ThreatClaw ist ein Open-Source-Cybersecurity-Agent in Rust, mit einer signierten isolierten Sandbox, 5 Sicherheitssäulen in die Binärdatei kompiliert und einer selbst eingeschätzten 9/9-Abdeckung gegen OWASP ASI 2026 (noch kein Drittaudit).
Keine ästhetische Entscheidung. Rust eliminiert zur Kompilierzeit ganze Kategorien von Schwachstellen, die 70% der kritischen CVEs in Systemsoftware ausmachen.
Konstruktionsbedingt unmöglich, der Compiler verweigert jeden Speicherzugriff außerhalb der Grenzen
Der Borrow Checker verbietet es zur Kompilierzeit, kein Garbage Collector nötig
Nebenläufigkeit ist standardmäßig sicher, das Typsystem garantiert exklusiven Zugriff
Der Typ Option<T> erzwingt die explizite Behandlung fehlender Werte
Jede Skill läuft in einer isolierten Sandbox mit:
CPU-Limit pro Ausführung, unmöglich das System zu überlasten
Eine Skill deklariert, was sie benötigt (Netzwerk, Dateisystem, Secrets). Standardmäßig: nichts. network=false bedeutet, dass eine kompromittierte Skill keine Daten exfiltrieren kann
Jede Sandbox-Ausgabe wird vor dem Verlassen der isolierten Umgebung gescannt. Wenn ein Credential in einer Antwort durchsickert, wird es blockiert
Jede Skill ist signiert. Eine modifizierte Datei wird nicht geladen
Was ThreatClaw von allen anderen Agenten unterscheidet:
AGENT_SOUL.toml durch SHA-256-Fingerabdruck verifiziert, in die Rust-Binärdatei kompiliert. Zur Laufzeit verriegelt, jede heiße Manipulation löst den Kill Switch aus. Open-Source-Code: ein Betreiber kann einen eigenen Soul neu kompilieren, das ist aber ein bewusster, auditierbarer Akt, der den Fingerabdruck ändert.
44+ vorab validierte Befehle, in Rust definiert, vom LLM nicht veränderbar. Jeder Befehl hat: Risikostufe, Reversibilität, verbotene Ziele (Root, ThreatClaw selbst). Kein beliebiger Shell-Zugriff.
Jede Tool-Ausgabe wird vor dem Erreichen des LLM verpackt. 25+ cyberspezifische Injection-Muster erkannt und blockiert ("ignore previous instructions", "mark as false positive" usw.). Daten bleiben Daten, niemals Befehle.
Jeder signierte Konversationsspeichereintrag ist durch kryptografische Signatur geschützt. Tools können nur lesen, niemals schreiben. Jede externe Modifikation wird im nächsten Zyklus erkannt.
8 automatische Abschalt-Trigger: Off-Whitelist-Versuch, Soul-Modifikation, Angriff auf eigene Container, Autonomie-Timeout, Verhaltensanomalie, manueller CISO-Trigger. Bei Aktivierung: atomarer Stopp + forensischer Snapshot + sofortiger Slack-Alert.
Vor jedem Aufruf des anonymisierten Cloud-LLM durchlaufen alle Daten den Anonymisierer:
Jede Aktion des Agenten wird in PostgreSQL protokolliert mit:
Vollständige Forensik im Falle eines Vorfalls. NIS2-Auditnachweis.
| # | Risiko | Status | Wie |
|---|---|---|---|
| ASI01 | Goal Hijacking | ✓ | Soul + XML wrapper |
| ASI02 | Tool Misuse | ✓ | Whitelist 44+ cmd |
| ASI03 | Identity & Privilege | ✓ | HITL + signiertes Audit |
| ASI04 | Supply Chain | ✓ | Signierte isolierte Sandbox |
| ASI05 | Code Execution | ✓ | Sandbox fuel-metered |
| ASI06 | Memory Poisoning | ✓ | Kryptografische Signatur + read-only |
| ASI07 | Inter-Agent | N/A | N/A, einzelner Agent V1 |
| ASI08 | Cascading Failures | ✓ | Kill switch + timeout |
| ASI09 | Excessive Trust | ✓ | Doppelbestätigung High/Critical |
| ASI10 | Rogue Agent | ✓ | Kill switch 8 triggers |
cargo audit vom 21. März 2026. 10 CVEs identifiziert, alle gepatcht oder eliminiert.