Tinman - AI Failure Mode Research, Prompt Injection & Tool Exfil Detection

核心用法

Tinman 是一款面向 AI 系统的主动式安全研究代理，通过系统化实验发现未知失败模式。主要功能包括：

1. 扫描分析 (/tinman scan)：检查近期会话中的提示注入、工具滥用、上下文泄露等问题，支持按时间范围和失败类型筛选
2. 报告生成 (/tinman report)：生成结构化安全报告，包含证据链和缓解建议
3. 持续监控 (/tinman watch)：后台自动扫描模式，可配置监控间隔
4. 合成探针 (/tinman sweep)：主动发起针对性安全测试

显著优点

• 主动防御：区别于被动审计，通过合成探针主动发现潜在漏洞
• OpenClaw 原生集成：缓解措施直接映射到 SOUL.md 护栏、沙箱策略、工具白名单等控制机制
• 分级分类体系：采用 S0-S4 五级严重度标准，覆盖提示注入、工具外泄、上下文泄露、推理错误、反馈循环五大类别
• 隐私优先：全本地分析，零外部数据传输，尊重会话隔离
• 可配置化：支持 YAML 配置自定义监控模式、关注焦点和报告阈值

潜在局限

• 实验性状态：版本 0.1.x 表明工具尚处早期，可能存在误报或漏报
• 依赖会话数据质量：若会话日志不完整，扫描效果受限
• 合成探针风险：lab 模式下的主动探测可能对生产环境产生意外影响
• 缓解建议通用性：自动生成的控制措施可能需要人工调优以适应具体场景

适合人群

• AI 系统安全研究员和红队测试人员
• 使用 OpenClaw 框架的开发者与运维团队
• 需要合规审计能力的企业 AI 部署场景
• 对提示工程安全有深度需求的进阶用户

常规风险

• 误报疲劳：S1-S2 级别发现较多时可能造成噪音，建议将阈值设为 S2 以上
• 权限边界：虽声明 elevated: false，但工具允许列表包含 sessions_history 等敏感读取权限，需确认最小权限原则
• 影子模式依赖：默认 shadow 模式仅观察不拦截，主动防护需额外配置

核心用法

Tinman 是一款前置部署的 AI 故障模式研究代理，通过系统化实验主动发现系统中的未知失效模式。其核心工作流包括：

扫描分析：通过 /tinman scan 命令分析最近会话历史，识别提示注入（prompt injection）、工具误用（tool misuse）、上下文泄露（context bleed）三类主要风险，支持按时间窗口（--hours）和故障类型（--focus）过滤。

分类定级：采用 S0-S4 五级严重性标准对发现的问题进行分级，S4 为需立即处理的危急级别。

缓解映射：每个发现的故障自动映射到 OpenClaw 控制体系，包括 SOUL.md 护栏规则、沙箱策略调整、工具白名单/黑名单配置等具体缓解措施。

持续监控：/tinman watch 提供后台持续监控模式，支持自定义扫描间隔；/tinman sweep 可运行合成探针进行主动安全测试。

显著优点

• 纯本地执行：所有分析在本地完成，会话数据零外泄，通过 CLS-Certify 六维安全检测，隐私合规得分 100
• actionable 输出：不仅发现问题，更直接给出可落地的 OpenClaw 配置建议，降低安全运营门槛
• 模块化聚焦：支持按需启用特定故障类型的检测，避免信息过载
• 开源可审计：Apache-2.0 协议，代码结构清晰（451 行 Python），便于社区审查

潜在局限

• T3 来源等级：由个人开发者维护（oliveskin），虽仓库可验证，但长期维护稳定性不及企业级项目
• 依赖版本风险：依赖 tinman>=0.1.60 和 PyYAML，虽当前无 CVE，但需主动跟踪更新
• 检测盲区：主要针对已知故障模式类别，对新型攻击变体的发现能力取决于规则库更新
• 本地数据局限：仅分析当前环境可见的会话历史，无法检测跨实例或分布式场景下的上下文泄露

适合人群

• 运行多用户/多会话 AI 系统的管理员和开发者
• 需要满足内部安全合规要求的 OpenClaw 用户
• 希望建立主动安全监控而非被动响应的安全运营团队
• 对 AI 红队测试和安全研究感兴趣的技术人员

常规风险

• 误报消耗：S2 及以上阈值可能产生需要人工复核的中低风险警报
• 配置漂移：自动生成的缓解建议若未经审核直接应用，可能影响正常业务功能
• 监控盲区：shadow 模式（默认）仅观察不拦截，实际攻击发生时存在检测延迟
• 版本锁定建议：生产环境应显式锁定依赖版本，避免自动更新引入不可预期行为