLAS)
x-i18n:
    generated_at: "2026-04-24T09:33:09Z"
    model: gpt-5.4
    provider: openai
    source_hash: e628bf60015a76d3015a7aab7b51649bdcfd2e99db148368e580839db16d2342
    source_path: security/THREAT-MODEL-ATLAS.md
    workflow: 15
---

# โมเดลภัยคุกคามของ OpenClaw v1.0

## กรอบงาน MITRE ATLAS

**เวอร์ชัน:** 1.0-draft
**อัปเดตล่าสุด:** 2026-02-04
**วิธีการ:** MITRE ATLAS + แผนภาพการไหลของข้อมูล
**กรอบงาน:** [MITRE ATLAS](https://atlas.mitre.org/) (ภูมิทัศน์ภัยคุกคามเชิงปฏิปักษ์สำหรับระบบ AI)

### การอ้างอิงกรอบงาน

โมเดลภัยคุกคามนี้สร้างขึ้นบน [MITRE ATLAS](https://atlas.mitre.org/) ซึ่งเป็นกรอบงานมาตรฐานอุตสาหกรรมสำหรับการจัดทำเอกสารภัยคุกคามเชิงปฏิปักษ์ต่อระบบ AI/ML โดยเฉพาะ ATLAS ได้รับการดูแลโดย [MITRE](https://www.mitre.org/) ร่วมกับชุมชนด้านความปลอดภัย AI

**ทรัพยากร ATLAS ที่สำคัญ:**

- [เทคนิค ATLAS](https://atlas.mitre.org/techniques/)
- [ยุทธวิธี ATLAS](https://atlas.mitre.org/tactics/)
- [กรณีศึกษา ATLAS](https://atlas.mitre.org/studies/)
- [ATLAS GitHub](https://github.com/mitre-atlas/atlas-data)
- [การมีส่วนร่วมกับ ATLAS](https://atlas.mitre.org/resources/contribute)

### การมีส่วนร่วมกับโมเดลภัยคุกคามนี้

นี่คือเอกสารที่มีการปรับปรุงอย่างต่อเนื่องซึ่งดูแลโดยชุมชน OpenClaw โปรดดู [CONTRIBUTING-THREAT-MODEL.md](/th/security/CONTRIBUTING-THREAT-MODEL) สำหรับแนวทางการมีส่วนร่วม:

- การรายงานภัยคุกคามใหม่
- การอัปเดตภัยคุกคามที่มีอยู่
- การเสนอห่วงโซ่การโจมตี
- การเสนอแนวทางลดความเสี่ยง

---

## 1. บทนำ

### 1.1 วัตถุประสงค์

โมเดลภัยคุกคามนี้จัดทำเอกสารภัยคุกคามเชิงปฏิปักษ์ต่อแพลตฟอร์มเอเจนต์ AI ของ OpenClaw และมาร์เก็ตเพลส Skills ของ ClawHub โดยใช้กรอบงาน MITRE ATLAS ที่ออกแบบมาสำหรับระบบ AI/ML โดยเฉพาะ

### 1.2 ขอบเขต

| องค์ประกอบ | รวมอยู่ | หมายเหตุ |
| ----------- | ------- | -------- |
| OpenClaw Agent Runtime | ใช่ | การทำงานหลักของเอเจนต์, การเรียกใช้เครื่องมือ, เซสชัน |
| Gateway | ใช่ | การยืนยันตัวตน, การกำหนดเส้นทาง, การผสานรวมช่องทาง |
| การผสานรวมช่องทาง | ใช่ | WhatsApp, Telegram, Discord, Signal, Slack เป็นต้น |
| มาร์เก็ตเพลส ClawHub | ใช่ | การเผยแพร่ Skills, การกลั่นกรอง, การแจกจ่าย |
| เซิร์ฟเวอร์ MCP | ใช่ | ผู้ให้บริการเครื่องมือภายนอก |
| อุปกรณ์ของผู้ใช้ | บางส่วน | แอปมือถือ, ไคลเอนต์เดสก์ท็อป |

