L'amélioration de la sécurité de ClawVault ajoute la détection des données sensibles pour OpenClaw
Proxy de sécurité pour le trafic LLM OpenClaw
Yet Another ClawVault est une amélioration minimale, axée sur la sécurité, construite directement sur l'architecture originale de ClawVault. Il est conçu pour ajouter rapidement des garde-fous solides aux déploiements OpenClaw en interceptant le trafic API des modèles et en empêchant les fuites de données sensibles.
Fonctionnalités principales
L'outil se concentre sur trois capacités principales :
- Proxy transparent pour intercepter le trafic API des modèles (déjà implémenté dans le ClawVault original)
- Détection en temps réel des données sensibles avec assainissement ou blocage automatique
- Surveillance propre incluant l'utilisation des jetons et des alertes sur les opérations sensibles
Installation rapide
L'installation suit le style de démarrage rapide du projet original :
pip install -e .
clawvault startAprès l'installation, dirigez les appels API d'OpenClaw vers le port du proxy en utilisant la configuration par défaut :
proxy:
port: 8765
intercept_hosts: ["api.openai.com", "api.anthropic.com"]
guard:
mode: "interactive"Détection des données sensibles
La couche de garde inclut une correspondance supplémentaire des champs sensibles qui assainit ou bloque automatiquement les données correspondant à des motifs comme :
- password=
- sk-proj-
- Jetons Bearer
Cette amélioration a été créée après que l'examen des journaux de requêtes LLM d'OpenClaw ait révélé plusieurs cas où le modèle incluait directement des données sensibles (mots de passe, clés API, jetons) en texte clair dans les invites ou les appels d'outils. Selon les développeurs, depuis la mise en œuvre de cette combinaison proxy + garde, il n'y a plus "de clés en clair qui flottent dans les journaux".
Le dépôt original de ClawVault est disponible à l'adresse https://github.com/tophant-ai/ClawVault, et les développeurs sont encouragés à forker et à soumettre des PR pour ces améliorations.
📖 Read the full source: r/LocalLLaMA
👀 See Also
Audit de Sécurité Révèle que les Serveurs de Référence MCP d'Anthropic sont Vulnérables, Introduit des Vulnérabilités Basées sur des Hallucinations
Un audit de sécurité de 100 packages de serveurs MCP a révélé que 71 % ont obtenu la note F, y compris les implémentations de référence officielles d'Anthropic sur GitHub et pour les systèmes de fichiers. L'audit a identifié des vulnérabilités basées sur les hallucinations qui créent des failles de sécurité et gaspillent des jetons via des boucles de raisonnement.
Sécurité Slack OpenClaw : Risques d'exposition des clés API et correctifs
Les déploiements OpenClaw sur Slack peuvent exposer des clés API via des messages d'erreur dans les canaux, avec plus de 8 000 instances trouvées exposées dans un rapport Bitsight. La source détaille trois vulnérabilités spécifiques et propose des correctifs pratiques incluant des modifications de prompts système et une migration vers SlackClaw.
Tableau de bord en direct des outils OpenClaw exposés
Tableau de bord présentant les panneaux de contrôle exposés des outils OpenClaw comme Moltbot et Clawdbot.
Claude chatbot exploité dans une fuite de données du gouvernement mexicain
Un pirate informatique a utilisé le chatbot Claude d'Anthropic pour attaquer plusieurs agences gouvernementales mexicaines, dérobant 150 Go de données incluant des dossiers de contribuables et des identifiants d'employés. Le pirate a contourné les protections de Claude avec des invites pour générer des milliers de plans d'attaque détaillés.