Alibaba Cloud Linux:AgentSecCore の使用方法

シナリオ 1：単一またはすべてのスキルをスキャン

指定されたスキルまたはすべてのスキルに対して、完全なセキュリティスキャンおよび署名認証（フェーズ 1：環境準備 → フェーズ 2：ファイルごとのセキュリティレビュー → フェーズ 3：署名およびチェーンへの記録）を実行します。単一のスキルが指定された場合、レポートにはそのスキルのみの結果が含まれます。完了後、エージェントは 実行レポート を出力します。

[skill-ledger] 実行レポート
┌─────────────┬────────────┬──────────┬──────────────────┬─────────────────────┬────────┬──────────────────────┐
│ Skill       │ Status     │ Version  │ Status Fingerprint │ Last Updated        │ Files  │ Summary              │
├─────────────┼────────────┼──────────┼──────────────────┼─────────────────────┼────────┼──────────────────────┤
│ github      │  pass      │ v000001  │ 5e2d1a8          │ 2025-04-23T15:30:00Z│ 5      │ No risks found       │
│ my-tool     │  warn      │ v000002  │ 9c3f7b1          │ 2025-04-23T15:31:00Z│ 3      │ 2 warnings           │
│ docker      │  pass      │ v000002  │ 7d4e9b0          │ 2025-04-19T08:15:00Z│ 8      │ Reused last result   │
└─────────────┴────────────┴──────────┴──────────────────┴─────────────────────┴────────┴──────────────────────┘

セキュリティ結論：
   pass: 2     warn: 1    合計: 3 スキル

   my-tool - 低リスクの問題が 2 件：
    • obfuscated-code - 過度に長い 1 行のコード (lib/encoder.js:203)
    • suspicious-network - 非標準ポートで IP に直接接続 (net/client.py:88)

シナリオ 2：単一またはすべてのスキルのステータスを確認

スキャンを実行せずに、指定されたスキルまたはすべてのスキルの整合性ステータスのみを確認します。単一のスキルが指定された場合、レポートにはそのスキルのみが含まれます。エージェントは セキュリティステータスレポート を出力します。

[skill-ledger] セキュリティステータスレポート
┌─────────────┬────────────┬──────────┬──────────────────┬─────────────────────┬────────┬──────────────────────┐
│ Skill       │ Status     │ Version  │ Status Fingerprint │ Last Updated        │ Files  │ Summary              │
├─────────────┼────────────┼──────────┼──────────────────┼─────────────────────┼────────┼──────────────────────┤
│ github      │  none      │ v000001  │ 3f8a1c2          │ 2025-04-20T10:30:00Z│ 5      │ Never scanned        │
│ docker      │  pass      │ v000002  │ 7d4e9b0          │ 2025-04-19T08:15:00Z│ 8      │ No risks found       │
│ my-tool     │  drifted   │ v000001  │ a91c5f3          │ 2025-04-18T14:00:00Z│ 3      │ +1 added, ~1 modified│
│ dev-helper  │  warn      │ v000003  │ c0b7e28          │ 2025-04-17T09:00:00Z│ 12     │ 2 warnings           │
└─────────────┴────────────┴──────────┴──────────────────┴─────────────────────┴────────┴──────────────────────┘

セキュリティ結論：
  合格: 1 (docker)
  注意が必要: 3 - 未スキャン 1、ファイル変更 1、低リスク 1

  my-tool: SKILL.md および run.py が変更され、new-helper.sh が追加されました。
  dev-helper: obfuscated-code (utils.js:142)、suspicious-network (fetch.py:58)

  推奨事項: pass 以外のステータスを持つスキルに対してセキュリティスキャンを実行し、ステータスを更新してください。

自動フック保護

上記のようにスキルを通じてアクティブにトリガーされるだけでなく、Skill Ledger はフックメカニズムを使用して、スキルが呼び出された際に自動的に整合性チェックを実行します。

• Copilot Shell：スキルツールが呼び出される前に、その整合性ステータスが自動的にチェックされます。現在のバージョンは最小限の介入を目的としており、UI 上で実行をブロックしたり警告を表示したりしません。ただし、すべての検証レコードはログに保存され、可観測性機能を通じてクエリできます。

