Regras da Garra: Conjunto de Regras de Segurança de Código Aberto para Agentes OpenClaw
Conjunto de Regras de Segurança para Produção de Agentes OpenClaw
Rules of the Claw é um conjunto de regras JSON que atua como uma camada de negação rígida sobre as chamadas de ferramentas de agentes no OpenClaw. Ele aborda o risco de segurança de agentes com amplo acesso a ferramentas serem vulneráveis a instalações de habilidades maliciosas ou injeções de prompt que poderiam causar danos reais.
Principais Recursos de Segurança
- Bloqueia execuções destrutivas incluindo
rm -rfem diretórios de workspace/config, operações pipe-to-shell e curl para executáveis desconhecidos - Protege arquivos de credenciais contra leituras e gravações:
openclaw.json,auth-profiles.jsone arquivos no diretório.secrets/ - Protege arquivos de instrução (
SOUL.md,AGENTS.md) contra edições não autorizadas por agentes - Lista negra de ferramentas de reconhecimento de rede incluindo nmap, masscan e netcat
- Bloqueia leituras de perfis de autenticação de outros agentes
Implementação Técnica
O conjunto de regras contém 139 regras no total com três configurações predefinidas: mínima, padrão e rigorosa. Ele é fornecido com um esquema JSON, scripts de validação e uma habilidade de instalação de um comando. A decisão de design principal é zero dependência de LLM - as regras são executadas na camada de ferramentas via padrões regex, proporcionando latência de microssegundos. Diferente das proteções baseadas em LLM, padrões regex não podem ser engenhados socialmente ou injetados por prompt.
Disponibilidade e Licenciamento
O projeto está disponível em github.com/Bahuleyandr/rules-of-the-claw e é licenciado sob MIT. O criador recebe pull requests para novos padrões de regras.
📖 Read the full source: r/openclaw
👀 See Also
Sistema de IA Descobre 12 Vulnerabilidades Zero-Day no OpenSSL, Curl Cancela Programa de Recompensas por Bugs Devido a Spam de IA
O sistema de IA da AISLE descobriu todas as 12 vulnerabilidades de dia zero na recente atualização de segurança do OpenSSL, marcando a primeira demonstração em grande escala de cibersegurança baseada em IA. Enquanto isso, o curl cancelou seu programa de recompensa por bugs devido a envios de spam gerados por IA.
FakeKey: Ferramenta de segurança para chaves de API baseada em Rust que substitui chaves reais por falsas
FakeKey é uma ferramenta de segurança baseada em Rust que substitui chaves de API reais por falsas em ambientes de aplicação, armazenando as chaves reais criptografadas no keychain nativo do sistema e injetando-as apenas durante solicitações HTTP/S.
Vulnerabilidades de Segurança do Recurso 'Permitir Sempre' do OpenClaw e Alternativas Mais Seguras
O recurso 'permitir sempre' de aprovação do OpenClaw foi alvo de duas CVEs este mês, permitindo execução não autorizada de comandos através de vinculação de comandos wrapper e bypasses de continuação de linha de shell. O problema mais profundo é como o recurso treina os usuários a parar de prestar atenção aos prompts de segurança.
Playground de código aberto para red-teaming de agentes de IA com exploits publicados
A Fabraix disponibilizou um ambiente aberto para testar as defesas de agentes de IA através de desafios adversariais. Cada desafio implanta um agente ativo com ferramentas reais e prompts de sistema publicados, com transcrições das conversas vencedoras e logs de proteção documentados publicamente.