ThreatClaw è un agente di cybersecurity open source scritto in Rust, con una sandbox isolata firmata, 5 pilastri di sicurezza compilati nel binario e una copertura auto-valutata 9/9 rispetto a OWASP ASI 2026 (nessun audit di terze parti al momento).
Non è una scelta estetica. Rust elimina in fase di compilazione intere categorie di vulnerabilità che rappresentano il 70% delle CVE critiche nel software di sistema.
Impossibile per costruzione, il compilatore rifiuta ogni accesso alla memoria fuori dai limiti
Il borrow checker lo vieta in fase di compilazione, senza bisogno di garbage collector
La concorrenza è sicura per impostazione predefinita, il type system garantisce l'accesso esclusivo
Il tipo Option<T> impone la gestione esplicita dell'assenza di valore
Ogni skill viene eseguita in una sandbox isolata con:
Limite CPU per esecuzione, impossibile saturare il sistema
Una skill dichiara ciò di cui ha bisogno (network, filesystem, secrets). Per impostazione predefinita: nulla. network=false significa che una skill compromessa non può esfiltrare dati
Ogni output della sandbox viene scansionato prima di lasciare l'ambiente isolato. Se una credenziale trapela in una risposta, viene bloccata
Ogni skill è firmata. Un file modificato non viene caricato
Ciò che distingue ThreatClaw da tutti gli altri agenti:
AGENT_SOUL.toml verificato tramite impronta SHA-256 compilata nel binario Rust. Bloccato a runtime, qualsiasi alterazione a caldo attiva il kill switch. Codice open source: un operatore può ricompilare un Soul personalizzato, ma è un atto volontario, verificabile e che modifica l'impronta.
44+ comandi pre-validati, definiti in Rust, non modificabili dal LLM. Ogni comando ha: livello di rischio, reversibilità, target vietati (root, threatclaw stesso). Nessuna shell arbitraria.
Ogni output di uno strumento viene incapsulato prima di raggiungere il LLM. 25+ pattern di injection specifici della cybersecurity rilevati e bloccati ("ignore previous instructions", "mark as false positive", ecc.). I dati restano dati, mai ordini.
Ogni voce di memoria conversazionale firmata è protetta da firma crittografica. Gli strumenti possono solo leggere, mai scrivere. Qualsiasi modifica esterna viene rilevata al ciclo successivo.
8 trigger di arresto automatico: tentativo fuori whitelist, modifica del soul, presa di mira dei propri container, timeout di autonomia, anomalia comportamentale, attivazione manuale RSSI. All'attivazione: arresto atomico + snapshot forense + avviso Slack immediato.
Prima di ogni chiamata al LLM cloud anonimizzato, tutti i dati passano attraverso l'anonimizzatore:
Ogni azione dell'agente viene registrata in PostgreSQL con:
Forense completa in caso di incidente. Prova di audit NIS2.
| # | Rischio | Status | Come |
|---|---|---|---|
| ASI01 | Goal Hijacking | ✓ | Soul + XML wrapper |
| ASI02 | Tool Misuse | ✓ | Whitelist 44+ cmd |
| ASI03 | Identity & Privilege | ✓ | HITL + audit firmato |
| ASI04 | Supply Chain | ✓ | Sandbox isolata firmata |
| ASI05 | Code Execution | ✓ | Sandbox fuel-metered |
| ASI06 | Memory Poisoning | ✓ | Firma crittografica + read-only |
| ASI07 | Inter-Agent | N/A | N/A, agente singolo V1 |
| ASI08 | Cascading Failures | ✓ | Kill switch + timeout |
| ASI09 | Excessive Trust | ✓ | Doppia conferma High/Critical |
| ASI10 | Rogue Agent | ✓ | Kill switch 8 triggers |
Audit cargo audit del 21 marzo 2026. 10 CVE identificate, tutte corrette o eliminate.