• OpenClaw：セキュリティプラグインを通じて同様の自動チェック機能を実装し、Copilot Shell と同じ動作をします。

ステップ 1：署名キーの初期化

agent-sec-cli skill-ledger init-keys

このコマンドは、デフォルトでパスフレーズなし、ゼロインタラクションで Ed25519 キーペアを生成します。キーは ~/.local/share/agent-sec/skill-ledger/ に保存されます。

期待される出力：

{
  "command": "init-keys",
  "fingerprint": "sha256:a3b1c9...",
  "publicKeyPath": "/home/user/.local/share/agent-sec/skill-ledger/key.pub",
  "privateKeyPath": "/home/user/.local/share/agent-sec/skill-ledger/key.enc",
  "encrypted": false
}

本番環境ではパスフレーズ保護を有効にすることを推奨します。

# パスフレーズをインタラクティブに入力
agent-sec-cli skill-ledger init-keys --passphrase

# または環境変数経由で渡す（CI/CD 用）
SKILL_LEDGER_PASSPHRASE="your-secret" agent-sec-cli skill-ledger init-keys --passphrase

ステップ 2：スキル整合性のチェック

# 単一のスキルをチェック
agent-sec-cli skill-ledger check /path/to/your-skill

# 登録済みのすべてのスキルを一括でチェック
agent-sec-cli skill-ledger check --all

初回チェックでは、none ステータスのベースラインマニフェストが作成されます。その後のチェックでは、ファイルの変更、署名ステータス、スキャン結果が報告されます。

期待される出力：

{
  "status": "drifted",
  "skillName": "your-skill",
  "versionId": "v000001",
  "createdAt": "2025-04-20T10:30:00Z",
  "updatedAt": "2025-04-22T14:00:00Z",
  "fileCount": 5,
  "manifestHash": "sha256:3f8a1c2...",
  "added": ["new-file.sh"],

  "removed": [ ],

  "modified": ["SKILL.md"]
}

ステータス定義および推奨アクション：

ステップ 3：セキュリティスキャンおよび認証の実行

調査結果ファイルがすでに存在する場合（例：エージェントスキャンからのもの）、certify を直接呼び出します。

agent-sec-cli skill-ledger certify /path/to/your-skill \
  --findings /tmp/skill-vetter-findings-your-skill.json \
  --scanner skill-vetter

期待される出力：

{
  "versionId": "v000002",
  "scanStatus": "pass",
  "newVersion": true,
  "skillName": "your-skill",
  "createdAt": "2025-04-20T10:30:00Z",
  "updatedAt": "2025-04-23T15:31:00Z",
  "fileCount": 5,
  "manifestHash": "sha256:5e2d1a8..."
}

scanStatus は集約されたセキュリティステータスを表します：pass（リスクなし）、warn（低リスク）、または deny（高リスク）。

パスフレーズに関する注意：キーがパスフレーズで保護されている場合、環境変数経由で渡す必要があります：SKILL_LEDGER_PASSPHRASE="your-passphrase" agent-sec-cli skill-ledger certify ...

ステップ 4：構成および健全性の表示

# キー、構成、すべてのスキルの健全性を表示
agent-sec-cli skill-ledger status

# 各スキルの詳細ステータスを含める
agent-sec-cli skill-ledger status --verbose

期待される出力：

{
  "command": "status",
  "keys": {
    "initialized": true,
    "fingerprint": "sha256:a3b1c9...",
    "publicKeyPath": "/home/user/.local/share/agent-sec/skill-ledger/key.pub",
    "encrypted": false,
    "keyringSize": 0
  },
  "config": {
    "configPath": "/home/user/.config/agent-sec/skill-ledger/config.json",
    "customized": false,
    "skillDirPatterns": 4,
    "registeredScanners": ["skill-vetter"]
  },
  "skills": {
    "discovered": 5,
    "breakdown": { "pass": 3, "none": 1, "drifted": 1, "warn": 0, "deny": 0, "tampered": 0, "error": 0 },
    "health": "attention"
  }
}

health タグは以下の値を取ります：healthy（すべてのスキルが合格）、attention（ドリフトまたは低リスクの調査結果あり）、critical（高リスクの調査結果または改ざんが検出）、unscanned（一度もスキャンされていない）、または empty（登録済みスキルなし）。

ステップ 5：バージョンチェーンの監査（オプション）

# 基本的な監査
agent-sec-cli skill-ledger audit /path/to/your-skill

# スナップショットファイルハッシュも検証
agent-sec-cli skill-ledger audit /path/to/your-skill --verify-snapshots

このコマンドは、ハッシュ、署名の有効性、バージョンリンクをチェックして、すべての履歴バージョンに対して深い検証を実行します。これはコンプライアンス監査、インシデント後のフォレンジックなどのシーンに役立ちます。

