机制 01
把智能体当成需要被防护的对象，而不是默认可信的执行者。这是 SecClaw 与「给 SIEM 接一个大模型」最本质的区别。
安全智能体天然具备三个危险特征：它读取不可信输入（告警正文、邮件内容、文件名、日志字段都可能被攻击者控制）、 它持有高权限凭据（可以操作 EDR、防火墙、账号系统）、 它的输出会被执行。 这三者叠加，意味着一旦被操纵，攻击者可以借助智能体自身的权限完成攻击—— 这是传统安全产品未曾面临的风险类型。
SecClaw 的设计前提是：永远假设输入数据里可能藏着指令，因此系统在架构层面把「数据」与「指令」严格分离，而不是依赖模型自己分辨。
| 威胁类型 | 攻击者可能的手法 | SecClaw 缓解措施 |
|---|---|---|
| 提示注入 / 指令覆盖 | 在告警描述、邮件正文、文件名中嵌入「忽略之前的指令」类内容 | 输入检测 + 指令隔离 + 数据指令分区，命中即阻断进入决策上下文 |
| 工具调用越权 | 诱导智能体调用未授权工具或扩大动作作用范围 | 工具调用白名单 + 参数校验 + 目标范围限制 |
| 凭据滥用 | 通过上下文泄露或注入获取智能体持有的凭据 | 短时效凭据 + 按次审批令牌 + 最小权限 + 即时吊销 |
| 数据外泄 | 诱导智能体把敏感上下文输出到外部通道 | 输出通道白名单 + 字段脱敏 + 出域检测 + 无外部回传通道 |
| 行为漂移 / 失控 | 逐步诱导智能体偏离正常行为而不触发单次告警 | 行为基线监控 + 趋势偏离告警 + 自动降级只读 |
| 责任混淆 | 利用 AI 决策的模糊性逃避追责 | 审计链记录每次 AI 结论与人工审批，区分「AI 做了什么、人批了什么」 |
| 供应链投毒 | 通过第三方依赖或镜像引入后门 | 控制台零第三方运行时依赖 + 组件清单可审计 + 离线交付 + 完整性校验 |
机制 02
自动化的边界必须由组织自己定义，而不是由产品替你决定。SecClaw 把边界做成可配置的审批卡点。
审批不是为了拖慢响应，而是为了让权限与责任对应。SecClaw 按「动作类型 × 目标资产关键性」双维度判定风险等级， 再决定授权方式：低风险自动执行、中风险按策略放行、高危强制人工确认。
审批人不应在一无所知的情况下做决定。每张审批卡都包含：攻击链摘要与威胁等级、证据引用清单（可点开原文）、 影响面与爆炸半径预估、沙箱预演结论、回滚方案摘要、以及不执行的后果评估。审批通过 IM 卡片完成，一键同意或拒绝，拒绝需填理由。
[待审批] 高危处置 · 隔离主机
目标: WIN-FIN-07 (财务共享服务器 · 关键资产)
动作: edr.isolate_host 风险等级: L3
请求方: response-agent-01
── 为什么需要这个动作 ──
攻击链 CH-2025-0417-0031
T1566.001 钓鱼附件 ← mail:MSG-8821
T1204.002 用户执行 ← edr:detect-55120
T1078.002 域账号滥用 ← ad:4624/K-8817
T1021.001 RDP 横向移动 ← ndr:flow-77120
威胁等级: high 置信度: 0.91
证据引用: 27 条（全部校验通过）
── 沙箱预演结论 ──
预计影响: 1 台主机 / 0 个业务系统中断
依赖检查: 无关键上游依赖命中
白名单: 未命中业务保护规则
结论: pass
── 回滚方案 ──
回滚点: RB-2025-0417-0031-01
恢复动作: edr.unisolate_host（一键可用）
预计恢复耗时: < 60s
── 不执行的后果 ──
该主机已出现 C2 心跳，横向路径可达
WIN-DB-02（核心数据库前置）
[同意执行] [拒绝] [转交上级]
超时 10 分钟将自动升级至 SOC 主管生产变更 100% 经审批或白名单是平台的硬约束目标：不存在绕过审批链的生产写操作通道， 连平台自身的运维操作也走同一条审批与审计路径。
机制 03
把「万一误伤」从情绪化的担忧，变成一个可以提前看见、事后撤销的工程问题。
基于真实资产清单、账号体系、网络分区与访问策略构建影响面模型，模拟动作执行后的可达范围与副作用。
预演不只回答「能不能做」，还会给出「有没有更温和的做法」，例如先用 DNS 黑洞阻断外联而不是直接隔离主机。
执行前记录目标当前状态与恢复指令形成回滚点；执行后自动验证动作是否真正生效，失败即触发回滚建议并升级事件。
机制 04
审计链的价值不是「有日志」，而是「日志能被证明没有被改过」，以及「能回答 AI 与人的责任边界」。
每条审计记录的哈希值覆盖本条全部字段与前一条记录的哈希，形成链式结构。 这意味着修改任何一条历史记录，都会导致该条及其后所有记录的哈希校验失败。 平台支持全量校验、抽样校验与从锚定检查点增量校验，校验报告可导出。
对于关基单位与强合规行业，审计包可以导出为自包含格式，并使用离线校验工具在完全断网的环境中独立验签与验链， 供第三方复核、内审或监管检查使用。校验工具本身不做任何网络请求。
