💻 computer science

ClawLess: A Security Model of AI Agents

ClawLess 是一个面向 AI 代理的安全框架，它通过形式化验证策略并结合基于 BPF 的系统调用拦截技术，在代理本身可能具有对抗性的最坏情况下，为其提供不依赖内部设计的运行时安全保证。

原作者： Hongyi Lu, Nian Liu, Shuai Wang, Fengwei Zhang

发布于 2026-04-09

📖 1 分钟阅读☕ 轻松阅读

原作者： Hongyi Lu, Nian Liu, Shuai Wang, Fengwei Zhang

原始论文采用 CC BY 4.0 许可（http://creativecommons.org/licenses/by/4.0/）。 ✨ 这是对下方论文的AI生成解释。它不是由作者撰写或认可的。如需技术准确性，请参阅原始论文。阅读完整免责声明

这篇论文介绍了一个名为 ClawLess 的安全系统，它的任务是保护我们的电脑不被“自作聪明”的 AI 机器人搞破坏。

为了让你轻松理解，我们可以把整个场景想象成：你雇佣了一个超级能干、但有点“野性难驯”的机器人管家（AI Agent），它什么活都能干，但你也担心它会不会不小心（或者被坏人教唆）把你的家拆了，或者把保险柜里的钱偷走。

以下是用通俗语言和比喻对这篇论文的解读：

1. 为什么我们需要 ClawLess？（背景与问题）

现在的 AI 机器人（比如能自动写代码、查资料、执行任务的智能体）非常强大。它们不像以前的软件那样只会听死板的指令，它们能自己思考、自己找资料、自己运行程序。

但这带来了一个大麻烦：

信任边界模糊： 以前的软件只去固定的地方拿数据，像去超市买菜。现在的 AI 会自己去网上到处搜，就像让一个小孩去全世界找东西，万一它被坏人忽悠了，拿了毒药回来怎么办？
权限太大： 为了干活，AI 需要很多权限（比如能读写文件、联网、运行程序）。如果给它太多权限，它一旦“黑化”，就能为所欲为；如果权限太少，它又干不了活。
防不胜防： 传统的杀毒软件或防火墙是静态的，但 AI 是动态的、不可预测的。你没法通过“教它变好”（训练或提示词）来保证它永远不犯错，因为它的行为太复杂了，甚至可能自己学会怎么绕过安全锁。

ClawLess 的核心思想是： 别指望 AI 变乖，我们要给它的活动范围套上一个绝对无法突破的“金钟罩”。哪怕 AI 自己变坏了，它也被困在这个罩子里，伤不到外面的世界。

2. ClawLess 是怎么工作的？（核心机制）

ClawLess 就像是一个**“超级保安 + 规则翻译官 + 隔离监狱”**的组合拳。

A. 制定“铁律”（形式化安全模型）

首先，ClawLess 不是靠猜，而是用数学语言制定了一套**“铁律”**。

比喻： 就像给机器人管家定家规。
- 规则 1（层级原则）： 机器人能做的，它的“小跟班”（比如它下载的外部脚本）绝对不能做比它更危险的事。
- 规则 2（外部脚本隔离）： 机器人从网上下载的脚本，必须在“监狱”里运行，不能直接碰你的重要文件。
- 规则 3（密码可见不可读）： 机器人需要密码去登录银行，它只能“看见”密码（用来填表），但不能“复制”或“记住”密码（防止它把密码抄下来带走）。
- 规则 4（动态时间锁）： 如果机器人刚才读了机密文件，那么下一秒它就不能联网发信息（防止它把机密发出去）。

B. 翻译官（策略编译器）

这些“铁律”是数学语言，电脑底层听不懂。ClawLess 有一个翻译官，它把这些高级规则翻译成电脑能听懂的“底层指令”（比如：禁止打开某个文件，禁止连接某个网络端口）。

比喻： 就像把“不许吃糖”翻译成“把糖罐子锁进保险柜，并把钥匙藏起来”。

C. 执行者（用户态内核 + BPF 拦截）

这是最厉害的部分。ClawLess 在 AI 和电脑操作系统之间，插入了一个**“用户态内核”（可以想象成一个透明的防弹玻璃墙**）。

工作原理：
1. AI 想干任何事（比如打开文件、联网），都必须先敲这扇“玻璃墙”。
2. 墙上的BPF 拦截器（一种高效的监控程序）会瞬间检查：AI 想干的事符合“铁律”吗？
3. 如果符合： 玻璃墙打开，让它通过。
4. 如果不符合： 玻璃墙直接把它弹回来，甚至直接切断它的动作。
比喻： 就像机场安检。不管你是总统还是平民，想带刀上飞机，安检门（BPF）都会直接报警并拦住你。而且这个安检门是实时的，不管 AI 怎么变着花样骗人，只要它想动刀，就会被拦下。

