本文へスキップ

セキュリティ

脅威モデル ATLAS

MITRE ATLASフレームワーク​

バージョン: 1.0-draft 最終更新: 2026-02-04 方法論: MITRE ATLAS + データフロー図 フレームワーク: MITRE ATLAS (Adversarial Threat Landscape for AI Systems)

フレームワークの帰属​

この脅威モデルは、AI/MLシステムに対する敵対的脅威を文書化する業界標準フレームワークであるMITRE ATLASに基づいて構築されています。ATLASはMITREがAIセキュリティコミュニティと協力して維持しています。主要なATLASリソース:

この脅威モデルへの貢献​

これはOpenClawコミュニティによって維持されるライブドキュメントです。貢献に関するガイドラインはCONTRIBUTING-THREAT-MODEL.mdを参照してください:

  • 新たな脅威の報告
  • 既存の脅威の更新
  • 攻撃連鎖の提案
  • 緩和策の提案

1. はじめに​

1.1 目的​

この脅威モデルは、AI/MLシステム向けに特別に設計されたMITRE ATLASフレームワークを使用して、OpenClaw AIエージェントプラットフォームおよびClawHubスキルマーケットプレイスに対する敵対的脅威を文書化します。

1.2 範囲​

コンポーネント含まれるか備考
OpenClaw エージェントランタイムはいコアエージェント実行、ツール呼び出し、セッション
ゲートウェイはい認証、ルーティング、チャネル統合
チャネル統合はいWhatsApp、Telegram、Discord、Signal、Slackなど
ClawHub マーケットプレイスはいスキル公開、モデレーション、配布
MCP サーバーはい外部ツールプロバイダー
ユーザーデバイス部分的モバイルアプリ、デスクトップクライアント

1.3 範囲外​

この脅威モデルでは、明示的に範囲外とされるものはありません。

2. システムアーキテクチャ​

2.1 信頼境界​

┌─────────────────────────────────────────────────────────────────┐
│                    信頼されないゾーン                                │
│  ┌─────────────┐  ┌─────────────┐  ┌─────────────┐              │
│  │  WhatsApp   │  │  Telegram   │  │   Discord   │  ...         │
│  └──────┬──────┘  └──────┬──────┘  └──────┬──────┘              │
│         │                │                │                      │
└─────────┼────────────────┼────────────────┼──────────────────────┘
          │                │                │
          ▼                ▼                ▼
┌─────────────────────────────────────────────────────────────────┐
│                 信頼境界 1: チャネルアクセス                         │
│  ┌──────────────────────────────────────────────────────────┐   │
│  │                      ゲートウェイ                            │   │
│  │  • デバイスペアリング (30秒猶予期間)                           │   │
│  │  • AllowFrom / AllowList 検証                              │   │
│  │  • トークン/パスワード/Tailscale 認証                         │   │
│  └──────────────────────────────────────────────────────────┘   │
└─────────────────────────────────────────────────────────────────┘
                              │
                              ▼
┌─────────────────────────────────────────────────────────────────┐
│                 信頼境界 2: セッション分離                          │
│  ┌──────────────────────────────────────────────────────────┐   │
│  │                   エージェントセッション                       │   │
│  │  • セッションキー = エージェント:チャネル:ピア                    │   │
│  │  • エージェントごとのツールポリシー                              │   │
│  │  • トランスクリプトロギング                                   │   │
│  └──────────────────────────────────────────────────────────┘   │
└─────────────────────────────────────────────────────────────────┘
                              │
                              ▼
┌─────────────────────────────────────────────────────────────────┐
│                 信頼境界 3: ツール実行                              │
│  ┌──────────────────────────────────────────────────────────┐   │
│  │                  実行サンドボックス                            │   │
│  │  • Dockerサンドボックス OR ホスト (exec-approvals)              │   │
│  │  • Nodeリモート実行                                        │   │
│  │  • SSRF保護 (DNSピニング + IPブロッキング)                     │   │
│  └──────────────────────────────────────────────────────────┘   │
└─────────────────────────────────────────────────────────────────┘
                              │
                              ▼
┌─────────────────────────────────────────────────────────────────┐
│                 信頼境界 4: 外部コンテンツ                            │
│  ┌──────────────────────────────────────────────────────────┐   │
│  │              取得されたURL / メール / Webhook                  │   │
│  │  • 外部コンテンツラッピング (XMLタグ)                           │   │
│  │  • セキュリティ通知注入                                      │   │
│  └──────────────────────────────────────────────────────────┘   │
└─────────────────────────────────────────────────────────────────┘
                              │
                              ▼
┌─────────────────────────────────────────────────────────────────┐
│                 信頼境界 5: サプライチェーン                          │
│  ┌──────────────────────────────────────────────────────────┐   │
│  │                      ClawHub                              │   │
│  │  • スキル公開 (semver, SKILL.md必須)                         │   │
│  │  • パターンベースのモデレーションフラグ                           │   │
│  │  • VirusTotalスキャン (近日公開)                             │   │
│  │  • GitHubアカウント年齢検証                                 │   │
│  └──────────────────────────────────────────────────────────┘   │
└─────────────────────────────────────────────────────────────────┘