当事故调查或争议发生时，可以精确还原决策过程：智能体在什么时间基于哪些证据得出了什么结论、 谁在什么时间批准了什么动作、执行结果如何、是否发生过回滚。 「AI 做了什么、人批了什么」不再是一句模糊表述，而是一条条可核查、可校验的审计记录。
数据源、适配器版本、字段映射、接入时段与健康状态。
分流结果、攻击链结论、证据引用清单、模型版本与置信度、是否发生降级。
审批人、审批时间、审批理由、审批链路、是否超时升级、是否命中预授权白名单。
动作类型、目标范围、执行参数、执行结果、效果验证结果。
回滚触发原因、回滚执行人、回滚时间与恢复结果。
机制 05
对政企与关基客户而言，数据能不能出内网不是偏好问题，而是合规底线。SecClaw 把这一点做成架构约束。
不同任务对模型能力与数据敏感度的要求不同。SecClaw 支持多模型可插拔与路由策略： 敏感的原始日志与身份数据只在本地推理集群处理；低敏感度的语义归并任务可按策略选择模型， 但所有路由决策都由策略显式定义，而不是由模型自行决定。
支持在完全断网的内网环境中运行全部七大智能体：无外部 CDN、无外链字体与脚本、 无遥测回传、无云端依赖。授权使用离线授权文件，升级使用离线升级包。
安全产品是攻击者的高价值目标。SecClaw 控制台采用零第三方运行时依赖的静态前端： 没有外部 CDN、没有外链字体与图标库、没有第三方统计脚本、没有运行时框架。 后端组件清单可审计、可离线交付、可做完整性校验。
机制 06
SecClaw 不承诺「一键合规」，但把合规所需的权限模型、审计证据与报表能力做进产品，减少举证环节的人力投入。
| 合规关注点 | 常见要求方向 | SecClaw 对应能力 |
|---|---|---|
| 身份鉴别与访问控制 | 身份唯一标识、鉴别信息复杂度、登录失败处理、访问控制粒度 | 统一身份对接、三权分立、角色与字段级权限、越权尝试审计 |
| 安全审计 | 覆盖每个用户、重要行为与安全事件可追溯 | 全链路审计链、哈希防篡改、审计记录不可编辑、访问审计留痕 |
| 日志留存 | 留存周期不少于规定时长，日志完整性与保密性 | 留存周期可配置、完整性校验、留存报表、到期归档或销毁留痕 |
| 数据完整性与保密性 | 传输与存储保密、完整性校验 | 传输加密、存储加密、字段脱敏、完整性校验值 |
| 个人信息保护 | 最小必要、告知同意、去标识化、跨境评估 | 最小字段采集、字段脱敏、数据不出域、纯离线部署、用途留痕 |
| 数据安全治理 | 数据分类分级、权限审批、风险监测 | 敏感字段标签、按敏感度路由推理、风险例外审批与到期复核 |
| 入侵防范与恶意代码防范 | 最小安装、漏洞管理、恶意代码检测 | 零第三方运行时依赖、组件清单可审计、漏洞管理智能体闭环跟踪 |
| 应急响应与责任界定 | 应急预案、事件记录、责任可追溯 | 预案可执行化、作战室时间线、复盘报告、AI 与人工责任分离记录 |
我们接受负责任的安全漏洞披露，并承诺按流程确认、修复与致谢。
安全指标
以下为设计目标与演示口径指标，用于说明能力方向，不构成对特定环境的承诺。
提示注入指攻击者把恶意指令藏在智能体会读取的数据里，例如告警描述、邮件正文、文件名或日志字段，诱导智能体忽略原有职责、执行越权动作或泄露上下文。对安全智能体而言风险更高，因为它本身就是被设计来读取不可信输入的。SecClaw 的应对是把数据与指令严格分离、对不可信内容做检测与隔离、限制工具调用白名单，并对智能体行为做运行期监控。
不会成为瓶颈，因为分级本身就是为速度服务的。低风险动作（通知、建单、打标签、加临时监控）无需审批直接执行；中风险动作按预授权策略自动放行；只有真正高危的动作才需要人工确认，并且审批通过 IM 卡片完成，附带证据引用与影响面清单，可在数十秒内完成。同时支持超时升级与预授权白名单，避免夜间与节假日阻塞。
每条审计记录包含操作主体、时间、对象、动作、参数、依据与结果，其哈希值覆盖本条全部字段加上前一条记录的哈希（prev_hash），形成链式结构。校验时从头或从已锚定的检查点重算哈希并逐条比对，任何字段被修改都会导致后续校验失败。平台提供离线校验工具，可在断网环境下对导出的审计包独立验链。
纯离线环境使用离线授权文件与离线升级包：授权文件由客户在本地导入，绑定环境标识并具备有效期；升级包提供完整性与签名校验，导入前可先验证再应用，且支持回滚到上一版本。整个过程不需要任何外部网络连接，也不存在外部回传通道。
平台支持按字段配置脱敏与加密策略：身份标识、联系方式、主机名、IP 等字段可在展示与导出层按角色脱敏；存储层可启用加密；推理时敏感字段可只在本地模型处理。字段级访问控制与脱敏规则本身也纳入审计，任何规则的变更都会被记录。
SecClaw 在架构上按合规友好设计：支持三权分立与最小权限、身份鉴别与访问控制、安全审计与日志留存、数据完整性与保密性、入侵防范与恶意代码防范等能力，并可输出用于测评举证的操作审计记录与合规报表。但合规结论必须结合贵单位的定级情况、现有安全体系与测评机构判断，平台不替代测评与整改工作。
我们接受负责任的安全漏洞披露。请通过联系页面提供的安全响应渠道提交漏洞详情、复现步骤与影响评估，我们会在收到后确认并回复处理进展，并在修复完成后与报告者沟通致谢方式。请勿在公开渠道披露未修复漏洞的可用细节。