Elastic GPU Service:Build an OpenClaw confidential AI agent on heterogeneous confidential computing instances

Arquitetura de segurança

Todos os dados essenciais na implantação do Confidential Agent permanecem dentro do limite do TEE. Os três tipos de ativos a seguir têm proteção rigorosa:

A arquitetura de segurança possui cinco camadas, de baixo para cima: hardware, cadeia de inicialização, runtime, gerenciamento de chaves e comunicação:

Fluxo de trabalho de implantação

1. Auditoria do código-fonte: O responsável pela implantação audita o código-fonte do negócio para confirmar a ausência de códigos maliciosos ou backdoors.

2. Compilação de artefatos e publicação de valores de referência de software: Compile uma imagem leve de SO contendo apenas o serviço OpenClaw a partir do código-fonte auditado e envie a assinatura SLSA dos artefatos compilados para o log de transparência Rekor, publicando assim os valores de referência do software.

3. Criação de instância confidencial: Crie uma instância de computação confidencial gn8v-tee utilizando a imagem compilada.

4. Auditoria de atestação remota e upload de recursos confidenciais: Utilize a ferramenta de implantação para realizar a atestação remota na instância e verificar se ela executa em hardware TDX genuíno. Após a verificação, recursos confidenciais, como chaves de criptografia de disco e credenciais de bot do DingTalk, são carregados automaticamente.

5. Acesso ao OpenClaw: Acesse o OpenClaw diretamente por meio de um navegador web, cliente desktop ou terminal TUI, ou indiretamente por plataformas de mensagens instantâneas como o DingTalk.

6. Auditoria de atestação remota e transmissão criptografada: Antes de estabelecer uma conexão, o cliente do gateway confiável recupera valores de referência de software do Rekor e valores de referência de hardware do Intel PCCS e RIM/OCSP. Após concluir a verificação de atestação remota, um canal criptografado RATS-TLS é estabelecido. Toda a comunicação é criptografada de ponta a ponta.

Etapa 1: Compilar uma imagem confiável contendo OpenClaw e o mecanismo de inferência vLLM

Execute as tarefas a seguir na máquina de implantação (uma instância Alibaba Cloud Linux 3): baixe o código-fonte, instale dependências, gere chaves, configure recursos de nuvem e compile a imagem confiável.

1. Faça login em uma instância ECS.

   1. Acesse ECS console - Instances. No canto superior esquerdo, selecione a região e o grupo de recursos da instância de destino.

   2. Acesse a página de detalhes da instância desejada. Clique em Connect e selecione Workbench. Defina o método de conexão como Terminal Connection, insira seu nome de usuário e senha e faça login no terminal gráfico.

2. Baixe o código-fonte do projeto.

   cd ~/
   git clone https://github.com/inclavare-containers/confidential-agent
   cd confidential-agent

3. Instale todas as dependências de software necessárias.

   make install-deps

   Este comando instala Docker, Terraform, Go, Python, cosign, rekor-cli e outras ferramentas necessárias para compilação e implantação.

4. Gere as chaves de criptografia e os arquivos de configuração necessários para a implantação.

   make generate-secrets

   Após a geração das chaves, edite secrets/openclaw-vllm.json e substitua os placeholders pelos valores reais, como credenciais da aplicação DingTalk e configurações do modelo. A tabela a seguir descreve os placeholders:

   Placeholder	Descrição	Como obter
   <DINGTALK_BOT_CLIENT_ID>	ClientId do bot do DingTalk	Consulte DingTalk Bot + OpenClaw. Crie uma aplicação no Portal do Desenvolvedor DingTalk para obter o valor.
   <DINGTALK_BOT_CLIENT_SECRET>	ClientSecret do bot do DingTalk	Mesma fonte acima. Obtenha o valor na página de detalhes da aplicação.

5. Configure o arquivo de variáveis do Terraform.

   Nota

   O Terraform é uma ferramenta open source de Infraestrutura como Código (IaC) que automatiza a criação, modificação e gestão de versões de recursos e serviços em nuvem na Alibaba Cloud por meio de arquivos de configuração declarativos. Nesta solução, o Terraform automatiza a implantação de instâncias confidenciais.

   cp terraform/terraform.tfvars.example terraform/terraform.tfvars

   Edite o arquivo terraform/terraform.tfvars e configure os parâmetros principais conforme descrito na tabela abaixo.

