---
read_when:
    - Оцінювання стану безпеки або сценаріїв загроз
    - Робота над функціями безпеки або відповідями на результати аудиту
summary: Модель загроз OpenClaw, зіставлена з фреймворком MITRE ATLAS
title: Модель загроз (MITRE ATLAS)
x-i18n:
    generated_at: "2026-04-23T21:11:27Z"
    model: gpt-5.4
    provider: openai
    source_hash: 6ca4c356256b39f0f82a48406a9f4d57266d9797299713b41b3ba47c3a9a926b
    source_path: security/THREAT-MODEL-ATLAS.md
    workflow: 15
---

# Модель загроз OpenClaw v1.0

## Фреймворк MITRE ATLAS

**Version:** 1.0-draft
**Last Updated:** 2026-02-04
**Methodology:** MITRE ATLAS + діаграми потоків даних
**Framework:** [MITRE ATLAS](https://atlas.mitre.org/) (Adversarial Threat Landscape for AI Systems)

### Атрибуція фреймворку

Цю модель загроз побудовано на основі [MITRE ATLAS](https://atlas.mitre.org/), галузевого стандартного фреймворку для документування ворожих загроз для AI/ML-систем. ATLAS підтримується [MITRE](https://www.mitre.org/) у співпраці зі спільнотою безпеки AI.

**Ключові ресурси ATLAS:**

- [ATLAS Techniques](https://atlas.mitre.org/techniques/)
- [ATLAS Tactics](https://atlas.mitre.org/tactics/)
- [ATLAS Case Studies](https://atlas.mitre.org/studies/)
- [ATLAS GitHub](https://github.com/mitre-atlas/atlas-data)
- [Contributing to ATLAS](https://atlas.mitre.org/resources/contribute)

### Внесок у цю модель загроз

Це живий документ, який підтримує спільнота OpenClaw. Див. [CONTRIBUTING-THREAT-MODEL.md](/uk/security/CONTRIBUTING-THREAT-MODEL) щодо вказівок з внеску:

- Повідомлення про нові загрози
- Оновлення наявних загроз
- Пропонування ланцюгів атак
- Пропонування пом’якшувальних заходів

---

## 1. Вступ

### 1.1 Призначення

Ця модель загроз документує ворожі загрози для платформи AI-агентів OpenClaw і маркетплейсу Skills ClawHub, використовуючи фреймворк MITRE ATLAS, спеціально призначений для AI/ML-систем.

### 1.2 Область охоплення

| Component              | Included | Notes                                             |
| ---------------------- | -------- | ------------------------------------------------- |
| OpenClaw Agent Runtime | Так      | Основне виконання агента, виклики інструментів, сесії |
| Gateway                | Так      | Автентифікація, маршрутизація, інтеграція каналів |
| Channel Integrations   | Так      | WhatsApp, Telegram, Discord, Signal, Slack тощо   |
| ClawHub Marketplace    | Так      | Публікація Skills, модерація, розповсюдження      |
| MCP Servers            | Так      | Зовнішні провайдери інструментів                  |
| User Devices           | Частково | Мобільні застосунки, десктопні клієнти            |

### 1.3 Поза межами охоплення

Для цієї моделі загроз нічого явно не винесено за межі охоплення.

