脅威モデル (MITRE ATLAS)

MITRE ATLAS フレームワーク

バージョン: 1.0-draft 最終更新: 2026-02-04 方法論: MITRE ATLAS + データフロー図 フレームワーク: MITRE ATLAS (AI システム向け敵対的脅威ランドスケープ)

フレームワークの帰属

この脅威モデルは、AI/ML システムに対する敵対的脅威を文書化するための業界標準フレームワークである MITRE ATLAS を基に構築されています。ATLAS は、AI セキュリティコミュニティと協力して MITRE が保守しています。 主要な ATLAS リソース:

この脅威モデルへのコントリビュート

これは OpenClaw コミュニティが保守する生きたドキュメントです。コントリビュートのガイドラインについては、CONTRIBUTING-THREAT-MODEL.md を参照してください。

新しい脅威の報告
既存の脅威の更新
攻撃チェーンの提案
緩和策の提案

1. はじめに

1.1 目的

この脅威モデルは、AI/ML システム専用に設計された MITRE ATLAS フレームワークを使用して、OpenClaw AI エージェントプラットフォームおよび ClawHub スキルマーケットプレイスに対する敵対的脅威を文書化します。

1.2 スコープ

コンポーネント	含まれる	注記
OpenClaw エージェントランタイム	はい	コアエージェント実行、ツール呼び出し、セッション
Gateway	はい	認証、ルーティング、チャネル連携
チャネル連携	はい	WhatsApp, Telegram, Discord, Signal, Slack など
ClawHub マーケットプレイス	はい	スキルの公開、モデレーション、配布
MCP サーバー	はい	外部ツールプロバイダー
ユーザーデバイス	一部	モバイルアプリ、デスクトップクライアント

1.3 スコープ外

この脅威モデルで明示的にスコープ外とされているものはありません。

2. システムアーキテクチャ

2.1 信頼境界

┌─────────────────────────────────────────────────────────────────┐
│                    UNTRUSTED ZONE                                │
│  ┌─────────────┐  ┌─────────────┐  ┌─────────────┐              │
│  │  WhatsApp   │  │  Telegram   │  │   Discord   │  ...         │
│  └──────┬──────┘  └──────┬──────┘  └──────┬──────┘              │
│         │                │                │                      │
└─────────┼────────────────┼────────────────┼──────────────────────┘
          │                │                │
          ▼                ▼                ▼
┌─────────────────────────────────────────────────────────────────┐
│                 TRUST BOUNDARY 1: Channel Access                 │
│  ┌──────────────────────────────────────────────────────────┐   │
│  │                      GATEWAY                              │   │
│  │  • Device Pairing (1h DM / 5m node grace period)           │   │
│  │  • AllowFrom / AllowList validation                       │   │
│  │  • Token/Password/Tailscale auth                          │   │
│  └──────────────────────────────────────────────────────────┘   │
└─────────────────────────────────────────────────────────────────┘
                              │
                              ▼
┌─────────────────────────────────────────────────────────────────┐
│                 TRUST BOUNDARY 2: Session Isolation              │
│  ┌──────────────────────────────────────────────────────────┐   │
│  │                   AGENT SESSIONS                          │   │
│  │  • Session key = agent:channel:peer                       │   │
│  │  • Tool policies per agent                                │   │
│  │  • Transcript logging                                     │   │
│  └──────────────────────────────────────────────────────────┘   │
└─────────────────────────────────────────────────────────────────┘
                              │
                              ▼
┌─────────────────────────────────────────────────────────────────┐
│                 TRUST BOUNDARY 3: Tool Execution                 │
│  ┌──────────────────────────────────────────────────────────┐   │
│  │                  EXECUTION SANDBOX                        │   │
│  │  • Docker sandbox OR Host (exec-approvals)                │   │
│  │  • Node remote execution                                  │   │
│  │  • SSRF protection (DNS pinning + IP blocking)            │   │
│  └──────────────────────────────────────────────────────────┘   │
└─────────────────────────────────────────────────────────────────┘
                              │
                              ▼
┌─────────────────────────────────────────────────────────────────┐
│                 TRUST BOUNDARY 4: External Content               │
│  ┌──────────────────────────────────────────────────────────┐   │
│  │              FETCHED URLs / EMAILS / WEBHOOKS             │   │
│  │  • External content wrapping (XML tags)                   │   │
│  │  • Security notice injection                              │   │
│  └──────────────────────────────────────────────────────────┘   │
└─────────────────────────────────────────────────────────────────┘
                              │
                              ▼
┌─────────────────────────────────────────────────────────────────┐
│                 TRUST BOUNDARY 5: Supply Chain                   │
│  ┌──────────────────────────────────────────────────────────┐   │
│  │                      CLAWHUB                              │   │
│  │  • Skill publishing (semver, SKILL.md required)           │   │
│  │  • Pattern-based moderation flags                         │   │
│  │  • VirusTotal scanning (coming soon)                      │   │
│  │  • GitHub account age verification                        │   │
│  └──────────────────────────────────────────────────────────┘   │
└─────────────────────────────────────────────────────────────────┘