   Parâmetro	Valor recomendado	Descrição
   zone_id	"cn-beijing-l"	Zona compatível com a família de instâncias gn8v-tee
   vpc_cidr	"10.0.0.0/16"	Bloco CIDR da VPC
   vswitch_cidr	"10.0.1.0/24"	Bloco CIDR do vSwitch
   security_group_allowed_cidr	O bloco CIDR de IP do ambiente cliente que precisa acessar o serviço OpenClaw	Faixa de IPs de origem permitida pelo grupo de segurança

   Importante

   O valor padrão de security_group_allowed_cidr é 0.0.0.0/0. Em ambientes de produção, altere obrigatoriamente este valor para um bloco CIDR de IP específico, permitindo apenas os endereços IP de origem necessários.

6. Exporte suas credenciais de acesso da Alibaba Cloud para que o Terraform possa criar recursos em nuvem.

   export ALICLOUD_ACCESS_KEY="<YOUR_ACCESS_KEY>"
   export ALICLOUD_SECRET_KEY="<YOUR_SECRET_KEY>"

   Nota

   Recomendamos utilizar uma função RAM ou credenciais temporárias (STS) para evitar o armazenamento prolongado de pares de AccessKey. Para mais informações sobre como criar um par de AccessKey, consulte Criar um par de AccessKey.

7. Compile uma imagem confiável contendo o OpenClaw e o mecanismo de inferência vLLM.

   make build PROFILE=openclaw-vllm

   Nota

   A primeira compilação envolve etapas como instalação de drivers de GPU. Aguarde a conclusão do processo.

   Ao final da compilação, duas imagens são geradas:

   Tipo de imagem	Descrição
   Imagem de produção	Versão com segurança reforçada, servidor SSH removido e apenas o runtime mínimo mantido, destinada a implantações em produção
   Imagem de depuração	Mantém acesso SSH e ferramentas de debug, indicada apenas para troubleshooting

   Durante o processo de compilação, os valores de referência da imagem também são enviados ao log de transparência Rekor. Um arquivo de metadados .rekor-meta.json é gerado para verificação durante a implantação.

Etapa 2: Implantar a imagem confiável em uma instância

Implante a imagem confiável em uma instância gn8v-tee e estabeleça um canal criptografado de ponta a ponta via TNG.

1. Na máquina de implantação, execute o comando abaixo para criar uma instância gn8v-tee usando a imagem confiável. Após a criação, a atestação remota é realizada na instância e os recursos confidenciais são carregados.

   make deploy PROFILE=openclaw-vllm RV_MODE=rekor

   A tabela a seguir descreve os parâmetros principais:

   Parâmetro	Descrição
   PROFILE=openclaw-vllm	Perfil de implantação a ser utilizado
   RV_MODE=rekor	Verifica valores de referência da imagem através do log de transparência Rekor durante a implantação

   A implantação cria os seguintes recursos na nuvem:

   • Bucket OSS: Espaço de armazenamento privado usado para carregar e hospedar a imagem confiável da VM (.qcow2).

   • Imagem personalizada ECS: Importada do arquivo de imagem no OSS para a biblioteca de imagens personalizadas do Alibaba Cloud ECS.

   • Instância de computação confidencial ECS com GPU: Instância de computação confidencial ecs.gn8v-tee.4xlarge anexada ao grupo de segurança e ao vSwitch. Os parâmetros de inicialização UKI incluem a configuração do desafio de atestação remota.

   • Grupo de segurança: Libera SSH (porta 22) e TNG (porta 18789), permitindo acesso apenas do bloco CIDR especificado.

   Nota

   Por padrão, a imagem de Depuração é implantada. Para implantar a imagem de Produção (sem acesso SSH), especifique manualmente o arquivo de imagem.

   Importante

   Durante a implantação, a imagem é carregada no OSS e os modelos são baixados do ModelScope, o que requer acesso à Internet e gera cobranças de tráfego.

