Amankan · tool

Checklist keamanan agent

Lakukan pemeriksaan ini sebelum agent mengakses data atau kredensial sungguhan. Setiap pemeriksaan tertaut ke perlindungan yang diterapkan, dan progres Anda dapat diekspor sebagai file Markdown untuk ditinjau atau disertakan dalam pull request.

0 dari 22 selesai

Centang hanya disimpan di browser ini.

Input yang tidak tepercaya

Tandai konten yang tidak tepercaya di setiap titik masuk ke agentTandai halaman web, email, issue, tiket, dan hasil tool yang dapat ditulis oleh pihak luar. Semua konten tersebut dapat memuat instruksi.Putuskan trifecta mematikan →Pisahkan agent agar tidak ada yang menguasai ketiga unsur trifectaJika agent membaca konten yang tidak tepercaya, batasi aksesnya ke data privat atau saluran keluar. Jika satu agent memerlukan ketiganya, gunakan desain plan-then-execute atau dual-LLM.Batasi agen setelah menerima input yang tidak tepercaya →Tinjau dan pin deskripsi setiap tool yang terhubungDeskripsi tool langsung masuk ke konteks model. Baca sebelum menghubungkan server, lalu hash deskripsinya agar perubahan berikutnya dapat terdeteksi.Periksa skill, plugin, dan server MCP →Escape output model sebelum dirender atau dieksekusiBlokir pemuatan otomatis gambar dan tautan eksternal dalam output yang dirender, lalu terapkan CSP yang ketat. Jangan pernah meneruskan output mentah ke shell, kueri SQL, atau eval.Perlakukan output model sebagai input tidak tepercaya →

Tools dan kredensial

Mulai setiap koneksi tool dalam mode read-onlyBerikan izin menulis, menghapus, atau mengirim hanya kepada tool tertentu yang memerlukannya, dan hanya untuk tugas yang sedang dikerjakan.Gunakan kredensial dengan hak minimum →Batasi setiap token ke satu proyek dengan izin seminimal mungkinJangan gunakan kunci admin atau service_role untuk agent. Token berumur pendek yang dibatasi per proyek meminimalkan dampak kebocoran.Gunakan kredensial dengan hak minimum →Wajibkan persetujuan manusia untuk penulisan, penghapusan, dan pengirimanTampilkan seluruh argumen tool dalam prompt persetujuan dan tolak secara default jika tidak ada yang merespons. Di OpenClaw, atur tools.exec.ask ke always.Minta persetujuan untuk tindakan yang berdampak besar →Pin versi pasti skill, plugin, dan server MCPTinjau diff sebelum setiap pembaruan dan periksa hasil pemindaian dari VirusTotal atau audit ClawHub. Di OpenClaw, atur security.installPolicy.Periksa skill, plugin, dan server MCP →Izinkan traffic keluar hanya ke host yang diperlukan setiap toolSecara default, blokir traffic keluar untuk agent dan server MCP. Jangan masukkan host multi-tenant tempat siapa pun dapat menerbitkan konten ke daftar yang disetujui otomatis.Batasi akses jaringan keluar →

Runtime dan jaringan

Jalankan tool kode dan shell di sandboxGunakan container atau VM tanpa kredensial dan hanya mount workspace. Di OpenClaw, aktifkan sandbox, atur tools.exec.security ke deny atau allowlist, dan nonaktifkan mode elevated.Jalankan kode dan tool dalam sandbox →Ikat gateway dan dashboard hanya ke loopbackAkses dari jarak jauh melalui tunnel SSH atau Tailscale Serve, dan gunakan token dengan panjang minimal 24 karakter. Jalankan openclaw security audit --deep untuk memastikannya.Jauhkan control plane dari internet →Batasi siapa yang dapat mengirim pesan ke agenGunakan pemasangan pasangan DM atau allowlist, dan wajibkan penyebutan agen di chat grup. Siapa pun yang dapat mengirim pesan ke agen bisa mencoba memberinya instruksi.Kontrol siapa yang dapat mengirim pesan ke agen →Gunakan sesi terpisah untuk setiap pengguna atau pengirimJangan pernah menggunakan satu konteks percakapan bersama untuk orang yang berbeda. Di OpenClaw, atur session.dmScope ke per-channel-peer.Isolasi sesi dan tenant MCP →