2.2 データフロー

フロー	ソース	宛先	データ	保護
F1	チャネル	Gateway	ユーザーメッセージ	TLS, AllowFrom
F2	Gateway	エージェント	ルーティングされたメッセージ	セッション分離
F3	エージェント	ツール	ツール呼び出し	ポリシー適用
F4	エージェント	外部	web_fetch リクエスト	SSRF ブロック
F5	ClawHub	エージェント	スキルコード	モデレーション、スキャン
F6	エージェント	チャネル	応答	出力フィルタリング

3. ATLAS 戦術別の脅威分析

3.1 偵察 (AML.TA0002)

T-RECON-001: エージェントエンドポイントの検出

属性	値
ATLAS ID	AML.T0006 - アクティブスキャン
説明	攻撃者が公開された OpenClaw gateway エンドポイントをスキャンする
攻撃ベクトル	ネットワークスキャン、shodan クエリ、DNS 列挙
影響を受けるコンポーネント	Gateway、公開 API エンドポイント
現在の緩和策	Tailscale 認証オプション、デフォルトでループバックにバインド
残余リスク	中 - 公開 gateway は検出可能
推奨事項	安全なデプロイを文書化し、検出エンドポイントにレート制限を追加する

T-RECON-002: チャネル連携のプロービング

属性	値
ATLAS ID	AML.T0006 - アクティブスキャン
説明	攻撃者が AI 管理アカウントを特定するためにメッセージングチャネルを探査する
攻撃ベクトル	テストメッセージの送信、応答パターンの観察
影響を受けるコンポーネント	すべてのチャネル連携
現在の緩和策	特になし
残存リスク	低 - 発見だけでは価値が限定的
推奨事項	応答タイミングのランダム化を検討する

3.2 初期アクセス (AML.TA0004)

T-ACCESS-001: ペアリングコードの傍受

属性	値
ATLAS ID	AML.T0040 - AI モデル推論 API アクセス
説明	攻撃者がペアリング猶予期間中にペアリングコードを傍受する（DM チャネルペアリングは 1 時間、Nodeペアリングは 5 分）
攻撃ベクトル	ショルダーサーフィン、ネットワークスニッフィング、ソーシャルエンジニアリング
影響を受けるコンポーネント	デバイスペアリングシステム
現在の緩和策	1 時間の有効期限（DM ペアリング）/ 5 分の有効期限（Nodeペアリング）、コードは既存チャネル経由で送信
残存リスク	中 - 猶予期間が悪用可能
推奨事項	猶予期間を短縮し、確認ステップを追加する

T-ACCESS-002: AllowFrom なりすまし

属性	値
ATLAS ID	AML.T0040 - AI モデル推論 API アクセス
説明	攻撃者がチャネル内で許可された送信者 ID になりすます
攻撃ベクトル	チャネルによって異なる - 電話番号のなりすまし、ユーザー名の偽装
影響を受けるコンポーネント	チャネルごとの AllowFrom 検証
現在の緩和策	チャネル固有の ID 検証
残存リスク	中 - 一部のチャネルはなりすましに脆弱
推奨事項	チャネル固有のリスクを文書化し、可能な場合は暗号学的検証を追加する

