Elastic Compute Service:Build an OpenClaw confidential AI agent on heterogeneous confidential computing instances

Arquitetura de segurança

Todos os dados principais na implantação do Confidential Agent permanecem dentro do limite do TEE. Os três tipos de ativos a seguir são rigorosamente protegidos:

A arquitetura de segurança possui cinco camadas, de baixo para cima: hardware, cadeia de inicialização, tempo de execução, gerenciamento de chaves e comunicação:

Fluxo de trabalho de implantação

1. Auditoria de código source: O responsável pela implantação audita o código source do negócio e confirme a ausência de códigos maliciosos ou backdoors.

2. Compilação de artefatos e publicação de valores de referência de software: Compile uma imagem de sistema operacional leve que contenha apenas o service OpenClaw a partir do código source auditado e carregue a assinatura SLSA dos artefatos de compilação no log de transparência do Rekor para publicar os valores de referência do software.

3. Criação de uma instância confidencial: Crie uma instância de computação confidencial gn8v-tee usando a imagem compilada.

4. Auditoria de atestação remota e upload de recursos confidenciais: O responsável pela implantação usa a ferramenta de implantação para realizar a atestação remota na instância e verifique se ela é executada em hardware TDX genuíno. Após a verificação, o sistema carrega automaticamente recursos confidenciais, como chaves de criptografia de disco e credenciais de bot do DingTalk.

5. Acesso ao OpenClaw: Os usuários acessam o OpenClaw diretamente por meio de um navegador web, cliente de desktop ou terminal TUI, ou indiretamente por meio de plataformas de IM como o DingTalk.

6. Auditoria de atestação remota e transmissão criptografada: Antes de estabelecer uma conexão, o cliente de gateway confiável recupera os valores de referência de software do Rekor e os valores de referência de hardware do Intel PCCS e RIM/OCSP. Após concluir a verificação de atestação remota, o sistema estabelece um canal criptografado RATS-TLS. A criptografia protege toda a comunicação de ponta a ponta.

Etapa 1: Compile uma imagem confiável contendo o OpenClaw e o mecanismo de inferência vLLM

Execute as seguintes tarefas na máquina de implantação (uma instância Alibaba Cloud Linux 3): baixe o código source, instale as dependências, gere as chaves, configure os recursos de cloud e compile a imagem confiável.

1. Faça logon em uma instância ECS.

   1. Acesse ECS console - Instances. No canto superior esquerdo, selecione a região e o grupo de recursos da instância de destino.

   2. Acesse a página de detalhes da instância de destino. Clique em Connect e selecione Workbench. Defina o método de conexão como Terminal Connection, insira seu nome de usuário e senha e faça logon no terminal gráfico.

2. Baixe o código source do projeto.

   cd ~/
   git clone https://github.com/inclavare-containers/confidential-agent
   cd confidential-agent

3. Instale todas as dependências de software necessárias.

   make install-deps

   Este comando instala o docker, Terraform, Go, Python, cosign, rekor-cli e outras ferramentas necessárias para compilação e implantação.

4. Gere as chaves de criptografia e os arquivos de configuração necessários para a implantação.

   make generate-secrets

   Após a geração das chaves, edite secrets/openclaw-vllm.json e substitua os placeholders por valores reais, como credenciais de aplicativos do DingTalk e configurações de modelo. A tabela a seguir descreve os placeholders:

   Placeholder	Descrição	Como obter
   <DINGTALK_BOT_CLIENT_ID>	ClientId do bot do DingTalk	Consulte DingTalk Bot + OpenClaw. Crie um aplicativo no DingTalk Developer Portal para obter o valor.
   <DINGTALK_BOT_CLIENT_SECRET>	ClientSecret do bot do DingTalk	O mesmo de cima. Obtenha o valor na página de detalhes do aplicativo.

5. Configure o arquivo de variáveis do Terraform.

   Nota

   O Terraform é uma ferramenta de Infraestrutura como Código (IaC) de código aberto que automatiza a criação, modificação e gerenciamento de versões de recursos e service de cloud no Alibaba Cloud por meio de arquivos de configuração declarativos. Nesta solução, o Terraform automatiza a implantação de instâncias confidenciais.

   cp terraform/terraform.tfvars.example terraform/terraform.tfvars

   Edite o arquivo terraform/terraform.tfvars e configure os parâmetros principais conforme descrito na tabela a seguir.

