Безопасность · инструмент

Чек-лист безопасности агента

Выполните эти проверки, прежде чем агент получит доступ к реальным данным или учётным данным. Каждая проверка ведёт к описанию соответствующей меры защиты. Прогресс можно экспортировать в файл Markdown для ревью или pull request.

Выполнено: 0 из 22

Отметки сохраняются только в этом браузере.

Недоверенные данные

Помечайте недоверенное содержимое при каждом его поступлении в агентаПомечайте веб-страницы, письма, issues, тикеты и результаты инструментов, которые могут редактировать посторонние. Любой из этих источников может содержать инструкции.Разорвите смертельную триаду →Разделяйте агентов, чтобы ни один не имел доступа ко всем трём составляющим триадыЕсли агент читает недоверенное содержимое, лишите его либо доступа к приватным данным, либо канала для отправки данных наружу. Если одному агенту необходимы все три составляющие, используйте схему plan-then-execute или архитектуру с двумя LLM.Ограничьте агента после получения недоверенного ввода →Проверяйте и фиксируйте описания всех подключённых инструментовОписания инструментов напрямую попадают в контекст модели. Прочитайте их до подключения сервера и сохраните их хеши, чтобы обнаруживать последующие изменения.Проверяйте skills, плагины и MCP-серверы →Экранируйте вывод модели перед отображением или выполнениемЗапретите автоматическую загрузку внешних изображений и переход по ссылкам в отображаемом выводе, а также задайте строгую CSP. Никогда не передавайте необработанный вывод в shell, SQL-запрос или eval.Считайте вывод модели недоверенным →

Инструменты и учётные данные

По умолчанию подключайте все инструменты только для чтенияПредоставляйте права на запись, удаление или отправку только конкретным инструментам, которым они нужны, и только для текущей задачи.Используйте учётные данные с минимальными привилегиями →Ограничивайте каждый токен одним проектом и минимальными правамиНе используйте для агентов ключи admin или service_role. Краткосрочные токены с ограничением по проекту минимизируют последствия утечки.Используйте учётные данные с минимальными привилегиями →Требуйте подтверждения человека для записи, удаления и отправкиПоказывайте в запросе на подтверждение все аргументы инструмента и запрещайте действие, если никто не ответил. В OpenClaw задайте для tools.exec.ask значение always.Требуйте подтверждения значимых действий →Фиксируйте точные версии skills, плагинов и серверов MCPПроверяйте diff перед каждым обновлением и сверяйте результаты сканирования VirusTotal или аудита ClawHub. В OpenClaw задайте security.installPolicy.Проверяйте skills, плагины и MCP-серверы →Разрешайте исходящий трафик только к хостам, необходимым инструментамПо умолчанию запрещайте исходящий трафик для агентов и серверов MCP. Исключайте многопользовательские хосты, где любой может публиковать содержимое, из всех списков автоматического разрешения.Ограничьте исходящий сетевой доступ →

Среда выполнения и сеть

Запускайте код и shell-инструменты в sandboxИспользуйте контейнер или VM без учётных данных и подключайте только рабочую директорию. В OpenClaw включите песочницу, установите для tools.exec.security значение deny или allowlist и не включайте повышенный режим.Изолируйте код и выполнение инструментов →Привязывайте шлюзы и панели только к loopbackДля удалённого доступа используйте SSH-туннель или Tailscale Serve и задайте токен длиной не менее 24 символов. Запустите openclaw security audit --deep для проверки.Не выставляйте плоскости управления в интернет →Ограничьте круг тех, кто может писать агентуИспользуйте сопряжение для личных сообщений или список разрешённых отправителей и требуйте упоминания агента в групповых чатах. Любой, кто может написать агенту, может попытаться дать ему инструкции.Контролируйте, кто может писать агенту →Создавайте отдельную сессию для каждого пользователя или отправителяНе допускайте, чтобы разные люди использовали один и тот же контекст диалога. В OpenClaw установите для session.dmScope значение per-channel-peer.Изолируйте сеансы и арендаторов MCP →