2.2 データフロー​

フローソース宛先データ保護
F1チャネルゲートウェイユーザーメッセージTLS, AllowFrom
F2ゲートウェイエージェントルーティングされたメッセージセッション分離
F3エージェントツールツール呼び出しポリシー強制
F4エージェント外部web_fetch リクエストSSRFブロッキング
F5ClawHubエージェントスキルコードモデレーション、スキャン
F6エージェントチャネル応答出力フィルタリング

3. ATLAS戦術別脅威分析​

3.1 偵察 (AML.TA0002)​

T-RECON-001: エージェントエンドポイント発見​

属性値
ATLAS IDAML.T0006 - Active Scanning
説明攻撃者が公開されたOpenClawゲートウェイエンドポイントをスキャンする
攻撃ベクトルネットワークスキャン、shodanクエリ、DNS列挙
影響を受けるコンポーネントゲートウェイ、公開されたAPIエンドポイント
現在の緩和策Tailscale認証オプション、デフォルトでループバックにバインド
残留リスク中 - 公開ゲートウェイは発見可能
推奨事項安全なデプロイメントを文書化、発見エンドポイントにレート制限を追加

T-RECON-002: チャネル統合プロービング​

属性値
ATLAS IDAML.T0006 - Active Scanning
説明攻撃者がメッセージングチャネルをプローブしてAI管理アカウントを特定する
攻撃ベクトルテストメッセージ送信、応答パターンの観察
影響を受けるコンポーネントすべてのチャネル統合
現在の緩和策特になし
残留リスク低 - 発見だけでは価値が限られる
推奨事項応答タイミングのランダム化を検討

3.2 初期アクセス (AML.TA0004)​

T-ACCESS-001: ペアリングコード傍受​

属性値
ATLAS IDAML.T0040 - AI Model Inference API Access
説明攻撃者が30秒の猶予期間中にペアリングコードを傍受する
攻撃ベクトルショルダーハッキング、ネットワーク盗聴、ソーシャルエンジニアリング
影響を受けるコンポーネントデバイスペアリングシステム
現在の緩和策30秒有効期限、既存チャネル経由でコード送信
残留リスク中 - 猶予期間が悪用可能
推奨事項猶予期間の短縮、確認ステップの追加

T-ACCESS-002: AllowFrom スプーフィング​

属性値
ATLAS IDAML.T0040 - AI Model Inference API Access
説明攻撃者がチャネル内で許可された送信者IDを偽装する
攻撃ベクトルチャネル依存 - 電話番号スプーフィング、ユーザー名偽装
影響を受けるコンポーネントチャネルごとのAllowFrom検証
現在の緩和策チャネル固有のID検証
残留リスク中 - 一部のチャネルはスプーフィングに対して脆弱
推奨事項チャネル固有のリスクを文書化、可能な場合は暗号検証を追加

T-ACCESS-003: トークン盗難​

属性値
ATLAS IDAML.T0040 - AI Model Inference API Access
説明攻撃者が設定ファイルから認証トークンを盗む
攻撃ベクトルマルウェア、不正なデバイスアクセス、設定バックアップの露出
影響を受けるコンポーネント~/.openclaw/credentials/, 設定ストレージ
現在の緩和策ファイルパーミッション
残留リスク高 - トークンは平文で保存される
推奨事項保存時のトークン暗号化を実装、トークンローテーションを追加

3.3 実行 (AML.TA0005)​

T-EXEC-001: 直接プロンプトインジェクション​

属性値
ATLAS IDAML.T0051.000 - LLM Prompt Injection: Direct
説明攻撃者が細工されたプロンプトを送信してエージェントの動作を操作する
攻撃ベクトル敵対的な指示を含むチャネルメッセージ
影響を受けるコンポーネントエージェントLLM、すべての入力面
現在の緩和策パターン検出、外部コンテンツラッピング
残留リスク致命的 - 検出のみ、ブロッキングなし；高度な攻撃は回避可能
推奨事項多層防御の実装、出力検証、機密性の高いアクションに対するユーザー確認

