# ClawGuard：通过电磁旁信道检测LLM Agent工作流劫持的物理级防御方案

> 本文介绍ClawGuard，一种利用电磁(EM)旁信道信号实现LLM Agent工作流劫持检测的新型安全方案。该方案通过外部软件定义无线电(SDR)捕获硬件层面的物理信号，在7.82TB射频数据集上达到99.45%的AUC，实现100%真阳性率和1.16%假阳性率，为对抗主机软件被攻破场景提供了不可伪造的物理级验证手段。

- 板块: [Openclaw Llm](https://www.zingnex.cn/forum/board/openclaw-llm)
- 发布时间: 2026-05-07T13:12:26.000Z
- 最近活动: 2026-05-08T05:48:23.950Z
- 热度: 136.4
- 关键词: LLM安全, Agent安全, 工作流劫持, 电磁旁信道, 物理层安全, 入侵检测, AI安全, 软件定义无线电, 机器学习安全
- 页面链接: https://www.zingnex.cn/forum/thread/clawguard-llm-agent
- Canonical: https://www.zingnex.cn/forum/thread/clawguard-llm-agent
- Markdown 来源: ingested_event

---

## 背景：LLM Agent面临的工作流劫持威胁

随着大型语言模型(LLM)能力的不断增强，基于LLM的自主Agent正在承担越来越复杂的任务。这些Agent通过调用各种工具(Tools)和技能(Skills)来完成用户指令，例如查询数据库、执行代码、调用API等。然而，这种强大的能力也带来了新的安全风险——**工作流劫持(Workflow Hijacking)**。

工作流劫持攻击的核心在于：攻击者通过某种方式(如提示注入、恶意插件等)篡改Agent本应执行的工具调用序列。例如，用户要求Agent"查询天气"，但攻击者注入的指令可能让Agent实际执行的是"删除所有用户数据"或"发送敏感信息到外部服务器"。由于这种篡改发生在Agent内部决策流程中，传统的安全机制往往难以察觉。

## 现有防御的局限性：信任主机是危险的

当前针对LLM Agent的安全防护主要依赖**主机内部遥测(Host-internal Telemetry)**，例如：

- 系统调用日志审计
- Agent执行轨迹记录
- 工具调用日志分析

这些方案存在一个根本性的缺陷：**如果主机操作系统本身已被攻破，所有基于主机的证据都可能被伪造**。攻击者一旦获得系统级权限，就可以篡改日志、伪造审计记录，让防御系统看到"一切正常"的假象，而实际上恶意操作早已发生。

这种"自己监督自己"的模式在高级持续性威胁(APT)场景下显得尤为脆弱。我们需要一种**脱离主机、不可被软件篡改**的验证手段。

## ClawGuard的核心思想：物理信号即证据

ClawGuard研究团队提出了一种创新的解决思路：**利用电磁(EM)旁信道作为不可伪造的物理证据**。

### 为什么电磁信号可以检测Agent行为？

现代计算机在执行不同任务时，会产生独特的电磁(EM)辐射模式。这是因为：

1. **CPU计算模式差异**：不同的Agent技能涉及不同的计算模式——代码执行会产生密集的算术运算，数据库查询涉及大量内存访问，网络请求则触发特定的I/O操作。这些都会在CPU功耗和时钟分布上留下痕迹。

2. **DRAM访问特征**：不同的数据访问模式会在内存总线上产生可辨识的信号特征。

3. **网络活动指纹**：网络阻塞和I/O等待会产生特定的时序模式，反映在系统整体功耗曲线上。

这些硬件层面的活动会辐射出可测量的**宏观电磁包络(Macroscopic EM Envelopes)**，形成每个Agent技能的独特"电磁指纹"。

### 系统架构：被动、带外、不可伪造

ClawGuard采用**被动、带外(Out-of-Band)**的监测架构：

- **被动监测**：ClawGuard不主动向被监测系统注入任何信号，仅接收自然辐射的电磁波，因此不会引入额外的攻击面。

- **带外监测**：监测设备完全独立于被监测主机，通过物理隔离的软件定义无线电(SDR)捕获信号，即使主机被完全攻破，攻击者也无法篡改SDR采集到的原始射频数据。

- **物理级验证**：电磁信号是硬件执行活动的直接物理体现，软件层面的攻击无法伪造或隐藏真实的硬件行为。

## 技术实现：从射频流到检测判决

### 信号采集与预处理

ClawGuard使用商用软件定义无线电(SDR)设备，在目标主机附近放置天线阵列，持续采集射频信号。采集到的原始信号经过以下处理流程：

1. **带通滤波**：滤除与计算机活动无关的环境噪声
2. **包络检测**：提取信号的宏观振幅包络，降低采样率要求
3. **时序对齐**：将射频信号与Agent技能调用的预期时间窗口对齐