T-ACCESS-003: トークン窃取

属性	値
ATLAS ID	AML.T0040 - AI モデル推論 API アクセス
説明	攻撃者が設定ファイルから認証トークンを窃取する
攻撃ベクトル	マルウェア、不正なデバイスアクセス、設定バックアップの露出
影響を受けるコンポーネント	~/.openclaw/credentials/、設定ストレージ
現在の緩和策	ファイル権限
残存リスク	高 - トークンが平文で保存されている
推奨事項	保存時のトークン暗号化を実装し、トークンローテーションを追加する

3.3 実行 (AML.TA0005)

T-EXEC-001: 直接プロンプトインジェクション

属性	値
ATLAS ID	AML.T0051.000 - LLM プロンプトインジェクション: 直接
説明	攻撃者がエージェントの動作を操作するために細工したプロンプトを送信する
攻撃ベクトル	敵対的な指示を含むチャネルメッセージ
影響を受けるコンポーネント	エージェント LLM、すべての入力面
現在の緩和策	パターン検出、外部コンテンツのラッピング
残存リスク	重大 - 検出のみでブロックなし。高度な攻撃は回避する
推奨事項	多層防御、出力検証、機密性の高い操作に対するユーザー確認を実装する

T-EXEC-002: 間接プロンプトインジェクション

属性	値
ATLAS ID	AML.T0051.001 - LLM プロンプトインジェクション: 間接
説明	攻撃者が取得されたコンテンツに悪意ある指示を埋め込む
攻撃ベクトル	悪意ある URL、汚染されたメール、侵害された Webhook
影響を受けるコンポーネント	web_fetch、メール取り込み、外部データソース
現在の緩和策	XML タグとセキュリティ通知によるコンテンツラッピング
残存リスク	高 - LLM がラッパー指示を無視する可能性がある
推奨事項	コンテンツサニタイズ、分離された実行コンテキストを実装する

T-EXEC-003: ツール引数インジェクション

属性	値
ATLAS ID	AML.T0051.000 - LLM プロンプトインジェクション: 直接
説明	攻撃者がプロンプトインジェクションを通じてツール引数を操作する
攻撃ベクトル	ツールパラメーター値に影響を与える細工されたプロンプト
影響を受けるコンポーネント	すべてのツール呼び出し
現在の緩和策	危険なコマンドに対する実行承認
残存リスク	高 - ユーザーの判断に依存
推奨事項	引数検証、パラメーター化されたツール呼び出しを実装する

T-EXEC-004: 実行承認のバイパス

属性	値
ATLAS ID	AML.T0043 - 敵対的データの作成
説明	攻撃者が承認許可リストをバイパスするコマンドを作成する
攻撃ベクトル	コマンドの難読化、エイリアス悪用、パス操作
影響を受けるコンポーネント	exec-approvals.ts、コマンド許可リスト
現在の緩和策	許可リスト + 確認モード
残存リスク	高 - コマンドサニタイズなし
推奨事項	コマンド正規化を実装し、ブロックリストを拡張する

3.4 永続化 (AML.TA0006)

T-PERSIST-001: 悪意ある Skills のインストール

属性	値
ATLAS ID	AML.T0010.001 - サプライチェーン侵害: AI ソフトウェア
説明	攻撃者が悪意ある Skills を ClawHub に公開する
攻撃ベクトル	アカウントを作成し、隠れた悪意あるコードを含む Skills を公開する
影響を受けるコンポーネント	ClawHub、Skills の読み込み、エージェント実行
現在の緩和策	GitHub アカウントの年齢確認、パターンベースのモデレーションフラグ
残存リスク	重大 - サンドボックス化なし、レビューは限定的
推奨事項	VirusTotal 連携（進行中）、Skills のサンドボックス化、コミュニティレビュー