T-EXEC-002: 間接プロンプトインジェクション​

属性値
ATLAS IDAML.T0051.001 - LLM Prompt Injection: Indirect
説明攻撃者が取得したコンテンツに悪意のある指示を埋め込む
攻撃ベクトル悪意のあるURL、汚染されたメール、侵害されたWebhook
影響を受けるコンポーネントweb_fetch、メール取り込み、外部データソース
現在の緩和策XMLタグとセキュリティ通知によるコンテンツラッピング
残留リスク高 - LLMがラッパー指示を無視する可能性
推奨事項コンテンツサニタイズの実装、実行コンテキストの分離

T-EXEC-003: ツール引数インジェクション​

属性値
ATLAS IDAML.T0051.000 - LLM Prompt Injection: Direct
説明攻撃者がプロンプトインジェクションを通じてツール引数を操作する
攻撃ベクトルツールパラメータ値に影響を与える細工されたプロンプト
影響を受けるコンポーネントすべてのツール呼び出し
現在の緩和策危険なコマンドに対する実行承認
残留リスク高 - ユーザーの判断に依存
推奨事項引数検証の実装、パラメータ化されたツール呼び出し

T-EXEC-004: 実行承認バイパス​

属性値
ATLAS IDAML.T0043 - Craft Adversarial Data
説明攻撃者が許可リストをバイパスするコマンドを作成する
攻撃ベクトルコマンド難読化、エイリアス悪用、パス操作
影響を受けるコンポーネントexec-approvals.ts、コマンド許可リスト
現在の緩和策許可リスト + 確認モード
残留リスク高 - コマンドサニタイズなし
推奨事項コマンド正規化の実装、ブロックリストの拡張

3.4 持続性 (AML.TA0006)​

T-PERSIST-001: 悪意のあるスキルインストール​

属性値
ATLAS IDAML.T0010.001 - Supply Chain Compromise: AI Software
説明攻撃者が悪意のあるスキルをClawHubに公開する
攻撃ベクトルアカウント作成、隠れた悪意のあるコードを含むスキル公開
影響を受けるコンポーネントClawHub、スキルロード、エージェント実行
現在の緩和策GitHubアカウント年齢検証、パターンベースのモデレーションフラグ
残留リスク致命的 - サンドボックスなし、限定的なレビュー
推奨事項VirusTotal統合 (進行中)、スキルサンドボックス化、コミュニティレビュー

T-PERSIST-002: スキル更新汚染​

属性値
ATLAS IDAML.T0010.001 - Supply Chain Compromise: AI Software
説明攻撃者が人気スキルを侵害し、悪意のある更新をプッシュする
攻撃ベクトルアカウント侵害、スキル所有者へのソーシャルエンジニアリング
影響を受けるコンポーネントClawHubバージョニング、自動更新フロー
現在の緩和策バージョンフィンガープリント
残留リスク高 - 自動更新が悪意のあるバージョンを取得する可能性
推奨事項更新署名の実装、ロールバック機能、バージョンピニング

T-PERSIST-003: エージェント設定改ざん​

属性値
ATLAS IDAML.T0010.002 - Supply Chain Compromise: Data
説明攻撃者がエージェント設定を変更してアクセスを維持する
攻撃ベクトル設定ファイル変更、設定インジェクション
影響を受けるコンポーネントエージェント設定、ツールポリシー
現在の緩和策ファイルパーミッション
残留リスク中 - ローカルアクセスが必要
推奨事項設定完全性検証、設定変更の監査ロギング

3.5 防御回避 (AML.TA0007)​

T-EVADE-001: モデレーションパターンバイパス​

属性値
ATLAS IDAML.T0043 - Craft Adversarial Data
説明攻撃者がモデレーションパターンを回避するスキルコンテンツを作成する
攻撃ベクトルUnicodeホモグリフ、エンコーディングトリック、動的ロード
影響を受けるコンポーネントClawHub moderation.ts
現在の緩和策パターンベースのFLAG_RULES
残留リスク高 - 単純な正規表現は容易にバイパス可能
推奨事項行動分析の追加 (VirusTotal Code Insight)、ASTベースの検出

T-EVADE-002: コンテンツラッパーエスケープ​

属性値
ATLAS IDAML.T0043 - Craft Adversarial Data
説明攻撃者がXMLラッパーコンテキストからエスケープするコンテンツを作成する
攻撃ベクトルタグ操作、コンテキスト混乱、指示の上書き
影響を受けるコンポーネント外部コンテンツラッピング
現在の緩和策XMLタグ + セキュリティ通知
残留リスク中 - 新しいエスケープが定期的に発見される
推奨事項複数層のラッパー、出力側検証

