脅威モデル（MITRE ATLAS）

┌─────────────────────────────────────────────────────────────────┐│                    信頼されていないゾーン                                ││  ┌─────────────┐  ┌─────────────┐  ┌─────────────┐              ││  │  WhatsApp   │  │  Telegram   │  │   Discord   │  ...         ││  └──────┬──────┘  └──────┬──────┘  └──────┬──────┘              ││         │                │                │                      │└─────────┼────────────────┼────────────────┼──────────────────────┘          │                │                │          ▼                ▼                ▼┌─────────────────────────────────────────────────────────────────┐│                 信頼境界 1: チャネルアクセス                 ││  ┌──────────────────────────────────────────────────────────┐   ││  │                      GATEWAY                              │   ││  │  • デバイスのペアリング（1時間の DM ペアリング / 5分の Node ペアリング TTL）   │   ││  │  • AllowFrom / 許可リストの検証                       │   ││  │  • トークン / パスワード / Tailscale 認証                      │   ││  └──────────────────────────────────────────────────────────┘   │└─────────────────────────────────────────────────────────────────┘                              │                              ▼┌─────────────────────────────────────────────────────────────────┐│                 信頼境界 2: セッション分離              ││  ┌──────────────────────────────────────────────────────────┐   ││  │                   エージェントセッション                          │   ││  │  • セッションキー = agent:channel:peer                       │   ││  │  • エージェントごとのツールポリシー                                │   ││  │  • トランスクリプトのログ記録                                     │   ││  └──────────────────────────────────────────────────────────┘   │└─────────────────────────────────────────────────────────────────┘                              │                              ▼┌─────────────────────────────────────────────────────────────────┐│                 信頼境界 3: ツール実行                 ││  ┌──────────────────────────────────────────────────────────┐   ││  │                  実行サンドボックス                        │   ││  │  • Docker サンドボックス（デフォルト）またはホスト（実行の承認）      │   ││  │  • Node リモート実行                                  │   ││  │  • SSRF 保護（DNS ピンニング + IP ブロック）            │   ││  └──────────────────────────────────────────────────────────┘   │└─────────────────────────────────────────────────────────────────┘                              │                              ▼┌─────────────────────────────────────────────────────────────────┐│                 信頼境界 4: 外部コンテンツ               ││  ┌──────────────────────────────────────────────────────────┐   ││  │              取得した URL / メール / WEBHOOK             │   ││  │  • 外部コンテンツのラッピング（ランダム境界の XML タグ）   │   ││  │  • セキュリティ通知の挿入                              │   ││  └──────────────────────────────────────────────────────────┘   │└─────────────────────────────────────────────────────────────────┘                              │                              ▼┌─────────────────────────────────────────────────────────────────┐│                 信頼境界 5: サプライチェーン                   ││  ┌──────────────────────────────────────────────────────────┐   ││  │                      CLAWHUB                              │   ││  │  • スキルの公開（semver、SKILL.md が必須）           │   ││  │  • 静的パターン + AST 隣接モデレーションスキャン      │   ││  │  • LLM ベースのエージェント型リスクレビュー + VirusTotal スキャン    │   ││  │  • GitHub アカウント作成からの経過期間の検証（14日）              │   ││  └──────────────────────────────────────────────────────────┘   │└─────────────────────────────────────────────────────────────────┘

T-PERSIST-001 → T-EVADE-001 → T-EXFIL-003(悪意のある skill を公開) → (モデレーションを回避) → (認証情報を収集)

T-EXEC-001 → T-EXEC-004 → T-IMPACT-001(プロンプトを注入) → (exec の承認を回避) → (コマンドを実行)

T-EXEC-002 → T-EXFIL-001 → 外部へのデータ流出(URL コンテンツを汚染) → (エージェントが取得して指示に従う) → (データを攻撃者に送信)