Attacker                         Victim's Browser              OpenClaw Gateway
  ========                         ================              ================
      │                                   │                             │
      │── crafted link ─────────────────→│                             │
      │   (gatewayUrl=attacker.com)       │                             │
      │                                   │                             │
      │                                   │── auto WebSocket ─────────→│
      │                                   │   (sends auth token)        │
      │                                   │                             │
      │                                   │←── challenge nonce ─────────│
      │                                   │                             │
      │                                   │── token in connect RPC ───→│
      │                                   │                             │
      │←── token exfiltrated ─────────────│                             │
      │                                   │                             │
      │   With stolen operator.admin token:                            │
      │                                                                │
      │── exec.approvals.set "off" ──────────────────────────────────→│
      │── tools.exec.host "gateway" ─────────────────────────────────→│
      │── arbitrary command execution ───────────────────────────────→│
      │                                                                │

// src/agents/bash-tools.exec-runtime.ts
// ホスト実行時のPATH変更を完全に禁止

const validateHostEnv = (env: Record<string, string>) => {
  for (const key of Object.keys(env)) {
    const upperKey = key.toUpperCase()
    if (upperKey === 'PATH') {
      throw new Error(
        "Security Violation: Custom 'PATH' variable is forbidden during host execution.",
      )
    }
    // LD_PRELOAD, DYLD_INSERT_LIBRARIES 等も同様にブロック
  }
}

Attacker                  Google Docs                 OpenClaw
  ========                  ===========                 ========
      │                          │                          │
      │── create doc with ──────→│                          │
      │   hidden payload          │                          │
      │                          │                          │
      │              User asks: "Summarize this doc"        │
      │                          │                          │
      │                          │←── fetch doc content ────│
      │                          │                          │
      │                          │── doc content ──────────→│
      │                          │   (contains hidden       │
      │                          │    prompt injection)      │
      │                          │                          │
      │                          │         ┌────────────────┤
      │                          │         │ LLM processes  │
      │                          │         │ payload as     │
      │                          │         │ instruction:   │
      │                          │         │                │
      │                          │         │ 1. Create      │
      │                          │         │    Telegram    │
      │                          │         │    bot config  │
      │                          │         │                │
      │                          │         │ 2. Add attacker│
      │                          │         │    to allowlist│
      │                          │         │                │
      │                          │         │ 3. Modify      │
      │                          │         │    SOUL.md for │
      │                          │         │    persistence │
      │                          │         └────────────────┤
      │                          │                          │
      │←── Telegram bot active, attacker has persistent ────│
      │    control channel                                  │
      │                                                     │

// src/security/external-content.ts
// 12パターンのプロンプトインジェクション検出

const SUSPICIOUS_PATTERNS = [
  /ignore\s+(all\s+)?(previous|prior|above)\s+(instructions?|prompts?)/i,
  /disregard\s+(all\s+)?(previous|prior|above)/i,
  /forget\s+(everything|all|your)\s+(instructions?|rules?|guidelines?)/i,
  /you\s+are\s+now\s+(a|an)\s+/i,
  /new\s+instructions?:/i,
  /system\s*:?\s*(prompt|override|command)/i,
  /\bexec\b.*command\s*=/i,
  /elevated\s*=\s*true/i,
  /rm\s+-rf/i,
  /delete\s+all\s+(emails?|files?|data)/i,
  /<\/?system>/i,
  /\]\s*\n\s*\[?(system|assistant|user)\]?:/i,
]

// src/security/external-content.ts
// Unicode全角・類似文字をASCIIに正規化してマーカー偽装を検出

const ANGLE_BRACKET_MAP = {
  0xff1c: '<', // fullwidth <
  0xff1e: '>', // fullwidth >
  0x2329: '<', // left-pointing angle bracket
  0x232a: '>', // right-pointing angle bracket
  0x3008: '<', // CJK left angle bracket
  0x3009: '>', // CJK right angle bracket
  0x27e8: '<', // mathematical left angle bracket
  0x27e9: '>', // mathematical right angle bracket
  // ... 他にも複数
}

// <<<EXTERNAL_UNTRUSTED_CONTENT>>> の偽装を検出し
// [[MARKER_SANITIZED]] に置換

// 外部コンテンツのラッピング構造
const wrapped = [
  EXTERNAL_CONTENT_WARNING, // セキュリティ警告
  '<<<EXTERNAL_UNTRUSTED_CONTENT>>>', // 開始マーカー
  'Source: Email', // メタデータ
  'From: user@example.com',
  '---',
  sanitizedContent, // マーカー偽装を除去済みの本文
  '<<<END_EXTERNAL_UNTRUSTED_CONTENT>>>', // 終了マーカー
].join('\n')