期待される出力：

{
  "valid": true,
  "versions_checked": 3,

  "errors": [ ]

}

ステップ 6：登録済みスキャナーの一覧表示（オプション）

agent-sec-cli skill-ledger list-scanners

登録済みのすべてのスキャナーとその有効ステータスを一覧表示します。certify --scanner コマンドで使用可能なスキャナー名を確認するために使用します。

期待される出力：

{
  "command": "list-scanners",
  "scanners": [
    { "name": "skill-vetter", "type": "skill", "parser": "findings-array", "enabled": true, "description": "Agent-driven skill security vetter" }
  ]
}

シナリオ 1：システムベースラインの監査および強化

# オペレーティングシステムのセキュリティベースラインをスキャン
agent-sec-cli harden --scan --config agentos_baseline

期待される結果：

• 基本的なベースラインスキャンを実行し、5 秒以内に 5 つのセキュリティドメインのチェックを完了します。

• 自動的に非準拠項目を識別し、明確な根本原因分析および修復提案を提供します。

• reinforce を実行して、1 つのコマンドで問題を自動的に修正し、数秒で強化プロセスを完了できます。

シナリオ 2：OpenClaw ベースラインチェックの実行

# OpenClaw ランタイム環境専用のセキュリティベースラインチェックを実行
agent-sec-cli harden --scan --level openclaw

ユースケース：

• OpenClaw のデプロイ前後で環境セキュリティチェックを実行します。

• 定期的に OpenClaw ランタイム環境のセキュリティベースラインを検査します。

期待される結果：

• OpenClaw 特有のリスクをハイライトした専用のシステムセキュリティベースラインレポートを出力します。

シナリオ 1：ネットワークアクセス（許可）

# /tmp ディレクトリに Web ページをダウンロードするプロンプトを入力
Download the Alibaba Cloud official website page to the /tmp directory

期待される結果：

• コマンドはサンドボックス内で実行されます。

• ネットワーク接続は許可されます（ネットワークコマンドは自動的に許可されます）。

• ファイルシステムは引き続き制限されるため、curl を使用してファイルをシステムディレクトリにダウンロードすることはできません。

シナリオ 2：重要ディレクトリへのダウンロード（ブロック）

# /etc ディレクトリへのダウンロードを試みるプロンプトを入力
Download the Alibaba Cloud official website page to the /etc directory

期待される結果：

• /etc への書き込みは拒否されます。

• エージェントがプロンプトを表示します。「システムディレクトリへの書き込みはできません。/tmp または現在のディレクトリに保存してください。」

• ネットワークアクセスが可能であっても、機密ディレクトリへの書き込み保護は有効のままです。

シナリオ 3：危険なシステムコマンドのブロック

# システムの再起動を試みる
reboot

期待される結果：

• コマンドは直ちにブロックされ、サンドボックスでの実行に入りません。

• エージェントが応答します。「このコマンドは危険なシステム操作を含んでおり、セキュリティポリシーによりブロックされました。」

• システムは再起動またはシャットダウンされません。

シナリオ 4：ファイルシステム操作（許可）

# /tmp ディレクトリ内で操作
mkdir -p /tmp/test_dir && rm -rf /tmp/test_dir

期待される結果：

• コマンドはサンドボックス内で正常に実行されます。

• /tmp/test_dir が作成され、その後削除されます。

• 他のシステムディレクトリには影響しません。

シナリオ 5：ファイルシステム操作（ブロック）

# システムディレクトリへの書き込みを試みる
echo "test" > /etc/test.txt

期待される結果：

• コマンドはサンドボックス内で実行に失敗します。

• 「Read-only file system」エラーが返されます。

• エージェントがプロンプトを表示します。「システムディレクトリへの書き込みはできません。変更が必要な場合は、サンドボックス外でコマンドを実行してください。」

シナリオ 6：危険なシステムコールのインターセプト

# ptrace システムコールの実行を試みる
python3 -c "import ctypes; libc = ctypes.CDLL(None); libc.ptrace(0, 0, None, None)"

期待される結果：

• コマンドはサンドボックス内で実行されます。

• ptrace 呼び出しがインターセプトされ、EPERM（errno=1）が返されます。