3. 为什么它很牛？（创新点）

不管 AI 内部怎么想： 以前的方法试图去“教育”AI，或者分析 AI 的代码。ClawLess 不管 AI 脑子里在想什么，也不管它是不是被黑客控制了，只要它想做的动作违反了规则，就直接禁止。
动态适应： 它能根据 AI 刚才做了什么，动态调整现在的权限。比如 AI 刚读了机密，下一秒就自动切断它的联网权限。
不依赖硬件： 它不需要特殊的昂贵硬件，纯靠软件就能实现很强的隔离效果（比传统的 Docker 容器更安全，因为 Docker 共享了宿主机的内核，容易有漏洞）。

4. 总结

ClawLess 就像给 AI 机器人戴上了一个“紧箍咒”。

以前的做法： 试图把猴子（AI）训练成不偷桃子的乖猴子（很难，因为猴子本性难移，或者被坏人教唆）。
ClawLess 的做法： 不管猴子想不想偷桃子，我们在它和桃树之间建了一道绝对坚固的墙。猴子可以跳来跳去，可以思考，但手伸不过墙，桃子丢不了。

这篇论文告诉我们：面对越来越聪明的 AI，我们不能只靠“信任”或“教育”，必须建立一套基于数学证明的、强制执行的物理隔离机制，才能确保 AI 在为我们服务的同时，不会把我们的数字世界搞垮。

以下是基于论文《ClawLess: A Security Model of AI Agents》的详细技术总结：

1. 研究背景与问题 (Problem)

背景：
基于大语言模型（LLM）的自主 AI 代理（AI Agents）能够自主推理、规划并执行复杂任务（如信息检索、代码执行、结果验证）。然而，这种自主性引入了显著的安全风险。

核心挑战：
现有的安全方法（如通过训练或提示词调节代理行为）无法提供根本性的安全保证。AI 代理面临以下独特挑战：

模糊的信任边界： 代理从多样化的来源自主获取数据，导致可信与不可信输入的界限模糊，恶意内容可能被代理利用。
权限与可用性的权衡： 代理需要广泛的权限（文件系统、网络、执行代码）来完成任务，但过度授权会带来安全风险。传统的“最小权限原则”难以直接应用，因为过于严格的限制会破坏代理的可用性。
自主软件的安全威胁： 代理具备理论上的能力去绕过传统安全机制（例如，利用 0-day 漏洞逃逸 Docker 容器）。
- 静态分析不可行：LLM 输出的非确定性使得行为预测困难。
- 传统沙箱（如 Docker）依赖 Linux 内核，继承了内核漏洞。
- 形式化验证尚未适应代理动态使用工具的行为。

威胁模型假设：
ClawLess 采用“最坏情况”威胁模型：

能力假设： AI 代理有能力对任何安全机制发起复杂攻击。
恶意性假设： 由于暴露于未清洗的在线输入，AI 代理最终会被诱导成为恶意的。
信任组件： 假设底层软件（如 gVisor）和硬件无漏洞。
非信任组件： AI 代理本身及其容器内的软件栈被视为不可信。

2. 方法论 (Methodology)

ClawLess 是一个安全框架，旨在通过细粒度权限分析、安全容器隔离和运行时审计来保护系统。其核心设计分为形式化部分和具体实现部分。

A. 形式化安全模型 (Formal Security Model)

ClawLess 定义了一个细粒度的安全模型，包含以下要素：

实体 (Entities)： 系统资源（文件、进程、套接字、设备等）。
范围 (Scopes)： 定义了隔离层级，包括 Sandbox（外部脚本）、Agent（代理本身）和 Monitor（监控器/用户态内核）。
权限 (Permissions)： 定义了操作权限，包括 Read, Write, Append, Visible（仅可见不可读内容，用于凭证）和 NoExecute（禁止执行）。
- 创新点： 引入 NoExecute 和 Visible 权限，以解决凭证泄露和执行控制问题。
线性时序逻辑 (Linear Temporal Logic)： 为了解决静态模型的局限性，引入时间参数和时序谓词（如 $\square$ $□$ 永远， $\diamond$ $⋄$ 有时）。这使得策略可以根据代理的历史行为动态调整。
- 示例： 如果代理读取了敏感文件，则后续禁止其向外部套接字写入数据，从而防止数据泄露，即使代理尚未实际执行泄露操作。

