Elastic Compute Service:異種機密コンピューティングインスタンスにおける OpenClaw 機密 AI エージェントの構築

セキュリティアーキテクチャ

Confidential Agent のデプロイでは、すべてのコアデータが高信頼実行環境 (TEE) の境界内に留まります。以下の 3 種類のアセットが厳格に保護されます：

セキュリティアーキテクチャは、下から上に、ハードウェア、ブートチェーン、ランタイム、キー管理、通信の 5 つのレイヤーで構成されます：

デプロイメントワークフロー

1. ソースコード監査：デプロイヤーはビジネスソースコードを監査し、悪意のあるコードやバックドアが存在しないことを確認します。

2. アーティファクトのビルドとソフトウェア参照値の公開：監査済みのソースコードから OpenClaw サービスのみを含む軽量 OS イメージをビルドし、ビルドアーティファクトの SLSA 署名を Rekor 透明性ログにアップロードして、ソフトウェア参照値を公開します。

3. 機密インスタンスの作成：ビルドしたイメージを使用して、gn8v-tee 機密コンピューティングインスタンスを作成します。

4. リモートアテステーション監査と機密リソースのアップロード：デプロイヤーはデプロイメントツールを使用してインスタンスに対してリモートアテステーションを実行し、インスタンスが正規の TDX ハードウェアで実行されていることを検証します。検証後、ディスク暗号化キーや DingTalk ボットの資格情報などの機密リソースが自動的にアップロードされます。

5. OpenClaw へのアクセス：ユーザーは、Web ブラウザー、デスクトップクライアント、または TUI ターミナルを介して直接 OpenClaw にアクセスするか、DingTalk などの IM プラットフォームを介して間接的にアクセスできます。

6. リモートアテステーション監査と暗号化伝送：接続を確立する前に、高信頼ゲートウェイクライアントは Rekor からソフトウェア参照値、Intel PCCS および RIM/OCSP からハードウェア参照値を取得します。リモートアテステーションの検証が完了すると、RATS-TLS 暗号化チャネルが確立されます。すべての通信はエンドツーエンドで暗号化されます。

手順 1：OpenClaw と vLLM 推論エンジンを含む信頼できるイメージの構築

デプロイマシン (Alibaba Cloud Linux 3 インスタンス) で、ソースコードのダウンロード、依存関係のインストール、キーの生成、クラウドリソースの設定、信頼できるイメージの構築を行います。

1. ECS インスタンスにログインします。

   1. ECS コンソール - インスタンスに移動し、上部ナビゲーションバーで対象のリージョンとリソースグループを選択します。

   2. 対象インスタンスの詳細ページに移動し、[Connect] をクリックして、[Workbench] を選択します。 接続方法を [Terminal] に設定し、ユーザー名とパスワードを入力して、グラフィカルターミナルページにログインします。

2. プロジェクトのソースコードをダウンロードします。

   cd ~/
   git clone https://github.com/inclavare-containers/confidential-agent
   cd confidential-agent

3. 必要なソフトウェア依存関係をすべてインストールします。

   make install-deps

   このコマンドは、ビルドとデプロイに必要な Docker、Terraform、Go、Python、cosign、rekor-cli などのツールをインストールします。

4. デプロイに必要な暗号化キーと設定ファイルを生成します。

   make generate-secrets

   キーが生成されたら、secrets/openclaw-vllm.json を編集し、プレースホルダーを DingTalk アプリケーションの認証情報やモデル設定などの実際の値に置き換えます。 次の表に、各プレースホルダーの説明を示します。

   プレースホルダー	説明	取得方法
   <DINGTALK_BOT_CLIENT_ID>	DingTalk ボットの ClientId	詳細については、「DingTalk Bot + OpenClaw」をご参照ください。 DingTalk 開発者ポータル でアプリケーションを作成して値を取得します。
   <DINGTALK_BOT_CLIENT_SECRET>	DingTalk ボットの ClientSecret	上記と同じです。 アプリケーションの詳細ページから値を取得します。

