Elastic GPU Service:ヘテロジニアスコンフィデンシャルコンピューティングインスタンスにおける OpenClaw コンフィデンシャル AI エージェントの構築

セキュリティアーキテクチャ

Confidential Agent デプロイにおけるすべてのコアデータは、TEE 境界内で循環します。次の 3 種類の資産は厳重に保護されます。

セキュリティアーキテクチャは、下から上へハードウェア、ブートチェーン、ランタイム、キー管理、通信の 5 つの層をカバーします。

デプロイワークフロー

1. ソースコード監査：デプロイヤーは、ビジネスソースコードを監査し、悪意のあるコードやバックドアが存在しないことを確認します。

2. アーティファクトのビルドとソフトウェア参照値の公開：監査済みソースコードから OpenClaw サービスのみを含む軽量 OS イメージをビルドし、ビルドアーティファクトの SLSA 署名を Rekor 透明性ログにアップロードして、ソフトウェア参照値を公開します。

3. コンフィデンシャルインスタンスの作成：ビルドしたイメージを使用して、gn8v-tee コンフィデンシャルコンピューティングインスタンスを作成します。

4. リモートアテステーション監査とコンフィデンシャルリソースのアップロード：デプロイヤーは、デプロイツールを使用してインスタンスに対してリモートアテステーションを実行し、正規の TDX ハードウェア上で実行されていることを検証します。検証後、ディスク暗号化キーや DingTalk Bot 認証情報などのコンフィデンシャルリソースが自動的にアップロードされます。

5. OpenClaw へのアクセス：ユーザーは、Web ブラウザ、デスクトップクライアント、TUI ターミナルを通じて直接 OpenClaw にアクセスするか、DingTalk などの IM プラットフォームを通じて間接的にアクセスできます。

6. リモートアテステーション監査と暗号化転送：接続を確立する前に、トラステッドゲートウェイクライアントは Rekor からソフトウェア参照値を、Intel PCCS と RIM/OCSP からハードウェア参照値を取得します。リモートアテステーション検証が完了した後、RATS-TLS 暗号化チャネルが確立されます。すべての通信はエンドツーエンドで暗号化されます。

ステップ 1：OpenClaw と vLLM 推論エンジンを含むトラステッドイメージのビルド

デプロイマシン (Alibaba Cloud Linux 3 インスタンス) で次のタスクを完了します：ソースコードのダウンロード、依存関係のインストール、キーの生成、クラウドリソースの設定、トラステッドイメージのビルド。

1. ECS インスタンスにログインします。

   1. ECS コンソール - インスタンスに移動し、上部ナビゲーションバーで対象のリージョンとリソースグループを選択します。

   2. 対象インスタンスの詳細ページに移動し、[Connect] をクリックして、[Workbench] を選択します。 接続方法を [Terminal] に設定し、ユーザー名とパスワードを入力して、グラフィカルターミナルページにログインします。

2. プロジェクトのソースコードをダウンロードします。

   cd ~/
   git clone https://github.com/inclavare-containers/confidential-agent
   cd confidential-agent

3. 必要なすべてのソフトウェア依存関係をインストールします。

   make install-deps

   このコマンドは、Docker、Terraform、Go、Python、cosign、rekor-cli など、ビルドとデプロイに必要なツールを自動的にインストールします。

4. デプロイに必要な暗号化キーと設定ファイルを生成します。

   make generate-secrets

   キーが生成されたら、secrets/openclaw-vllm.json を編集し、プレースホルダーを DingTalk アプリケーションの認証情報やモデル設定などの実際の値に置き換えます。 次の表で、プレースホルダーについて説明します。

   プレースホルダー	説明	取得方法
   <DINGTALK_BOT_CLIENT_ID>	DingTalk Bot ClientId	詳細については、「DingTalk Bot + OpenClaw」をご参照ください。DingTalk 開発者ポータル でアプリケーションを作成して値を取得します。
   <DINGTALK_BOT_CLIENT_SECRET>	DingTalk Bot ClientSecret	上記と同様です。アプリケーションの詳細ページから値を取得します。