---

## 2. Архітектура системи

### 2.1 Межі довіри

```
┌─────────────────────────────────────────────────────────────────┐
│                    НЕДОВІРЕНА ЗОНА                              │
│  ┌─────────────┐  ┌─────────────┐  ┌─────────────┐              │
│  │  WhatsApp   │  │  Telegram   │  │   Discord   │  ...         │
│  └──────┬──────┘  └──────┬──────┘  └──────┬──────┘              │
│         │                │                │                      │
└─────────┼────────────────┼────────────────┼──────────────────────┘
          │                │                │
          ▼                ▼                ▼
┌─────────────────────────────────────────────────────────────────┐
│                 МЕЖА ДОВІРИ 1: Доступ до каналів                │
│  ┌──────────────────────────────────────────────────────────┐   │
│  │                      GATEWAY                              │   │
│  │  • Спарювання пристроїв (пільговий період 1 год для DM / 5 хв для node) │   │
│  │  • Перевірка AllowFrom / AllowList                       │   │
│  │  • Автентифікація token/password/Tailscale              │   │
│  └──────────────────────────────────────────────────────────┘   │
└─────────────────────────────────────────────────────────────────┘
                              │
                              ▼
┌─────────────────────────────────────────────────────────────────┐
│              МЕЖА ДОВІРИ 2: Ізоляція сесій                     │
│  ┌──────────────────────────────────────────────────────────┐   │
│  │                   СЕСІЇ АГЕНТА                            │   │
│  │  • Ключ сесії = agent:channel:peer                        │   │
│  │  • Політики інструментів для кожного агента               │   │
│  │  • Журналювання transcript                                │   │
│  └──────────────────────────────────────────────────────────┘   │
└─────────────────────────────────────────────────────────────────┘
                              │
                              ▼
┌─────────────────────────────────────────────────────────────────┐
│              МЕЖА ДОВІРИ 3: Виконання інструментів             │
│  ┌──────────────────────────────────────────────────────────┐   │
│  │                  SANDBOX ВИКОНАННЯ                        │   │
│  │  • Docker sandbox АБО Host (exec-approvals)              │   │
│  │  • Віддалене виконання Node                              │   │
│  │  • Захист SSRF (DNS pinning + блокування IP)             │   │
│  └──────────────────────────────────────────────────────────┘   │
└─────────────────────────────────────────────────────────────────┘
                              │
                              ▼
┌─────────────────────────────────────────────────────────────────┐
│             МЕЖА ДОВІРИ 4: Зовнішній вміст                     │
│  ┌──────────────────────────────────────────────────────────┐   │
│  │            ОТРИМАНІ URL / EMAIL / WEBHOOK                │   │
│  │  • Обгортання зовнішнього вмісту (XML tags)              │   │
│  │  • Впровадження сповіщень безпеки                        │   │
│  └──────────────────────────────────────────────────────────┘   │
└─────────────────────────────────────────────────────────────────┘
                              │
                              ▼
┌─────────────────────────────────────────────────────────────────┐
│              МЕЖА ДОВІРИ 5: Ланцюг постачання                  │
│  ┌──────────────────────────────────────────────────────────┐   │
│  │                      CLAWHUB                              │   │
│  │  • Публікація Skills (semver, обов’язковий SKILL.md)     │   │
│  │  • Прапорці модерації на основі шаблонів                 │   │
│  │  • Сканування VirusTotal (незабаром)                     │   │
│  │  • Перевірка віку облікового запису GitHub               │   │
│  └──────────────────────────────────────────────────────────┘   │
└─────────────────────────────────────────────────────────────────┘
```

### 2.2 Потоки даних

| Flow | Source  | Destination | Data               | Protection             |
| ---- | ------- | ----------- | ------------------ | ---------------------- |
| F1   | Channel | Gateway     | Повідомлення користувача | TLS, AllowFrom         |
| F2   | Gateway | Agent       | Маршрутизовані повідомлення | Ізоляція сесій         |
| F3   | Agent   | Tools       | Виклики інструментів | Застосування policy    |
| F4   | Agent   | External    | запити web_fetch    | Блокування SSRF        |
| F5   | ClawHub | Agent       | Код Skill           | Модерація, сканування  |
| F6   | Agent   | Channel     | Відповіді           | Фільтрація виводу      |

---

## 3. Аналіз загроз за тактиками ATLAS

### 3.1 Reconnaissance (AML.TA0002)

#### T-RECON-001: Виявлення endpoint агента

| Attribute               | Value                                                                 |
| ----------------------- | --------------------------------------------------------------------- |
| **ATLAS ID**            | AML.T0006 - Active Scanning                                           |
| **Description**         | Зловмисник сканує відкриті endpoint gateway OpenClaw                  |
| **Attack Vector**       | Мережеве сканування, запити shodan, DNS-enumeration                   |
| **Affected Components** | Gateway, відкриті endpoint API                                        |
| **Current Mitigations** | Опція автентифікації Tailscale, bind до loopback за замовчуванням     |
| **Residual Risk**       | Середній — публічні gateway можна виявити                             |
| **Recommendations**     | Документувати безпечне розгортання, додати rate limiting для endpoint виявлення |