5. Terraform の変数ファイルを設定します。

   説明

   Terraform は、オープンソースのコードとしてのインフラストラクチャ (IaC) ツールであり、宣言的な設定ファイルを使用して、Alibaba Cloud 上のクラウドリソースやサービスの作成、変更、バージョン管理を自動化します。 このソリューションでは、Terraform を使用して機密インスタンスのデプロイを自動化します。

   cp terraform/terraform.tfvars.example terraform/terraform.tfvars

   terraform/terraform.tfvars ファイルを編集し、次の表の説明に従って主要なパラメーターを設定します。

   パラメーター	推奨値	説明
   zone_id	"cn-beijing-l"	gn8v-tee インスタンスファミリーをサポートするゾーン
   vpc_cidr	"10.0.0.0/16"	VPC の CIDR ブロック
   vswitch_cidr	"10.0.1.0/24"	vSwitch の CIDR ブロック
   security_group_allowed_cidr	"0.0.0.0/0"	OpenClaw サービスにアクセスする必要があるクライアント環境の IP CIDR ブロック

   重要

   security_group_allowed_cidr のデフォルト値は 0.0.0.0/0 です。 本番環境では、この値を特定の IP CIDR ブロックに変更し、必要な送信元 IP アドレスのみを許可するようにしてください。

6. Terraform でクラウドリソースを作成するために、Alibaba Cloud のアクセス認証情報をエクスポートします。

   export ALICLOUD_ACCESS_KEY="<YOUR_ACCESS_KEY>"
   export ALICLOUD_SECRET_KEY="<YOUR_SECRET_KEY>"

   説明

   AccessKey ペアの長期保存を避けるため、RAM ロールまたは一時的な認証情報 (STS) を使用することを推奨します。 AccessKey ペアの作成方法については、「AccessKey ペアの作成」をご参照ください。

7. OpenClaw と vLLM 推論エンジンを含む信頼できるイメージを構築します。

   make build PROFILE=openclaw-vllm

   説明

   最初のビルドには GPU ドライバーのインストールなどの手順が含まれるため、完了まで時間がかかります。

   ビルドが完了すると、次の 2 つのイメージが生成されます。

   イメージタイプ	説明
   本番イメージ	SSH サーバーを削除し、ランタイムを最小限に抑えた、本番デプロイ用のセキュリティ強化バージョンです。
   デバッグイメージ	SSH アクセスとデバッグツールを含む、トラブルシューティング専用のバージョンです。

   ビルドプロセス中に、イメージの参照値も Rekor 透明性ログにアップロードされます。 デプロイ時の検証用に、.rekor-meta.json メタデータファイルが生成されます。

手順 2：信頼できるイメージのインスタンスへのデプロイ

信頼できるイメージを gn8v-tee インスタンスにデプロイし、TNG を介してエンドツーエンドの暗号化チャネルを確立します。

1. デプロイマシンで次のコマンドを実行し、信頼できるイメージを使用して gn8v-tee インスタンスを作成します。 インスタンスが作成されると、インスタンスでリモートアテステーションが実行され、機密リソースがアップロードされます。

   make deploy PROFILE=openclaw-vllm RV_MODE=rekor

   次の表に、主要なパラメーターの説明を示します。

   パラメーター	説明
   PROFILE=openclaw-vllm	使用するデプロイプロファイル
   RV_MODE=rekor	デプロイ中に Rekor 透明性ログを使用してイメージの参照値を検証します

   このデプロイにより、クラウドに次のリソースが作成されます。

   • OSS バケット：信頼できる VM イメージ (.qcow2) をアップロードしてホストするために使用されるプライベートストレージ領域。

   • ECS カスタムイメージ：OSS イメージファイルから Alibaba Cloud ECS のカスタムイメージライブラリにインポートされます。

   • ECS GPU 機密コンピューティングインスタンス：セキュリティグループと vSwitch にアタッチされた ecs.gn8v-tee.4xlarge 機密コンピューティングインスタンス。 UKI 起動パラメーターには、リモートアテステーションチャレンジの設定が含まれます。

