Beveiliging · tools

Beveiligingschecklist voor agents

Loop deze checks na voordat een agent toegang krijgt tot echte gegevens of inloggegevens. Elke check verwijst naar de bijbehorende maatregel. Je kunt je voortgang exporteren als Markdown-bestand voor een review of pull request.

0 van 22 voltooid

Vinkjes worden alleen in deze browser opgeslagen.

Niet-vertrouwde invoer

Markeer niet-vertrouwde content overal waar die de agent binnenkomtMarkeer webpagina's, e-mails, issues, tickets en toolresultaten die door buitenstaanders kunnen worden geschreven. Alles in die lijst kan instructies bevatten.Doorbreek de dodelijke trifecta →Splits agents op, zodat geen enkele agent alle drie de onderdelen van de trifecta heeftAls een agent niet-vertrouwde content leest, ontneem hem dan óf de toegang tot privégegevens óf het uitgaande kanaal. Als één agent alle drie nodig heeft, gebruik dan een plan-dan-uitvoeren-aanpak of een dual-LLM-ontwerp.Beperk de agent na onbetrouwbare input →Controleer en leg de beschrijvingen van elke verbonden tool vastToolbeschrijvingen komen rechtstreeks in de context van het model terecht. Lees ze voordat je een server verbindt en bereken een hash, zodat latere wijzigingen worden gesignaleerd.Controleer skills, plugins en MCP-servers →Escape modeluitvoer voordat je die weergeeft of uitvoertBlokkeer het automatisch laden van externe afbeeldingen en links in weergegeven uitvoer en stel een strikt CSP in. Geef ruwe uitvoer nooit door aan een shell, SQL-query of eval.Behandel modeluitvoer als niet-vertrouwd →

Tools en inloggegevens

Stel elke toolverbinding standaard in op alleen-lezenGeef alleen de specifieke tools die dat nodig hebben schrijf-, verwijder- of verzendrechten, en alleen voor de taak die voorligt.Gebruik inloggegevens met minimale rechten →Beperk elk token tot één project en minimale rechtenGebruik geen admin- of service_role-sleutels voor agents. Kortlopende tokens die aan een project zijn gebonden, beperken de schade bij een lek.Gebruik inloggegevens met minimale rechten →Vereis menselijke goedkeuring voor schrijven, verwijderen en verzendenToon de volledige toolargumenten in de goedkeuringsprompt en weiger standaard als niemand reageert. Stel in OpenClaw tools.exec.ask in op always.Vraag goedkeuring voor ingrijpende acties →Leg exacte versies vast van skills, plugins en MCP-serversControleer de diff vóór elke update en bekijk de scannerresultaten van VirusTotal of ClawHub-audits. Stel in OpenClaw security.installPolicy in.Controleer skills, plugins en MCP-servers →Sta uitgaand verkeer alleen toe naar hosts die elke tool nodig heeftWeiger uitgaand verkeer van agents en MCP-servers standaard. Zet hosts met meerdere tenants, waar iedereen content kan publiceren, nooit op een lijst met automatisch goedgekeurde hosts.Beperk uitgaand netwerkverkeer →

Runtime en netwerk

Voer code en shell-tools uit in een sandboxGebruik een container of VM zonder inloggegevens en mount alleen de workspace. Schakel in OpenClaw sandboxing in, stel tools.exec.security in op deny of allowlist en laat elevated mode uit.Voer code en tools uit in een sandbox →Bind gateways en dashboards alleen aan loopbackMaak op afstand verbinding via een SSH-tunnel of Tailscale Serve en gebruik een token van minstens 24 tekens. Voer openclaw security audit --deep uit om dit te controleren.Houd control planes buiten het internet →Beperk wie de agent berichten kan sturenGebruik DM-koppeling of een allowlist en eis dat gebruikers de agent vermelden in groepschats. Iedereen die de agent een bericht kan sturen, kan proberen instructies te geven.Bepaal wie de agent berichten kan sturen →Geef elke gebruiker of afzender een aparte sessieDeel nooit één gesprekscontext met verschillende mensen. Stel in OpenClaw session.dmScope in op per-channel-peer.Isoleer MCP-sessies en tenants →