5. Terraform 変数ファイルを設定します。

   説明

   Terraform は、オープンソースのコードとしてのインフラストラクチャ (IaC) ツールであり、宣言型設定ファイルを記述することで、Alibaba Cloud 上のさまざまなクラウドリソースとサービスの作成、変更、バージョン管理を自動化できます。このソリューションでは、Terraform を使用してコンフィデンシャルインスタンスのデプロイを自動化します。

   cp terraform/terraform.tfvars.example terraform/terraform.tfvars

   terraform/terraform.tfvars ファイルを編集し、次の表に従ってキーパラメーターを設定します。

   パラメーター	推奨値	説明
   zone_id	"cn-beijing-l"	gn8v-tee インスタンスファミリーをサポートするゾーン
   vpc_cidr	"10.0.0.0/16"	VPC CIDR ブロック
   vswitch_cidr	"10.0.1.0/24"	vSwitch CIDR ブロック
   security_group_allowed_cidr	OpenClaw サービスにアクセスする必要があるクライアント環境の IP CIDR ブロック	セキュリティグループで許可されるソース IP 範囲

   重要

   security_group_allowed_cidr のデフォルト値は 0.0.0.0/0 です。本番環境では、この値を特定の IP CIDR ブロックに変更し、必要な送信元 IP アドレスのみを許可する必要があります。

6. Terraform がクラウドリソースを作成できるように、Alibaba Cloud アクセス認証情報をエクスポートします。

   export ALICLOUD_ACCESS_KEY="<YOUR_ACCESS_KEY>"
   export ALICLOUD_SECRET_KEY="<YOUR_SECRET_KEY>"

   説明

   AccessKey ペアの長期保存を避けるため、RAM ロールまたは一時認証情報 (STS) の使用を推奨します。AccessKey ペアの作成方法については、「AccessKey ペアの作成」をご参照ください。

7. OpenClaw と vLLM 推論エンジンを含むトラステッドイメージをビルドします。

   make build PROFILE=openclaw-vllm

   説明

   初回ビルドには GPU ドライバーのインストールなどの手順が含まれるため、完了までに時間がかかる場合があります。

   ビルドが完了すると、次の 2 つのイメージが生成されます：

   イメージタイプ	説明
   本番イメージ	SSH サーバーが削除され、最小限のランタイムのみが保持されたセキュリティ強化版。本番デプロイ用
   デバッグイメージ	SSH アクセスとデバッグツールを保持。トラブルシューティング専用

   ビルドプロセス中に、イメージ参照値も Rekor 透明性ログにアップロードされます。デプロイ時の検証用に、.rekor-meta.json メタデータファイルが生成されます。

ステップ 2：トラステッドイメージのインスタンスへのデプロイ

トラステッドイメージを gn8v-tee インスタンスにデプロイし、TNG を通じてエンドツーエンドの暗号化チャネルを確立します。

1. デプロイマシンで次のコマンドを実行して、トラステッドイメージを使用して gn8v-tee インスタンスを作成します。インスタンスが作成された後、インスタンスに対してリモートアテステーションが実行され、コンフィデンシャルリソースがアップロードされます。

   make deploy PROFILE=openclaw-vllm RV_MODE=rekor

   次の表に主要なパラメーターを示します：

   パラメーター	説明
   PROFILE=openclaw-vllm	デプロイプロファイルを指定します
   RV_MODE=rekor	デプロイ時に Rekor 透明性ログを通じてイメージ参照値の完全性を検証します

   デプロイプロセスでは、クラウドに次のリソースが作成されます：

   • OSS バケット：トラステッド VM イメージ (.qcow2) をアップロードおよびホストするために使用されるプライベートなストレージ領域。

   • ECS カスタムイメージ：OSS イメージファイルから Alibaba Cloud ECS カスタムイメージライブラリにインポートされます。

   • ECS GPU コンフィデンシャルコンピューティングインスタンス：セキュリティグループと vSwitch にアタッチされた ecs.gn8v-tee.4xlarge コンフィデンシャルコンピューティングインスタンス。UKI ブートパラメーターにはリモートアテステーションチャレンジ設定が含まれます。

   • セキュリティグループ：SSH (ポート 22) と TNG (ポート 18789) を開き、指定された CIDR ブロックからのアクセスのみを許可します。

   説明

   デフォルトでは、デバッグイメージがデプロイされます。本番イメージ (SSH アクセスなし) をデプロイするには、イメージファイルを手動で指定する必要があります。

   重要

   デプロイ中、イメージが OSS にアップロードされ、モデルが ModelScope からダウンロードされるため、インターネットアクセスが必要であり、トラフィック料金が発生します。