#### T-RECON-002: Промацування інтеграції каналів

| Attribute               | Value                                                               |
| ----------------------- | ------------------------------------------------------------------- |
| **ATLAS ID**            | AML.T0006 - Active Scanning                                         |
| **Description**         | Зловмисник промацує канали повідомлень, щоб виявити облікові записи, якими керує AI |
| **Attack Vector**       | Надсилання тестових повідомлень, спостереження за шаблонами відповідей |
| **Affected Components** | Усі інтеграції каналів                                              |
| **Current Mitigations** | Немає специфічних                                                   |
| **Residual Risk**       | Низький — саме по собі виявлення дає обмежену цінність              |
| **Recommendations**     | Розглянути рандомізацію часу відповіді                              |

---

### 3.2 Initial Access (AML.TA0004)

#### T-ACCESS-001: Перехоплення коду спарювання

| Attribute               | Value                                                                                                          |
| ----------------------- | -------------------------------------------------------------------------------------------------------------- |
| **ATLAS ID**            | AML.T0040 - AI Model Inference API Access                                                                      |
| **Description**         | Зловмисник перехоплює код спарювання під час пільгового періоду спарювання (1 год для спарювання каналу DM, 5 хв для спарювання node) |
| **Attack Vector**       | Підгляд через плече, sniffing мережі, соціальна інженерія                                                      |
| **Affected Components** | Система спарювання пристроїв                                                                                   |
| **Current Mitigations** | Завершення дії через 1 год (спарювання DM) / 5 хв (спарювання node), коди надсилаються через наявний канал    |
| **Residual Risk**       | Середній — пільговий період можна експлуатувати                                                                |
| **Recommendations**     | Скоротити пільговий період, додати крок підтвердження                                                           |

#### T-ACCESS-002: Підміна AllowFrom

| Attribute               | Value                                                                           |
| ----------------------- | ------------------------------------------------------------------------------- |
| **ATLAS ID**            | AML.T0040 - AI Model Inference API Access                                       |
| **Description**         | Зловмисник підміняє дозволену ідентичність відправника в каналі                 |
| **Attack Vector**       | Залежить від каналу — підміна номера телефону, імітація імені користувача       |
| **Affected Components** | Перевірка AllowFrom для кожного каналу                                          |
| **Current Mitigations** | Перевірка ідентичності, специфічна для каналу                                   |
| **Residual Risk**       | Середній — деякі канали вразливі до підміни                                     |
| **Recommendations**     | Документувати ризики для конкретних каналів, додати криптографічну перевірку, де це можливо |

#### T-ACCESS-003: Крадіжка token

| Attribute               | Value                                                        |
| ----------------------- | ------------------------------------------------------------ |
| **ATLAS ID**            | AML.T0040 - AI Model Inference API Access                    |
| **Description**         | Зловмисник викрадає токени автентифікації з файлів config    |
| **Attack Vector**       | Шкідливе ПЗ, несанкціонований доступ до пристрою, витік резервної копії config |
| **Affected Components** | ~/.openclaw/credentials/, сховище config                     |
| **Current Mitigations** | Права доступу до файлів                                      |
| **Residual Risk**       | Високий — токени зберігаються у відкритому вигляді           |
| **Recommendations**     | Реалізувати шифрування token у стані спокою, додати ротацію token |

---

### 3.3 Execution (AML.TA0005)

#### T-EXEC-001: Пряма Prompt Injection

| Attribute               | Value                                                                                      |
| ----------------------- | ------------------------------------------------------------------------------------------ |
| **ATLAS ID**            | AML.T0051.000 - LLM Prompt Injection: Direct                                               |
| **Description**         | Зловмисник надсилає спеціально сформовані prompt, щоб маніпулювати поведінкою агента      |
| **Attack Vector**       | Повідомлення в каналах, що містять ворожі інструкції                                       |
| **Affected Components** | LLM агента, усі поверхні вводу                                                             |
| **Current Mitigations** | Виявлення шаблонів, обгортання зовнішнього вмісту                                          |
| **Residual Risk**       | Критичний — лише виявлення, без блокування; складні атаки проходять обхід                  |
| **Recommendations**     | Реалізувати багаторівневий захист, перевірку виводу, підтвердження користувача для чутливих дій |