   • セキュリティグループ：SSH (ポート 22) と TNG (ポート 18789) を開き、指定された CIDR ブロックからのアクセスのみを許可します。

   説明

   デフォルトでは、デバッグイメージがデプロイされます。 本番イメージ (SSH アクセスなし) をデプロイするには、イメージファイルを手動で指定してください。

   重要

   デプロイ中にイメージが OSS にアップロードされ、モデルが ModelScope からダウンロードされるため、インターネットアクセスが必要となり、通信料が発生します。

2. デプロイマシンで TNG クライアントを起動し、デプロイマシンとクラウド上の gn8v-tee インスタンスとの間に RATS-TLS 暗号化チャネルを確立します。

   make connect-tng

   接続に成功すると、出力に OpenClaw の HTTP および WebSocket の URL とアクセストークンが表示されます。 これ以降の通信はすべて、RATS-TLS 暗号化によって保護されます。

3. TNG トンネル経由で OpenClaw サービスが利用可能かを確認します。

   curl -s http://localhost:18789/health

   正常なステータスが返ってきたら、サービスにアクセスできます。

手順 3：機密コンピューティングで保護された OpenClaw サービスへのアクセス

サービスが利用可能になったら、次の4つのいずれかの方法で OpenClaw にアクセスします。

ssh -L 18789:127.0.0.1:18789 root@<deployment machine IP>

ssh -L 18789:127.0.0.1:18789 root@<deployment machine IP>

npm install -g openclaw@latest --registry=https://registry.npmmirror.com

openclaw tui --url ws://localhost:18789 --token <gateway-token>

Verify the trustworthiness of the runtime environment

OpenClaw includes a built-in tdx-remote-attestation skill that automatically triggers remote attestation when security-related questions are asked, verifying the security status of the current runtime environment.

How to trigger: Ask security-related questions in DingTalk, Web, or TUI, such as "Is my data safe?" or "Is this environment trustworthy?"

Return content:

Verify PEP policy enforcement

PEP (Policy Enforcement Point) is a runtime gating mechanism for confidential AI agents. When an agent such as OpenClaw executes a command through the exec tool, the request first passes through cai-pep for policy matching, then runs in an isolated Docker sandbox (network mode none). Configurable policies enforce mandatory restrictions on the tools available to the agent, preventing security risks from malicious prompt injection.

PEP provides three layers of protection:

1. Command-level blocking: Rejects high-risk commands based on a blocklist, such as curl, wget, nc, ssh, and docker.

2. Path-level blocking: Prevents access to sensitive paths, such as /etc, /proc, /root, and /home/openclaw/.openclaw.

3. Network isolation: The sandbox has no network access. Even if a command bypasses the blocklist, it cannot establish outbound connections.

The default policy file is at ~/confidential-agent/image/customize/files/cai-pep-default-policy.json on the deployment machine. You can modify the command blocklist, path blocklist, and resource limits before building the image.

If an agent is compromised by malicious prompt injection and an attacker attempts to establish a reverse shell or download a malicious payload, PEP automatically blocks these high-risk operations:

Verify supply chain integrity

The deployment uses the Rekor transparency log by default to store image reference values. During remote attestation, reference values are automatically retrieved from Rekor for verification. You can audit the Rekor log entries to verify supply chain integrity by using the following methods.

cat ~/confidential-agent/image/output/slsa-output-cai-openclaw-vllm-debug-*/rekor-v1-upload.txt

Created entry at index 1205944956, available at: https://rekor.sigstore.dev/api/v1/log/entries/<uuid>

rekor-cli verify --log-index 1205944956 --rekor_server https://rekor.sigstore.dev

Computed Root Hash: 1291abcee27148a4c00241ba8719f798ce060e8a5ccc8b18249017c25c6d0090
Expected Root Hash: 1291abcee27148a4c00241ba8719f798ce060e8a5ccc8b18249017c25c6d0090

rekor-cli loginfo --rekor_server https://rekor.sigstore.dev

Verification Successful!