B. 策略编译与验证 (Policy Compilation & Validation)

SMT 验证器： 使用 SMT 求解器（如 Z3）验证生成的安全策略是否满足形式化模型，确保配置无逻辑冲突（例如，防止同时授予读取敏感文件和写入外部套接字的权限）。
策略编译器： 将高层的形式化策略映射到具体的 Linux 系统调用（Syscall）。由于系统调用语义复杂（如 open 和 openat），编译器构建了详细的映射表，将抽象权限（如 Read/Write）转换为具体的 Syscall 规则。

C. 具体执行机制 (Concrete Enforcement)

用户态内核 (User-space Kernel)： 采用类似 gVisor 的架构，在代理和宿主内核之间部署一个用户态内核层，隔离代理与宿主内核的直接交互，减少攻击面。
BPF 系统调用拦截：
- 利用 Berkeley Packet Filter (BPF) 技术，将监控程序附加到内核钩子点（如 sys_enter）。
- 当代理发起系统调用时，BPF 程序拦截并检查参数（如文件路径、文件描述符）。
- 根据编译后的策略规则，决定允许或拒绝该操作。
- 支持动态更新策略而无需重启系统。
外部脚本沙箱： 对于代理下载并执行的不可信外部脚本，ClawLess 创建一个权限更低的独立沙箱环境（基于相同的用户态内核技术），确保脚本即使恶意也无法突破权限范围。

3. 主要贡献 (Key Contributions)

首个全面的安全分析： 提出了针对自主 AI 代理的首个全面安全分析框架，基于两个根本假设（代理具备攻击能力且最终会恶意化）。
细粒度形式化安全模型： 设计了一个涵盖实体、范围和权限的模型，能够表达动态策略，防止代理滥用能力，同时保持可用性。
ClawLess 系统实现： 实现了基于形式化验证策略的隔离框架。通过“形式化模型 -> 策略编译器 -> 用户态内核+BPF 拦截”的链路，确保无论代理内部设计如何，其外部行为均受控。
动态时序策略： 引入了基于线性时序逻辑的权限控制，解决了静态权限模型无法处理“读取敏感数据后泄露”这类时序攻击的问题。

4. 结果与评估 (Results & Evaluation)

注：论文摘要和正文主要侧重于架构设计和理论证明，未提供具体的性能基准测试数据（如延迟增加百分比等），但强调了其设计原则。

安全性保证： 通过形式化验证和强制执行的策略，确保了即使代理被攻破或行为异常，也无法突破预设的安全边界（如无法读取敏感凭证内容、无法执行未授权脚本）。
可用性平衡： 通过 Visible 权限和细粒度的动态策略，允许代理在受控环境下访问外部服务（如使用凭证），同时防止凭证内容泄露。
架构优势： 相比传统 Docker（依赖内核，有漏洞）和虚拟机（开销大、交互困难），ClawLess 利用用户态内核和 BPF，在安全性和性能/兼容性之间取得了更好的平衡。

5. 意义与影响 (Significance)

范式转变： 从“试图控制代理行为（通过训练/提示）”转向“强制外部安全策略”。这种方法不依赖于代理的“善意”或内部逻辑的正确性，而是通过外部强制力（Enforcement）来保障安全。
解决根本矛盾： 解决了 AI 代理所需的广泛权限与系统安全之间的核心矛盾，提供了一种在“最坏情况”下仍能工作的安全方案。
通用性： 该框架不依赖于特定的 LLM 模型或代理架构，适用于各种自主 AI 代理系统，为未来更强大的自主软件提供了安全基石。
技术融合： 成功将形式化验证、用户态内核隔离和 eBPF 运行时监控技术融合，为自主系统的安全架构设计提供了新的参考范式。

总结：
ClawLess 提出了一种不依赖代理内部设计的“防御性”安全架构。它承认 AI 代理可能变得恶意，并通过形式化定义的动态策略、用户态内核隔离以及 BPF 实时拦截，构建了一个即使面对最坏情况也能有效保护宿主系统的安全屏障。