💻 computer science

SafeClaw-R: Towards Safe and Secure Multi-Agent Personal Assistants

Dit paper introduceert SafeClaw-R, een framework dat de veiligheid van LLM-gestuurde multi-agent systemen waarborgt door uitvoer te mederen en vaardigheden systematisch te versterken, waardoor het aanzienlijk betere detectie- en uitvoeringsresultaten bereikt dan bestaande methoden.

Oorspronkelijke auteurs: Haoyu Wang, Zibo Xiao, Yedi Zhang, Christopher M. Poskitt, Jun Sun

Gepubliceerd 2026-04-01

📖 5 min leestijd🧠 Diepgaand

CC BY 4.0

Oorspronkelijke auteurs: Haoyu Wang, Zibo Xiao, Yedi Zhang, Christopher M. Poskitt, Jun Sun

Oorspronkelijk artikel gelicentieerd onder CC BY 4.0 (http://creativecommons.org/licenses/by/4.0/). ✨ Dit is een AI-gegenereerde uitleg van het onderstaande artikel. Het is niet geschreven of goedgekeurd door de auteurs. Raadpleeg het oorspronkelijke artikel voor technische nauwkeurigheid. Lees de volledige disclaimer

Stel je voor dat je een super-assistent hebt die alles voor je kan doen: e-mails beantwoorden, agenda's beheren, bestanden zoeken en zelfs code schrijven. Deze assistent is zo slim dat hij zelfstandig beslissingen neemt en verschillende taken combineert. Dit noemen we een "Multi-Agent Systeem" (MAS).

Het probleem? Net als een zeer energiek kind dat net zijn eerste motorrijbewijs heeft, kan deze assistent soms te enthousiast zijn. Als hij een opdracht verkeerd begrijpt of door een hacker wordt gemanipuleerd, kan hij per ongeluk je hele e-mailbox wissen, je wachtwoorden stelen of je computer laten crashen.

Dit is precies waar het onderzoek SafeClaw-R voor komt. Hier is een uitleg in gewone taal, met een paar leuke vergelijkingen.

🛡️ Het Probleem: De "Losse Hand" Assistent

In het verleden hadden we slimme programma's die je zelf bediende. Nu hebben we systemen zoals OpenClaw, waar verschillende "agenten" (speciale programmaatjes) samenwerken.

De situatie: Stel, je zegt: "Maak een samenvatting van deze e-mails en stuur het naar Alice."
Het gevaar: De assistent pakt de e-mails, maakt de samenvatting, maar omdat hij niet goed oplet, stuurt hij per ongeluk alle e-mails naar Alice, inclusief privédingen. Of erger: een hacker heeft een "vermomde" opdracht in de e-mail verstopt, en de assistent voert die uit zonder dat jij het merkt.

De auteurs van het paper keken naar 55 standaard-vaardigheden van zo'n assistent en ontdekten dat 36% daarvan gevaarlijk kan zijn als ze niet goed worden gecontroleerd.

🚦 De Oplossing: SafeClaw-R (De Onzichtbare Verkeersregelaar)

SafeClaw-R is geen nieuwe assistent, maar een veiligheidssysteem dat erbovenop zit. Je kunt het zien als een onzichtbare verkeersregelaar of een strikte conciërge die elke deur controleert voordat iemand erdoorheen mag.

Hier zijn de drie belangrijkste ideeën, vertaald naar alledaagse analogieën:

1. De "Twee-Deur" Regel (Graph Invariant)

In een normaal systeem kan een assistent direct een actie uitvoeren (bijv. "Verwijder bestand").
In SafeClaw-R moet elke actie eerst door een veiligheidscontrole.

Analogie: Stel je voor dat je een huis hebt. In het oude systeem kon je zomaar de voordeur openen en naar buiten rennen. In SafeClaw-R is er een tweede deur (een veiligheidsdeur) tussen de woonkamer en de voordeur.
Hoe het werkt: Voordat de assistent iets doet, moet hij eerst door deze veiligheidsdeur. Een speciale "veiligheids-agent" kijkt dan: "Is dit een goede actie? Is het veilig? Moet de gebruiker eerst toestemming geven?" Pas als deze agent groen licht geeft, mag de assistent de daadwerkelijke actie uitvoeren.

2. De "Veilige Versie" Fabriek (Safe Skill Factory)

Veel assistenten hebben "vaardigheden" (skills), zoals "E-mail sturen" of "Bestand wissen". Vaak zijn deze vaardigheden gemaakt zonder te denken aan veiligheid.
SafeClaw-R heeft een fabriek die voor elke gevaarlijke vaardigheid een veilige tweeling maakt.

