---
summary: "OpenClaw 执行威胁 （AML.TA0005）：T-EXEC-001、T-EXEC-002、T-EXEC-003、T-EXEC-004"
title: "执行（AML.TA0005）"
read_when:
  - "检查针对 OpenClaw 部署的执行威胁"
  - "致力于 T-EXEC-001、T-EXEC-002、T-EXEC-003、T-EXEC-004 的缓解措施"
---

[MITRE ATLAS](https://atlas.mitre.org/) 框架的执行策略（AML.TA0005）中的威胁。每个条目都列出了 ATLAS 技术、攻击向量、受影响的组件、当前的缓解措施、残余风险和建议。

这些威胁跨越的信任边界和数据流在 [ 威胁模型索引](/security/THREAT-MODEL-ATLAS) 中定义，该索引还包含风险矩阵、建议摘要和 ATLAS 技术映射。

## <a id="t-exec-001%3A-direct-prompt-injection"></a><a id="t-exec-001-direct-prompt-injection"></a> T-EXEC-001：直接提示注入

| 属性               | 值                                                                                                                                                                                                                                                                                                       |
| ----------------------- | ----------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------- |
| **ATLAS ID**            | AML.T0051.000 - LLM 提示注入：直接                                                                                                                                                                                                                                                                |
| **描述**         | 攻击者发送精心构造的提示以操纵代理行为                                                                                                                                                                                                                                                 |
| **攻击向量**       | 包含对抗性指令的通道消息                                                                                                                                                                                                                                                        |
| **受影响组件** | Agent LLM，所有输入面                                                                                                                                                                                                                                                                               |
| **当前缓解措施** | 模式检测、外部内容包装和前沿模型抵抗攻击（2026众包竞技场：Claude上的0.5% ASR Opus 4.5、Gemini上的8.5% 2.5 Pro，执行力加隐蔽性得分）；对于没有边界旁路的漏洞报告，被视为超出范围（请参阅 `SECURITY.md`） |
| **残余风险**       | 模型层相关 - ASR 对推荐前沿模型的有机攻击的攻击力较低，但自适应攻击者对最先进防御的攻击仍然超过 80%，并且 smaller/older 模型仍然明显更容易操纵                                                                     |
| **建议**     | 对敏感操作进行输出验证和用户确认，并叠加在现有检测之上                                                                                                                                                                                                         |

## <a id="t-exec-002%3A-indirect-prompt-injection"></a><a id="t-exec-002-indirect-prompt-injection"></a> T-EXEC-002：间接提示注入

| 属性               | 值                                                                                                                                                                                                                  |
| ----------------------- | ---------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------- |
| **ATLAS ID**            | AML.T0051.001 - LLM 提示注入：间接                                                                                                                                                                         |
| **描述**         | 攻击者在获取的内容中嵌入恶意指令                                                                                                                                                              |
| **攻击向量**       | 恶意 URL、受感染的电子邮件、受损的 Webhook                                                                                                                                                                  |
| **受影响组件** | `web_fetch`、邮件摄取、外部数据源                                                                                                                                                                    |
| **当前缓解措施** | 使用随机边界 XML-style 标记、homoglyph/special-token 标准化、安全通知和前沿模型抵御攻击的内容包装（请参阅 T-EXEC-001）                                           |
| **残余风险**       | 模型层相关 - 推荐的前沿模型很大程度上控制了包装器边界，但它仍然是自适应攻击者可以侵蚀的软指导；范围工具策略和沙箱以适应您接受的潜在损害 |
| **建议**     | 为包装内容使用独立的执行上下文                                                                                                                                                                        |

## <a id="t-exec-003%3A-tool-argument-injection"></a><a id="t-exec-003-tool-argument-injection"></a> T-EXEC-003：工具参数注入

| 属性               | 值                                                        |
| ----------------------- | ------------------------------------------------------------ |
| **ATLAS ID**            | AML.T0051.000 - LLM 提示注入：直接                 |
| **描述**         | 攻击者通过提示注入操纵工具参数 |
| **攻击向量**       | 影响工具参数值的精心构造提示         |
| **受影响组件** | 所有工具调用                                         |
| **当前缓解措施** | 对危险命令进行执行审批                        |
| **残余风险**       | 高 - 依赖用户判断                               |
| **建议**     | 参数验证、参数化工具调用                |

## <a id="t-exec-004%3A-exec-approval-bypass"></a><a id="t-exec-004-exec-approval-bypass"></a> T-EXEC-004：Exec批准绕过

| 属性               | 值                                                                                                                                                                             |
| ----------------------- | --------------------------------------------------------------------------------------------------------------------------------------------------------------------------------- |
| **ATLAS ID**            | AML.T0043 - 构造对抗性数据                                                                                                                                                |
| **描述**         | 攻击者构造可绕过审批允许列表的命令                                                                                                                       |
| **攻击向量**       | 命令混淆、别名利用、路径操纵                                                                                                                        |
| **受影响组件** | `src/infra/exec-approvals*.ts`、命令允许列表                                                                                                                                 |
| **当前缓解措施** | 允许列表 + ask 模式，以及命令归一化（dispatch-wrapper 解包、内联 eval 检测、shell-chain 分析）                                                       |
| **残余风险**       | 高 - 归一化缩小了但未消除混淆绕过；仅在 exec 路径之间的对等发现被视为加固而非漏洞（见 `SECURITY.md`） |
| **建议**     | 继续扩展命令归一化覆盖范围，以应对新的混淆技术                                                                                              |