### 1.3 นอกขอบเขต

ไม่มีสิ่งใดที่ถูกระบุว่าอยู่นอกขอบเขตของโมเดลภัยคุกคามนี้อย่างชัดเจน

---

## 2. สถาปัตยกรรมระบบ

### 2.1 ขอบเขตความเชื่อถือ

```
┌─────────────────────────────────────────────────────────────────┐
│                    โซนที่ไม่น่าเชื่อถือ                         │
│  ┌─────────────┐  ┌─────────────┐  ┌─────────────┐              │
│  │  WhatsApp   │  │  Telegram   │  │   Discord   │  ...         │
│  └──────┬──────┘  └──────┬──────┘  └──────┬──────┘              │
│         │                │                │                      │
└─────────┼────────────────┼────────────────┼──────────────────────┘
          │                │                │
          ▼                ▼                ▼
┌─────────────────────────────────────────────────────────────────┐
│              ขอบเขตความเชื่อถือ 1: การเข้าถึงช่องทาง             │
│  ┌──────────────────────────────────────────────────────────┐   │
│  │                      GATEWAY                              │   │
│  │  • การจับคู่อุปกรณ์ (DM 1 ชม. / ระยะผ่อนผัน node 5 นาที)   │   │
│  │  • การตรวจสอบ AllowFrom / AllowList                      │   │
│  │  • การยืนยันตัวตนด้วย Token/Password/Tailscale          │   │
│  └──────────────────────────────────────────────────────────┘   │
└─────────────────────────────────────────────────────────────────┘
                              │
                              ▼
┌─────────────────────────────────────────────────────────────────┐
│             ขอบเขตความเชื่อถือ 2: การแยกเซสชัน                  │
│  ┌──────────────────────────────────────────────────────────┐   │
│  │                   เซสชันของเอเจนต์                        │   │
│  │  • คีย์เซสชัน = agent:channel:peer                       │   │
│  │  • นโยบายเครื่องมือแยกตามเอเจนต์                         │   │
│  │  • การบันทึกทรานสคริปต์                                  │   │
│  └──────────────────────────────────────────────────────────┘   │
└─────────────────────────────────────────────────────────────────┘
                              │
                              ▼
┌─────────────────────────────────────────────────────────────────┐
│            ขอบเขตความเชื่อถือ 3: การรันเครื่องมือ               │
│  ┌──────────────────────────────────────────────────────────┐   │
│  │                  EXECUTION SANDBOX                        │   │
│  │  • Docker sandbox หรือ Host (exec-approvals)             │   │
│  │  • การรันจากระยะไกลของ Node                              │   │
│  │  • การป้องกัน SSRF (DNS pinning + การบล็อก IP)          │   │
│  └──────────────────────────────────────────────────────────┘   │
└─────────────────────────────────────────────────────────────────┘
                              │
                              ▼
┌─────────────────────────────────────────────────────────────────┐
│          ขอบเขตความเชื่อถือ 4: เนื้อหาภายนอก                   │
│  ┌──────────────────────────────────────────────────────────┐   │
│  │          URL / อีเมล / WEBHOOKS ที่ดึงมา                  │   │
│  │  • การห่อเนื้อหาภายนอก (แท็ก XML)                       │   │
│  │  • การแทรกประกาศด้านความปลอดภัย                          │   │
│  └──────────────────────────────────────────────────────────┘   │
└─────────────────────────────────────────────────────────────────┘
                              │
                              ▼
┌─────────────────────────────────────────────────────────────────┐
│           ขอบเขตความเชื่อถือ 5: ห่วงโซ่อุปทาน                  │
│  ┌──────────────────────────────────────────────────────────┐   │
│  │                      CLAWHUB                              │   │
│  │  • การเผยแพร่ Skills (semver, ต้องมี SKILL.md)           │   │
│  │  • แฟล็กการกลั่นกรองตามรูปแบบ                           │   │
│  │  • การสแกน VirusTotal (เร็วๆ นี้)                        │   │
│  │  • การตรวจสอบอายุบัญชี GitHub                           │   │
│  └──────────────────────────────────────────────────────────┘   │
└─────────────────────────────────────────────────────────────────┘
```

### 2.2 การไหลของข้อมูล

| การไหล | ต้นทาง | ปลายทาง | ข้อมูล | การป้องกัน |
| ---- | ------- | ----------- | ------------------ | -------------------- |
| F1 | Channel | Gateway | ข้อความผู้ใช้ | TLS, AllowFrom |
| F2 | Gateway | Agent | ข้อความที่กำหนดเส้นทางแล้ว | การแยกเซสชัน |
| F3 | Agent | Tools | การเรียกใช้เครื่องมือ | การบังคับใช้นโยบาย |
| F4 | Agent | External | คำขอ `web_fetch` | การบล็อก SSRF |
| F5 | ClawHub | Agent | โค้ด Skills | การกลั่นกรอง, การสแกน |
| F6 | Agent | Channel | การตอบกลับ | การกรองผลลัพธ์ |

---

## 3. การวิเคราะห์ภัยคุกคามตามยุทธวิธีของ ATLAS

### 3.1 การลาดตระเวน (AML.TA0002)

#### T-RECON-001: การค้นหา endpoint ของเอเจนต์

| แอตทริบิวต์ | ค่า |
| ----------------------- | -------------------------------------------------------------------- |
| **รหัส ATLAS** | AML.T0006 - การสแกนเชิงรุก |
| **คำอธิบาย** | ผู้โจมตีสแกนหา endpoint Gateway ของ OpenClaw ที่เปิดเผยอยู่ |
| **เวกเตอร์การโจมตี** | การสแกนเครือข่าย, การค้นหาผ่าน shodan, การไล่เรียง DNS |
| **องค์ประกอบที่ได้รับผลกระทบ** | Gateway, endpoint API ที่เปิดเผย |
| **แนวทางลดความเสี่ยงปัจจุบัน** | ตัวเลือกการยืนยันตัวตนด้วย Tailscale, bind กับ loopback เป็นค่าเริ่มต้น |
| **ความเสี่ยงคงเหลือ** | ปานกลาง - Gateway สาธารณะสามารถถูกค้นพบได้ |
| **คำแนะนำ** | จัดทำเอกสารการดีพลอยอย่างปลอดภัย, เพิ่ม rate limiting บน endpoint สำหรับการค้นหา |

#### T-RECON-002: การสำรวจการผสานรวมช่องทาง

| แอตทริบิวต์ | ค่า |
| ----------------------- | ------------------------------------------------------------------ |
| **รหัส ATLAS** | AML.T0006 - การสแกนเชิงรุก |
| **คำอธิบาย** | ผู้โจมตีสำรวจช่องทางการส่งข้อความเพื่อระบุบัญชีที่มี AI จัดการอยู่ |
| **เวกเตอร์การโจมตี** | การส่งข้อความทดสอบ, การสังเกตรูปแบบการตอบกลับ |
| **องค์ประกอบที่ได้รับผลกระทบ** | การผสานรวมช่องทางทั้งหมด |
| **แนวทางลดความเสี่ยงปัจจุบัน** | ไม่มีแบบเฉพาะเจาะจง |
| **ความเสี่ยงคงเหลือ** | ต่ำ - การค้นพบเพียงอย่างเดียวมีมูลค่าจำกัด |
| **คำแนะนำ** | พิจารณาทำให้จังหวะเวลาการตอบกลับมีความสุ่ม |