Analogie: Stel je hebt een gereedschapskist met een zware hamer. Die hamer kan een muur breken (gevaarlijk). De fabriek maakt een "veilige hamer" die precies hetzelfde doet, maar die niet kan breken als je er niet op let.
Hoe het werkt: Als de assistent de opdracht krijgt om een bestand te wissen, gebruikt hij niet de originele, ruwe opdracht, maar de "veilige versie". Deze versie vraagt eerst: "Weet je zeker dat je dit wilt? Is dit een groot bestand?"

3. De "Gemeenschappelijke Gids" (SafeSkillHub)

Veiligheid is niet iets dat je één keer doet. Hackers vinden nieuwe manieren om te omzeilen.
SafeClaw-R bouwt een gemeenschappelijke bibliotheek (SafeSkillHub) waar mensen hun veiligheidsregels kunnen delen.

Analogie: Het is als een gemeenschappelijke lijst met waarschuwingen in een wijk. Als meneer Jansen ontdekt dat een bepaald slot niet werkt, hangt hij een briefje op het prikbord. Dan weet de hele wijk dat ze dat slot moeten controleren. Zo leren alle assistenten van elkaars fouten.

🧪 Wat hebben ze getest?

De onderzoekers hebben SafeClaw-R getest in drie situaties:

Google Workspace (E-mails & Agenda): Ze gaven de assistent 2000 opdrachten, waaronder slimme trucs om de veiligheid te omzeilen. SafeClaw-R blokkeerde 95% van de gevaarlijke acties, terwijl een simpele "zoekwoord-check" (regex) maar 61% goed deed.
Gevaren uit de "App Store" (Derde partijen): Ze testten met 49 kwaadaardige "skills" die hackers hadden gemaakt. SafeClaw-R zag 98% van deze gevaren, zelfs als de code eruitzag als een onschuldige rekenmachine.
Code uitvoeren: Ze gaven de assistent Python-code om te draaien. SafeClaw-R zag 100% van de kwaadaardige code, zelfs als de hackers de code vermomden (bijv. door spaties toe te voegen of commentaar te veranderen).

🎯 Conclusie: Veiligheid zonder gedoe

Het mooie van SafeClaw-R is dat het niet alles blokkeert. Het is slim genoeg om te weten wanneer iets veilig is.

Als je zegt: "Verwijder die oude e-mail," zegt de assistent: "Oké, dat is veilig."
Als je zegt: "Verwijder ALLE e-mails," zegt de veiligheidsagent: "Wacht even! Dat is te gevaarlijk. Zeg het me nog eens, of geef expliciete toestemming."

Kort samengevat:
SafeClaw-R maakt slimme assistenten niet dom, maar verantwoord. Het zorgt ervoor dat deze digitale helpers niet alleen snel zijn, maar ook nooit per ongeluk je huis platbranden terwijl ze proberen je koffie te zetten. Het is de onzichtbare hand die de touwtjes in handen houdt, zodat jij je eigen baas blijft.

Probleemstelling

Large Language Model (LLM)-gebaseerde Multi-Agent Systemen (MAS) transformeren de persoonlijke productiviteit door complexe, cross-platform taken autonoom uit te voeren. Frameworks zoals OpenClaw stellen agents in staat om lokaal te draaien en geïntegreerd te worden met persoonlijke data en diensten. Deze autonomie introduceert echter ernstige veiligheids- en beveiligingsrisico's:

Onbedoelde acties: Fouten in het redeneren van LLM's (zoals hallucinaties of logische fouten) kunnen leiden tot onomkeerbare schade, zoals het per ongeluk wissen van e-mailgeschiedenis of het lekken van inloggegevens.
Prompt Injection en Skill Poisoning: Kwaadaardige instructies kunnen agents manipuleren om gevoelige data te exfiltreren of schadelijke acties uit te voeren.
Beperkingen van bestaande oplossingen: Bestaande methoden, zoals statische code-guardrails (te star) of "LLM-as-a-Judge" (vaak post-mortem en niet in real-time), blijken onvoldoende om risico's in dynamische multi-agent omgevingen effectief te beheersen. Een analyse van OpenClaw toonde aan dat 36,4% van de ingebouwde vaardigheden (skills) hoge of kritieke veiligheidsrisico's met zich meebrengt.

