Seguridad · tool

Checklist sa seguridad ng agent

Suriin ang mga ito bago bigyan ng access ang agent sa totoong data o mga kredensyal. May link ang bawat pagsusuri papunta sa depensang ipinapatupad nito, at maaari mong i-export ang progreso mo bilang Markdown file para sa review o pull request.

Nakumpleto ang 0 sa 22

Sa browser na ito lang naka-save ang mga check mark.

Hindi pinagkakatiwalaang input

Lagyan ng label ang hindi pinagkakatiwalaang content sa bawat pinagmumulan nito sa agentMarkahan ang mga web page, email, issue, ticket at resulta ng tool na maaaring sulatan ng mga tagalabas. Maaaring may mga instruction ang anumang nasa listahang ito.Putulin ang nakamamatay na tatluhang ito →Paghiwa-hiwalayin ang mga agent para walang may hawak ng tatlong bahagi ng trifectaKung nagbabasa ang isang agent ng hindi pinagkakatiwalaang content, alisin dito ang pribadong data o ang channel nito para magpadala ng data sa labas. Kung kailangang taglayin ng isang agent ang tatlong bahagi, gumamit ng plan-then-execute o dual-LLM na disenyo.Limitahan ang agent pagkatapos ng hindi pinagkakatiwalaang input →Suriin at i-pin ang mga paglalarawan ng bawat nakakonektang toolDirektang napupunta sa context ng model ang mga paglalarawan ng tool. Basahin ang mga ito bago kumonekta sa isang server, at i-hash ang mga ito para ma-flag ang mga susunod na pagbabago.Siyasatin ang mga skill, plugin at MCP server →I-escape ang output ng model bago ito i-render o i-executeHarangin ang awtomatikong pag-load ng mga external na larawan at link sa ni-render na output, at magtakda ng mahigpit na CSP. Huwag kailanman ipasa ang raw na output sa shell, SQL query o eval.Ituring na hindi pinagkakatiwalaan ang output ng model →

Mga tool at credential

Gawing read-only muna ang bawat koneksyon ng toolMagbigay lang ng mga pahintulot na magsulat, mag-delete o magpadala sa mga partikular na tool na nangangailangan nito, at para lang sa kasalukuyang gawain.Gumamit ng mga credential na may pinakamababang pribilehiyo →Limitahan ang bawat token sa isang project at sa pinakamababang kinakailangang pahintulotHuwag gumamit ng admin o service_role key para sa mga agent. Pinaliliit ng mga token na panandalian at nakatali sa project ang posibleng pinsala kapag may na-leak.Gumamit ng mga credential na may pinakamababang pribilehiyo →Humingi ng pag-apruba ng tao bago magsulat, mag-delete o magpadalaIpakita ang buong argumento ng tool sa prompt para sa pag-apruba, at tanggihan ang aksyon kapag walang sumagot. Sa OpenClaw, itakda ang tools.exec.ask sa always.Humingi ng pag-apruba para sa mga aksyong may malaking epekto →I-pin ang eksaktong bersyon ng mga skill, plugin at MCP serverSuriin ang diff bago ang bawat update at tingnan ang mga hatol ng scanner mula sa VirusTotal o mga audit ng ClawHub. Sa OpenClaw, itakda ang security.installPolicy.Siyasatin ang mga skill, plugin at MCP server →Payagan lang ang outbound traffic papunta sa mga host na kailangan ng bawat toolBilang default, harangin ang egress ng mga agent at MCP server. Huwag isama sa anumang auto-approved na listahan ang mga multi-tenant host kung saan maaaring mag-publish ng content ang sinuman.Limitahan ang papalabas na access sa network →

Runtime at network

Patakbuhin ang code at mga shell tool sa sandboxGumamit ng container o VM na walang credentials at workspace lang ang naka-mount. Sa OpenClaw, i-on ang sandboxing, itakda ang tools.exec.security sa deny o allowlist, at panatilihing naka-off ang elevated mode.I-sandbox ang code at pagpapatakbo ng tool →I-bind lang sa loopback ang mga gateway at dashboardPara ma-access ang mga ito nang malayuan, gumamit ng SSH tunnel o Tailscale Serve, at gumamit ng token na may hindi bababa sa 24 na character. Patakbuhin ang openclaw security audit --deep para makumpirma.Huwag ilantad sa internet ang mga control plane →Limitahan kung sino ang puwedeng mag-message sa agentGumamit ng DM pairing o allowlist, at hingin ang pagbanggit sa agent sa mga group chat. Sinumang makakapag-message sa agent ay maaaring sumubok na magbigay rito ng mga instruction.Kontrolin kung sino ang puwedeng mag-message sa agent →Maglaan ng hiwalay na session sa bawat user o senderHindi dapat magbahagi ng iisang context ng pag-uusap ang magkakaibang tao. Sa OpenClaw, itakda ang session.dmScope sa per-channel-peer.Ihiwalay ang mga MCP session at tenant →