T-PERSIST-002: Skills 更新の汚染

属性	値
ATLAS ID	AML.T0010.001 - サプライチェーン侵害: AI ソフトウェア
説明	攻撃者が人気のある Skills を侵害し、悪意ある更新をプッシュする
攻撃ベクトル	アカウント侵害、Skills 所有者へのソーシャルエンジニアリング
影響を受けるコンポーネント	ClawHub のバージョン管理、自動更新フロー
現在の緩和策	バージョンフィンガープリント
残存リスク	高 - 自動更新が悪意あるバージョンを取得する可能性がある
推奨事項	更新署名、ロールバック機能、バージョン固定を実装する

T-PERSIST-003: エージェント設定の改ざん

属性	値
ATLAS ID	AML.T0010.002 - サプライチェーン侵害: データ
説明	攻撃者がアクセスを永続化するためにエージェント設定を変更する
攻撃ベクトル	設定ファイルの変更、設定インジェクション
影響を受けるコンポーネント	エージェント設定、ツールポリシー
現在の緩和策	ファイル権限
残存リスク	中 - ローカルアクセスが必要
推奨事項	設定の整合性検証、設定変更の監査ログ

3.5 防御回避 (AML.TA0007)

T-EVADE-001: モデレーションパターンのバイパス

属性	値
ATLAS ID	AML.T0043 - 敵対的データの作成
説明	攻撃者がモデレーションパターンを回避する Skills コンテンツを作成する
攻撃ベクトル	Unicode 同形異字、エンコーディングの手口、動的読み込み
影響を受けるコンポーネント	ClawHub moderation.ts
現在の緩和策	パターンベースの FLAG_RULES
残存リスク	高 - 単純な正規表現は容易に回避される
推奨事項	振る舞い分析（VirusTotal Code Insight）、AST ベースの検出を追加する

T-EVADE-002: コンテンツラッパーからの脱出

属性	値
ATLAS ID	AML.T0043 - 敵対的データの作成
説明	攻撃者が XML ラッパーのコンテキストから脱出するコンテンツを作成する
攻撃ベクトル	タグ操作、コンテキスト混同、命令の上書き
影響を受けるコンポーネント	外部コンテンツのラッピング
現在の緩和策	XML タグ + セキュリティ通知
残留リスク	中 - 新しい脱出手法が定期的に発見されている
推奨事項	複数のラッパーレイヤー、出力側の検証

3.6 発見 (AML.TA0008)

T-DISC-001: ツール列挙

属性	値
ATLAS ID	AML.T0040 - AI モデル推論 API アクセス
説明	攻撃者がプロンプトを通じて利用可能なツールを列挙する
攻撃ベクトル	「どのようなツールがありますか？」形式のクエリ
影響を受けるコンポーネント	エージェントツールレジストリ
現在の緩和策	特になし
残留リスク	低 - ツールは一般に文書化されている
推奨事項	ツールの可視性制御を検討する

T-DISC-002: セッションデータ抽出

属性	値
ATLAS ID	AML.T0040 - AI モデル推論 API アクセス
説明	攻撃者がセッションコンテキストから機密データを抽出する
攻撃ベクトル	「何を話し合いましたか？」というクエリ、コンテキスト探索
影響を受けるコンポーネント	セッショントランスクリプト、コンテキストウィンドウ
現在の緩和策	送信者ごとのセッション分離
残留リスク	中 - セッション内データにアクセス可能
推奨事項	コンテキスト内の機密データ編集を実装する

3.7 収集と持ち出し (AML.TA0009, AML.TA0010)

T-EXFIL-001: web_fetch 経由のデータ窃取

属性	値
ATLAS ID	AML.T0009 - 収集
説明	攻撃者がエージェントに外部 URL へ送信するよう指示してデータを持ち出す
攻撃ベクトル	エージェントに攻撃者のサーバーへデータを POST させるプロンプトインジェクション
影響を受けるコンポーネント	web_fetch ツール
現在の緩和策	内部ネットワークに対する SSRF ブロック
残留リスク	高 - 外部 URL が許可されている
推奨事項	URL 許可リスト、データ分類認識を実装する