Server dan klien MCP

Tolak token MCP yang tidak diterbitkan untuk server AndaPeriksa audience setiap access token, dan minta klien mengirim resource indicator RFC 8707 agar setiap token terikat ke satu server.Validasi audience token MCP →Jangan pernah meneruskan token klien ke API upstreamDapatkan token terpisah untuk panggilan upstream. Jika server Anda melakukan proxy ke pihak ketiga, minta persetujuan dari setiap klien untuk menghindari masalah confused deputy.Validasi audience token MCP →Gunakan versi MCP SDK dan tools yang sudah ditambalMinimal gunakan: TypeScript SDK 1.26.0, Python SDK 1.27.2, mcp-remote 0.1.16, dan MCP Inspector 0.14.1. Buat satu server dan transport untuk setiap sesi.Isolasi sesi dan tenant MCP →

CI dan code review

Jangan berikan rahasia kepada agen CI yang dapat dipicu pihak luarJob agen yang berjalan untuk pull request, issue, atau komentar dari pihak luar harus menggunakan token hanya-baca dan tidak boleh mendapat rahasia repository.Jauhkan rahasia dari eksekusi CI yang tidak tepercaya →Perlakukan teks pull request dan issue sebagai konten berbahayaJudul, deskripsi, komentar, dan diff dari pihak luar dapat berisi instruksi. Minta persetujuan maintainer sebelum job apa pun yang menggunakan rahasia dijalankan untuk konten tersebut.Jauhkan rahasia dari eksekusi CI yang tidak tepercaya →

Operasional

Catat setiap pemanggilan tool, termasuk argumen dan hasilnyaSimpan log di tempat yang tidak dapat diedit oleh agen. Log diperlukan untuk merekonstruksi insiden dan mendeteksi pemanggilan yang tidak biasa.Siapkan cara cepat untuk menghentikan agen dan mencabut tokennyaKetahui cara menghentikan setiap agen yang berjalan dan mencabut kredensialnya dalam hitungan menit. Lakukan simulasi sebelum diperlukan.Uji agen terhadap prompt injection sebelum dirilisSisipkan instruksi ke dalam konten yang dibaca agen, seperti issue, email, dan halaman web, lalu pastikan tidak ada tindakan berdampak yang dilakukan. Ulangi pengujian setelah setiap perubahan pada tools atau prompt.Verifikasi tanda tangan agen sebelum memercayai trafik agenPeriksa tanda tangan Web Bot Auth menggunakan direktori kunci operator untuk mengidentifikasi agen. Otorisasi tindakannya secara terpisah, karena tanda tangan mengidentifikasi operator, bukan pengguna.Verifikasi tanda tangan agen, lalu beri otorisasi →

Ekspor sebagai Markdown

SECURITY-CHECKLIST.md

## Input yang tidak tepercaya
- [ ] Tandai konten yang tidak tepercaya di setiap titik masuk ke agent
- [ ] Pisahkan agent agar tidak ada yang menguasai ketiga unsur trifecta
- [ ] Tinjau dan pin deskripsi setiap tool yang terhubung
- [ ] Escape output model sebelum dirender atau dieksekusi

## Tools dan kredensial
- [ ] Mulai setiap koneksi tool dalam mode read-only
- [ ] Batasi setiap token ke satu proyek dengan izin seminimal mungkin
- [ ] Wajibkan persetujuan manusia untuk penulisan, penghapusan, dan pengiriman
- [ ] Pin versi pasti skill, plugin, dan server MCP
- [ ] Izinkan traffic keluar hanya ke host yang diperlukan setiap tool

## Runtime dan jaringan
- [ ] Jalankan tool kode dan shell di sandbox
- [ ] Ikat gateway dan dashboard hanya ke loopback
- [ ] Batasi siapa yang dapat mengirim pesan ke agen
- [ ] Gunakan sesi terpisah untuk setiap pengguna atau pengirim

## Server dan klien MCP
- [ ] Tolak token MCP yang tidak diterbitkan untuk server Anda
- [ ] Jangan pernah meneruskan token klien ke API upstream
- [ ] Gunakan versi MCP SDK dan tools yang sudah ditambal

## CI dan code review
- [ ] Jangan berikan rahasia kepada agen CI yang dapat dipicu pihak luar
- [ ] Perlakukan teks pull request dan issue sebagai konten berbahaya

## Operasional
- [ ] Catat setiap pemanggilan tool, termasuk argumen dan hasilnya
- [ ] Siapkan cara cepat untuk menghentikan agen dan mencabut tokennya
- [ ] Uji agen terhadap prompt injection sebelum dirilis
- [ ] Verifikasi tanda tangan agen sebelum memercayai trafik agen