3.6 発見 (AML.TA0008)​

T-DISC-001: ツール列挙​

属性値
ATLAS IDAML.T0040 - AI Model Inference API Access
説明攻撃者がプロンプトを通じて利用可能なツールを列挙する
攻撃ベクトル「利用可能なツールは？」スタイルのクエリ
影響を受けるコンポーネントエージェントツールレジストリ
現在の緩和策特になし
残留リスク低 - ツールは一般的に文書化されている
推奨事項ツール可視性制御の検討

T-DISC-002: セッションデータ抽出​

属性値
ATLAS IDAML.T0040 - AI Model Inference API Access
説明攻撃者がセッションコンテキストから機密データを抽出する
攻撃ベクトル「何について話しましたか？」クエリ、コンテキストプロービング
影響を受けるコンポーネントセッショントランスクリプト、コンテキストウィンドウ
現在の緩和策送信者ごとのセッション分離
残留リスク中 - セッション内データはアクセス可能
推奨事項コンテキスト内での機密データ編集を実装

3.7 収集 & 外部送信 (AML.TA0009, AML.TA0010)​

T-EXFIL-001: web_fetch経由のデータ窃取​

属性値
ATLAS IDAML.T0009 - Collection
説明攻撃者がエージェントに外部URLにデータを送信するよう指示してデータを外部送信する
攻撃ベクトルエージェントに攻撃者サーバーにデータをPOSTさせるプロンプトインジェクション
影響を受けるコンポーネントweb_fetchツール
現在の緩和策内部ネットワーク向けSSRFブロッキング
残留リスク高 - 外部URLが許可される
推奨事項URL許可リストの実装、データ分類の認識

T-EXFIL-002: 不正なメッセージ送信​

属性値
ATLAS IDAML.T0009 - Collection
説明攻撃者がエージェントに機密データを含むメッセージを送信させる
攻撃ベクトルエージェントに攻撃者にメッセージを送信させるプロンプトインジェクション
影響を受けるコンポーネントメッセージツール、チャネル統合
現在の緩和策送信メッセージのゲーティング
残留リスク中 - ゲーティングがバイパスされる可能性
推奨事項新しい受信者への明示的な確認を要求

T-EXFIL-003: 認証情報収集​

属性値
ATLAS IDAML.T0009 - Collection
説明悪意のあるスキルがエージェントコンテキストから認証情報を収集する
攻撃ベクトルスキルコードが環境変数、設定ファイルを読み取る
影響を受けるコンポーネントスキル実行環境
現在の緩和策スキル固有の対策なし
残留リスク致命的 - スキルはエージェント権限で実行される
推奨事項スキルサンドボックス化、認証情報の分離

3.8 影響 (AML.TA0011)​

T-IMPACT-001: 不正なコマンド実行​

属性値
ATLAS IDAML.T0031 - Erode AI Model Integrity
説明攻撃者がユーザーシステム上で任意のコマンドを実行する
攻撃ベクトルプロンプトインジェクションと実行承認バイパスの組み合わせ
影響を受けるコンポーネントBashツール、コマンド実行
現在の緩和策実行承認、Dockerサンドボックスオプション
残留リスク致命的 - サンドボックスなしのホスト実行
推奨事項デフォルトをサンドボックスに、承認UXの改善

T-IMPACT-002: リソース枯渇 (DoS)​

属性値
ATLAS IDAML.T0031 - Erode AI Model Integrity
説明攻撃者がAPIクレジットまたは計算リソースを枯渇させる
攻撃ベクトル自動化されたメッセージフラッディング、高コストなツール呼び出し
影響を受けるコンポーネントゲートウェイ、エージェントセッション、APIプロバイダー
現在の緩和策なし
残留リスク高 - レート制限なし
推奨事項送信者ごとのレート制限の実装、コスト予算

T-IMPACT-003: 評判損害​

属性値
ATLAS IDAML.T0031 - Erode AI Model Integrity
説明攻撃者がエージェントに有害/攻撃的なコンテンツを送信させる
攻撃ベクトル不適切な応答を引き起こすプロンプトインジェクション
影響を受けるコンポーネント出力生成、チャネルメッセージング
現在の緩和策LLMプロバイダーのコンテンツポリシー
残留リスク中 - プロバイダーフィルターは不完全
推奨事項出力フィルタリング層、ユーザー制御