---

### 3.2 การเข้าถึงเริ่มต้น (AML.TA0004)

#### T-ACCESS-001: การดักจับรหัสการจับคู่

| แอตทริบิวต์ | ค่า |
| ----------------------- | ------------------------------------------------------------------------------------------------------------- |
| **รหัส ATLAS** | AML.T0040 - การเข้าถึง API สำหรับการอนุมานของโมเดล AI |
| **คำอธิบาย** | ผู้โจมตีดักจับรหัสการจับคู่ระหว่างช่วงผ่อนผันของการจับคู่ (1 ชม. สำหรับการจับคู่ช่องทาง DM, 5 นาทีสำหรับการจับคู่ node) |
| **เวกเตอร์การโจมตี** | การแอบมอง, การดักฟังเครือข่าย, วิศวกรรมสังคม |
| **องค์ประกอบที่ได้รับผลกระทบ** | ระบบการจับคู่อุปกรณ์ |
| **แนวทางลดความเสี่ยงปัจจุบัน** | หมดอายุใน 1 ชม. (การจับคู่ DM) / 5 นาที (การจับคู่ node), ส่งรหัสผ่านช่องทางเดิมที่มีอยู่ |
| **ความเสี่ยงคงเหลือ** | ปานกลาง - ช่วงผ่อนผันสามารถถูกใช้โจมตีได้ |
| **คำแนะนำ** | ลดช่วงผ่อนผัน, เพิ่มขั้นตอนยืนยัน |

#### T-ACCESS-002: การปลอมแปลง AllowFrom

| แอตทริบิวต์ | ค่า |
| ----------------------- | ------------------------------------------------------------------------------ |
| **รหัส ATLAS** | AML.T0040 - การเข้าถึง API สำหรับการอนุมานของโมเดล AI |
| **คำอธิบาย** | ผู้โจมตีปลอมแปลงตัวตนผู้ส่งที่ได้รับอนุญาตในช่องทาง |
| **เวกเตอร์การโจมตี** | ขึ้นอยู่กับช่องทาง - การปลอมแปลงหมายเลขโทรศัพท์, การสวมรอยชื่อผู้ใช้ |
| **องค์ประกอบที่ได้รับผลกระทบ** | การตรวจสอบ AllowFrom ในแต่ละช่องทาง |
| **แนวทางลดความเสี่ยงปัจจุบัน** | การตรวจสอบตัวตนเฉพาะของแต่ละช่องทาง |
| **ความเสี่ยงคงเหลือ** | ปานกลาง - บางช่องทางมีช่องโหว่ต่อการปลอมแปลง |
| **คำแนะนำ** | จัดทำเอกสารความเสี่ยงเฉพาะของแต่ละช่องทาง, เพิ่มการตรวจสอบแบบเข้ารหัสลับเมื่อเป็นไปได้ |

#### T-ACCESS-003: การขโมยโทเค็น

| แอตทริบิวต์ | ค่า |
| ----------------------- | ----------------------------------------------------------- |
| **รหัส ATLAS** | AML.T0040 - การเข้าถึง API สำหรับการอนุมานของโมเดล AI |
| **คำอธิบาย** | ผู้โจมตีขโมยโทเค็นสำหรับการยืนยันตัวตนจากไฟล์ config |
| **เวกเตอร์การโจมตี** | มัลแวร์, การเข้าถึงอุปกรณ์โดยไม่ได้รับอนุญาต, การเปิดเผยจากสำเนาสำรองของ config |
| **องค์ประกอบที่ได้รับผลกระทบ** | `~/.openclaw/credentials/`, ที่เก็บ config |
| **แนวทางลดความเสี่ยงปัจจุบัน** | สิทธิ์ของไฟล์ |
| **ความเสี่ยงคงเหลือ** | สูง - โทเค็นถูกเก็บเป็นข้อความล้วน |
| **คำแนะนำ** | ใช้การเข้ารหัสโทเค็นขณะจัดเก็บ, เพิ่มการหมุนเวียนโทเค็น |

---

### 3.3 การดำเนินการ (AML.TA0005)

#### T-EXEC-001: Prompt Injection โดยตรง

| แอตทริบิวต์ | ค่า |
| ----------------------- | ----------------------------------------------------------------------------------------- |
| **รหัส ATLAS** | AML.T0051.000 - LLM Prompt Injection: Direct |
| **คำอธิบาย** | ผู้โจมตีส่ง prompt ที่ถูกออกแบบมาเพื่อควบคุมพฤติกรรมของเอเจนต์ |
| **เวกเตอร์การโจมตี** | ข้อความในช่องทางที่มีคำสั่งเชิงปฏิปักษ์ |
| **องค์ประกอบที่ได้รับผลกระทบ** | LLM ของเอเจนต์, พื้นผิวรับอินพุตทั้งหมด |
| **แนวทางลดความเสี่ยงปัจจุบัน** | การตรวจจับตามรูปแบบ, การห่อเนื้อหาภายนอก |
| **ความเสี่ยงคงเหลือ** | วิกฤต - มีเพียงการตรวจจับ ไม่มีการบล็อก; การโจมตีที่ซับซ้อนสามารถหลบเลี่ยงได้ |
| **คำแนะนำ** | ใช้การป้องกันหลายชั้น, การตรวจสอบผลลัพธ์, การยืนยันจากผู้ใช้สำหรับการกระทำที่มีความอ่อนไหว |

#### T-EXEC-002: Prompt Injection ทางอ้อม

| แอตทริบิวต์ | ค่า |
| ----------------------- | ----------------------------------------------------------- |
| **รหัส ATLAS** | AML.T0051.001 - LLM Prompt Injection: Indirect |
| **คำอธิบาย** | ผู้โจมตีฝังคำสั่งอันตรายไว้ในเนื้อหาที่ดึงมา |
| **เวกเตอร์การโจมตี** | URL ที่เป็นอันตราย, อีเมลที่ถูกวางยาพิษ, Webhook ที่ถูกยึดครอง |
| **องค์ประกอบที่ได้รับผลกระทบ** | `web_fetch`, การรับอีเมลเข้า, แหล่งข้อมูลภายนอก |
| **แนวทางลดความเสี่ยงปัจจุบัน** | การห่อเนื้อหาด้วยแท็ก XML และการแจ้งเตือนด้านความปลอดภัย |
| **ความเสี่ยงคงเหลือ** | สูง - LLM อาจเพิกเฉยต่อคำสั่งของตัวห่อ |
| **คำแนะนำ** | ใช้การทำความสะอาดเนื้อหา, แยกบริบทการรันออกจากกัน |

