ClawGuard: Eine standardmäßig verweigernde Firewall für lokale KI-Agenten

ClawGuard ist ein Daemon, der zwischen lokalen KI-Agenten (OpenClaw, Hermes) und dem Betriebssystem sitzt und eine Default-Deny-Richtlinie auf jeden Tool-Aufruf anwendet. Es blockiert gefährliche Operationen und erfordert bei mehrdeutigen Aktionen eine Freigabe.

So funktioniert es

Der Daemon prüft jeden Tool-Aufruf gegen eine Richtliniendatei. Gefährliche Operationen wie cat .env, rm -rf / oder der Zugriff auf SSH-Schlüssel werden hart blockiert. Mehrdeutige Operationen (z. B. Schreiben in eine Konfigurationsdatei) fordern den Benutzer per Telefonbenachrichtigung zur Genehmigung oder Ablehnung auf.

Hauptfunktionen

• Default-Deny: Alle Tool-Aufrufe werden blockiert, sofern nicht explizit durch die Richtlinie erlaubt.
• Hartblockaden: Befehle wie rm -rf und cat ~/.env werden ohne Rückfrage blockiert.
• Telefon-Freigabe: Mehrdeutige Aktionen senden eine Push-Benachrichtigung zur Genehmigung oder Ablehnung.
• Manipulationssichere Protokolle: Jede Entscheidung wird in einer append-only-Kette protokolliert.

Einschränkungen

Der Entwickler stellt klar: ClawGuard ist ein „zweites Schloss, kein Tresor“. Es kann einen vollständig kompromittierten Agenten, der seine eigene Tool-Ebene umgeht, nicht aufhalten. Das Bedrohungsmodell setzt voraus, dass die Tool-Aufruf-Routing des Agenten intakt ist.

Erste Schritte

ClawGuard ist Open Source unter der MIT-Lizenz. Das Repository befindet sich unter github.com/VickyTarun89/clawguard. Beiträge und Überprüfungen des Bedrohungsmodells sind willkommen.