OpenClaw Threat Modelへの貢献ガイド
セキュリティ対策は、どこから手をつければいいか迷うことが多いですよね。システムに潜むリスクに気づいても、「専門家ではないから」と報告をためらってしまうこともあるかもしれません。
OpenClawでは、セキュリティを専門家だけのものとは考えていません。開発者の皆さんが日々の開発の中で感じる「ここが危なそう」という直感こそが、システムをより安全にするための鍵となります。
貢献を始める前に、以下の準備ができているか確認してください。
- GitHubアカウント（openclaw/trust で Issue を作成するために必要です）
- 報告したい攻撃シナリオやリスクのアイデア（専門的なフレームワークの知識は不要です）
クイックスタート
Section titled “クイックスタート”まずは、5分でできる「脅威の追加」から始めてみましょう。
- Issue を開く: openclaw/trust にアクセスし、新しい Issue を作成します。
- 内容を説明する: 自分の言葉で、どのようなリスクがあるか記述してください。
- 詳細を添える（任意）: 以下の情報があると助かります。
- 攻撃のシナリオと悪用の方法
- 影響を受けるコンポーネント（CLI, Gateway, ClawHub, MCP servers など）
- 想定される深刻度（Low / Medium / High / Critical）
- 関連するリサーチや CVE へのリンク
- 送信する: メンテナンスチームが内容を確認し、ATLAS へのマッピングや ID 付与を行います。
脅威の追加以外にも、いくつかの参加方法があります。
対策（Mitigation）の提案
Section titled “対策（Mitigation）の提案”既存の脅威に対して、具体的な解決策を提案してください。 「レート制限をかける」といった抽象的な表現よりも、「Gateway で送信者ごとに毎分10メッセージのレート制限をかける」といった、具体的で実行可能な提案が最も効果的です。
攻撃チェーン（Attack Chain）の考案
Section titled “攻撃チェーン（Attack Chain）の考案”複数の脅威を組み合わせて、実際に起こりうる攻撃のプロセスを組み立ててみてください。 テンプレートに沿った形式的な文書よりも、「攻撃者がどのようにステップを踏んで目的を達成するか」というストーリー形式の説明が非常に役立ちます。
既存コンテンツの改善
Section titled “既存コンテンツの改善”誤字脱字の修正、説明の明確化、古い情報の更新など、プルリクエスト（PR）は大歓迎です。この場合は、事前に Issue を立てる必要はありません。
使用しているフレームワーク
Section titled “使用しているフレームワーク”OpenClaw では、AI システム特有の脅威を整理するために MITRE ATLAS を採用しています。
Threat IDs
Section titled “Threat IDs”メンテナンスチームが、以下のカテゴリに基づいて T-EXEC-003 のような ID を割り当てます。
| Code | Category |
|---|---|
| RECON | Reconnaissance（情報の収集） |
| ACCESS | Initial access（初期侵入） |
| EXEC | Execution（悪意のあるアクションの実行） |
| PERSIST | Persistence（アクセスの維持） |
| EVADE | Defense evasion（検知の回避） |
| DISC | Discovery（環境の調査） |
| EXFIL | Exfiltration（データの窃取） |
| IMPACT | Impact（破壊や混乱） |
Risk Levels
Section titled “Risk Levels”リスクの深刻度は以下の基準で判断します。
- Critical: システム全体の完全な侵害、または発生確率が高く影響が致命的
- High: 大きな被害が出る可能性が高い、または中程度の確率で影響が致命的
- Medium: 中程度のリスク、または発生確率は低いが影響が大きい
- Low: 発生の可能性が低く、影響も限定的
トラブルシューティング
Section titled “トラブルシューティング”深刻度や ATLAS のマッピングがわからない
Section titled “深刻度や ATLAS のマッピングがわからない”問題ありません。リスクの内容と影響を自分の言葉で説明していただければ、メンテナンスチームがレビューの過程で適切なマッピングと評価を行います。
実際に悪用可能な脆弱性を見つけた
Section titled “実際に悪用可能な脆弱性を見つけた”この脅威モデルは「潜在的なリスク」を議論する場所です。もし、すでに悪用可能な脆弱性を発見した場合は、Issue を作成せずに Trust page の指示に従って報告してください。
あなたの貢献は、OpenClaw のセキュリティホール・オブ・フェイムやリリースノートで公式に表彰されます。
セットアップや貢献方法についてさらに詳しく知りたい場合は、AI Setup Assistant を活用してください。
次のステップ
Section titled “次のステップ”
OpenClaw Expert
まだ解決しませんか？
このページで解決しない場合は、OpenClaw Expertに直接質問してください。