Tinman - AI Failure Mode Research, Prompt Injection & Tool Exfil Detection

核心用法

Tinman 是一款面向 AI Agent 的主动安全防护技能，通过 /tinman check 实现工具调用前的实时风险拦截，使 Agent 具备自我 policing 能力。用户可通过三种安全模式（safer/risky/yolo）灵活控制干预强度，从完全人工审核到仅警告不阻断。核心工作流包括：初始化配置 → 设置安全模式 → 集成到 SOUL.md 实现自主防护 → 定期会话扫描（/tinman scan）→ 主动渗透测试（/tinman sweep，288 个攻击探针）→ 本地事件流监控（/tinman watch + Oilcan 仪表盘）。

显著优点

• 主动防御架构：不同于被动日志审计，Tinman 在工具执行前介入，真正实现"预防"而非"事后发现"
• Agent 自主能力：通过 /tinman check 让 Agent 自行判断风险，减少人工介入频率
• 全面攻击覆盖：12 大类 288 个合成攻击探针，涵盖提示注入、工具外泄、MCP 攻击、供应链攻击等前沿威胁
• 精细化分级：S0-S4 五级严重度+三种运行模式，平衡安全性与可用性
• 完全本地运行：敏感会话数据不出境，符合隐私合规要求
• 生态集成友好：Oilcan 本地仪表盘、OpenClaw 控制映射、heartbeat 定时任务原生支持

潜在缺点与局限性

• 权限要求较宽：需读取会话历史、文件系统访问权限，虽声明合理但增加攻击面
• 配置复杂度：有效防护需深度集成到 SOUL.md 和网关配置，初学者上手门槛不低
• 误报风险：S2 级别"建议审核"类检测在复杂业务场景可能产生噪音
• yolo 模式隐患：虽为测试设计，但存在被意外启用的风险
• WebSocket 暴露：--allow-remote-gateway 选项若配置不当可能扩大攻击面

适合人群

• 企业级 AI Agent 部署的安全团队
• 处理敏感数据（代码、密钥、PII）的开发者
• 需要满足合规审计要求的金融、医疗、政务场景
• 红队/安全研究人员测试 AI 系统鲁棒性

常规风险

• 过度依赖风险：安全模式设置不当（如长期 yolo）可能产生虚假安全感
• 配置漂移：SOUL.md 更新后未同步维护 Tinman 集成规则导致防护失效
• 本地日志泄露：~/.openclaw/workspace/tinman-events.jsonl 若权限设置宽松可能被其他进程读取
• 供应链风险：依赖 AgentTinman 和 tinman-openclaw-eval 两个 PyPI 包，需关注其更新签名

核心用法

Tinman 是一款面向 AI 系统的主动安全扫描工具，通过 /tinman check 实现代理自主防护，在工具调用前实时拦截潜在风险。支持三种安全模式：safer（人工审核）、risky（自动批准低风险）、yolo（仅警告）。主要功能包括：会话安全扫描（/tinman scan）、持续监控（/tinman watch）、主动渗透测试（/tinman sweep含288个攻击探针）以及本地仪表板集成（/tinman oilcan）。

显著优点

1. 检测能力全面：覆盖提示词注入、工具外泄、上下文泄露、供应链攻击等12类威胁，包含168个检测模式
2. 自主防护机制：首创代理自我检查能力，可在执行前阻断危险操作
3. 本地化优先：所有分析本地运行，敏感数据自动脱敏（REDACTED），默认仅使用本地回环网络
4. 分级响应体系：S0-S4 五级 severity 分类，匹配不同处置策略
5. 合规设计：符合 GDPR 数据最小化原则，显式权限声明，无隐藏外发

潜在局限

1. 依赖来源：核心依赖 AgentTinman 和 tinman-openclaw-eval 均为同名作者维护，生态独立
2. 社区成熟度：仓库创建于2026年4月，Stars/Forks 为0，长期维护稳定性待观察
3. 误报可能：编码检测（base64/Unicode）可能将合法用途标记为可疑
4. 远程网关风险：虽需显式授权，但 --allow-remote-gateway 选项存在配置误用可能

适合人群

• 企业 AI 平台安全团队
• 需要合规审计的金融/医疗 AI 应用
• 研究 AI 红队测试的安全研究员
• 对会话隐私敏感的个人开发者

常规风险

• 配置风险：过度宽松的 allowlist 或错误使用 yolo 模式会削弱防护
• 依赖风险：pip 依赖需持续跟踪更新，防止供应链攻击
• 监控盲区：shadow 模式下仅观察不拦截，可能被误认为已防护