T-EXFIL-002: 不正なメッセージ送信

属性	値
ATLAS ID	AML.T0009 - 収集
説明	攻撃者がエージェントに機密データを含むメッセージを送信させる
攻撃ベクトル	エージェントに攻撃者へメッセージを送らせるプロンプトインジェクション
影響を受けるコンポーネント	メッセージツール、チャンネル連携
現在の緩和策	送信メッセージのゲーティング
残留リスク	中 - ゲーティングが回避される可能性がある
推奨事項	新しい受信者には明示的な確認を要求する

T-EXFIL-003: 認証情報の収集

属性	値
ATLAS ID	AML.T0009 - 収集
説明	悪意のある Skill がエージェントコンテキストから認証情報を収集する
攻撃ベクトル	Skill コードが環境変数、設定ファイルを読み取る
影響を受けるコンポーネント	Skill 実行環境
現在の緩和策	Skills に特化したものはなし
残留リスク	重大 - Skills はエージェント権限で実行される
推奨事項	Skill サンドボックス化、認証情報の分離

3.8 影響 (AML.TA0011)

T-IMPACT-001: 不正なコマンド実行

属性	値
ATLAS ID	AML.T0031 - AI モデル完全性の侵食
説明	攻撃者がユーザーシステム上で任意のコマンドを実行する
攻撃ベクトル	exec 承認バイパスと組み合わせたプロンプトインジェクション
影響を受けるコンポーネント	Bash ツール、コマンド実行
現在の緩和策	exec 承認、Docker サンドボックスオプション
残留リスク	重大 - サンドボックスなしのホスト実行
推奨事項	デフォルトをサンドボックスにし、承認 UX を改善する

T-IMPACT-002: リソース枯渇 (DoS)

属性	値
ATLAS ID	AML.T0031 - AI モデル完全性の侵食
説明	攻撃者が API クレジットまたは計算リソースを枯渇させる
攻撃ベクトル	自動メッセージ大量送信、高コストなツール呼び出し
影響を受けるコンポーネント	Gateway、エージェントセッション、API プロバイダー
現在の緩和策	なし
残留リスク	高 - レート制限がない
推奨事項	送信者ごとのレート制限、コスト予算を実装する

T-IMPACT-003: 評判の毀損

属性	値
ATLAS ID	AML.T0031 - AI モデル完全性の侵食
説明	攻撃者がエージェントに有害または攻撃的なコンテンツを送信させる
攻撃ベクトル	不適切な応答を引き起こすプロンプトインジェクション
影響を受けるコンポーネント	出力生成、チャンネルメッセージング
現在の緩和策	LLM プロバイダーのコンテンツポリシー
残留リスク	中 - プロバイダーフィルターは不完全
推奨事項	出力フィルタリングレイヤー、ユーザー制御

4. ClawHub サプライチェーン分析

4.1 現在のセキュリティ制御

制御	実装	有効性
GitHub アカウント年齢	`requireGitHubAccountAge()`	中 - 新規攻撃者のハードルを上げる
パスサニタイズ	`sanitizePath()`	高 - パストラバーサルを防ぐ
ファイル種別検証	`isTextFile()`	中 - テキストファイルのみだが、それでも悪意を持つ可能性がある
サイズ制限	合計 50MB バンドル	高 - リソース枯渇を防ぐ
必須 SKILL.md	必須 readme	セキュリティ価値は低い - 情報提供のみ
パターンモデレーション	moderation.ts の FLAG_RULES	低 - 容易に回避可能
モデレーションステータス	`moderationStatus` フィールド	中 - 手動レビューが可能

4.2 モデレーションフラグパターン

moderation.ts の現在のパターン:

// Known-bad identifiers
/(keepcold131\/ClawdAuthenticatorTool|ClawdAuthenticatorTool)/i

// Suspicious keywords
/(malware|stealer|phish|phishing|keylogger)/i
/(api[-_ ]?key|token|password|private key|secret)/i
/(wallet|seed phrase|mnemonic|crypto)/i
/(discord\.gg|webhook|hooks\.slack)/i
/(curl[^\n]+\|\s*(sh|bash))/i
/(bit\.ly|tinyurl\.com|t\.co|goo\.gl|is\.gd)/i