// src/agents/bash-tools.exec-runtime.ts
// ホスト実行時にブロックされる環境変数（15種 + 2プレフィックス）

const DANGEROUS_HOST_ENV_VARS = new Set([
  'LD_PRELOAD', // ライブラリインジェクション
  'LD_LIBRARY_PATH', // ライブラリパスの操作
  'LD_AUDIT', // 動的ローダー監査
  'DYLD_INSERT_LIBRARIES', // macOS版LD_PRELOAD
  'DYLD_LIBRARY_PATH', // macOS版LD_LIBRARY_PATH
  'NODE_OPTIONS', // Node.js起動フラグの注入
  'NODE_PATH', // Node.jsモジュールパス
  'PYTHONPATH', // Pythonモジュールパス
  'PYTHONHOME', // Pythonホームの上書き
  'RUBYLIB', // Rubyライブラリパス
  'PERL5LIB', // Perlライブラリパス
  'BASH_ENV', // Bash初期化ファイル
  'ENV', // シェル初期化ファイル
  'GCONV_PATH', // 文字変換ライブラリ
  'IFS', // シェルのフィールド分割
  'SSLKEYLOGFILE', // SSL鍵のログ出力
])

const DANGEROUS_HOST_ENV_PREFIXES = ['DYLD_', 'LD_']

// SECURITY: never enable `shell` for argv-based execution.
// `shell` routes through cmd.exe on Windows, which turns untrusted argv values
// (like chat prompts passed as CLI args) into command-injection primitives.

// src/agents/sandbox/config.ts のデフォルト値

const sandboxDefaults = {
  capDrop: ['ALL'], // すべてのLinux capabilityを削除
  network: 'none', // ネットワーク隔離
  readOnlyRoot: true, // ルートファイルシステム読み取り専用
  securityOpt: 'no-new-privileges', // 権限昇格の禁止
  tmpfs: ['/tmp', '/var/tmp', '/run'], // 書き込み可能領域
}

// src/agents/pi-tools.policy.ts

const SUBAGENT_TOOL_DENY_ALWAYS = [
  'gateway', // システム管理
  'agents_list', // システム列挙
  'whatsapp_login', // 対話的セットアップ
  'session_status', // ステータス管理
  'cron', // スケジューリング
  'memory_search', // システムメモリ
  'memory_get', // メモリアクセス
  'sessions_send', // 他セッションへの直接送信
]

// src/security/dangerous-tools.ts

const DEFAULT_GATEWAY_HTTP_TOOL_DENY = [
  'sessions_spawn', // セッション生成 = リモートコード実行
  'sessions_send', // セッション間メッセージ注入
  'gateway', // Gateway設定変更
  'whatsapp_login', // 対話的セットアップ
]

// src/gateway/auth-rate-limit.ts
// ブルートフォース攻撃の防止

const DEFAULT_MAX_ATTEMPTS = 10 // 最大試行回数
const DEFAULT_WINDOW_MS = 60_000 // 1分間のウィンドウ
const DEFAULT_LOCKOUT_MS = 300_000 // 5分間のロックアウト

openclaw security audit --deep
  ┌──────────────────────────────────────────────┐
  │  Gateway Configuration                       │
  │  - bind mode (loopback / lan / tailnet)      │
  │  - auth mode (token / password / none)       │
  │  - Tailscale Funnel exposure                 │
  │  - Control UI device auth status             │
  │  - trusted proxy configuration               │
  │  - rate limiting configuration               │
  ├──────────────────────────────────────────────┤
  │  Filesystem Permissions                      │
  │  - state dir: world-writable?                │
  │  - config file: readable by others?          │
  │  - symlink detection                         │
  │  - iCloud / Dropbox sync detection           │
  ├──────────────────────────────────────────────┤
  │  Channel Security                            │
  │  - DM policy per channel (open / pairing)    │
  │  - group policy (open / allowlist)           │
  │  - multi-user DM session isolation           │
  ├──────────────────────────────────────────────┤
  │  Tool & Execution Security                   │
  │  - elevated exec allowlist wildcards         │
  │  - HTTP /tools/invoke dangerous allows       │
  │  - sandbox Docker configuration              │
  │  - node command deny patterns                │
  ├──────────────────────────────────────────────┤
  │  Deep Probe (--deep)                         │
  │  - live gateway connectivity test            │
  │  - installed skills code safety              │
  │  - plugin trust verification                 │
  │  - secrets in config detection               │
  └──────────────────────────────────────────────┘

Threat                         Defense Layer
  ======                         =============

  Unknown sender DM         →    DM Pairing (default-deny)
                                 Channel allowlist

  Group chat injection      →    Group tool policy
                                 Per-sender tool restrictions

  Prompt injection          →    External Content Wrapping
  (in messages/docs)             SUSPICIOUS_PATTERNS detection
                                 Unicode homoglyph normalization

  WebSocket hijack          →    Origin validation (post CVE-2026-25253)
  (CSWSH)                        Gateway URL confirmation modal

  Auth brute force          →    Rate limiting (10 attempts / 60s)
                                 5-minute lockout
                                 Per-scope tracking

  Command injection         →    shell=false (argv-based execution)
                                 15 dangerous env vars blocked
                                 PATH modification forbidden

  Container escape          →    cap_drop ALL
                                 read-only root filesystem
                                 no-new-privileges
                                 network: none

  Tool misuse               →    Default-deny tool scope
  (by agent/subagent)            SUBAGENT_TOOL_DENY_ALWAYS
                                 HTTP tool deny list

  Supply chain              →    VirusTotal integration
  (malicious skills)             Cisco Skill Scanner
                                 openclaw security audit --deep

  Config misconfiguration   →    openclaw security audit
                                 openclaw doctor warnings
                                 Filesystem permission checks