2. Inicie o TNG Client na máquina de implantação para estabelecer um canal criptografado RATS-TLS entre a máquina de implantação e a instância gn8v-tee na nuvem.

   make connect-tng

   Após uma conexão bem-sucedida, a saída exibe as URLs HTTP e WebSocket e o token de acesso para o OpenClaw. Todas as comunicações subsequentes são protegidas por criptografia RATS-TLS.

3. Verifique se o serviço OpenClaw está pronto através do túnel TNG.

   curl -s http://localhost:18789/health

   Quando um status saudável for retornado, prossiga para acessar o serviço.

Etapa 3: Acessar o serviço OpenClaw protegido por computação confidencial

Com o serviço pronto, acesse o OpenClaw por qualquer um dos quatro métodos a seguir.

ssh -L 18789:127.0.0.1:18789 root@<deployment machine IP>

ssh -L 18789:127.0.0.1:18789 root@<deployment machine IP>

npm install -g openclaw@latest --registry=https://registry.npmmirror.com

openclaw tui --url ws://localhost:18789 --token <gateway-token>

make destroy PROFILE=openclaw-vllm

Verificar a confiabilidade do ambiente de runtime

O OpenClaw inclui uma skill integrada tdx-remote-attestation que aciona automaticamente a atestação remota quando perguntas relacionadas à segurança são feitas, verificando o status de segurança do ambiente de runtime atual.

Como acionar: Faça perguntas relacionadas à segurança no DingTalk, Web ou TUI, como "Meus dados estão seguros?" ou "Este ambiente é confiável?".

Conteúdo retornado:

Verificar a aplicação da política PEP

PEP (Policy Enforcement Point) é um mecanismo de controle de runtime para agentes de IA confidenciais. Quando um agente como o OpenClaw executa um comando através da ferramenta exec, a solicitação passa primeiro pelo cai-pep para correspondência de políticas e, em seguida, executa em um sandbox Docker isolado (modo de rede none). Políticas configuráveis impõem restrições obrigatórias às ferramentas disponíveis para o agente, prevenindo riscos de segurança decorrentes de injeção maliciosa de prompts.

O PEP oferece três camadas de proteção:

1. Bloqueio no nível de comando: Rejeita comandos de alto risco com base em uma lista de bloqueios, como curl, wget, nc, ssh e docker.

2. Bloqueio no nível de caminho: Impede o acesso a caminhos sensíveis, como /etc, /proc, /root e /home/openclaw/.openclaw.

3. Isolamento de rede: O sandbox não possui acesso à rede. Mesmo que um comando contorne a lista de bloqueios, ele não conseguirá estabelecer conexões de saída.

O arquivo de política padrão está localizado em ~/confidential-agent/image/customize/files/cai-pep-default-policy.json na máquina de implantação. Modifique a lista de bloqueio de comandos, a lista de bloqueio de caminhos e os limites de recursos antes de compilar a imagem.

Se um agente for comprometido por injeção maliciosa de prompt e um atacante tentar estabelecer um reverse shell ou baixar um payload malicioso, o PEP bloqueará automaticamente essas operações de alto risco:

Verificar a integridade da cadeia de suprimentos

A implantação utiliza o log de transparência Rekor por padrão para armazenar valores de referência de imagem. Durante a atestação remota, os valores de referência são recuperados automaticamente do Rekor para verificação. Audite as entradas do log Rekor para verificar a integridade da cadeia de suprimentos usando os métodos a seguir.

cat ~/confidential-agent/image/output/slsa-output-cai-openclaw-vllm-debug-*/rekor-v1-upload.txt

Created entry at index 1205944956, available at: https://rekor.sigstore.dev/api/v1/log/entries/<uuid>

rekor-cli verify --log-index 1205944956 --rekor_server https://rekor.sigstore.dev

Computed Root Hash: 1291abcee27148a4c00241ba8719f798ce060e8a5ccc8b18249017c25c6d0090
Expected Root Hash: 1291abcee27148a4c00241ba8719f798ce060e8a5ccc8b18249017c25c6d0090

rekor-cli loginfo --rekor_server https://rekor.sigstore.dev

Verification Successful!