制限事項:

slug、displayName、summary、frontmatter、metadata、ファイルパスのみをチェックする
実際の Skill コード内容は分析しない
単純な正規表現は難読化で容易に回避可能
振る舞いの分析がない

4.3 予定されている改善

改善	ステータス	影響
VirusTotal 連携	進行中	高 - Code Insight の振る舞い分析
コミュニティ報告	一部対応 (`skillReports` テーブルが存在)	中
監査ログ	一部対応 (`auditLogs` テーブルが存在)	中
バッジシステム	実装済み	中 - `highlighted`、`official`、`deprecated`、`redactionApproved`

5. リスクマトリクス

5.1 可能性 vs 影響

脅威 ID	可能性	影響	リスクレベル	優先度
T-EXEC-001	高	重大	重大	P0
T-PERSIST-001	高	重大	重大	P0
T-EXFIL-003	中	重大	重大	P0
T-IMPACT-001	中	重大	高	P1
T-EXEC-002	高	高	高	P1
T-EXEC-004	中	高	高	P1
T-ACCESS-003	中	高	高	P1
T-EXFIL-001	中	高	高	P1
T-IMPACT-002	高	中	高	P1
T-EVADE-001	高	中	中	P2
T-ACCESS-001	低	高	中	P2
T-ACCESS-002	低	高	中	P2
T-PERSIST-002	低	高	中	P2

5.2 クリティカルパス攻撃チェーン

攻撃チェーン 1: Skill ベースのデータ窃取

T-PERSIST-001 → T-EVADE-001 → T-EXFIL-003
(Publish malicious skill) → (Evade moderation) → (Harvest credentials)

攻撃チェーン 2: プロンプトインジェクションから RCE へ

T-EXEC-001 → T-EXEC-004 → T-IMPACT-001
(Inject prompt) → (Bypass exec approval) → (Execute commands)

攻撃チェーン 3: 取得コンテンツ経由の間接インジェクション

T-EXEC-002 → T-EXFIL-001 → External exfiltration
(Poison URL content) → (Agent fetches & follows instructions) → (Data sent to attacker)

6. 推奨事項の概要

6.1 即時 (P0)

ID	推奨事項	対応する脅威
R-001	VirusTotal 連携を完了する	T-PERSIST-001, T-EVADE-001
R-002	skill サンドボックス化を実装する	T-PERSIST-001, T-EXFIL-003
R-003	機微な操作の出力検証を追加する	T-EXEC-001, T-EXEC-002

6.2 短期 (P1)

ID	推奨事項	対応する脅威
R-004	レート制限を実装する	T-IMPACT-002
R-005	保存時のトークン暗号化を追加する	T-ACCESS-003
R-006	exec 承認の UX と検証を改善する	T-EXEC-004
R-007	web_fetch の URL 許可リストを実装する	T-EXFIL-001

6.3 中期 (P2)

ID	推奨事項	対応する脅威
R-008	可能な場合は暗号学的なチャネル検証を追加する	T-ACCESS-002
R-009	config の整合性検証を実装する	T-PERSIST-003
R-010	更新の署名とバージョン固定を追加する	T-PERSIST-002

7. 付録

7.1 ATLAS 技術マッピング

ATLAS ID	技術名	OpenClaw の脅威
AML.T0006	アクティブスキャン	T-RECON-001, T-RECON-002
AML.T0009	収集	T-EXFIL-001, T-EXFIL-002, T-EXFIL-003
AML.T0010.001	サプライチェーン: AI ソフトウェア	T-PERSIST-001, T-PERSIST-002
AML.T0010.002	サプライチェーン: データ	T-PERSIST-003
AML.T0031	AI モデルの整合性を損なう	T-IMPACT-001, T-IMPACT-002, T-IMPACT-003
AML.T0040	AI モデル推論 API アクセス	T-ACCESS-001, T-ACCESS-002, T-ACCESS-003, T-DISC-001, T-DISC-002
AML.T0043	敵対的データの作成	T-EXEC-004, T-EVADE-001, T-EVADE-002
AML.T0051.000	LLM プロンプトインジェクション: 直接	T-EXEC-001, T-EXEC-003
AML.T0051.001	LLM プロンプトインジェクション: 間接	T-EXEC-002