   Parâmetro	Valor recomendado	Descrição
   zone_id	"cn-beijing-l"	Uma zona compatível com a família de instâncias gn8v-tee
   vpc_cidr	"10.0.0.0/16"	Bloco CIDR da VPC
   vswitch_cidr	"10.0.1.0/24"	Bloco CIDR do vSwitch
   security_group_allowed_cidr	O bloco CIDR de IP do ambiente cliente que precisa acessar o service OpenClaw	Faixa de IP de origem permitida pelo grupo de segurança

   Importante

   O valor padrão de security_group_allowed_cidr é 0.0.0.0/0. Em ambientes de produção, altere esse valor para um bloco CIDR de IP específico e permita apenas os endereços IP de origem necessários.

6. Exporte suas credenciais de acesso do Alibaba Cloud para que o Terraform crie recursos de cloud.

   export ALICLOUD_ACCESS_KEY="<YOUR_ACCESS_KEY>"
   export ALICLOUD_SECRET_KEY="<YOUR_SECRET_KEY>"

   Nota

   Recomendamos o uso de uma função RAM ou credenciais temporárias (STS) para evitar o armazenamento de longo prazo de pares de AccessKey. Para obter informações sobre como crie um par de AccessKey, consulte Create an AccessKey pair.

7. Compile uma imagem confiável que contenha o OpenClaw e o mecanismo de inferência vLLM.

   make build PROFILE=openclaw-vllm

   Nota

   A primeira compilação envolve etapas como a instalação do driver da GPU. Aguarde a conclusão do processo.

   Após a conclusão da compilação, o sistema gera as duas imagens a seguir:

   Tipo de imagem	Descrição
   Imagem de produção	Versão com segurança reforçada, com o servidor SSH removido e apenas o tempo de execução mínimo mantido, para implantação em produção
   Imagem de depuração	Mantém o acesso SSH e ferramentas de depuração, apenas para solução de problemas

   Durante o processo de compilação, o sistema também carrega os valores de referência da imagem no log de transparência do Rekor e gera um arquivo de metadados .rekor-meta.json para verificação durante a implantação.

Etapa 2: Implante a imagem confiável em uma instância

Implante a imagem confiável em uma instância gn8v-tee e estabeleça um canal criptografado de ponta a ponta por meio do TNG.

1. Na máquina de implantação, execute o seguinte comando para criar uma instância gn8v-tee usando a imagem confiável. Após a criação da instância, o sistema realiza a atestação remota na instância e carrega os recursos confidenciais.

   make deploy PROFILE=openclaw-vllm RV_MODE=rekor

   A tabela a seguir descreve os parâmetros principais:

   Parâmetro	Descrição
   PROFILE=openclaw-vllm	O perfil de implantação a ser usado
   RV_MODE=rekor	Verifica os valores de referência da imagem por meio do log de transparência do Rekor durante a implantação

   A implantação cria os seguintes recursos na cloud:

   • Bucket do OSS: Um espaço de armazenamento privado usado para carregar e hospedar a imagem confiável da VM (.qcow2).

   • Imagem personalizada do ECS: Importada do arquivo de imagem do OSS para a biblioteca de imagens personalizadas do Alibaba Cloud ECS.

   • Instância de computação confidencial com GPU do ECS: Uma instância de computação confidencial ecs.gn8v-tee.4xlarge anexada ao grupo de segurança e ao vSwitch. Os parâmetros de inicialização do UKI incluem a configuração do desafio de atestação remota.

   • Grupo de segurança: Abre o SSH (porta 22) e o TNG (porta 18789), permitindo acesso apenas do bloco CIDR especificado.

   Nota

   Por padrão, o sistema implanta a imagem de depuração. Para implantar a imagem de produção (sem acesso SSH), especifique manualmente o arquivo de imagem.

   Importante

   Durante a implantação, o sistema carrega a imagem no OSS e baixe os modelos do ModelScope, o que requer acesso à Internet e incorre em cobranças de tráfego.

