Bezpieczeństwo · narzędzia

Lista kontrolna bezpieczeństwa agentów

Przejdź przez te kontrole, zanim agent uzyska dostęp do rzeczywistych danych lub poświadczeń. Każda z nich zawiera link do opisywanego zabezpieczenia. Możesz też wyeksportować postępy do pliku Markdown, aby wykorzystać je podczas przeglądu lub w pull requeście.

Wykonano 0 z 22

Zaznaczenia są zapisywane tylko w tej przeglądarce.

Niezaufane dane wejściowe

Oznaczaj niezaufane treści w każdym miejscu, z którego trafiają do agentaOznaczaj strony internetowe, e-maile, zgłoszenia, tickety i wyniki narzędzi, które mogą być tworzone przez osoby z zewnątrz. Każda z tych treści może zawierać instrukcje.Przerwij zabójczą triadę →Rozdziel agentów tak, by żaden nie miał wszystkich trzech elementów układankiJeśli agent odczytuje niezaufane treści, odbierz mu dostęp do danych prywatnych albo kanał wysyłania danych. Jeśli jeden agent musi mieć wszystkie trzy elementy, zastosuj podejście plan-then-execute lub architekturę dual-LLM.Ogranicz możliwości agenta po otrzymaniu niezaufanych danych →Sprawdź i przypnij opisy wszystkich podłączonych narzędziOpisy narzędzi trafiają bezpośrednio do kontekstu modelu. Przeczytaj je przed podłączeniem serwera i oblicz ich hashe, aby wykrywać późniejsze zmiany.Weryfikuj skills, pluginy i serwery MCP →Escapuj dane wyjściowe modelu przed ich wyświetleniem lub wykonaniemBlokuj automatyczne ładowanie zewnętrznych obrazów i linków w renderowanych treściach oraz ustaw restrykcyjną CSP. Nigdy nie przekazuj surowych danych wyjściowych do powłoki, zapytania SQL ani eval.Traktuj wynik modelu jako niezaufany →

Narzędzia i dane uwierzytelniające

Domyślnie ustawiaj połączenia z narzędziami jako tylko do odczytuPrzyznawaj uprawnienia do zapisu, usuwania lub wysyłania tylko konkretnym narzędziom, które ich potrzebują, i tylko na potrzeby bieżącego zadania.Stosuj zasadę minimalnych uprawnień →Ogranicz każdy token do jednego projektu i minimalnych uprawnieńNie używaj dla agentów kluczy administratora ani kluczy service_role. Krótkotrwałe tokeny ograniczone do projektu minimalizują skutki wycieku.Stosuj zasadę minimalnych uprawnień →Wymagaj zatwierdzenia przez człowieka przed zapisem, usunięciem lub wysłaniemPokaż pełne argumenty narzędzia w prośbie o zatwierdzenie i w razie braku odpowiedzi domyślnie odrzuć operację. W OpenClaw ustaw tools.exec.ask na always.Wymagaj akceptacji działań o istotnych konsekwencjach →Przypinaj dokładne wersje skills, wtyczek i serwerów MCPPrzed każdą aktualizacją sprawdź różnice i zweryfikuj wyniki skanowania z VirusTotal lub audytów ClawHub. W OpenClaw ustaw security.installPolicy.Weryfikuj skills, pluginy i serwery MCP →Zezwalaj na ruch wychodzący tylko do hostów wymaganych przez poszczególne narzędziaDomyślnie blokuj ruch wychodzący agentów i serwerów MCP. Nie dodawaj hostów wielodostępnych, na których każdy może publikować treści, do żadnej listy automatycznie zatwierdzanych hostów.Ogranicz ruch wychodzący →

Środowisko uruchomieniowe i sieć

Uruchamiaj kod i narzędzia powłoki w sandboxieUżywaj kontenera lub maszyny wirtualnej bez poświadczeń i z zamontowanym wyłącznie obszarem roboczym. W OpenClaw włącz sandboxing, ustaw tools.exec.security na deny lub allowlist i pozostaw tryb podwyższonych uprawnień wyłączony.Uruchamiaj kod i narzędzia w sandboxie →Udostępniaj bramy i dashboardy tylko na loopbackUzyskuj do nich zdalny dostęp przez tunel SSH lub Tailscale Serve i używaj tokena o długości co najmniej 24 znaków. Uruchom openclaw security audit --deep, aby to sprawdzić.Nie wystawiaj płaszczyzn kontroli do internetu →Ogranicz, kto może wysyłać wiadomości do agentaUżywaj parowania w wiadomościach prywatnych lub allowlisty i wymagaj wzmianki na czatach grupowych. Każdy, kto może wysłać wiadomość do agenta, może próbować wydawać mu polecenia.Kontroluj, kto może pisać do agenta →Przydziel każdemu użytkownikowi lub nadawcy osobną sesjęRóżne osoby nigdy nie powinny współdzielić kontekstu jednej rozmowy. W OpenClaw ustaw session.dmScope na per-channel-peer.Izoluj sesje i dzierżawców MCP →

