Zero-Trust OpenClaw : Autorisation pré-exécution en Rust <1ms

Une architecture de sécurité open source pour OpenClaw aborde le problème des agents ayant des permissions système ambiantes sans vérification fiable de leurs actions. La solution implémente deux points de contrôle stricts dans la boucle d'exécution.

Porte de Pré-Exécution

Un démon Rust local appelé predicate-authorityd intercepte chaque appel d'outil avant exécution et le vérifie par rapport à une politique déclarative. Cela fournit une surcharge d'autorisation inférieure à la milliseconde avec un p99 <25ms. Le système est en mode échec-fermé : si le sidecar est hors service, tout est refusé. Par exemple, si un agent tente d'écrire dans /etc/passwd, il est bloqué de manière stricte et le système d'exploitation hôte n'est jamais touché.

Vérification Post-Exécution

Au lieu de demander à un LLM « est-ce que cela a fonctionné ? » après les actions du navigateur, le système exécute des assertions déterministes comme :

url_contains("news.ycombinator.com") → PASS
element_exists("titleline") → PASS
dom_contains("Show") → PASS

Le modèle .eventually() gère l'hydratation des SPA sans appels fragiles de sleep().

Tracé et Économie de Tokens

Chaque étape — décisions d'autorisation, instantanés DOM, résultats de vérification — est envoyée vers une trace (locale ou cloud). Vous pouvez rejouer l'état exact de l'agent étape par étape dans un portail web, utile pour déboguer des assertions échouées ou auditer ce que l'agent a réellement vu (captures d'écran incluses).

La compétence predicate-snapshot compresse le DOM pour ne garder que les éléments actionnables, réalisant une économie de tokens de 90 à 99 %. Dans une démo d'extraction de posts Hacker News, elle a utilisé ~1200 tokens par étape au lieu de 50k+ pour le HTML brut.

Cas d'Utilisation et Développement Futur

Cette architecture est prête pour la production pour des tâches comme la surveillance des prix sur des sites e-commerce (Amazon, eBay), le suivi des concurrents, la génération de leads à partir d'annuaires, ou tout scraping web où vous avez besoin de garanties que l'agent a bien extrait les bonnes données.

La porte de pré-exécution fonctionne déjà pour tout agent (ce ne sont que des appels HTTP au sidecar). Le développement futur inclut l'extension de la vérification post-exécution aux agents non-web — assertions d'état du système de fichiers, validation de réponses API, vérifications de base de données — en utilisant la même approche déterministe sans LLM-comme-juge.