ThreatClaw é um agente de cibersegurança open source escrito em Rust, com uma sandbox isolada assinada, 5 pilares de segurança compilados no binário e uma cobertura auto-avaliada 9/9 em relação ao OWASP ASI 2026 (sem auditoria de terceiros até o momento).
Não é uma escolha estética. Rust elimina em tempo de compilação categorias inteiras de vulnerabilidades que representam 70% das CVEs críticas em software de sistema.
Impossível por construção, o compilador recusa qualquer acesso à memória fora dos limites
O borrow checker o proíbe em tempo de compilação, sem necessidade de garbage collector
A concorrência é segura por padrão, o sistema de tipos garante o acesso exclusivo
O tipo Option<T> força o tratamento explícito da ausência de valor
Cada skill é executada em uma sandbox isolada com:
Limite de CPU por execução, impossível saturar o sistema
Uma skill declara o que precisa (network, filesystem, secrets). Por padrão: nada. network=false significa que uma skill comprometida não pode exfiltrar dados
Cada saída da sandbox é verificada antes de deixar o ambiente isolado. Se uma credencial vazar em uma resposta, ela é bloqueada
Cada skill é assinada. Um arquivo modificado não é carregado
O que diferencia o ThreatClaw de todos os outros agentes:
AGENT_SOUL.toml verificado por impressão digital SHA-256 compilada no binário Rust. Bloqueado em runtime, qualquer alteração a quente aciona o kill switch. Código open source: um operador pode recompilar um Soul personalizado, mas é um ato voluntário, auditável e que altera a impressão digital.
44+ comandos pré-validados, definidos em Rust, não modificáveis pelo LLM. Cada comando tem: nível de risco, reversibilidade, alvos proibidos (root, o próprio threatclaw). Zero shell arbitrário.
Cada saída de ferramenta é encapsulada antes de chegar ao LLM. 25+ padrões de injeção específicos de cibersegurança detectados e bloqueados ("ignore previous instructions", "mark as false positive", etc.). Os dados permanecem dados, nunca ordens.
Cada entrada de memória conversacional assinada é protegida por assinatura criptográfica. As ferramentas só podem ler, nunca escrever. Qualquer modificação externa é detectada no próximo ciclo.
8 gatilhos de parada automática: tentativa fora da whitelist, modificação do soul, ataque aos próprios containers, timeout de autonomia, anomalia comportamental, acionamento manual RSSI. Ao ser acionado: parada atômica + snapshot forense + alerta Slack imediato.
Antes de cada chamada ao LLM na nuvem anonimizado, todos os dados passam pelo anonimizador:
Cada ação do agente é registrada no PostgreSQL com:
Forense completa em caso de incidente. Prova de auditoria NIS2.
| # | Risco | Status | Como |
|---|---|---|---|
| ASI01 | Goal Hijacking | ✓ | Soul + XML wrapper |
| ASI02 | Tool Misuse | ✓ | Whitelist 44+ cmd |
| ASI03 | Identity & Privilege | ✓ | HITL + auditoria assinada |
| ASI04 | Supply Chain | ✓ | Sandbox isolada assinada |
| ASI05 | Code Execution | ✓ | Sandbox fuel-metered |
| ASI06 | Memory Poisoning | ✓ | Assinatura criptográfica + read-only |
| ASI07 | Inter-Agent | N/A | N/A, agente único V1 |
| ASI08 | Cascading Failures | ✓ | Kill switch + timeout |
| ASI09 | Excessive Trust | ✓ | Dupla confirmação High/Critical |
| ASI10 | Rogue Agent | ✓ | Kill switch 8 triggers |
Auditoria cargo audit de 21 de março de 2026. 10 CVEs identificadas, todas corrigidas ou eliminadas.