ClawGuard 主动防御盾

要解决什么问题

把用户消息直接交给 Agent 执行时，攻击面并不只在「明显脏话」里：Prompt 注入、角色劫持、越狱话术、指令链覆盖以及 Base64 / Hex / 零宽字符 等编码隐藏，都可能在单条输入里改写模型行为或绕过约束。ClawGuard Shield（CG-SD v3）把这类检查写成可重复的六步流程，并在最后给出 SAFE 到 CRITICAL 的分级结论，方便你在网关或 Agent 前置层做放行、脱敏或拒收。

技能如何工作

触发场景包括：处理 Agent 入站消息、用户要求「检查注入 / 是否安全 / 校验输入」等。执行时按顺序做六类检测：

1. 编码注入：尝试 Base64（如 atob / Buffer.from(..., 'base64')）、Hex（\x / %xx）、Unicode、零宽字符（\u200b 等）、HTML 实体。
2. 角色劫持：匹配 you are now、role:、act as、多角色定义等模式。
3. 越狱尝试：识别 do anything now、DAN、ignore all rules、developer mode 等，并覆盖 v3 的混淆变体（字符替换、Leetspeak、空格/符号拆分）。
4. 链劫持：new instruction:、ignore the above、instead,、forget that and 等覆盖前文指令的写法。
5. 意图漂移：对照对话上下文，看是否出现任务篡改、约束绕过、冒充管理员等偏离原任务的行为。
6. 输出结果：汇总为 SAFE / LOW_RISK / MEDIUM_RISK / HIGH_RISK（及文档中的 CRITICAL 场景下的自动拒收策略）。

处置策略与风险分档对应：CRITICAL / 高危越狱 → 建议拒收；HIGH → 拦截并确认；MEDIUM → 剥离恶意片段后继续或告警；零宽字符 → 去除并警告。v3 相对 v2 强化了编码与越狱检测，并新增零宽、RTL 覆盖、链劫持、混淆库与多因子风险评分。

适用边界与注意点

• 这是基于模式与流程的检查清单，不能替代完整的沙箱、权限最小化与出站工具审计。
• 意图一致性依赖你提供的对话上下文；上下文缺失时，漂移检测只能作启发式参考。
• 混淆变体与语言混写会产生误报/漏报，MEDIUM 以上建议人工复核，不要单独当作唯一安全闸。