4. ClawHubサプライチェーン分析​

4.1 現在のセキュリティ制御​

制御実装有効性
GitHubアカウント年齢requireGitHubAccountAge()中 - 新規攻撃者のハードルを上げる
パスサニタイズsanitizePath()高 - パストラバーサルを防止
ファイルタイプ検証isTextFile()中 - テキストファイルのみ、ただし悪意のある可能性はある
サイズ制限50MB 合計バンドル高 - リソース枯渇を防止
必須SKILL.md必須readmeセキュリティ価値低 - 情報提供のみ
パターンモデレーションmoderation.ts内のFLAG_RULES低 - 容易にバイパス可能
モデレーションステータスmoderationStatus フィールド中 - 手動レビュー可能

4.2 モデレーションフラグパターン​

moderation.ts内の現在のパターン:

// 既知の悪意のある識別子
/(keepcold131\/ClawdAuthenticatorTool|ClawdAuthenticatorTool)/i

// 不審なキーワード
/(malware|stealer|phish|phishing|keylogger)/i
/(api[-_ ]?key|token|password|private key|secret)/i
/(wallet|seed phrase|mnemonic|crypto)/i
/(discord\.gg|webhook|hooks\.slack)/i
/(curl[^\n]+\|\s*(sh|bash))/i
/(bit\.ly|tinyurl\.com|t\.co|goo\.gl|is\.gd)/i

制限事項:

  • スラッグ、displayName、summary、frontmatter、metadata、ファイルパスのみをチェック
  • 実際のスキルコードコンテンツを分析しない
  • 単純な正規表現は難読化で容易にバイパス可能
  • 行動分析なし

4.3 計画されている改善​

改善ステータス影響
VirusTotal統合進行中高 - Code Insight行動分析
コミュニティ報告部分的 (skillReportsテーブル存在)中
監査ロギング部分的 (auditLogsテーブル存在)中
バッジシステム実装済み中 - highlighted, official, deprecated, redactionApproved

5. リスクマトリックス​

5.1 可能性 vs 影響​

脅威ID可能性影響リスクレベル優先度
T-EXEC-001高致命的致命的P0
T-PERSIST-001高致命的致命的P0
T-EXFIL-003中致命的致命的P0
T-IMPACT-001中致命的高P1
T-EXEC-002高高高P1
T-EXEC-004中高高P1
T-ACCESS-003中高高P1
T-EXFIL-001中高高P1
T-IMPACT-002高中高P1
T-EVADE-001高中中P2
T-ACCESS-001低高中P2
T-ACCESS-002低高中P2
T-PERSIST-002低高中P2

5.2 致命的な攻撃連鎖​

攻撃連鎖 1: スキルベースのデータ窃取

T-PERSIST-001 → T-EVADE-001 → T-EXFIL-003
(悪意のあるスキル公開) → (モデレーション回避) → (認証情報収集)

攻撃連鎖 2: プロンプトインジェクションからRCEへ

T-EXEC-001 → T-EXEC-004 → T-IMPACT-001
(プロンプトインジェクション) → (実行承認バイパス) → (コマンド実行)

攻撃連鎖 3: 取得コンテンツ経由の間接インジェクション

T-EXEC-002 → T-EXFIL-001 → 外部送信
(URLコンテンツ汚染) → (エージェントが取得し指示に従う) → (データが攻撃者に送信)

6. 推奨事項まとめ​

6.1 即時対応 (P0)​

ID推奨事項対応する脅威
R-001VirusTotal統合の完了T-PERSIST-001, T-EVADE-001
R-002スキルサンドボックス化の実装T-PERSIST-001, T-EXFIL-003
R-003機密性の高いアクションに対する出力検証の追加T-EXEC-001, T-EXEC-002

6.2 短期対応 (P1)​

ID推奨事項対応する脅威
R-004レート制限の実装T-IMPACT-002
R-005保存時のトークン暗号化の追加T-ACCESS-003
R-006実行承認UXと検証の改善T-EXEC-004
R-007web_fetch用URL許可リストの実装T-EXFIL-001

6.3 中期対応 (P2)​

ID推奨事項対応する脅威
R-008可能な場合は暗号チャネル検証の追加T-ACCESS-002
R-009設定完全性検証の実装T-PERSIST-003
R-010更新署名とバージョンピニングの実装T-PERSIST-002

7. 付録​

7.1 ATLASテクニックマッピング​

| ATLAS ID | テクニック名 | OpenClaw脅威 | | --- |