#### T-EXEC-003: การฉีดอาร์กิวเมนต์ของเครื่องมือ

| แอตทริบิวต์ | ค่า |
| ----------------------- | ------------------------------------------------------------ |
| **รหัส ATLAS** | AML.T0051.000 - LLM Prompt Injection: Direct |
| **คำอธิบาย** | ผู้โจมตีควบคุมอาร์กิวเมนต์ของเครื่องมือผ่าน prompt injection |
| **เวกเตอร์การโจมตี** | prompt ที่ถูกสร้างขึ้นเพื่อมีอิทธิพลต่อค่าพารามิเตอร์ของเครื่องมือ |
| **องค์ประกอบที่ได้รับผลกระทบ** | การเรียกใช้เครื่องมือทั้งหมด |
| **แนวทางลดความเสี่ยงปัจจุบัน** | exec approvals สำหรับคำสั่งที่เป็นอันตราย |
| **ความเสี่ยงคงเหลือ** | สูง - พึ่งพาดุลยพินิจของผู้ใช้ |
| **คำแนะนำ** | ใช้การตรวจสอบอาร์กิวเมนต์, การเรียกใช้เครื่องมือแบบกำหนดพารามิเตอร์ |

#### T-EXEC-004: การหลีกเลี่ยง Exec Approval

| แอตทริบิวต์ | ค่า |
| ----------------------- | ---------------------------------------------------------- |
| **รหัส ATLAS** | AML.T0043 - สร้างข้อมูลเชิงปฏิปักษ์ |
| **คำอธิบาย** | ผู้โจมตีสร้างคำสั่งที่หลบเลี่ยง allowlist สำหรับการอนุมัติ |
| **เวกเตอร์การโจมตี** | การทำคำสั่งให้อ่านยาก, การใช้ alias ในทางที่ผิด, การปรับแต่ง path |
| **องค์ประกอบที่ได้รับผลกระทบ** | `exec-approvals.ts`, allowlist ของคำสั่ง |
| **แนวทางลดความเสี่ยงปัจจุบัน** | Allowlist + โหมด ask |
| **ความเสี่ยงคงเหลือ** | สูง - ไม่มีการทำความสะอาดคำสั่ง |
| **คำแนะนำ** | ใช้การทำให้คำสั่งเป็นรูปแบบมาตรฐาน, ขยาย blocklist |

---

### 3.4 การคงอยู่ (AML.TA0006)

#### T-PERSIST-001: การติดตั้ง Skill ที่เป็นอันตราย

| แอตทริบิวต์ | ค่า |
| ----------------------- | ------------------------------------------------------------------------ |
| **รหัส ATLAS** | AML.T0010.001 - การประนีประนอมห่วงโซ่อุปทาน: ซอฟต์แวร์ AI |
| **คำอธิบาย** | ผู้โจมตีเผยแพร่ Skill ที่เป็นอันตรายไปยัง ClawHub |
| **เวกเตอร์การโจมตี** | สร้างบัญชี, เผยแพร่ Skill ที่มีโค้ดอันตรายซ่อนอยู่ |
| **องค์ประกอบที่ได้รับผลกระทบ** | ClawHub, การโหลด Skill, การทำงานของเอเจนต์ |
| **แนวทางลดความเสี่ยงปัจจุบัน** | การตรวจสอบอายุบัญชี GitHub, แฟล็กการกลั่นกรองตามรูปแบบ |
| **ความเสี่ยงคงเหลือ** | วิกฤต - ไม่มี sandboxing, การตรวจสอบมีจำกัด |
| **คำแนะนำ** | การผสานรวม VirusTotal (อยู่ระหว่างดำเนินการ), sandboxing สำหรับ Skills, การตรวจสอบโดยชุมชน |

#### T-PERSIST-002: การวางยาพิษในการอัปเดต Skill

| แอตทริบิวต์ | ค่า |
| ----------------------- | -------------------------------------------------------------- |
| **รหัส ATLAS** | AML.T0010.001 - การประนีประนอมห่วงโซ่อุปทาน: ซอฟต์แวร์ AI |
| **คำอธิบาย** | ผู้โจมตีประนีประนอม Skill ยอดนิยมและส่งอัปเดตที่เป็นอันตราย |
| **เวกเตอร์การโจมตี** | การยึดบัญชี, วิศวกรรมสังคมต่อเจ้าของ Skill |
| **องค์ประกอบที่ได้รับผลกระทบ** | การกำหนดเวอร์ชันของ ClawHub, โฟลว์ auto-update |
| **แนวทางลดความเสี่ยงปัจจุบัน** | การทำ fingerprint ของเวอร์ชัน |
| **ความเสี่ยงคงเหลือ** | สูง - Auto-update อาจดึงเวอร์ชันที่เป็นอันตรายมาใช้ |
| **คำแนะนำ** | ใช้การลงนามอัปเดต, ความสามารถในการ rollback, การปักหมุดเวอร์ชัน |

#### T-PERSIST-003: การแก้ไข config ของเอเจนต์โดยไม่พึงประสงค์

| แอตทริบิวต์ | ค่า |
| ----------------------- | --------------------------------------------------------------- |
| **รหัส ATLAS** | AML.T0010.002 - การประนีประนอมห่วงโซ่อุปทาน: ข้อมูล |
| **คำอธิบาย** | ผู้โจมตีแก้ไข config ของเอเจนต์เพื่อคงการเข้าถึงไว้ |
| **เวกเตอร์การโจมตี** | การแก้ไขไฟล์ config, การฉีดการตั้งค่า |
| **องค์ประกอบที่ได้รับผลกระทบ** | config ของเอเจนต์, นโยบายเครื่องมือ |
| **แนวทางลดความเสี่ยงปัจจุบัน** | สิทธิ์ของไฟล์ |
| **ความเสี่ยงคงเหลือ** | ปานกลาง - ต้องมีการเข้าถึงในเครื่อง |
| **คำแนะนำ** | การตรวจสอบความถูกต้องสมบูรณ์ของ config, การบันทึก audit สำหรับการเปลี่ยนแปลง config |

