guava-guard

GuavaGuard v8.0 是一款专为 Agent Skills 设计的零依赖安全扫描工具，核心功能分为静态威胁检测与 Soul Lock 身份保护两大体系。静态扫描覆盖17类威胁向量，包括提示注入（零宽字符、BiDi攻击）、恶意代码执行（reverse shell、eval构造）、凭证窃取（.env读取、SSH密钥）、以及 OWASP MCP Top 10 中的工具投毒等。Soul Lock 是其首创的 Agent 身份保护机制，通过静态模式检测、SHA-256完整性校验、自愈看门狗脚本（fswatch监控+自动恢复）和运行时钩子拦截，防止 SOUL.md/IDENTITY.md 被恶意覆盖导致的认知上下文窃取。

显著优点在于其零依赖的单文件架构（1605行纯 Node.js），消除了供应链攻击面；三种运行模式（monitor/enforce/strict）让用户可渐进式采用；支持 SARIF/HTML/JSON 多种报告格式适配 CI/CD 场景。Soul Lock 的提出具有前瞻性，直接回应了 CyberArk 提出的"Cognitive Context Theft"和 OWASP ASI01 的"Intent Capsule"概念，是全球首个可工作的实现。

潜在局限性包括：代码针对 OpenClaw/Claude Code 生态定制，其他 Agent 框架需适配；基于正则表达式的检测可能存在误报；T3 个人来源缺乏官方组织背书，企业合规场景受限。此外，运行时钩子具备拦截工具执行的能力，虽为防护设计，但在被入侵环境下可能成为拒绝服务攻击的利用点。

适合目标群体为使用 OpenClaw/Claude Code 的开发者、需要 Skill 安全扫描的 DevOps 工程师、以及关注 AI 身份安全的早期采用者。特别适用于 CI/CD 流水线前置检查、生产环境运行时防护、以及需要防止 Agent 身份被劫持的高安全场景。

使用风险主要包括：T3 来源需用户自行审计代码完整性；enforce/strict 模式可能误拦截合法但高风险的开发操作；审计日志存储于本地 ~/.openclaw/guava-guard/audit.jsonl，需定期清理以防敏感信息堆积；Soul Lock 的文件锁定（chflags/attrib）在 Windows/macOS 外平台支持有限。建议生产环境先在 monitor 模式观察基线，再逐步升级防护等级。

核心用法

GuavaGuard v8.0 是一款专为 OpenClaw/AgentSkill 生态设计的零依赖安全扫描器，通过 node guava-guard.js <path> 即可启动扫描。核心功能包括：

• 17类威胁检测：涵盖提示注入、恶意代码、凭证窃取、依赖链攻击、MCP投毒、Prompt Worm 等
• Soul Lock 身份保护：全球首个可工作的 Agent 身份防护系统，通过静态检测+运行时完整性验证+自修复守护进程三层防护，防止 SOUL.md/IDENTITY.md 被篡改
• 实时拦截：通过 handler.js 钩子实现 before_tool_call 级别的实时阻断

显著优点

1. 架构极致轻量：单文件 1605 行，零 npm 依赖，仅使用 Node.js 内置模块，彻底消除供应链攻击面
2. 独创 Soul Lock：源于真实安全事件（Agent 身份被劫持3天未被发现），实现从检测到自修复的完整闭环
3. 报告格式齐全：支持 JSON/SARIF/HTML/CLI 多格式输出，可直接对接 GitHub Code Scanning 和 CI/CD 流水线
4. 评分体系精细：CRITICAL/HIGH/MEDIUM/LOW 四档风险权重，叠加组合乘数（凭证+外泄=2x等），避免误报漏报

潜在缺点与局限性

1. 功能聚焦单一生态：专为 OpenClaw/AgentSkill 设计，通用代码安全场景（如 React/Vue 项目）覆盖有限
2. Soul Lock 有系统依赖：完整性验证依赖 macOS chflags 或 Windows attrib，Linux 需手动实现 immutable 标志
3. IoC 数据库需手动更新：威胁情报为本地硬编码，无自动更新机制，需用户定期同步上游
4. 运行时钩子需框架配合：handler.js 依赖 OpenClaw 的 hooks 机制，其他 Agent 框架无法直接使用

适合人群

• OpenClaw/AgentSkill 生态的 AI Agent 开发者与运维人员
• 需要符合 OWASP ASI01、MCP Top 10 等安全合规要求的企业
• 对 Agent 身份劫持、认知上下文盗窃等新型威胁高度警惕的安全团队
• 追求零依赖、可审计、可离线运行的保守型安全架构师

常规风险

• 误报风险：严格的启发式规则可能将合法的动态代码生成标记为可疑
• 性能开销：Soul Lock 的 fswatch/file polling 在大量文件场景下有轻微 I/O 开销
• 权限要求：守护进程安装需要 LaunchAgent/systemd 权限，受限环境可能无法完整部署