Serwery i klienci MCP

Odrzucaj tokeny MCP, które nie zostały wydane dla Twojego serweraSprawdzaj odbiorcę każdego tokena dostępu i dopilnuj, by klienci wysyłali wskaźniki zasobu RFC 8707, dzięki czemu każdy token będzie przypisany do jednego serwera.Weryfikuj odbiorcę tokenu MCP →Nigdy nie przekazuj tokenów klienta do upstream APIUzyskuj osobne tokeny do wywołań upstream. Jeśli serwer pośredniczy w komunikacji z usługami zewnętrznymi, uzyskaj zgodę każdego klienta, aby uniknąć problemu confused deputy.Weryfikuj odbiorcę tokenu MCP →Korzystaj z aktualnych, załatanych wersji SDK MCP i narzędziCo najmniej: TypeScript SDK 1.26.0, Python SDK 1.27.2, mcp-remote 0.1.16 i MCP Inspector 0.14.1. Dla każdej sesji twórz osobny serwer i transport.Izoluj sesje i dzierżawców MCP →

CI i przegląd kodu

Nie udostępniaj sekretów agentom CI, których mogą uruchomić osoby z zewnątrzZadania agentów uruchamiane dla pull requestów, zgłoszeń lub komentarzy od osób z zewnątrz powinny otrzymywać token tylko do odczytu i nie mieć dostępu do sekretów repozytorium.Nie udostępniaj sekretów w niezaufanych uruchomieniach CI →Traktuj treść pull requestów i zgłoszeń jako niezaufanąTytuły, opisy, komentarze i różnice w kodzie od osób z zewnątrz mogą zawierać instrukcje. Przed uruchomieniem zadania z dostępem do sekretów wymagaj zgody opiekuna repozytorium.Nie udostępniaj sekretów w niezaufanych uruchomieniach CI →

Obsługa

Rejestruj każde wywołanie narzędzia wraz z argumentami i wynikiemPrzechowuj logi w miejscu, do którego agent nie ma dostępu do edycji. Są potrzebne do odtworzenia przebiegu incydentu i wykrywania nietypowych wywołań.Zapewnij szybki sposób zatrzymywania agentów i unieważniania ich tokenówWiedz, jak zatrzymać każdego działającego agenta i unieważnić jego poświadczenia w ciągu kilku minut. Przećwicz tę procedurę, zanim będzie potrzebna.Przed wdrożeniem przetestuj agentów pod kątem prompt injectionUmieszczaj instrukcje w treściach odczytywanych przez agenta, takich jak zgłoszenia, e-maile i strony internetowe, i sprawdzaj, czy nie prowadzą do żadnych istotnych działań. Powtarzaj testy po każdej zmianie narzędzi lub promptów.Weryfikuj podpisy agentów przed zaufaniem ruchowi agentówWeryfikuj podpisy Web Bot Auth za pomocą katalogu kluczy operatora, aby zidentyfikować agenta. Osobno określaj, do czego może mieć dostęp, ponieważ podpis identyfikuje operatora, a nie użytkownika.Weryfikuj podpisy agentów, a potem autoryzuj →

Eksportuj jako Markdown

SECURITY-CHECKLIST.md

## Niezaufane dane wejściowe
- [ ] Oznaczaj niezaufane treści w każdym miejscu, z którego trafiają do agenta
- [ ] Rozdziel agentów tak, by żaden nie miał wszystkich trzech elementów układanki
- [ ] Sprawdź i przypnij opisy wszystkich podłączonych narzędzi
- [ ] Escapuj dane wyjściowe modelu przed ich wyświetleniem lub wykonaniem

## Narzędzia i dane uwierzytelniające
- [ ] Domyślnie ustawiaj połączenia z narzędziami jako tylko do odczytu
- [ ] Ogranicz każdy token do jednego projektu i minimalnych uprawnień
- [ ] Wymagaj zatwierdzenia przez człowieka przed zapisem, usunięciem lub wysłaniem
- [ ] Przypinaj dokładne wersje skills, wtyczek i serwerów MCP
- [ ] Zezwalaj na ruch wychodzący tylko do hostów wymaganych przez poszczególne narzędzia

## Środowisko uruchomieniowe i sieć
- [ ] Uruchamiaj kod i narzędzia powłoki w sandboxie
- [ ] Udostępniaj bramy i dashboardy tylko na loopback
- [ ] Ogranicz, kto może wysyłać wiadomości do agenta
- [ ] Przydziel każdemu użytkownikowi lub nadawcy osobną sesję

## Serwery i klienci MCP
- [ ] Odrzucaj tokeny MCP, które nie zostały wydane dla Twojego serwera
- [ ] Nigdy nie przekazuj tokenów klienta do upstream API
- [ ] Korzystaj z aktualnych, załatanych wersji SDK MCP i narzędzi

## CI i przegląd kodu
- [ ] Nie udostępniaj sekretów agentom CI, których mogą uruchomić osoby z zewnątrz
- [ ] Traktuj treść pull requestów i zgłoszeń jako niezaufaną

## Obsługa
- [ ] Rejestruj każde wywołanie narzędzia wraz z argumentami i wynikiem
- [ ] Zapewnij szybki sposób zatrzymywania agentów i unieważniania ich tokenów
- [ ] Przed wdrożeniem przetestuj agentów pod kątem prompt injection
- [ ] Weryfikuj podpisy agentów przed zaufaniem ruchowi agentów