---

### 3.5 การหลบเลี่ยงการป้องกัน (AML.TA0007)

#### T-EVADE-001: การหลบเลี่ยงรูปแบบการกลั่นกรอง

| แอตทริบิวต์ | ค่า |
| ----------------------- | ---------------------------------------------------------------------- |
| **รหัส ATLAS** | AML.T0043 - สร้างข้อมูลเชิงปฏิปักษ์ |
| **คำอธิบาย** | ผู้โจมตีสร้างเนื้อหา Skill เพื่อหลบเลี่ยงรูปแบบการกลั่นกรอง |
| **เวกเตอร์การโจมตี** | Unicode homoglyphs, เทคนิคการเข้ารหัส, การโหลดแบบไดนามิก |
| **องค์ประกอบที่ได้รับผลกระทบ** | `ClawHub moderation.ts` |
| **แนวทางลดความเสี่ยงปัจจุบัน** | `FLAG_RULES` ตามรูปแบบ |
| **ความเสี่ยงคงเหลือ** | สูง - regex แบบง่ายหลบเลี่ยงได้ง่าย |
| **คำแนะนำ** | เพิ่มการวิเคราะห์พฤติกรรม (VirusTotal Code Insight), การตรวจจับโดยอิง AST |

#### T-EVADE-002: การหลบออกจากตัวห่อเนื้อหา

| แอตทริบิวต์ | ค่า |
| ----------------------- | --------------------------------------------------------- |
| **รหัส ATLAS** | AML.T0043 - สร้างข้อมูลเชิงปฏิปักษ์ |
| **คำอธิบาย** | ผู้โจมตีสร้างเนื้อหาที่หลบออกจากบริบทของตัวห่อ XML |
| **เวกเตอร์การโจมตี** | การจัดการแท็ก, ความสับสนของบริบท, การแทนที่คำสั่ง |
| **องค์ประกอบที่ได้รับผลกระทบ** | การห่อเนื้อหาภายนอก |
| **แนวทางลดความเสี่ยงปัจจุบัน** | แท็ก XML + การแจ้งเตือนด้านความปลอดภัย |
| **ความเสี่ยงคงเหลือ** | ปานกลาง - มีการค้นพบวิธีหลบเลี่ยงรูปแบบใหม่อย่างสม่ำเสมอ |
| **คำแนะนำ** | ใช้การห่อหลายชั้น, การตรวจสอบฝั่งเอาต์พุต |

---

### 3.6 การค้นพบ (AML.TA0008)

#### T-DISC-001: การไล่เรียงเครื่องมือ

| แอตทริบิวต์ | ค่า |
| ----------------------- | ----------------------------------------------------- |
| **รหัส ATLAS** | AML.T0040 - การเข้าถึง API สำหรับการอนุมานของโมเดล AI |
| **คำอธิบาย** | ผู้โจมตีไล่เรียงเครื่องมือที่พร้อมใช้งานผ่านการ prompt |
| **เวกเตอร์การโจมตี** | คำถามสไตล์ "คุณมีเครื่องมืออะไรบ้าง?" |
| **องค์ประกอบที่ได้รับผลกระทบ** | รีจิสทรีเครื่องมือของเอเจนต์ |
| **แนวทางลดความเสี่ยงปัจจุบัน** | ไม่มีแบบเฉพาะเจาะจง |
| **ความเสี่ยงคงเหลือ** | ต่ำ - โดยทั่วไปมีการจัดทำเอกสารเครื่องมือไว้แล้ว |
| **คำแนะนำ** | พิจารณาการควบคุมการมองเห็นเครื่องมือ |

#### T-DISC-002: การดึงข้อมูลเซสชัน

| แอตทริบิวต์ | ค่า |
| ----------------------- | ----------------------------------------------------- |
| **รหัส ATLAS** | AML.T0040 - การเข้าถึง API สำหรับการอนุมานของโมเดล AI |
| **คำอธิบาย** | ผู้โจมตีดึงข้อมูลอ่อนไหวจากบริบทของเซสชัน |
| **เวกเตอร์การโจมตี** | คำถามแบบ "เราคุยอะไรกันไปบ้าง?" การสำรวจบริบท |
| **องค์ประกอบที่ได้รับผลกระทบ** | ทรานสคริปต์ของเซสชัน, หน้าต่างบริบท |
| **แนวทางลดความเสี่ยงปัจจุบัน** | การแยกเซสชันตามผู้ส่ง |
| **ความเสี่ยงคงเหลือ** | ปานกลาง - สามารถเข้าถึงข้อมูลภายในเซสชันได้ |
| **คำแนะนำ** | ใช้การปกปิดข้อมูลอ่อนไหวในบริบท |

---

### 3.7 การรวบรวมและการนำข้อมูลออก (AML.TA0009, AML.TA0010)

#### T-EXFIL-001: การขโมยข้อมูลผ่าน `web_fetch`

| แอตทริบิวต์ | ค่า |
| ----------------------- | ---------------------------------------------------------------------- |
| **รหัส ATLAS** | AML.T0009 - การรวบรวม |
| **คำอธิบาย** | ผู้โจมตีนำข้อมูลออกโดยสั่งให้เอเจนต์ส่งข้อมูลไปยัง URL ภายนอก |
| **เวกเตอร์การโจมตี** | Prompt injection ที่ทำให้เอเจนต์ POST ข้อมูลไปยังเซิร์ฟเวอร์ของผู้โจมตี |
| **องค์ประกอบที่ได้รับผลกระทบ** | เครื่องมือ `web_fetch` |
| **แนวทางลดความเสี่ยงปัจจุบัน** | การบล็อก SSRF สำหรับเครือข่ายภายใน |
| **ความเสี่ยงคงเหลือ** | สูง - อนุญาต URL ภายนอก |
| **คำแนะนำ** | ใช้ allowlist ของ URL, การรับรู้ตามการจัดประเภทข้อมูล |

