Security Audit (Sona)

核心用法

security-audit 是一款面向 OpenClaw/ClawHub 技能及代码库的对抗性安全审计工具，其设计哲学为"失效即关闭"（fail-closed）——任何环节异常均触发整体失败，而非静默通过。

运行方式简单，输出结构化 JSON 结果：

./scripts/run_audit_json.sh <路径> > /tmp/audit.json
jq '.ok, .tools' /tmp/audit.json

支持三级可调严格度（standard/strict/paranoid），并通过 OPENCLAW_AUDIT_LEVEL 环境变量控制。同时要求 openclaw-skill.json 机器可读清单文件，实现零信任安装流程。

显著优点

1. 多层纵深防御：整合 trufflehog（密钥泄漏）、semgrep（静态分析）、自定义 hostile_audit.py（提示注入、持久化机制、依赖污染）三大引擎
2. 对抗性思维：主动假设"代码会背叛系统"，而非验证功能正确性
3. 失效安全架构：任何检测层失败即整体失败，避免假阴性
4. 结构化输出：JSON 格式便于 CI/CD 集成与自动化决策
5. 渐进式严格度：从 pragmatic 到 paranoid 三级可调，适应不同场景

潜在缺点与局限性

• 静态分析局限：Docker 执行沙箱为可选，动态行为捕获依赖外部流程
• 规则覆盖边界：semgrep 自动规则与自定义启发式可能产生漏报或误报
• 依赖外部工具：需预装 jq、trufflehog、semgrep、Python3，跨平台配置复杂
• 性能开销：多层扫描对大仓库可能显著耗时
• 清单强制要求：零信任模式下无 openclaw-skill.json 即失败，增加合规成本

适合人群

• 安全团队/DevSecOps 工程师
• 企业级 OpenClaw/ClawHub 平台运营方
• 需前置安全门禁的 CI/CD 流水线
• 对第三方技能/代码库持零信任态度的组织

常规风险

• 配置错误导致可用性下降：paranoid 级别可能过度拦截合法代码
• 工具链单点故障：任一依赖工具缺失或版本不兼容导致审计中断
• 扫描盲区：自定义持久化机制或新颖攻击向量可能逃逸检测
• 误报管理成本：strict/paranoid 级别需投入人力进行例外审批

核心用法

security-audit 是一款对抗性安全审计工具，专为 OpenClaw/ClawHub 技能生态设计。其核心理念是"fail-closed"——一旦发现可疑信号即判定失败，而非冒险放行。

执行审计

./scripts/run_audit_json.sh <目标路径> > /tmp/audit.json
OPENCLAW_AUDIT_LEVEL=strict ./scripts/run_audit_json.sh ./target-skill

审计级别可选 standard（默认）、strict、paranoid，逐级收紧判定标准。

三层检测机制

• trufflehog：扫描密钥/凭证泄露
• semgrep：静态代码分析（自动规则集）
• hostile_audit.py：自定义扫描器，检测提示词注入信号、持久化机制（systemd/cron/plist）、依赖完整性、混淆/最小化代码

零信任工作流要求
目标仓库需提供 openclaw-skill.json 机器可读清单，声明意图与权限。缺失即视为失败。

---

显著优点

1. 对抗性设计哲学
不同于常规 lint 工具，该 Skill 假设被审计代码可能恶意，从"能否背叛系统"而非"能否运行"角度审视代码，符合高安全场景需求。

2. 工具链整合成熟
直接集成业界标准工具（trufflehog、semgrep），避免重复造轮子，同时通过统一 JSON 输出接口降低使用门槛。

3. 权限声明透明
openclaw-skill.json 明确声明 network: false、filesystem: 只读、subprocess: 仅限审计工具，遵循最小权限原则。

4. 威胁覆盖全面
同时关注开发时风险（密钥泄露）、运行时风险（持久化后门）和 AI 特有风险（提示词注入），形成立体防护。

---

潜在缺点与局限性

1. 外部工具依赖
需预装 jq、trufflehog、semgrep、Python3，安装流程跨平台支持（apt/brew/pipx）但仍可能因环境差异失败。建议容器化部署。

2. 静态分析的固有局限
提示词注入检测依赖正则模式匹配，面对编码/混淆攻击（如 Unicode 变体、分词攻击）可能存在漏报；持久化检测基于文件扩展名匹配，自定义路径可能绕过。

3. "Fail-closed" 的误报成本
paranoid 模式下，合法但复杂的代码（如 Webpack 产物、必要的动态执行）可能被误判，需人工复核，增加 CI/CD 流水线摩擦。

4. 生态覆盖有限
当前依赖锁定检查仅支持 npm（package-lock.json），Python、Rust、Go 生态的依赖完整性验证尚未实现，存在供应链盲区。

---

适合人群

• OpenClaw/ClawHub 平台运营方：需要前置审核第三方 Skill 的安全性
• 企业安全团队：构建内部 Skill 市场的准入控制机制
• 安全意识强的开发者：在启用第三方 AI 技能前进行自审计
• CI/CD 架构师：为 AI 技能流水线添加安全门禁

---

常规风险

运行时风险：该 Skill 本身需执行子进程（trufflehog/semgrep），若这些工具被篡改或存在漏洞，可能转化为攻击向量。建议在隔离环境（Docker/虚拟机）中运行。

供应链风险：semgrep 规则集和 trufflehog 版本未锁定，工具更新可能引入行为变更或新漏洞。推荐固定版本并验证哈希。

模式库过时：提示词注入技术快速演进（如"角色扮演""分步诱导"等新型攻击），静态模式库需持续更新，否则防御效果递减。

误用风险：审计通过不代表绝对安全，该工具不覆盖动态行为分析、网络流量监控等维度，关键系统需配合沙箱执行、人工代码审查等多重验证。

---

安全认证摘要

根据 CLS-Certify v2.1.0 扫描报告，该 Skill 获评 S级（优秀），总分 95/100。无高危威胁模式、无敏感信息泄露、无网络外联、无恶意依赖。唯一 Info 级发现均为"合法用途"的检测规则（提示词注入/数据外泄/持久化检测模式）。来源可信度 T2 级（可信组织/可信项目），符合 OpenClaw 生态安全最佳实践。