7.2 主要なセキュリティファイル

パス	目的	リスクレベル
`src/infra/exec-approvals.ts`	コマンド承認ロジック	重大
`src/gateway/auth.ts`	Gateway 認証	重大
`src/infra/net/ssrf.ts`	SSRF 保護	重大
`src/security/external-content.ts`	プロンプトインジェクションの緩和	重大
`src/agents/sandbox/tool-policy.ts`	ツールポリシーの適用	重大
`src/routing/resolve-route.ts`	セッション分離	中

7.3 用語集

用語	定義
ATLAS	MITRE の AI システム向け敵対的脅威ランドスケープ
ClawHub	OpenClaw の skill マーケットプレイス
Gateway	OpenClaw のメッセージルーティングおよび認証レイヤー
MCP	Model Context Protocol - ツールプロバイダーインターフェース
プロンプトインジェクション	悪意のある指示が入力に埋め込まれる攻撃
Skill	OpenClaw エージェント用のダウンロード可能な拡張
SSRF	Server-Side Request Forgery

この脅威モデルは継続的に更新されるドキュメントです。セキュリティ問題は security@openclaw.ai に報告してください

Gateway

Remote access

Security

Nodes and media

Web interfaces

Documentation Index

​MITRE ATLAS フレームワーク

​フレームワークの帰属

​この脅威モデルへのコントリビュート

​1. はじめに

​1.1 目的

​1.2 スコープ

​1.3 スコープ外

​2. システムアーキテクチャ

​2.1 信頼境界

​2.2 データフロー

​3. ATLAS 戦術別の脅威分析

​3.1 偵察 (AML.TA0002)

​T-RECON-001: エージェントエンドポイントの検出

​T-RECON-002: チャネル連携のプロービング

​3.2 初期アクセス (AML.TA0004)

​T-ACCESS-001: ペアリングコードの傍受

​T-ACCESS-002: AllowFrom なりすまし

​T-ACCESS-003: トークン窃取

​3.3 実行 (AML.TA0005)

​T-EXEC-001: 直接プロンプトインジェクション

​T-EXEC-002: 間接プロンプトインジェクション

​T-EXEC-003: ツール引数インジェクション

​T-EXEC-004: 実行承認のバイパス

​3.4 永続化 (AML.TA0006)

​T-PERSIST-001: 悪意ある Skills のインストール

​T-PERSIST-002: Skills 更新の汚染

​T-PERSIST-003: エージェント設定の改ざん

​3.5 防御回避 (AML.TA0007)

​T-EVADE-001: モデレーションパターンのバイパス

​T-EVADE-002: コンテンツラッパーからの脱出

​3.6 発見 (AML.TA0008)

​T-DISC-001: ツール列挙

​T-DISC-002: セッションデータ抽出

​3.7 収集と持ち出し (AML.TA0009, AML.TA0010)

​T-EXFIL-001: web_fetch 経由のデータ窃取

​T-EXFIL-002: 不正なメッセージ送信

​T-EXFIL-003: 認証情報の収集

​3.8 影響 (AML.TA0011)

​T-IMPACT-001: 不正なコマンド実行

​T-IMPACT-002: リソース枯渇 (DoS)

​T-IMPACT-003: 評判の毀損

​4. ClawHub サプライチェーン分析

​4.1 現在のセキュリティ制御

​4.2 モデレーションフラグパターン

​4.3 予定されている改善

​5. リスクマトリクス

​5.1 可能性 vs 影響

​5.2 クリティカルパス攻撃チェーン

​6. 推奨事項の概要

​6.1 即時 (P0)

​6.2 短期 (P1)

​6.3 中期 (P2)

​7. 付録

​7.1 ATLAS 技術マッピング

​7.2 主要なセキュリティファイル

​7.3 用語集

​関連