Серверы и клиенты MCP

Отклоняйте токены MCP, выпущенные не для вашего сервераПроверяйте audience каждого токена доступа и настройте клиентов на передачу resource indicators по RFC 8707, чтобы привязать каждый токен к одному серверу.Проверяйте аудиторию токена MCP →Никогда не передавайте токены клиентов во внешние APIПолучайте отдельные токены для внешних вызовов. Если ваш сервер проксирует запросы к сторонним сервисам, получайте согласие каждого клиента, чтобы избежать проблемы confused deputy.Проверяйте аудиторию токена MCP →Используйте обновлённые версии MCP SDK и инструментовМинимальные версии: TypeScript SDK 1.26.0, Python SDK 1.27.2, mcp-remote 0.1.16 и MCP Inspector 0.14.1. Создавайте отдельные сервер и транспорт для каждой сессии.Изолируйте сеансы и арендаторов MCP →

CI и проверка кода

Не передавайте секреты CI-агентам, которых могут запускать посторонниеЗадачам агента, запускаемым по pull request, issue или комментарию от посторонних, выдавайте токен только для чтения и не предоставляйте секреты репозитория.Не раскрывайте секреты в недоверенных запусках CI →Считайте текст pull request и issue недовереннымЗаголовки, описания, комментарии и diff от посторонних могут содержать инструкции. Требуйте одобрения мейнтейнера, прежде чем запускать на их основе задачи с секретами.Не раскрывайте секреты в недоверенных запусках CI →

Эксплуатация

Записывайте каждый вызов инструмента, его аргументы и результатХраните журнал в месте, недоступном для редактирования агентом. Он нужен для восстановления хода инцидента и выявления необычных вызовов.Подготовьте быстрый способ остановить агентов и отозвать их токеныУбедитесь, что знаете, как за несколько минут остановить каждого работающего агента и отозвать его учётные данные. Отработайте эти действия заранее.Проверьте агентов на prompt injection до выпускаДобавляйте инструкции в контент, который читает агент, например в issue, письма и веб-страницы, и проверяйте, что за ними не следуют значимые действия. Повторяйте проверку после каждого изменения инструментов или prompt.Проверяйте подписи агентов, прежде чем доверять их запросамПроверяйте подписи Web Bot Auth по каталогу ключей оператора, чтобы установить, какой агент отправил запрос. Отдельно определяйте, что ему разрешено делать: подпись подтверждает оператора, а не пользователя.Проверяйте подписи агентов, затем авторизуйте →

Экспортировать в Markdown

SECURITY-CHECKLIST.md

## Недоверенные данные
- [ ] Помечайте недоверенное содержимое при каждом его поступлении в агента
- [ ] Разделяйте агентов, чтобы ни один не имел доступа ко всем трём составляющим триады
- [ ] Проверяйте и фиксируйте описания всех подключённых инструментов
- [ ] Экранируйте вывод модели перед отображением или выполнением

## Инструменты и учётные данные
- [ ] По умолчанию подключайте все инструменты только для чтения
- [ ] Ограничивайте каждый токен одним проектом и минимальными правами
- [ ] Требуйте подтверждения человека для записи, удаления и отправки
- [ ] Фиксируйте точные версии skills, плагинов и серверов MCP
- [ ] Разрешайте исходящий трафик только к хостам, необходимым инструментам

## Среда выполнения и сеть
- [ ] Запускайте код и shell-инструменты в sandbox
- [ ] Привязывайте шлюзы и панели только к loopback
- [ ] Ограничьте круг тех, кто может писать агенту
- [ ] Создавайте отдельную сессию для каждого пользователя или отправителя

## Серверы и клиенты MCP
- [ ] Отклоняйте токены MCP, выпущенные не для вашего сервера
- [ ] Никогда не передавайте токены клиентов во внешние API
- [ ] Используйте обновлённые версии MCP SDK и инструментов

## CI и проверка кода
- [ ] Не передавайте секреты CI-агентам, которых могут запускать посторонние
- [ ] Считайте текст pull request и issue недоверенным

## Эксплуатация
- [ ] Записывайте каждый вызов инструмента, его аргументы и результат
- [ ] Подготовьте быстрый способ остановить агентов и отозвать их токены
- [ ] Проверьте агентов на prompt injection до выпуска
- [ ] Проверяйте подписи агентов, прежде чем доверять их запросам