#### T-EXFIL-002: การส่งข้อความโดยไม่ได้รับอนุญาต

| แอตทริบิวต์ | ค่า |
| ----------------------- | ---------------------------------------------------------------- |
| **รหัส ATLAS** | AML.T0009 - การรวบรวม |
| **คำอธิบาย** | ผู้โจมตีทำให้เอเจนต์ส่งข้อความที่มีข้อมูลอ่อนไหว |
| **เวกเตอร์การโจมตี** | Prompt injection ที่ทำให้เอเจนต์ส่งข้อความถึงผู้โจมตี |
| **องค์ประกอบที่ได้รับผลกระทบ** | เครื่องมือส่งข้อความ, การผสานรวมช่องทาง |
| **แนวทางลดความเสี่ยงปัจจุบัน** | การกำกับการส่งข้อความขาออก |
| **ความเสี่ยงคงเหลือ** | ปานกลาง - อาจหลบเลี่ยงการกำกับได้ |
| **คำแนะนำ** | ต้องมีการยืนยันอย่างชัดเจนสำหรับผู้รับรายใหม่ |

#### T-EXFIL-003: การเก็บเกี่ยวข้อมูลรับรอง

| แอตทริบิวต์ | ค่า |
| ----------------------- | ------------------------------------------------------- |
| **รหัส ATLAS** | AML.T0009 - การรวบรวม |
| **คำอธิบาย** | Skill ที่เป็นอันตรายเก็บเกี่ยวข้อมูลรับรองจากบริบทของเอเจนต์ |
| **เวกเตอร์การโจมตี** | โค้ด Skill อ่านตัวแปรสภาพแวดล้อม, ไฟล์ config |
| **องค์ประกอบที่ได้รับผลกระทบ** | สภาพแวดล้อมการรัน Skill |
| **แนวทางลดความเสี่ยงปัจจุบัน** | ไม่มีแบบเฉพาะเจาะจงสำหรับ Skills |
| **ความเสี่ยงคงเหลือ** | วิกฤต - Skills ทำงานด้วยสิทธิ์ของเอเจนต์ |
| **คำแนะนำ** | sandboxing สำหรับ Skills, การแยกข้อมูลรับรอง |

---

### 3.8 ผลกระทบ (AML.TA0011)

#### T-IMPACT-001: การรันคำสั่งโดยไม่ได้รับอนุญาต

| แอตทริบิวต์ | ค่า |
| ----------------------- | --------------------------------------------------- |
| **รหัส ATLAS** | AML.T0031 - บ่อนทำลายความถูกต้องสมบูรณ์ของโมเดล AI |
| **คำอธิบาย** | ผู้โจมตีรันคำสั่งใดๆ ก็ได้บนระบบของผู้ใช้ |
| **เวกเตอร์การโจมตี** | Prompt injection ร่วมกับการหลบเลี่ยง exec approval |
| **องค์ประกอบที่ได้รับผลกระทบ** | เครื่องมือ Bash, การรันคำสั่ง |
| **แนวทางลดความเสี่ยงปัจจุบัน** | Exec approvals, ตัวเลือก Docker sandbox |
| **ความเสี่ยงคงเหลือ** | วิกฤต - การรันบน Host โดยไม่มี sandbox |
| **คำแนะนำ** | ใช้ sandbox เป็นค่าเริ่มต้น, ปรับปรุง UX ของการอนุมัติ |

#### T-IMPACT-002: การใช้ทรัพยากรจนหมด (DoS)

| แอตทริบิวต์ | ค่า |
| ----------------------- | -------------------------------------------------- |
| **รหัส ATLAS** | AML.T0031 - บ่อนทำลายความถูกต้องสมบูรณ์ของโมเดล AI |
| **คำอธิบาย** | ผู้โจมตีใช้เครดิต API หรือทรัพยากรคอมพิวต์จนหมด |
| **เวกเตอร์การโจมตี** | การถล่มข้อความอัตโนมัติ, การเรียกใช้เครื่องมือที่มีค่าใช้จ่ายสูง |
| **องค์ประกอบที่ได้รับผลกระทบ** | Gateway, เซสชันของเอเจนต์, ผู้ให้บริการ API |
| **แนวทางลดความเสี่ยงปัจจุบัน** | ไม่มี |
| **ความเสี่ยงคงเหลือ** | สูง - ไม่มี rate limiting |
| **คำแนะนำ** | ใช้ rate limit ต่อผู้ส่ง, งบประมาณต้นทุน |

#### T-IMPACT-003: ความเสียหายต่อชื่อเสียง

| แอตทริบิวต์ | ค่า |
| ----------------------- | ------------------------------------------------------- |
| **รหัส ATLAS** | AML.T0031 - บ่อนทำลายความถูกต้องสมบูรณ์ของโมเดล AI |
| **คำอธิบาย** | ผู้โจมตีทำให้เอเจนต์ส่งเนื้อหาที่เป็นอันตราย/ไม่เหมาะสม |
| **เวกเตอร์การโจมตี** | Prompt injection ที่ทำให้เกิดการตอบกลับที่ไม่เหมาะสม |
| **องค์ประกอบที่ได้รับผลกระทบ** | การสร้างเอาต์พุต, การส่งข้อความผ่านช่องทาง |
| **แนวทางลดความเสี่ยงปัจจุบัน** | นโยบายเนื้อหาของผู้ให้บริการ LLM |
| **ความเสี่ยงคงเหลือ** | ปานกลาง - ตัวกรองของผู้ให้บริการไม่สมบูรณ์แบบ |
| **คำแนะนำ** | ชั้นการกรองเอาต์พุต, การควบคุมโดยผู้ใช้ |