#### T-EXEC-002: Непряма Prompt Injection

| Attribute               | Value                                                         |
| ----------------------- | ------------------------------------------------------------- |
| **ATLAS ID**            | AML.T0051.001 - LLM Prompt Injection: Indirect                |
| **Description**         | Зловмисник вбудовує шкідливі інструкції у завантажений вміст  |
| **Attack Vector**       | Шкідливі URL, отруєні email, скомпрометовані webhook          |
| **Affected Components** | web_fetch, обробка email, зовнішні джерела даних              |
| **Current Mitigations** | Обгортання вмісту XML tags і сповіщенням безпеки              |
| **Residual Risk**       | Високий — LLM може проігнорувати інструкції обгортки          |
| **Recommendations**     | Реалізувати санітизацію вмісту, окремі контексти виконання    |

#### T-EXEC-003: Ін’єкція аргументів інструментів

| Attribute               | Value                                                         |
| ----------------------- | ------------------------------------------------------------- |
| **ATLAS ID**            | AML.T0051.000 - LLM Prompt Injection: Direct                  |
| **Description**         | Зловмисник маніпулює аргументами інструментів через prompt injection |
| **Attack Vector**       | Спеціально сформовані prompt, що впливають на значення параметрів інструментів |
| **Affected Components** | Усі виклики інструментів                                      |
| **Current Mitigations** | Погодження exec для небезпечних команд                        |
| **Residual Risk**       | Високий — залежить від судження користувача                   |
| **Recommendations**     | Реалізувати перевірку аргументів, параметризовані виклики інструментів |

#### T-EXEC-004: Обхід Exec Approval

| Attribute               | Value                                                       |
| ----------------------- | ----------------------------------------------------------- |
| **ATLAS ID**            | AML.T0043 - Craft Adversarial Data                          |
| **Description**         | Зловмисник формує команди, що обходять allowlist погоджень  |
| **Attack Vector**       | Обфускація команд, використання alias, маніпуляція шляхом   |
| **Affected Components** | exec-approvals.ts, allowlist команд                         |
| **Current Mitigations** | Allowlist + режим ask                                       |
| **Residual Risk**       | Високий — немає санітизації команд                          |
| **Recommendations**     | Реалізувати нормалізацію команд, розширити blocklist        |

---

### 3.4 Persistence (AML.TA0006)

#### T-PERSIST-001: Встановлення шкідливого Skill

| Attribute               | Value                                                                     |
| ----------------------- | ------------------------------------------------------------------------- |
| **ATLAS ID**            | AML.T0010.001 - Supply Chain Compromise: AI Software                      |
| **Description**         | Зловмисник публікує шкідливий Skill у ClawHub                             |
| **Attack Vector**       | Створення облікового запису, публікація Skill із прихованим шкідливим кодом |
| **Affected Components** | ClawHub, завантаження Skill, виконання агента                             |
| **Current Mitigations** | Перевірка віку облікового запису GitHub, прапорці модерації на основі шаблонів |
| **Residual Risk**       | Критичний — немає sandboxing, обмежений огляд                             |
| **Recommendations**     | Інтеграція VirusTotal (у процесі), sandboxing Skill, огляд спільнотою     |

#### T-PERSIST-002: Отруєння оновлення Skill

| Attribute               | Value                                                           |
| ----------------------- | --------------------------------------------------------------- |
| **ATLAS ID**            | AML.T0010.001 - Supply Chain Compromise: AI Software            |
| **Description**         | Зловмисник компрометує популярний Skill і проштовхує шкідливе оновлення |
| **Attack Vector**       | Компрометація облікового запису, соціальна інженерія щодо власника Skill |
| **Affected Components** | Версіонування ClawHub, потоки auto-update                       |
| **Current Mitigations** | Відбиток версії                                                 |
| **Residual Risk**       | Високий — auto-update може підтягнути шкідливі версії           |
| **Recommendations**     | Реалізувати підписування оновлень, можливість rollback, pinning версій |

