openclaw-credential-vault aborda quatro vias de vazamento de credenciais em agentes de IA

openclaw-credential-vault é uma ferramenta de segurança que aborda riscos de exposição de credenciais em configurações de agentes de IA do OpenClaw. A ferramenta implementa três camadas de defesa contra quatro caminhos identificados de vazamento de credenciais.

Quatro caminhos de exposição de credenciais

A fonte identifica estas principais ameaças:

• Acesso direto a arquivos/env: Agentes executando comandos como cat ~/.env ou echo $GITHUB_TOKEN podem expor credenciais armazenadas em variáveis de ambiente ou arquivos de configuração.
• Vazamento por janela de contexto: Saídas de ferramentas contendo tokens ou cabeçalhos de autenticação ficam permanentemente armazenadas no histórico da conversa.
• Exfiltração por injeção de prompt: Instruções maliciosas podem enganar agentes para encaminhar credenciais às quais têm acesso.
• Ataques à cadeia de suprimentos: Habilidades maliciosas do ClawHub executando código arbitrário com permissões do agente.

A percepção principal: os três primeiros caminhos dependem de credenciais serem visíveis para o processo do agente. Remover essa visibilidade elimina 75% da superfície de ataque.

Como o openclaw-credential-vault funciona

A ferramenta fornece três camadas de defesa:

Isolamento em nível de SO

Um usuário do sistema dedicado possui arquivos de cofre criptografados, com permissões de sistema de arquivos impostas pelo kernel. O processo do agente não pode acessar esses arquivos no nível do sistema de arquivos.

Injeção com escopo de subprocesso

Credenciais são descriptografadas por um binário resolvedor em sandbox e injetadas apenas em ambientes de subprocessos específicos. Por exemplo, um GITHUB_TOKEN só existe dentro do processo gh e desaparece quando esse subprocesso termina. O próprio processo do agente nunca vê credenciais em texto puro.

Limpeza de saída com 4 ganchos

Antes que a saída da ferramenta alcance o agente, quatro camadas independentes verificam vazamentos:

• Correspondência de padrões regex para formatos conhecidos como ghp_ e sk_live_
• Correspondência literal baseada em hash contra credenciais exatas armazenadas
• Correspondência de nomes de variáveis de ambiente
• Detecção global de formatos conhecidos

Implementação técnica

• Criptografia: AES-256-GCM com sais aleatórios por credencial
• Derivação de chave: Argon2id com custo de memória de 64 MiB, 3 iterações
• Compatibilidade: Funciona com qualquer ferramenta CLI ou API, incluindo login de navegador ou cookies de sessão
• Suporte a BYOT (Traga suas próprias ferramentas)
• Cobertura de testes: ~700 testes em 36 arquivos
• Código aberto

Configuração e uso

Instalação: npm install -g openclaw-credential-vault

Configuração básica: openclaw vault add github --key ghp_xxx

A ferramenta aborda limitações em SecretRefs (v2026.3.2), que lida com segredos em nível de configuração, mas carece de separação em nível de SO e cobre apenas as próprias chaves de configuração do OpenClaw, não ferramentas arbitrárias como CLI gh ou stripe.