MCP-servers en -clients

Wijs MCP-tokens af die niet voor je server zijn uitgegevenControleer de audience van elk access token en laat clients RFC 8707-resource-indicators meesturen, zodat elk token aan één server is gebonden.Valideer de MCP-tokenaudience →Geef clienttokens nooit door aan upstream-API'sHaal aparte tokens op voor upstream-aanroepen. Als je server verzoeken doorstuurt naar derden, vraag dan toestemming aan elke client om het confused deputy-probleem te voorkomen.Valideer de MCP-tokenaudience →Houd MCP-SDK's en -tools up-to-date met beveiligingspatchesMinimaal: TypeScript SDK 1.26.0, Python SDK 1.27.2, mcp-remote 0.1.16 en MCP Inspector 0.14.1. Maak per sessie één server en één transport aan.Isoleer MCP-sessies en tenants →

CI en code review

Geef geen secrets aan CI-agents die door buitenstaanders kunnen worden geactiveerdAgentjobs die worden uitgevoerd op pull requests, issues of opmerkingen van buitenstaanders krijgen een alleen-lezen token en geen repositorysecrets.Houd secrets buiten niet-vertrouwde CI-runs →Behandel tekst in pull requests en issues als onbetrouwbaarTitels, beschrijvingen, opmerkingen en diffs van buitenstaanders kunnen instructies bevatten. Vereis goedkeuring van een maintainer voordat een job met secrets erop wordt uitgevoerd.Houd secrets buiten niet-vertrouwde CI-runs →

Beheer

Log elke toolaanroep, inclusief argumenten en resultaatBewaar het log op een plek waar de agent het niet kan aanpassen. Je hebt het nodig om een incident te reconstrueren en ongebruikelijke aanroepen op te sporen.Zorg dat je agents snel kunt stoppen en hun tokens kunt intrekkenWeet hoe je elke actieve agent kunt stoppen en de inloggegevens ervan binnen enkele minuten kunt intrekken. Oefen dit voordat je het nodig hebt.Test je agents vóór release op prompt injectionVerwerk instructies in de content die je agent leest, zoals issues, e-mails en webpagina's, en controleer dat er geen ingrijpende acties op volgen. Herhaal dit na elke wijziging aan tools of prompts.Controleer agentsignaturen voordat je agentverkeer vertrouwtControleer Web Bot Auth-signaturen aan de hand van de sleuteldirectory van de operator om een agent te identificeren. Bepaal afzonderlijk waartoe de agent toegang heeft: een handtekening identificeert de operator, niet de gebruiker.Controleer agentsignaturen en autoriseer daarna →

Exporteren als Markdown

SECURITY-CHECKLIST.md

## Niet-vertrouwde invoer
- [ ] Markeer niet-vertrouwde content overal waar die de agent binnenkomt
- [ ] Splits agents op, zodat geen enkele agent alle drie de onderdelen van de trifecta heeft
- [ ] Controleer en leg de beschrijvingen van elke verbonden tool vast
- [ ] Escape modeluitvoer voordat je die weergeeft of uitvoert

## Tools en inloggegevens
- [ ] Stel elke toolverbinding standaard in op alleen-lezen
- [ ] Beperk elk token tot één project en minimale rechten
- [ ] Vereis menselijke goedkeuring voor schrijven, verwijderen en verzenden
- [ ] Leg exacte versies vast van skills, plugins en MCP-servers
- [ ] Sta uitgaand verkeer alleen toe naar hosts die elke tool nodig heeft

## Runtime en netwerk
- [ ] Voer code en shell-tools uit in een sandbox
- [ ] Bind gateways en dashboards alleen aan loopback
- [ ] Beperk wie de agent berichten kan sturen
- [ ] Geef elke gebruiker of afzender een aparte sessie

## MCP-servers en -clients
- [ ] Wijs MCP-tokens af die niet voor je server zijn uitgegeven
- [ ] Geef clienttokens nooit door aan upstream-API's
- [ ] Houd MCP-SDK's en -tools up-to-date met beveiligingspatches

## CI en code review
- [ ] Geef geen secrets aan CI-agents die door buitenstaanders kunnen worden geactiveerd
- [ ] Behandel tekst in pull requests en issues als onbetrouwbaar

## Beheer
- [ ] Log elke toolaanroep, inclusief argumenten en resultaat
- [ ] Zorg dat je agents snel kunt stoppen en hun tokens kunt intrekken
- [ ] Test je agents vóór release op prompt injection
- [ ] Controleer agentsignaturen voordat je agentverkeer vertrouwt