2. デプロイマシンで TNG クライアントを起動して、デプロイマシンとクラウドベースの gn8v-tee インスタンス間に RATS-TLS 暗号化チャネルを確立します。

   make connect-tng

   接続が成功すると、出力に HTTP および WebSocket URL と、OpenClaw にアクセスするために必要なアクセストークンが含まれます。以降のすべての通信は RATS-TLS 暗号化によって保護されます。

3. TNG トンネルを通じて OpenClaw サービスの準備が完了したかを確認します。

   curl -s http://localhost:18789/health

   正常なステータスが返されたら、サービスにアクセスできるようになります。

ステップ 3：コンフィデンシャルコンピューティングで保護された OpenClaw サービスへのアクセス

サービスの準備ができたら、次の 4 つの方法で OpenClaw サービスにアクセスできます：

ssh -L 18789:127.0.0.1:18789 root@<デプロイマシンのIP>

ssh -L 18789:127.0.0.1:18789 root@<デプロイマシンのIP>

npm install -g openclaw@latest --registry=https://registry.npmmirror.com

openclaw tui --url ws://localhost:18789 --token <gateway-token>

ランタイム環境の信頼性の検証

OpenClaw には、セキュリティ関連の質問が行われるとリモートアテステーションを自動的にトリガーし、現在のランタイム環境のセキュリティステータスを検証する、組み込みの tdx-remote-attestation スキルがあります。

トリガー方法：DingTalk、Web、TUI でセキュリティ関連の質問 (「私のデータは安全ですか？」や「この環境は信頼できますか？」など) をしてください。

返される内容：

PEP ポリシー適用の検証

PEP (ポリシー強制ポイント) は、機密 AI エージェント向けに設計されたランタイムゲーティングメカニズムです。OpenClaw などのエージェントが exec ツールを介してコマンドを実行すると、リクエストはまずポリシーマッチングのために cai-pep を通過し、その後、分離された Docker サンドボックス (ネットワークモード none) で実行されます。設定可能なポリシーは、エージェントが利用できるツールに必須の制限を適用することで、悪意のあるプロンプトインジェクションに起因するセキュリティリスクを防ぎます。

PEP は 3 つの層の保護を提供します。

1. コマンドレベルのブロッキング: ブロックリストに基づいて、curl、wget、nc、ssh、docker などのリスクの高いコマンドを拒否します。

2. パスレベルブロッキング：/etc、/proc、/root、/home/openclaw/.openclaw のような機密性の高いパスへのアクセスを防止します。

3. ネットワーク分離：サンドボックスにはネットワークアクセスがありません。コマンドがブロックリストをバイパスしても、アウトバウンド接続を確立できません。

デフォルトのポリシーファイルは、デプロイマシン上の ~/confidential-agent/image/customize/files/cai-pep-default-policy.json にあります。イメージをビルドする前に、コマンドブロックリスト、パスブロックリスト、およびリソース制限を変更できます。

エージェントが悪意のあるプロンプトインジェクションによって侵害され、攻撃者がリバースシェルを確立したり、悪意のあるペイロードをダウンロードしようとしたりする場合、PEP はこれらの高リスク操作を自動的にブロックします。

サプライチェーンの完全性の検証

デプロイプロセスでは、デフォルトで Rekor 透明性ログを使用してイメージ参照値を保存します。リモートアテステーション中、参照値は Rekor から自動的に取得されて検証されます。次の方法を使用して Rekor ログエントリを監査し、サプライチェーンの完全性を検証できます。

cat ~/confidential-agent/image/output/slsa-output-cai-openclaw-vllm-debug-*/rekor-v1-upload.txt

Created entry at index 1205944956, available at: https://rekor.sigstore.dev/api/v1/log/entries/<uuid>

rekor-cli verify --log-index 1205944956 --rekor_server https://rekor.sigstore.dev

Computed Root Hash: 1291abcee27148a4c00241ba8719f798ce060e8a5ccc8b18249017c25c6d0090
Expected Root Hash: 1291abcee27148a4c00241ba8719f798ce060e8a5ccc8b18249017c25c6d0090

rekor-cli loginfo --rekor_server https://rekor.sigstore.dev

Verification Successful!