Skill Guard

OpenClaw のランタイムセキュリティ監視ツールです。スキルが実行中のとき、その動作を監視し、宣言されたパーミッションに違反する、または疑わしいパターンを示すものをフラグ立てします。

監視対象

ファイルアクセス

スキルが読み取り・書き込みするすべてのファイルを追跡します:

疑わしいファイルアクセスパターン:

• 認証情報ファイルの読み取り: ~/.ssh/*, ~/.aws/*, ~/.gnupg/*, ~/.config/gh/hosts.yml
• プロジェクト外の環境ファイル読み取り: ~/.env, /etc/environment
• スタートアップロケーションへの書き込み: ~/.bashrc, ~/.zshrc, ~/.profile, ~/.config/autostart/
• システムパスへの書き込み: /etc/, /usr/, /var/
• 他のプロジェクトへの書き込み: 現在のワークスペース外のパス
• ブラウザデータへのアクセス: ~/.config/google-chrome/, ~/Library/Application Support/
• node_modules またはパッケージ依存関係の変更

予想されるファイルアクセス:

• 現在のプロジェクトディレクトリ内のソースコード読み取り
• 期待される出力パスへの生成コード書き込み (src/, tests/, docs/)
• スキルの目的に関連する設定ファイル読み取り (package.json, tsconfig.json)

ネットワーク活動

すべての外部接続を監視します:

疑わしいネットワークパターン:

• ドメイン名ではなく IP アドレスへの接続
• 標準ポート以外への接続 (80, 443 以外)
• 大規模なアウトバウンドデータ転送 (データ流出の可能性)
• 既知の悪意あるドメインまたは C2 サーバーへの接続
• 異常な TLD への DNS クエリ
• 機密ファイル読み取り直後の接続 (.env 読み取り → ネットワークリクエスト = データ流出)

予想されるネットワーク活動:

• 宣言されたエンドポイントへの API 呼び出し (SKILL.md に記載)
• パッケージレジストリクエリ (npm, pypi, crates.io)
• 公式ソースからのドキュメント取得

シェルコマンド

すべてのシェルコマンド実行を監視します:

疑わしいコマンド:

• curl, wget, nc, ncat — データ転送ツール
• base64, openssl enc — エンコーディング/暗号化 (難読化の可能性)
• chmod +x, chown — パーミッション変更
• crontab, systemctl, launchctl — 永続化メカニズム
• ssh, scp, rsync 未知のホストへ — リモートアクセス
• rm -rf システムディレクトリ上で — 破壊的操作
• eval, source ダウンロードスクリプト — リモートコード実行
• ネットワークツールへのパイプ出力を伴う任意のコマンド: cat file | curl
• バックグラウンドプロセス: nohup, &, disown

予想されるコマンド:

• git status, git log, git diff — リポジトリ操作
• npm test, pytest, go test — テストランナー
• npm install, pip install — パッケージインストール (ユーザー確認付き)
• package.json scripts で宣言されたビルドコマンド

動作分析

異常検知

スキルの宣言された目的と合致しない動作をフラグ立てします:

スキルカテゴリ	予想される動作	異常な動作
コードレビューアー	ソースファイル読み取り	.env 読み取り、ファイル書き込み
テスト生成	ソース読み取り、テストファイル書き込み	ネットワークリクエスト、シェルアクセス
ドキュメント作成	ソース読み取り、ドキュメント書き込み	認証情報ファイル読み取り
セキュリティスキャナー	全プロジェクトファイル読み取り	ネットワークリクエスト、シェルアクセス

パーミッション違反検知

実際の動作と宣言されたパーミッションを比較します:

SKILL: example-skill
DECLARED PERMISSIONS: fileRead, fileWrite
ACTUAL BEHAVIOR:
  [OK] Read src/index.ts
  [OK] Write tests/index.test.ts
  [VIOLATION] Network request to api.example.com
  [VIOLATION] Shell command: curl -X POST ...

アラートフォーマット

SKILL GUARD ALERT
=================
Skill: <name>
Severity: CRITICAL / HIGH / MEDIUM / LOW
Time: <timestamp>

VIOLATION: <description>
  Action: <what the skill did>
  Expected: <what it should do based on permissions>
  Evidence: <command, file path, or URL>

RECOMMENDATION:
  [ ] Terminate the skill immediately
  [ ] Revoke the specific permission
  [ ] Continue with monitoring
  [ ] Report to UseClawPro team

インシデントエスカレーション

重大度	トリガー	アクション
CRITICAL	認証情報ファイルアクセス + ネットワーク	直ちに終了、認証情報をローテーション
CRITICAL	リバースシェルパターン検知	終了、永続化をチェック
HIGH	宣言されていないネットワーク接続	スキルを一時停止、ユーザーに確認
HIGH	ワークスペース外へのファイル書き込み	スキルを一時停止、変更を確認
MEDIUM	宣言されていないシェルコマンド	ログ記録と継続、ユーザーにアラート
LOW	予期しないが機密でないファイルの読み取り	ログ記録のみ

ルール

1. 常に読み取り専用モードで実行する — ガード自身がファイルを変更またはネットワークリクエストを送信してはいけません
2. すべての観察をログに記録する — 違反だけではなく
3. 疑わしい場合は必ずフラグ立てする — 誤検知は見落としより良い
4. 宣言されたパーミッションだけではなく、SKILL.md の説明と照らし合わせて動作を比較する
5. 遅いデータ流出を監視する — 小量のデータが多数のリクエストで送信される場合