CNB仓库异常行为检测

要解决什么问题

团队把代码放在 CNB 仓库里，日常变更里一旦混入 .env、*.pem 等敏感文件，或出现大批量删除、凌晨批量提交，往往要到事后审计才发现。CNB 仓库异常行为检测 把这类模式当成可规则化的信号：按提交记录做扫描，命中规则后通过 Dashboard 发到群聊，让值班同学能先看到再决定是否介入。

技能如何工作

触发方式主要是 cron 定时（文档建议约每 30 分钟），也支持你在做手动安全巡检时直接跑一遍。检测依赖 CNB API 拉取仓库提交，告警走 Dashboard API；认证分别用环境变量 CNB_TOKEN 与 DASHBOARD_TOKEN。

规则按严重级别分层：

• CRITICAL — 敏感文件变更：新增或修改 .env、credentials、*.pem、*.key、id_rsa*、secret* 等（可用 SENSITIVE_PATTERNS 扩展），命中即告警。
• CRITICAL — 大批量删除：单次 commit 删除文件数 > 10 记为异常；> 50 视为严重事件。
• WARN — 异常时段提交：UTC+8 凌晨 03:00–05:00（QUIET_HOURS_START / QUIET_HOURS_END 可配）内，批量变更（> 3 个文件）或非工作时间的权限类变更。
• INFO — 活跃度突变：原先 > 14 天 无提交的 stale 仓库突然大量提交，或单仓库 1 小时内 commit 数 > 10。

告警内容由技能按约定格式组装，发送方默认可通过 ALERT_SENDER（默认 openclaw-c）指定。

适用边界与注意点

这是 提交模式与文件路径层面的启发式检测，不能替代代码审查、密钥轮换或 IAM 审计；误报（例如计划内的大重构删除）需要结合仓库上下文人工确认。CNB / Dashboard 令牌需妥善保管，定时任务频率与规则阈值应按团队规模与变更节奏调整，避免告警疲劳。