Documentation Index
Fetch the complete documentation index at: https://openclaw.zhcndoc.com/llms.txt
Use this file to discover all available pages before exploring further.
为 OpenClaw 威胁模型做贡献
感谢你帮助让 OpenClaw 更安全。这个威胁模型是一份动态文档，我们欢迎任何人的贡献——你不需要是安全专家。贡献方式
添加威胁
发现了我们尚未覆盖的攻击向量或风险？在 openclaw/trust 上提交一个 issue，并用你自己的话描述它。你不需要了解任何框架，也不需要填写每一项字段——只要描述这个场景即可。 建议包含（但非必需）：- 攻击场景以及可能如何被利用
- OpenClaw 中哪些部分会受到影响（CLI、gateway、channels、ClawHub、MCP servers 等）
- 你认为它的严重程度（低 / 中 / 高 / 严重）
- 任何相关研究、CVE 或现实世界示例的链接
这用于添加到威胁模型中，不是用于报告正在发生的漏洞。 如果你发现了可被利用的漏洞，请查看我们的 Trust 页面 以了解负责任披露说明。
建议缓解措施
你是否有办法应对现有威胁的想法？请提交一个 issue 或 PR，并引用该威胁。有效的缓解措施应具体且可执行——例如，“在 gateway 按发送者限制为每分钟 10 条消息”比“实现速率限制”更好。提出攻击链
攻击链展示了多个威胁如何组合成一个真实的攻击场景。如果你看到一个危险的组合，请描述步骤以及攻击者将如何把它们串联起来。一个简短叙述攻击在实践中如何展开，比正式模板更有价值。修复或改进现有内容
拼写错误、澄清说明、过时信息、更好的示例——欢迎提交 PR，无需 issue。我们使用的内容
MITRE ATLAS
这个威胁模型建立在 MITRE ATLAS（面向 AI 系统的对抗性威胁环境）之上，这是一个专门为 AI/ML 威胁设计的框架，例如提示注入、工具滥用和代理被利用。你不需要了解 ATLAS 也能贡献——我们会在审核期间将提交映射到该框架。威胁 ID
每个威胁都会获得一个类似T-EXEC-003 的 ID。类别如下：
| 代码 | 类别 |
|---|---|
| RECON | 侦察 - 信息收集 |
| ACCESS | 初始访问 - 获取入口 |
| EXEC | 执行 - 运行恶意操作 |
| PERSIST | 持久化 - 保持访问 |
| EVADE | 防御规避 - 避免检测 |
| DISC | 发现 - 了解环境 |
| EXFIL | 外传 - 窃取数据 |
| IMPACT | 影响 - 破坏或干扰 |
风险等级
| 等级 | 含义 |
|---|---|
| 严重 | 完全系统被攻破，或高可能性 + 严重影响 |
| 高 | 大概率造成重大损害，或中等可能性 + 严重影响 |
| 中 | 中等风险，或低可能性 + 高影响 |
| 低 | 不太可能发生且影响有限 |
审核流程
- 分流 - 我们会在 48 小时内审核新提交内容
- 评估 - 我们验证可行性，分配 ATLAS 映射和威胁 ID，确认风险等级
- 文档化 - 我们确保所有内容格式正确且完整
- 合并 - 添加到威胁模型和可视化中
资源
联系方式
- 安全漏洞： 请查看我们的 Trust 页面 了解报告说明
- 威胁模型问题： 在 openclaw/trust 上提交一个 issue
- 一般聊天： Discord #security 频道