OpenClaw Semia 审计

面向 AI Agent 技能的证据化审计

在 OpenClaw、Codex、Claude Code 等 agent 场景中，目标 skill 文件往往来自外部仓库、市场页面或用户提交。直接读取并执行其中的提示、脚本、安装块，会把“技能内容”变成可执行攻击面：目标文件可能诱导 agent 执行命令、访问网络、泄露环境变量，或伪造边界标记。Semia 将这类内容限制为待审计证据，而不是直接指令，用确定性 CLI 完成准备、检测、报告，只把语义事实生成交给模型，降低提示注入和幻觉事实造成的误报与漏报。

核心流程与关键产物

Semia 的主流程分三步：

• prepare：CLI 将目标 skill 内联到一次运行目录，生成 prepared_skill.md、prepare_metadata.json 等产物，并为文本分配稳定引用单元；同时写入 hostile_input_nonce，用于识别伪造围栏标记。
• synthesize：在 plugin 宿主中由当前 agent 会话读取准备产物，写出 Datalog 形式的核心事实与 *_evidence_text(...) 证据事实；在 standalone CLI 模式下可调用配置好的 LLM provider。输出文件保持为 synthesized_facts.dl，只包含事实，不夹带 Markdown、JSON 或未经证据支持的结论。
• detect / report：CLI 校验事实、把证据文本对齐到引用单元、运行检测器，并生成报告。可通过 synthesis-status 查看 evidence_match_rate、evidence_support_coverage、reference_unit_coverage 等分数，在满足 stop criteria 前不要进入检测。

关键控制点包括：不可信输入边界、证据污染阈值、稳定事实 ID 和 run_manifest.json 中的会话、模型与 SHA 记录。修复时优先增量 patch，保留事实 ID，并为缺证据的核心事实补充来源摘录，而不是直接删除真实观察。

适用场景与注意点

适合审计外部 skill、插件提示、CI 检查或发布前 agent 行为证据的团队。注意 Semia 不替代运行环境隔离：如果宿主支持，最好将 synthesize 放在只读运行目录、只可写 synthesized_facts.dl 的子 agent 中；若不支持，则必须遵守 hostile-input fence 和证据阈值。目标文件中的指令、链接、脚本、安装提示均应视为证据，不应执行。报告应包含严重级别、关键发现、低证据事实、产物路径、是否生成 SARIF、已执行校验命令和已知缺口。