#### T-PERSIST-003: Підміна конфігурації агента

| Attribute               | Value                                                            |
| ----------------------- | ---------------------------------------------------------------- |
| **ATLAS ID**            | AML.T0010.002 - Supply Chain Compromise: Data                    |
| **Description**         | Зловмисник змінює конфігурацію агента, щоб зберегти доступ       |
| **Attack Vector**       | Модифікація файла config, ін’єкція налаштувань                   |
| **Affected Components** | Config агента, policy інструментів                               |
| **Current Mitigations** | Права доступу до файлів                                          |
| **Residual Risk**       | Середній — потребує локального доступу                           |
| **Recommendations**     | Перевірка цілісності config, журналювання аудиту змін config     |

---

### 3.5 Defense Evasion (AML.TA0007)

#### T-EVADE-001: Обхід шаблонів модерації

| Attribute               | Value                                                                   |
| ----------------------- | ----------------------------------------------------------------------- |
| **ATLAS ID**            | AML.T0043 - Craft Adversarial Data                                      |
| **Description**         | Зловмисник формує вміст Skill так, щоб обійти шаблони модерації         |
| **Attack Vector**       | Unicode-homoglyph, трюки з кодуванням, динамічне завантаження           |
| **Affected Components** | ClawHub moderation.ts                                                   |
| **Current Mitigations** | `FLAG_RULES` на основі шаблонів                                         |
| **Residual Risk**       | Високий — простий regex легко обходиться                                |
| **Recommendations**     | Додати аналіз поведінки (VirusTotal Code Insight), виявлення на основі AST |

#### T-EVADE-002: Вихід із обгортки вмісту

| Attribute               | Value                                                      |
| ----------------------- | ---------------------------------------------------------- |
| **ATLAS ID**            | AML.T0043 - Craft Adversarial Data                         |
| **Description**         | Зловмисник формує вміст так, щоб вийти з контексту XML-обгортки |
| **Attack Vector**       | Маніпуляція тегами, плутанина контексту, перевизначення інструкцій |
| **Affected Components** | Обгортання зовнішнього вмісту                              |
| **Current Mitigations** | XML tags + сповіщення безпеки                              |
| **Residual Risk**       | Середній — нові способи обходу регулярно виявляються       |
| **Recommendations**     | Кілька шарів обгортки, перевірка на стороні виводу         |

---

### 3.6 Discovery (AML.TA0008)

#### T-DISC-001: Перелік інструментів

| Attribute               | Value                                                  |
| ----------------------- | ------------------------------------------------------ |
| **ATLAS ID**            | AML.T0040 - AI Model Inference API Access              |
| **Description**         | Зловмисник перелічує доступні інструменти через prompt |
| **Attack Vector**       | Запити в стилі "What tools do you have?"               |
| **Affected Components** | Реєстр інструментів агента                             |
| **Current Mitigations** | Немає специфічних                                      |
| **Residual Risk**       | Низький — інструменти зазвичай задокументовані         |
| **Recommendations**     | Розглянути контроль видимості інструментів             |

#### T-DISC-002: Витяг даних сесії

| Attribute               | Value                                                   |
| ----------------------- | ------------------------------------------------------- |
| **ATLAS ID**            | AML.T0040 - AI Model Inference API Access               |
| **Description**         | Зловмисник витягує чутливі дані з контексту сесії       |
| **Attack Vector**       | Запити "What did we discuss?", probing контексту        |
| **Affected Components** | Transcript сесій, контекстне вікно                      |
| **Current Mitigations** | Ізоляція сесій для кожного відправника                  |
| **Residual Risk**       | Середній — дані в межах сесії доступні                  |
| **Recommendations**     | Реалізувати редагування чутливих даних у контексті      |

---

### 3.7 Collection & Exfiltration (AML.TA0009, AML.TA0010)

#### T-EXFIL-001: Крадіжка даних через web_fetch

| Attribute               | Value                                                                   |
| ----------------------- | ----------------------------------------------------------------------- |
| **ATLAS ID**            | AML.T0009 - Collection                                                  |
| **Description**         | Зловмисник викрадає дані, наказуючи агенту надсилати їх на зовнішній URL |
| **Attack Vector**       | Prompt injection, що змушує агента POST-ити дані на сервер зловмисника  |
| **Affected Components** | Інструмент web_fetch                                                    |
| **Current Mitigations** | Блокування SSRF для внутрішніх мереж                                    |
| **Residual Risk**       | Високий — зовнішні URL дозволені                                        |
| **Recommendations**     | Реалізувати allowlist URL, обізнаність щодо класифікації даних          |