Mga MCP server at client

Tanggihan ang mga MCP token na hindi inisyu para sa server moSuriin ang audience ng bawat access token, at tiyaking nagpapadala ang mga client ng RFC 8707 resource indicator para nakatali ang bawat token sa iisang server.I-validate ang audience ng MCP token →Huwag kailanman ipasa sa upstream API ang mga token ng clientKumuha ng hiwalay na token para sa mga upstream call. Kung nagpo-proxy ang server mo sa mga third party, kunin ang pahintulot ng bawat client para maiwasan ang confused deputy.I-validate ang audience ng MCP token →Panatilihing updated sa mga patched na bersyon ang MCP SDK at mga toolBilang minimum: TypeScript SDK 1.26.0, Python SDK 1.27.2, mcp-remote 0.1.16 at MCP Inspector 0.14.1. Gumawa ng isang server at transport para sa bawat session.Ihiwalay ang mga MCP session at tenant →

CI at code review

Huwag magbigay ng secrets sa mga CI agent na puwedeng patakbuhin ng mga tagalabasBigyan ng read-only token at huwag bigyan ng repository secrets ang mga agent job na tumatakbo para sa mga pull request, issue o comment mula sa mga tagalabas.Ilayo ang mga secret sa hindi pinagkakatiwalaang CI run →Ituring na mapanlinlang ang text ng mga pull request at issueMaaaring may mga instruction ang mga title, description, comment at diff mula sa mga tagalabas. Kailanganin ang pag-apruba ng maintainer bago patakbuhin ang mga ito sa anumang job na may secrets.Ilayo ang mga secret sa hindi pinagkakatiwalaang CI run →

Mga operasyon

I-log ang bawat tool call, kasama ang mga argument at resulta nitoItago ang log sa lugar na hindi nae-edit ng agent. Kailangan mo ito para ma-reconstruct ang isang insidente at matukoy ang mga hindi pangkaraniwang call.Maglaan ng mabilis na paraan para ihinto ang mga agent at bawiin ang mga token nilaAlamin kung paano ihinto ang bawat tumatakbong agent at bawiin ang mga credential nito sa loob ng ilang minuto. Magsanay bago mo ito kailanganin.Subukan ang mga agent mo laban sa prompt injection bago i-releaseMaglagay ng mga instruction sa content na binabasa ng agent, gaya ng mga issue, email at web page, at tiyaking walang mahalagang aksyong kasunod nito. Ulitin ito pagkatapos ng bawat pagbabago sa mga tool o prompt.I-verify ang mga pirma ng agent bago pagkatiwalaan ang traffic nitoSuriin ang mga Web Bot Auth signature laban sa key directory ng operator para matukoy ang agent. Hiwalay na pahintulutan ang mga aksyong maaari nitong gawin, dahil operator ang tinutukoy ng signature, hindi ang user.I-verify ang mga pirma ng agent bago magbigay ng pahintulot →

I-export bilang Markdown

SECURITY-CHECKLIST.md

## Hindi pinagkakatiwalaang input
- [ ] Lagyan ng label ang hindi pinagkakatiwalaang content sa bawat pinagmumulan nito sa agent
- [ ] Paghiwa-hiwalayin ang mga agent para walang may hawak ng tatlong bahagi ng trifecta
- [ ] Suriin at i-pin ang mga paglalarawan ng bawat nakakonektang tool
- [ ] I-escape ang output ng model bago ito i-render o i-execute

## Mga tool at credential
- [ ] Gawing read-only muna ang bawat koneksyon ng tool
- [ ] Limitahan ang bawat token sa isang project at sa pinakamababang kinakailangang pahintulot
- [ ] Humingi ng pag-apruba ng tao bago magsulat, mag-delete o magpadala
- [ ] I-pin ang eksaktong bersyon ng mga skill, plugin at MCP server
- [ ] Payagan lang ang outbound traffic papunta sa mga host na kailangan ng bawat tool

## Runtime at network
- [ ] Patakbuhin ang code at mga shell tool sa sandbox
- [ ] I-bind lang sa loopback ang mga gateway at dashboard
- [ ] Limitahan kung sino ang puwedeng mag-message sa agent
- [ ] Maglaan ng hiwalay na session sa bawat user o sender

## Mga MCP server at client
- [ ] Tanggihan ang mga MCP token na hindi inisyu para sa server mo
- [ ] Huwag kailanman ipasa sa upstream API ang mga token ng client
- [ ] Panatilihing updated sa mga patched na bersyon ang MCP SDK at mga tool

## CI at code review
- [ ] Huwag magbigay ng secrets sa mga CI agent na puwedeng patakbuhin ng mga tagalabas
- [ ] Ituring na mapanlinlang ang text ng mga pull request at issue

## Mga operasyon
- [ ] I-log ang bawat tool call, kasama ang mga argument at resulta nito
- [ ] Maglaan ng mabilis na paraan para ihinto ang mga agent at bawiin ang mga token nila
- [ ] Subukan ang mga agent mo laban sa prompt injection bago i-release
- [ ] I-verify ang mga pirma ng agent bago pagkatiwalaan ang traffic nito