Methodologie: SafeClaw-R

SafeClaw-R is een framework dat veiligheid implementeert als een systeemniveau-invariant over de uitvoeringsgrafiek van een multi-agent systeem. De kern van de methode bestaat uit drie pijlers:

Structurale Invariant en Enforcement Nodes:
- Het systeem modelleert agents als een dynamische graaf $G = (N, E)$ .
- SafeClaw-R introduceert een strikte regel: elke functionele agent (die een taak uitvoert) moet altijd voorafgegaan worden door een corresponderende enforcement agent (veiligheidscontrole).
- Deze enforcement nodes fungeren als een "gatekeeper" die actie mediatie uitvoert voordat de daadwerkelijke uitvoering plaatsvindt. Ze kunnen een actie toestaan, blokkeren, uitstellen (voor menselijke goedkeuring) of aanpassen.
De Enforcement Node Abstractie:
Elke veiligheidsnode wordt gedefinieerd door drie componenten:
- Trigger: Wanneer de node activeert (bijv. bij detectie van PII of een risicovolle API-call).
- Task: De logica voor het toepassen van het veiligheidsbeleid (bijv. "blokkeer als PII wordt gevonden").
- Resources: De operationele capaciteiten om ingrijpen (bijv. stop, user_confirm, log_event, quarantine).
Automatische Generatie van Veilige Skills (Safe Skill Factory):
- Om schaalbaarheid te garanderen, biedt SafeClaw-R een geautomatiseerde, zes-fasen pipeline om veilige tegenhangers te genereren voor bestaande skills.
- Dit proces omvat: Bedreigingsmodellering, specificaties schrijven, generatie van testcases, evaluatie, root-cause analyse van fouten en iteratieve verfijning.
- Dit resulteert in een 1-op-1 mapping tussen een functionele skill en een geverifieerde, veilige variant.

Belangrijkste Bijdragen

Formulering van Veiligheid als Runtime-Enforcement: In plaats van te vertrouwen op detectie na uitvoering, worden veiligheidsbeleidssystemen als eerste-class componenten in de uitvoeringspijplijn geïntegreerd.
SafeClaw-R Framework: Een architectuur die enforcement nodes in de OpenClaw-pijplijn inbedt, waardoor consistente, real-time bemiddeling van agent-acties mogelijk is.
Safe Skill Factory & SafeSkillHub: Een systeem voor het automatisch afleiden van veiligheidsregels en een gemeenschapsgedreven ecosysteem (SafeSkillHub) voor het delen van herbruikbare veiligheidspecificaties.
Uitgebreide Evaluatie: Een robuuste evaluatie over drie domeinen: Google Workspace, derde-partij skill-marktplaatsen en native code-uitvoering.

Resultaten

SafeClaw-R werd geëvalueerd tegen bestaande baselines (zoals Regex) en in verschillende scenario's:

Google Workspace (Productiviteit):
- Bereikte 95,2% nauwkeurigheid over 2000 testcases.
- Significante verbetering ten opzichte van Regex-baselines (61,6%), vooral bij natuurlijke taal en sociale-engineering-aanvallen.
- Valse positieven (FP) waren laag (3,4%), hoewel het systeem conservatief neigt om onzekere gevallen voor menselijke review te laten.
Derde-Partij Skills (Skill Poisoning):
- Detecteerde 97,8% van de kwaadaardige patronen in een dataset van MaliciousAgentSkills.
- Het systeem identificeerde zowel code- als instructie-niveau bedreigingen, inclusief verborgen reverse shells en credential theft.
Native Code Executie:
- Bereikte 100% detectienauwkeurigheid op een benchmark van 2.020 testcases (inclusief semantisch behoudende mutaties).
- Geen valse positieven bij het testen van benigne scripts die lijken op kwaadaardige code.

Betekenis en Impact

Dit paper markeert een verschuiving in het veiligheidsparadigma voor Multi-Agent Systemen:

Van Post-Mortem naar Proactief: Het bewijst dat veiligheid niet alleen achteraf gecontroleerd kan worden, maar als een structurele, onomkeerbare invariant tijdens de uitvoering moet worden afgedwongen.
Schaalbaarheid: Door het gebruik van een geautomatiseerde "Safe Skill Factory" wordt het mogelijk om veiligheidsmaatregelen schaalbaar toe te passen op een groeiend ecosysteem van skills, zonder dat dit handmatig voor elke skill gedaan hoeft te worden.
Praktische Toepasbaarheid: De resultaten tonen aan dat het mogelijk is om autonome agents veilig te maken zonder hun functionaliteit te verlammen, wat een cruciale stap is voor de brede adoptie van AI-assistenten in persoonlijke en zakelijke omgevingen.

Kortom, SafeClaw-R biedt een robuust, systeemniveau raamwerk dat de autonome aard van MAS's veilig maakt door veiligheid te integreren in de kern van de uitvoeringslogica, in plaats van het als een add-on te behandelen.