#### T-EXFIL-002: Несанкціоноване надсилання повідомлень

| Attribute               | Value                                                              |
| ----------------------- | ------------------------------------------------------------------ |
| **ATLAS ID**            | AML.T0009 - Collection                                             |
| **Description**         | Зловмисник змушує агента надсилати повідомлення, що містять чутливі дані |
| **Attack Vector**       | Prompt injection, що змушує агента написати зловмиснику            |
| **Affected Components** | Інструмент message, інтеграції каналів                             |
| **Current Mitigations** | Контроль вихідних повідомлень                                      |
| **Residual Risk**       | Середній — контроль може бути обійдений                            |
| **Recommendations**     | Вимагати явне підтвердження для нових одержувачів                  |

#### T-EXFIL-003: Збирання облікових даних

| Attribute               | Value                                                    |
| ----------------------- | -------------------------------------------------------- |
| **ATLAS ID**            | AML.T0009 - Collection                                   |
| **Description**         | Шкідливий Skill збирає облікові дані з контексту агента  |
| **Attack Vector**       | Код Skill читає змінні середовища, файли config          |
| **Affected Components** | Середовище виконання Skill                               |
| **Current Mitigations** | Немає спеціальних для Skills                             |
| **Residual Risk**       | Критичний — Skills виконуються з привілеями агента       |
| **Recommendations**     | Sandboxing Skill, ізоляція облікових даних               |

---

### 3.8 Impact (AML.TA0011)

#### T-IMPACT-001: Несанкціоноване виконання команд

| Attribute               | Value                                                |
| ----------------------- | ---------------------------------------------------- |
| **ATLAS ID**            | AML.T0031 - Erode AI Model Integrity                 |
| **Description**         | Зловмисник виконує довільні команди в системі користувача |
| **Attack Vector**       | Prompt injection у поєднанні з обходом exec approval |
| **Affected Components** | Інструмент Bash, виконання команд                    |
| **Current Mitigations** | Exec approvals, опція Docker sandbox                 |
| **Residual Risk**       | Критичний — виконання на host без sandbox            |
| **Recommendations**     | Типово використовувати sandbox, покращити UX погоджень |

#### T-IMPACT-002: Виснаження ресурсів (DoS)

| Attribute               | Value                                               |
| ----------------------- | --------------------------------------------------- |
| **ATLAS ID**            | AML.T0031 - Erode AI Model Integrity                |
| **Description**         | Зловмисник виснажує API-кредити або обчислювальні ресурси |
| **Attack Vector**       | Автоматизований флууд повідомленнями, дорогі виклики інструментів |
| **Affected Components** | Gateway, сесії агента, API-провайдер                |
| **Current Mitigations** | Немає                                               |
| **Residual Risk**       | Високий — немає rate limiting                       |
| **Recommendations**     | Реалізувати rate limits для кожного відправника, бюджети вартості |

#### T-IMPACT-003: Репутаційна шкода

| Attribute               | Value                                                    |
| ----------------------- | -------------------------------------------------------- |
| **ATLAS ID**            | AML.T0031 - Erode AI Model Integrity                     |
| **Description**         | Зловмисник змушує агента надсилати шкідливий/образливий вміст |
| **Attack Vector**       | Prompt injection, що спричиняє неприйнятні відповіді     |
| **Affected Components** | Генерація виводу, повідомлення в канали                  |
| **Current Mitigations** | Політики вмісту провайдера LLM                           |
| **Residual Risk**       | Середній — фільтри провайдера недосконалі                |
| **Recommendations**     | Шар фільтрації виводу, засоби контролю користувача       |

---

## 4. Аналіз ланцюга постачання ClawHub

### 4.1 Поточні засоби контролю безпеки

| Control              | Implementation              | Effectiveness                                         |
| -------------------- | --------------------------- | ----------------------------------------------------- |
| Вік облікового запису GitHub | `requireGitHubAccountAge()` | Середня — підвищує поріг для нових зловмисників       |
| Санітизація шляхів   | `sanitizePath()`            | Висока — запобігає path traversal                     |
| Перевірка типу файла | `isTextFile()`              | Середня — лише текстові файли, але вони все одно можуть бути шкідливими |
| Обмеження розміру    | 50MB загальний bundle       | Висока — запобігає виснаженню ресурсів                |
| Обов’язковий SKILL.md | Mandatory readme            | Низька безпекова цінність — лише інформаційна         |
| Модерація за шаблонами | FLAG_RULES у moderation.ts  | Низька — легко обходиться                             |
| Статус модерації     | поле `moderationStatus`     | Середня — можливий ручний огляд                       |