---

## 4. การวิเคราะห์ห่วงโซ่อุปทานของ ClawHub

### 4.1 การควบคุมความปลอดภัยในปัจจุบัน

| การควบคุม | การนำไปใช้ | ประสิทธิผล |
| -------------------- | --------------------------- | ---------------------------------------------------- |
| อายุบัญชี GitHub | `requireGitHubAccountAge()` | ปานกลาง - เพิ่มอุปสรรคให้ผู้โจมตีรายใหม่ |
| การทำความสะอาด path | `sanitizePath()` | สูง - ป้องกัน path traversal |
| การตรวจสอบประเภทไฟล์ | `isTextFile()` | ปานกลาง - อนุญาตเฉพาะไฟล์ข้อความ แต่ยังอาจเป็นอันตรายได้ |
| การจำกัดขนาด | bundle รวม 50MB | สูง - ป้องกันการใช้ทรัพยากรจนหมด |
| ต้องมี `SKILL.md` | readme บังคับ | คุณค่าด้านความปลอดภัยต่ำ - ให้ข้อมูลเท่านั้น |
| การกลั่นกรองตามรูปแบบ | `FLAG_RULES` ใน `moderation.ts` | ต่ำ - หลบเลี่ยงได้ง่าย |
| สถานะการกลั่นกรอง | ฟิลด์ `moderationStatus` | ปานกลาง - สามารถตรวจสอบด้วยคนได้ |

### 4.2 รูปแบบแฟล็กการกลั่นกรอง

รูปแบบปัจจุบันใน `moderation.ts`:

```javascript
// Known-bad identifiers
/(keepcold131\/ClawdAuthenticatorTool|ClawdAuthenticatorTool)/i

// Suspicious keywords
/(malware|stealer|phish|phishing|keylogger)/i
/(api[-_ ]?key|token|password|private key|secret)/i
/(wallet|seed phrase|mnemonic|crypto)/i
/(discord\.gg|webhook|hooks\.slack)/i
/(curl[^\n]+\|\s*(sh|bash))/i
/(bit\.ly|tinyurl\.com|t\.co|goo\.gl|is\.gd)/i
```

**ข้อจำกัด:**

- ตรวจสอบเฉพาะ slug, `displayName`, `summary`, frontmatter, metadata, path ของไฟล์
- ไม่วิเคราะห์เนื้อหาโค้ดของ Skill จริง
- regex แบบง่ายหลบเลี่ยงได้ง่ายด้วยการทำให้อ่านยาก
- ไม่มีการวิเคราะห์พฤติกรรม

### 4.3 การปรับปรุงที่วางแผนไว้

| การปรับปรุง | สถานะ | ผลกระทบ |
| ---------------------- | ------------------------------------- | --------------------------------------------------------------------- |
| การผสานรวม VirusTotal | อยู่ระหว่างดำเนินการ | สูง - การวิเคราะห์พฤติกรรมด้วย Code Insight |
| การรายงานโดยชุมชน | บางส่วน (`skillReports` table มีอยู่แล้ว) | ปานกลาง |
| การบันทึก Audit | บางส่วน (`auditLogs` table มีอยู่แล้ว) | ปานกลาง |
| ระบบป้าย | นำไปใช้แล้ว | ปานกลาง - `highlighted`, `official`, `deprecated`, `redactionApproved` |

---

## 5. เมทริกซ์ความเสี่ยง

### 5.1 โอกาสเกิดเทียบกับผลกระทบ

| รหัสภัยคุกคาม | โอกาสเกิด | ผลกระทบ | ระดับความเสี่ยง | ลำดับความสำคัญ |
| ------------- | ---------- | -------- | ------------ | -------- |
| T-EXEC-001 | สูง | วิกฤต | **วิกฤต** | P0 |
| T-PERSIST-001 | สูง | วิกฤต | **วิกฤต** | P0 |
| T-EXFIL-003 | ปานกลาง | วิกฤต | **วิกฤต** | P0 |
| T-IMPACT-001 | ปานกลาง | วิกฤต | **สูง** | P1 |
| T-EXEC-002 | สูง | สูง | **สูง** | P1 |
| T-EXEC-004 | ปานกลาง | สูง | **สูง** | P1 |
| T-ACCESS-003 | ปานกลาง | สูง | **สูง** | P1 |
| T-EXFIL-001 | ปานกลาง | สูง | **สูง** | P1 |
| T-IMPACT-002 | สูง | ปานกลาง | **สูง** | P1 |
| T-EVADE-001 | สูง | ปานกลาง | **ปานกลาง** | P2 |
| T-ACCESS-001 | ต่ำ | สูง | **ปานกลาง** | P2 |
| T-ACCESS-002 | ต่ำ | สูง | **ปานกลาง** | P2 |
| T-PERSIST-002 | ต่ำ | สูง | **ปานกลาง** | P2 |

### 5.2 ห่วงโซ่การโจมตีเส้นทางวิกฤต

**ห่วงโซ่การโจมตี 1: การขโมยข้อมูลโดยอาศัย Skill**

```
T-PERSIST-001 → T-EVADE-001 → T-EXFIL-003
(เผยแพร่ Skill ที่เป็นอันตราย) → (หลบเลี่ยงการกลั่นกรอง) → (เก็บเกี่ยวข้อมูลรับรอง)
```

**ห่วงโซ่การโจมตี 2: Prompt Injection ไปสู่ RCE**

```
T-EXEC-001 → T-EXEC-004 → T-IMPACT-001
(ฉีด prompt) → (หลบเลี่ยง exec approval) → (รันคำสั่ง)
```

