clawless 是由南方科技大学可信自主系统研究院与香港科技大学计算机系联合研发的 ai agent 安全框架。该框架立足于“最坏情况”威胁建模，不预设智能体可信，而是将 openclaw、claude code 等自主 agent 及其运行栈整体视为潜在攻击面，通过形式化验证的安全策略与 bpf 系统调用拦截技术，在内核层面构建数学可证明的防护边界。其核心目标是在完全无视 ai 内部逻辑（包括提示词工程、模型黑盒行为）的前提下，从系统调用源头实现越权操作的实时阻断与敏感数据泄露的硬性遏制。
☞☞☞AI 智能聊天, 问答助手, AI 智能搜索, 多模态理解力帮你轻松跨越从0到1的创作门槛☜☜☜
ClawLess的主要功能
- 形式化安全建模：以数学语言精确定义实体（如文件、进程、套接字）、作用域层级与权限关系，构建统一、可推演的安全语义框架。
- 动态时序权限管控：基于线性时序逻辑（LTL）实现运行时策略演化，依据 Agent 历史行为自动调节访问权限粒度，兼顾安全性与任务执行灵活性。
- SMT 策略一致性验证：集成 Z3 等 SMT 求解器，在策略部署前完成自动化形式化验证，主动识别并拒绝存在沙盒逃逸、权限冲突等逻辑缺陷的配置。
- BPF 内核调用拦截：利用 BPF raw_tracepoint 钩子挂载至 sys_enter 事件，以零拷贝、原生性能在内核态完成每一次系统调用的权限核验与精准拦截。
- 外部脚本沙盒隔离：在 Agent 主容器内部动态构建低权限执行域，对网络拉取的不可信脚本实施最小权限约束，有效阻断恶意载荷的横向扩散路径。
ClawLess的技术原理
- 最坏情况威胁建模：坚持双重假设——Agent 具备高阶推理与对抗能力（能力假设），且终将在未清洗输入或诱导提示下发生行为偏移（恶意假设），所有安全机制均不依赖其内部状态或意图理解。
- 用户态内核隔离：引入 gVisor 作为可信监控中间层，在不可信 Agent 与宿主 Linux 内核之间插入轻量级用户态内核代理，接管并审慎重放绝大部分内核交互请求。
- 形式化策略编译：设计专用策略编译器，弥合高层抽象权限模型与底层系统调用接口之间的语义断层，将形式化命题逐条映射为可执行的拦截规则。
- BPF 系统调用拦截：通过 BPF 尾调用机制实现调用号分发，针对不同系统调用（如 openat、connect、write）加载定制化校验逻辑，在内核态完成毫秒级决策。
- 凭证可见性语义：创新性采用 “Visible” 权限替代传统 read 权限，允许 Agent 在当前执行上下文中引用凭证完成身份校验，但禁止其读取或导出原始凭证内容。
如何使用ClawLess
- 部署隔离基座：在支持 BPF 的现代 Linux 发行版（如 Ubuntu 22.04+、Kernel ≥5.10）上安装并初始化 gVisor 运行时环境。
- 定义安全策略：使用 ClawLess 提供的形式化策略语言，声明资源实体集合、作用域拓扑结构及所需满足的安全属性（如“禁止任意网络外连”“仅允许读取 /tmp 下指定后缀文件”）。
- 验证策略一致性：调用内置 SMT 验证器（默认集成 Z3），对策略集进行自动定理证明，确保无隐含矛盾或绕过路径后方可进入下一阶段。
- 编译拦截规则：运行策略编译器，将验证通过的模型转换为 rules.json 格式的系统调用白名单/黑名单规则集。
- 加载内核监控：通过 clawless-cli 工具将 BPF 程序注入内核空间，并绑定至 sys_enter tracepoint，启动实时监控通道。
- 实时权限校验：BPF 程序捕获 Agent 所有系统调用，匹配规则库并执行策略判决，越权请求直接被内核丢弃，合法请求透明放行。
- 外部脚本隔离：当 Agent 启动来自网络的未知脚本时，ClawLess 自动将其重定向至独立沙盒容器，并应用更严苛的权限限制。
ClawLess的关键信息和使用要求
- 研发单位：南方科技大学可信自主系统研究院 × 香港科技大学计算机系联合团队
- 首发论文：arXiv:2604.06284v1（2026 年 4 月 7 日公开）
- 核心技术栈：形式化权限模型、线性时序逻辑（LTL）、SMT 求解器（Z3）、eBPF 系统调用拦截、gVisor 用户态内核
- 运行平台：Linux x86_64，需启用 CONFIG_BPF_SYSCALL 和 CONFIG_BPF_JIT
- 适配对象：OpenClaw、Claude Code、OpenCode 等具备本地系统访问能力的自主 AI Agent
- 隔离架构：三层嵌套——Agent 主容器（中权限）、外部脚本沙盒（低权限）、gVisor+BPF 监控层（高可信）
ClawLess的核心优势
- 数学级安全保障：全部策略经 SMT 求解器形式化验证，杜绝人工配置疏漏导致的逻辑盲区。
- 零信任黑盒兼容：完全绕过 LLM 内部机制，不解析提示词、不干预推理过程，仅从系统行为侧实施强制管控。
- 动态自适应调控：LTL 支持运行时策略演化，例如检测到高频文件扫描行为后自动收紧读取范围，避免“一刀切”式静态限制。
- 低开销高性能拦截：BPF 程序以内核原生指令执行，平均延迟低于 300ns，支持热更新策略而无需重启 Agent。
- 强宿主互操作性：gVisor 兼容标准 Linux ABI，Agent 可无缝调用宿主机工具链与共享库，不影响业务功能完整性。
ClawLess的项目地址
ClawLess的同类竞品对比
| 对比维度 | ClawLess | 标准 Docker 容器 | 虚拟化/机密容器（Kata/CoCo） |
|---|---|---|---|
| 安全假设 | 最坏情况（Agent 终将恶意） | 依赖宿主机内核安全 | 硬件级隔离 |
| 策略验证 | SMT 形式化验证 | 无 | 无 |
| 动态权限 | 支持 LTL 时序逻辑动态调整 | 静态 ACL/Namespace | 静态配置 |
| 系统调用拦截 | BPF 内核级精准拦截 | 依赖内核 namespace/cgroup | 硬件 VM 边界隔离 |
| 宿主互操作性 | 高（用户态内核代理） | 高 | 低 |
| 部署门槛 | 中等（需 BPF 支持） | 低 | 高（需硬件支持） |
| 性能开销 | 低（BPF 原生执行） | 低 | 较高 |
ClawLess的应用场景
- 企业级 AI 编程助手部署：保障 Claude Code、OpenClaw 在自动编写/调试代码过程中，无法越权读取企业私有代码仓库或上传源码至外部服务器。
- 云端多租户 Agent 服务：为 SaaS 化 AI Agent 平台提供细粒度租户隔离，确保某用户部署的恶意 Agent 无法突破容器边界攻击宿主机或其他租户实例。
- 金融数据自动化处理：当 Agent 加载客户资产负债表等敏感数据后，自动关闭其网络写入能力与进程派生权限，从机制上封堵数据外泄通道。
- 开源智能体安全加固：面向社区开发者提供一键式安全封装工具链，使未经专业安全审计的自主 Agent 也能在生产环境中合规、可控运行。