### 4.2 Шаблони прапорців модерації

Поточні шаблони в `moderation.ts`:

```javascript
// Відомі шкідливі ідентифікатори
/(keepcold131\/ClawdAuthenticatorTool|ClawdAuthenticatorTool)/i

// Підозрілі ключові слова
/(malware|stealer|phish|phishing|keylogger)/i
/(api[-_ ]?key|token|password|private key|secret)/i
/(wallet|seed phrase|mnemonic|crypto)/i
/(discord\.gg|webhook|hooks\.slack)/i
/(curl[^\n]+\|\s*(sh|bash))/i
/(bit\.ly|tinyurl\.com|t\.co|goo\.gl|is\.gd)/i
```

**Обмеження:**

- Перевіряє лише slug, `displayName`, summary, frontmatter, metadata, шляхи до файлів
- Не аналізує фактичний код Skill
- Простий regex легко обходиться через обфускацію
- Немає поведінкового аналізу

### 4.3 Заплановані покращення

| Improvement            | Status                                | Impact                                                                 |
| ---------------------- | ------------------------------------- | ---------------------------------------------------------------------- |
| Інтеграція VirusTotal  | У процесі                             | Високий — поведінковий аналіз Code Insight                             |
| Звіти спільноти        | Частково (`skillReports` table exists) | Середній                                                               |
| Журналювання аудиту    | Частково (`auditLogs` table exists)   | Середній                                                               |
| Система badge          | Реалізовано                           | Середній — `highlighted`, `official`, `deprecated`, `redactionApproved` |

---

## 5. Матриця ризиків

### 5.1 Ймовірність vs вплив

| Threat ID     | Likelihood | Impact   | Risk Level   | Priority |
| ------------- | ---------- | -------- | ------------ | -------- |
| T-EXEC-001    | Висока     | Критичний | **Критичний** | P0       |
| T-PERSIST-001 | Висока     | Критичний | **Критичний** | P0       |
| T-EXFIL-003   | Середня    | Критичний | **Критичний** | P0       |
| T-IMPACT-001  | Середня    | Критичний | **Високий**   | P1       |
| T-EXEC-002    | Висока     | Високий  | **Високий**   | P1       |
| T-EXEC-004    | Середня    | Високий  | **Високий**   | P1       |
| T-ACCESS-003  | Середня    | Високий  | **Високий**   | P1       |
| T-EXFIL-001   | Середня    | Високий  | **Високий**   | P1       |
| T-IMPACT-002  | Висока     | Середній | **Високий**   | P1       |
| T-EVADE-001   | Висока     | Середній | **Середній**  | P2       |
| T-ACCESS-001  | Низька     | Високий  | **Середній**  | P2       |
| T-ACCESS-002  | Низька     | Високий  | **Середній**  | P2       |
| T-PERSIST-002 | Низька     | Високий  | **Середній**  | P2       |

### 5.2 Критичні ланцюги атак

**Ланцюг атаки 1: Крадіжка даних через Skill**

```
T-PERSIST-001 → T-EVADE-001 → T-EXFIL-003
(Опублікувати шкідливий Skill) → (Обійти модерацію) → (Зібрати облікові дані)
```

**Ланцюг атаки 2: Prompt Injection до RCE**

```
T-EXEC-001 → T-EXEC-004 → T-IMPACT-001
(Ін’єкція prompt) → (Обхід погодження exec) → (Виконання команд)
```

**Ланцюг атаки 3: Непряма ін’єкція через завантажений вміст**

```
T-EXEC-002 → T-EXFIL-001 → Зовнішнє виведення даних
(Отруєти вміст URL) → (Агент отримує його й виконує інструкції) → (Дані надсилаються зловмиснику)
```