**ห่วงโซ่การโจมตี 3: การฉีดทางอ้อมผ่านเนื้อหาที่ดึงมา**

```
T-EXEC-002 → T-EXFIL-001 → การนำข้อมูลออกไปภายนอก
(วางยาพิษเนื้อหา URL) → (เอเจนต์ดึงข้อมูลและทำตามคำสั่ง) → (ส่งข้อมูลให้ผู้โจมตี)
```

---

## 6. สรุปคำแนะนำ

### 6.1 ทันที (P0)

| รหัส | คำแนะนำ | ครอบคลุม |
| ----- | ------------------------------------------- | -------------------------- |
| R-001 | ทำการผสานรวม VirusTotal ให้สมบูรณ์ | T-PERSIST-001, T-EVADE-001 |
| R-002 | ใช้ sandboxing สำหรับ Skills | T-PERSIST-001, T-EXFIL-003 |
| R-003 | เพิ่มการตรวจสอบเอาต์พุตสำหรับการกระทำที่มีความอ่อนไหว | T-EXEC-001, T-EXEC-002 |

### 6.2 ระยะสั้น (P1)

| รหัส | คำแนะนำ | ครอบคลุม |
| ----- | ---------------------------------------- | ------------ |
| R-004 | ใช้ rate limiting | T-IMPACT-002 |
| R-005 | เพิ่มการเข้ารหัสโทเค็นขณะจัดเก็บ | T-ACCESS-003 |
| R-006 | ปรับปรุง UX และการตรวจสอบของ exec approval | T-EXEC-004 |
| R-007 | ใช้ allowlist ของ URL สำหรับ `web_fetch` | T-EXFIL-001 |

### 6.3 ระยะกลาง (P2)

| รหัส | คำแนะนำ | ครอบคลุม |
| ----- | ----------------------------------------------------- | ------------- |
| R-008 | เพิ่มการตรวจสอบช่องทางด้วยวิธีเข้ารหัสลับเมื่อเป็นไปได้ | T-ACCESS-002 |
| R-009 | ใช้การตรวจสอบความถูกต้องสมบูรณ์ของ config | T-PERSIST-003 |
| R-010 | เพิ่มการลงนามอัปเดตและการปักหมุดเวอร์ชัน | T-PERSIST-002 |

---

## 7. ภาคผนวก

### 7.1 การแมปเทคนิค ATLAS

| รหัส ATLAS | ชื่อเทคนิค | ภัยคุกคามของ OpenClaw |
| ------------- | ------------------------------ | ---------------------------------------------------------------- |
| AML.T0006 | การสแกนเชิงรุก | T-RECON-001, T-RECON-002 |
| AML.T0009 | การรวบรวม | T-EXFIL-001, T-EXFIL-002, T-EXFIL-003 |
| AML.T0010.001 | ห่วงโซ่อุปทาน: ซอฟต์แวร์ AI | T-PERSIST-001, T-PERSIST-002 |
| AML.T0010.002 | ห่วงโซ่อุปทาน: ข้อมูล | T-PERSIST-003 |
| AML.T0031 | บ่อนทำลายความถูกต้องสมบูรณ์ของโมเดล AI | T-IMPACT-001, T-IMPACT-002, T-IMPACT-003 |
| AML.T0040 | การเข้าถึง API สำหรับการอนุมานของโมเดล AI | T-ACCESS-001, T-ACCESS-002, T-ACCESS-003, T-DISC-001, T-DISC-002 |
| AML.T0043 | สร้างข้อมูลเชิงปฏิปักษ์ | T-EXEC-004, T-EVADE-001, T-EVADE-002 |
| AML.T0051.000 | LLM Prompt Injection: Direct | T-EXEC-001, T-EXEC-003 |
| AML.T0051.001 | LLM Prompt Injection: Indirect | T-EXEC-002 |

### 7.2 ไฟล์ความปลอดภัยสำคัญ

| Path | วัตถุประสงค์ | ระดับความเสี่ยง |
| ----------------------------------- | --------------------------- | ------------ |
| `src/infra/exec-approvals.ts` | ตรรกะการอนุมัติคำสั่ง | **วิกฤต** |
| `src/gateway/auth.ts` | การยืนยันตัวตนของ Gateway | **วิกฤต** |
| `src/infra/net/ssrf.ts` | การป้องกัน SSRF | **วิกฤต** |
| `src/security/external-content.ts` | การลดความเสี่ยงจาก prompt injection | **วิกฤต** |
| `src/agents/sandbox/tool-policy.ts` | การบังคับใช้นโยบายเครื่องมือ | **วิกฤต** |
| `src/routing/resolve-route.ts` | การแยกเซสชัน | **ปานกลาง** |

### 7.3 อภิธานศัพท์

| คำศัพท์ | คำจำกัดความ |
| -------------------- | --------------------------------------------------------- |
| **ATLAS** | ภูมิทัศน์ภัยคุกคามเชิงปฏิปักษ์สำหรับระบบ AI ของ MITRE |
| **ClawHub** | มาร์เก็ตเพลส Skills ของ OpenClaw |
| **Gateway** | ชั้นการกำหนดเส้นทางข้อความและการยืนยันตัวตนของ OpenClaw |
| **MCP** | Model Context Protocol - อินเทอร์เฟซผู้ให้บริการเครื่องมือ |
| **Prompt Injection** | การโจมตีที่ฝังคำสั่งอันตรายไว้ในอินพุต |
| **Skill** | ส่วนขยายที่ดาวน์โหลดได้สำหรับเอเจนต์ OpenClaw |
| **SSRF** | Server-Side Request Forgery |

---

_โมเดลภัยคุกคามนี้เป็นเอกสารที่มีการปรับปรุงอย่างต่อเนื่อง รายงานปัญหาด้านความปลอดภัยได้ที่ security@openclaw.ai_

## ที่เกี่ยวข้อง

- [การพิสูจน์ยืนยันอย่างเป็นทางการ](/th/security/formal-verification)
- [การมีส่วนร่วมกับโมเดลภัยคุกคาม](/th/security/CONTRIBUTING-THREAT-MODEL)
