ThreatClaw est un agent cybersécurité open source écrit en Rust, avec une sandbox isolée signée, 5 piliers de sécurité compilés dans le binaire, et une couverture auto-évaluée 9/9 sur l'OWASP ASI 2026 (pas d'audit tiers à ce jour).
Pas un choix esthétique. Rust élimine à la compilation les catégories entières de vulnérabilités qui représentent 70% des CVEs critiques dans les logiciels système.
Impossible par construction, le compilateur refuse tout accès mémoire hors limites
Le borrow checker l'interdit à la compilation, pas besoin de garbage collector
La concurrence est safe par défaut, le type system garantit l'accès exclusif
Le type Option<T> force la gestion explicite de l'absence de valeur
Chaque skill tourne dans une sandbox isolée avec :
Limite CPU par exécution, impossible de saturer le système
Une skill déclare ce dont elle a besoin (network, filesystem, secrets). Par défaut : rien. network=false signifie qu'une skill compromise ne peut pas exfiltrer de données
Chaque output de la sandbox est scanné avant de quitter l'environnement isolé. Si une credential filtre dans une réponse, elle est bloquée
Chaque skill est signée. Un fichier modifié ne se charge pas
Ce qui différencie ThreatClaw de tous les autres agents :
AGENT_SOUL.toml vérifié par empreinte SHA-256 compilée dans le binaire Rust. Verrouillé au runtime, toute altération à chaud déclenche le kill switch. Code open source : un opérateur peut recompiler un Soul personnalisé, mais c'est un acte volontaire, auditable et qui change l'empreinte.
44+ commandes pré-validées, définies en Rust, non modifiables par le LLM. Chaque commande a : niveau de risque, réversibilité, cibles interdites (root, threatclaw lui-même). Zéro shell arbitraire.
Chaque output d'outil est enveloppé avant d'atteindre le LLM. 25+ patterns d'injection cyber-spécifiques détectés et bloqués ("ignore previous instructions", "mark as false positive", etc.). Les données restent des données, jamais des ordres.
Chaque entrée en mémoire conversationnelle signée est protégée par signature cryptographique. Les outils ne peuvent que lire, jamais écrire. Toute modification extérieure est détectée au prochain cycle.
8 triggers d'arrêt automatique : tentative hors whitelist, modification du soul, ciblage de ses propres containers, timeout d'autonomie, anomalie comportementale, déclenchement manuel RSSI. À l'engagement : arrêt atomique + snapshot forensic + alerte Slack immédiate.
Avant chaque appel au LLM cloud anonymisé, toutes les données passent par l'anonymiseur :
Chaque action de l'agent est loguée en PostgreSQL avec :
Forensique complète en cas d'incident. Preuve d'audit NIS2.
| # | Risque | Status | Comment |
|---|---|---|---|
| ASI01 | Goal Hijacking | ✓ | Soul + XML wrapper |
| ASI02 | Tool Misuse | ✓ | Whitelist 44+ cmd |
| ASI03 | Identity & Privilege | ✓ | HITL + audit signé |
| ASI04 | Supply Chain | ✓ | Sandbox isolée signée |
| ASI05 | Code Execution | ✓ | Sandbox fuel-metered |
| ASI06 | Memory Poisoning | ✓ | Signature cryptographique + read-only |
| ASI07 | Inter-Agent | N/A | N/A, agent unique V1 |
| ASI08 | Cascading Failures | ✓ | Kill switch + timeout |
| ASI09 | Excessive Trust | ✓ | Double confirm High/Critical |
| ASI10 | Rogue Agent | ✓ | Kill switch 8 triggers |
Audit cargo audit du 21 mars 2026. 10 CVEs identifiées, toutes patchées ou éliminées.