---

## 6. Підсумок рекомендацій

### 6.1 Негайно (P0)

| ID    | Recommendation                               | Addresses                  |
| ----- | -------------------------------------------- | -------------------------- |
| R-001 | Завершити інтеграцію VirusTotal              | T-PERSIST-001, T-EVADE-001 |
| R-002 | Реалізувати sandboxing Skill                 | T-PERSIST-001, T-EXFIL-003 |
| R-003 | Додати перевірку виводу для чутливих дій     | T-EXEC-001, T-EXEC-002     |

### 6.2 Короткостроково (P1)

| ID    | Recommendation                                | Addresses    |
| ----- | --------------------------------------------- | ------------ |
| R-004 | Реалізувати rate limiting                     | T-IMPACT-002 |
| R-005 | Додати шифрування token у стані спокою        | T-ACCESS-003 |
| R-006 | Покращити UX і перевірку погоджень exec       | T-EXEC-004   |
| R-007 | Реалізувати allowlist URL для web_fetch       | T-EXFIL-001  |

### 6.3 Середньостроково (P2)

| ID    | Recommendation                                         | Addresses     |
| ----- | ------------------------------------------------------ | ------------- |
| R-008 | Додати криптографічну перевірку каналів, де це можливо | T-ACCESS-002  |
| R-009 | Реалізувати перевірку цілісності config                | T-PERSIST-003 |
| R-010 | Додати підписування оновлень і pinning версій          | T-PERSIST-002 |

---

## 7. Додатки

### 7.1 Зіставлення технік ATLAS

| ATLAS ID      | Technique Name                 | OpenClaw Threats                                                  |
| ------------- | ------------------------------ | ----------------------------------------------------------------- |
| AML.T0006     | Active Scanning                | T-RECON-001, T-RECON-002                                          |
| AML.T0009     | Collection                     | T-EXFIL-001, T-EXFIL-002, T-EXFIL-003                             |
| AML.T0010.001 | Supply Chain: AI Software      | T-PERSIST-001, T-PERSIST-002                                      |
| AML.T0010.002 | Supply Chain: Data             | T-PERSIST-003                                                     |
| AML.T0031     | Erode AI Model Integrity       | T-IMPACT-001, T-IMPACT-002, T-IMPACT-003                          |
| AML.T0040     | AI Model Inference API Access  | T-ACCESS-001, T-ACCESS-002, T-ACCESS-003, T-DISC-001, T-DISC-002  |
| AML.T0043     | Craft Adversarial Data         | T-EXEC-004, T-EVADE-001, T-EVADE-002                              |
| AML.T0051.000 | LLM Prompt Injection: Direct   | T-EXEC-001, T-EXEC-003                                            |
| AML.T0051.001 | LLM Prompt Injection: Indirect | T-EXEC-002                                                        |

### 7.2 Ключові файли безпеки

| Path                                | Purpose                      | Risk Level   |
| ----------------------------------- | ---------------------------- | ------------ |
| `src/infra/exec-approvals.ts`       | Логіка погодження команд     | **Критичний** |
| `src/gateway/auth.ts`               | Автентифікація Gateway       | **Критичний** |
| `src/infra/net/ssrf.ts`             | Захист SSRF                  | **Критичний** |
| `src/security/external-content.ts`  | Пом’якшення Prompt Injection | **Критичний** |
| `src/agents/sandbox/tool-policy.ts` | Застосування policy інструментів | **Критичний** |
| `src/routing/resolve-route.ts`      | Ізоляція сесій               | **Середній**  |

### 7.3 Глосарій

| Term                 | Definition                                                    |
| -------------------- | ------------------------------------------------------------- |
| **ATLAS**            | MITRE Adversarial Threat Landscape for AI Systems             |
| **ClawHub**          | Маркетплейс Skills OpenClaw                                   |
| **Gateway**          | Шар маршрутизації повідомлень і автентифікації OpenClaw       |
| **MCP**              | Model Context Protocol — інтерфейс провайдера інструментів    |
| **Prompt Injection** | Атака, за якої шкідливі інструкції вбудовуються у вхідні дані |
| **Skill**            | Завантажуване розширення для агентів OpenClaw                 |
| **SSRF**             | Server-Side Request Forgery                                   |

---

_Ця модель загроз є живим документом. Повідомляйте про проблеми безпеки на security@openclaw.ai_