2. Inicie o TNG Client na máquina de implantação para estabelecer um canal criptografado RATS-TLS entre a máquina de implantação e a instância gn8v-tee baseada em cloud.

   make connect-tng

   Após uma conexão bem-sucedida, a saída mostra as URLs HTTP e WebSocket e o token de acesso para o OpenClaw. A criptografia RATS-TLS protege toda a comunicação subsequente.

3. Verifique se o service OpenClaw está pronto por meio do túnel TNG.

   curl -s http://localhost:18789/health

   Após o retorno de um status íntegro, acesse o service.

Etapa 3: Acesse o service OpenClaw protegido por computação confidencial

Quando o service estiver pronto, acesse o OpenClaw por meio de qualquer um dos quatro métodos a seguir.

ssh -L 18789:127.0.0.1:18789 root@<deployment machine IP>

ssh -L 18789:127.0.0.1:18789 root@<deployment machine IP>

npm install -g openclaw@latest --registry=https://registry.npmmirror.com

openclaw tui --url ws://localhost:18789 --token <gateway-token>

Verifique a confiabilidade do ambiente de tempo de execução

O OpenClaw inclui uma habilidade integrada tdx-remote-attestation que aciona automaticamente a atestação remota ao receber perguntas relacionadas à segurança, verificando o status de segurança do ambiente de tempo de execução atual.

Como acionar: Faça perguntas relacionadas à segurança no DingTalk, Web ou TUI, como "Meus dados estão seguros?" ou "Este ambiente é confiável?".

Conteúdo retornado:

Verifique a aplicação da política PEP

O PEP (Policy Enforcement Point) é um mecanismo de controle de tempo de execução para agentes de IA confidenciais. Quando um agente como o OpenClaw executa um comando por meio da ferramenta exec, a solicitação passa primeiro pelo cai-pep para correspondência de política e, em seguida, o sistema a executa em um sandbox docker isolado (modo de rede none). As políticas configuráveis aplicam restrições obrigatórias às ferramentas disponíveis para o agente, evitando riscos de segurança causados por injeção de prompt malicioso.

O PEP fornece três camadas de proteção:

1. Bloqueio no nível de comando: Rejeita comandos de alto risco com base em uma lista de bloqueios, como curl, wget, nc, ssh e docker.

2. Bloqueio no nível de caminho: Impede o acesso a caminhos confidenciais, como /etc, /proc, /root e /home/openclaw/.openclaw.

3. Isolamento de rede: O sandbox não tem acesso à rede. Mesmo que um comando contorne a lista de bloqueios, não é possível estabelecer conexões de saída.

O arquivo de política padrão está em ~/confidential-agent/image/customize/files/cai-pep-default-policy.json na máquina de implantação. Se precisar, modifique a lista de bloqueios de comandos, a lista de bloqueios de caminhos e os limites de recursos antes de compilar a imagem.

Se um agente for comprometido por injeção de prompt malicioso e um atacante tentar estabelecer um reverse shell ou baixar um payload malicioso, o PEP bloqueia automaticamente essas operações de alto risco:

Verifique a integridade da cadeia de suprimentos

A implantação usa o log de transparência do Rekor por padrão para armazenar valores de referência de imagem. Durante a atestação remota, o sistema recupera automaticamente os valores de referência do Rekor para verificação. Audite as entradas de log do Rekor para verifique a integridade da cadeia de suprimentos usando os métodos a seguir.

cat ~/confidential-agent/image/output/slsa-output-cai-openclaw-vllm-debug-*/rekor-v1-upload.txt

Created entry at index 1205944956, available at: https://rekor.sigstore.dev/api/v1/log/entries/<uuid>

rekor-cli verify --log-index 1205944956 --rekor_server https://rekor.sigstore.dev

Computed Root Hash: 1291abcee27148a4c00241ba8719f798ce060e8a5ccc8b18249017c25c6d0090
Expected Root Hash: 1291abcee27148a4c00241ba8719f798ce060e8a5ccc8b18249017c25c6d0090

rekor-cli loginfo --rekor_server https://rekor.sigstore.dev

Verification Successful!