---
read_when:
    - Ви хочете поділитися висновками з безпеки або сценаріями загроз
    - Перегляд або оновлення моделі загроз
summary: Як зробити внесок у модель загроз OpenClaw
title: Участь у покращенні моделі загроз
x-i18n:
    generated_at: "2026-04-05T18:17:23Z"
    model: gpt-5.4
    provider: openai
    source_hash: 9cd212d456571a25da63031588d3b584bdfc119e2096b528b97a3f7ec5e4b3db
    source_path: security/CONTRIBUTING-THREAT-MODEL.md
    workflow: 15
---

# Участь у покращенні моделі загроз OpenClaw

Дякуємо за допомогу в підвищенні безпеки OpenClaw. Ця модель загроз є живим документом, і ми раді внескам від будь-кого — вам не обов’язково бути експертом із безпеки.

## Способи зробити внесок

### Додати загрозу

Помітили вектор атаки або ризик, який ми ще не охопили? Відкрийте issue в [openclaw/trust](https://github.com/openclaw/trust/issues) і опишіть це своїми словами. Вам не потрібно знати жодних фреймворків або заповнювати кожне поле — просто опишіть сценарій.

**Корисно вказати (але не обов’язково):**

- Сценарій атаки та спосіб його експлуатації
- Які частини OpenClaw зачеплено (CLI, gateway, канали, ClawHub, MCP-сервери тощо)
- Наскільки серйозною, на вашу думку, є загроза (низька / середня / висока / критична)
- Будь-які посилання на пов’язані дослідження, CVE або реальні приклади

Під час перегляду ми самі виконаємо зіставлення з ATLAS, призначення ідентифікаторів загроз і оцінку ризику. Якщо ви хочете додати ці подробиці — чудово, але цього не очікується.

> **Це призначено для додавання до моделі загроз, а не для повідомлення про активні вразливості.** Якщо ви знайшли вразливість, яку можна експлуатувати, перегляньте нашу [сторінку Trust](https://trust.openclaw.ai) для інструкцій щодо відповідального розкриття.

### Запропонувати пом’якшення

Маєте ідею, як усунути наявну загрозу? Відкрийте issue або PR із посиланням на цю загрозу. Корисні заходи пом’якшення є конкретними та придатними до дії — наприклад, «обмеження до 10 повідомлень/хвилину для кожного відправника на рівні gateway» краще, ніж «реалізувати rate limiting».

### Запропонувати ланцюг атаки

Ланцюги атак показують, як кілька загроз поєднуються в реалістичний сценарій атаки. Якщо ви бачите небезпечну комбінацію, опишіть кроки та те, як зловмисник може поєднати їх у ланцюг. Короткий опис того, як атака розгортається на практиці, цінніший за формальний шаблон.

### Виправити або покращити наявний вміст

Друкарські помилки, уточнення, застаріла інформація, кращі приклади — PR вітаються, issue не потрібен.

## Що ми використовуємо

### MITRE ATLAS

Ця модель загроз побудована на основі [MITRE ATLAS](https://atlas.mitre.org/) (Adversarial Threat Landscape for AI Systems) — фреймворку, спеціально розробленого для загроз AI/ML, таких як prompt injection, неправильне використання інструментів і експлуатація агентів. Вам не потрібно знати ATLAS, щоб зробити внесок — під час перегляду ми зіставимо подані матеріали з цим фреймворком.

### Ідентифікатори загроз

Кожна загроза отримує ідентифікатор на кшталт `T-EXEC-003`. Категорії такі:

| Code    | Category                                   |
| ------- | ------------------------------------------ |
| RECON   | Розвідка — збір інформації                 |
| ACCESS  | Початковий доступ — отримання доступу      |
| EXEC    | Виконання — запуск шкідливих дій           |
| PERSIST | Закріплення — підтримання доступу          |
| EVADE   | Уникнення захисту — уникнення виявлення    |
| DISC    | Дослідження — вивчення середовища          |
| EXFIL   | Ексфільтрація — викрадення даних           |
| IMPACT  | Вплив — шкода або порушення роботи         |

Ідентифікатори призначаються мейнтейнерами під час перегляду. Вам не потрібно обирати їх самостійно.

### Рівні ризику

| Level        | Meaning                                                           |
| ------------ | ----------------------------------------------------------------- |
| **Critical** | Повна компрометація системи або висока ймовірність + критичний вплив |
| **High**     | Імовірна значна шкода або середня ймовірність + критичний вплив |
| **Medium**   | Помірний ризик або низька ймовірність + високий вплив |
| **Low**      | Малоймовірно та з обмеженим впливом |

Якщо ви не впевнені щодо рівня ризику, просто опишіть вплив, а ми його оцінимо.

## Процес перегляду

1. **Тріаж** — ми переглядаємо нові подання протягом 48 годин
2. **Оцінка** — ми перевіряємо здійсненність, призначаємо зіставлення з ATLAS та ідентифікатор загрози, підтверджуємо рівень ризику
3. **Документування** — ми переконуємося, що все оформлено належним чином і є повним
4. **Злиття** — додавання до моделі загроз і візуалізації

## Ресурси

- [Вебсайт ATLAS](https://atlas.mitre.org/)
- [Техніки ATLAS](https://atlas.mitre.org/techniques/)
- [Кейс-стаді ATLAS](https://atlas.mitre.org/studies/)
- [Модель загроз OpenClaw](/security/THREAT-MODEL-ATLAS)

## Контакти

- **Вразливості безпеки:** дивіться нашу [сторінку Trust](https://trust.openclaw.ai) для інструкцій із повідомлення
- **Питання щодо моделі загроз:** відкрийте issue в [openclaw/trust](https://github.com/openclaw/trust/issues)
- **Загальне спілкування:** канал #security у Discord

## Визнання

Учасники, які зробили внесок у модель загроз, згадуються в подяках до моделі загроз, примітках до випусків і залі слави безпеки OpenClaw за значні внески.