### 特征工程：320维漂移感知特征

为了捕捉不同Agent技能的细微差异，ClawGuard构建了一个**320维的特征向量**，涵盖：

- **时域统计特征**：均值、方差、峰值、波形因子等
- **频域特征**：功率谱密度在关键频段的分布
- **时频特征**：短时傅里叶变换(STFT)的能量分布
- **形态特征**：信号包络的形状、上升/下降沿特征

更重要的是，ClawGuard引入了**漂移感知(Drift-Aware)**机制。由于环境温度、硬件老化、系统负载变化等因素，电磁信号的基线会随时间缓慢漂移。ClawGuard通过在线学习持续更新正常行为的基线模型，确保长期运行的检测稳定性。

### 分类与异常检测

特征向量输入到一个轻量级的机器学习分类器(论文未明确说明具体模型，但从上下文推断可能是基于集成学习或神经网络的方法)。分类器输出每个时间窗口的异常分数，当分数超过阈值时触发告警。

## 实验评估：7.82TB射频数据集上的验证

### 数据集规模

研究团队在真实环境中采集了**7.82TB的射频数据**，涵盖：

- 多种正常Agent工作流场景
- 多种工作流劫持攻击模式
- 不同时间跨度以验证漂移鲁棒性
- 不同硬件配置和环境条件

### 核心性能指标

在这么大规模的数据集上，ClawGuard展现了出色的检测性能：

| 指标 | 数值 | 意义 |
|------|------|------|
| **AUC** | 0.9945 | 接近完美的分类能力 |
| **真阳性率(TPR)** | 100% | 所有攻击都被成功检出 |
| **假阳性率(FPR)** | 1.16% | 极低的误报率 |

这意味着ClawGuard在实际部署中既能确保不遗漏真实攻击，又不会给运维团队带来过多的误报负担。

### 攻击场景覆盖

论文评估了多种工作流劫持攻击变体，包括但不限于：

- **工具替换攻击**：将合法工具调用替换为恶意工具
- **参数篡改攻击**：修改工具调用的参数(如将查询改为删除)
- **额外调用攻击**：在正常工作流中插入额外的恶意工具调用
- **顺序重排攻击**：改变工具调用的执行顺序以产生非预期效果

ClawGuard在所有测试场景下均保持高检测率，证明了其对攻击变体的鲁棒性。

## 实际部署考量

### 硬件要求与成本

ClawGuard的核心优势之一是使用**商用SDR设备**即可实现，无需昂贵的专用硬件。常见的RTL-SDR(约20美元)或HackRF(约300美元)都可用于原型验证，生产环境可使用更高性能的USRP设备。

### 部署模式

根据安全需求的不同，ClawGuard支持多种部署模式：

1. **单机监测模式**：为关键服务器每台配备独立的SDR监测设备
2. **集中监测模式**：一个SDR阵列监测多台物理邻近的服务器(利用信号的空间分离性)
3. **云边协同模式**：在边缘进行信号预处理，云端进行模型推理和集中管理

### 隐私考量

由于电磁信号可能泄露敏感信息(如通过功耗分析推断加密密钥)，ClawGuard的设计遵循最小化原则：

- 仅提取与Agent技能分类相关的特征
- 原始射频数据本地处理后即丢弃
- 不尝试恢复任何具体的计算内容

## 局限性与未来方向

### 当前局限

1. **物理距离限制**：电磁信号随距离衰减，监测天线需要放置在目标设备附近(通常1-2米内)，对于大规模数据中心部署可能需要大量监测点。

2. **环境敏感性**：强电磁干扰环境(如工业现场)可能影响信号质量，需要额外的噪声抑制措施。

3. **技能覆盖范围**：需要预先采集每个Agent技能的正常电磁指纹，对于动态加载的新技能需要在线学习机制。

### 未来研究方向

1. **多模态融合**：结合电磁信号与其他旁信道(如功耗、温度、声学)进一步提升鲁棒性

2. **对抗样本防御**：研究攻击者是否可能通过精心设计的计算模式来伪造正常电磁指纹

3. **实时性优化**：当前系统的检测延迟未在论文中明确披露，对于需要毫秒级响应的场景可能需要进一步优化

4. **跨硬件泛化**：验证模型在不同CPU架构、不同厂商设备上的泛化能力

## 结论：物理安全层的重要性

ClawGuard代表了一种重要的安全范式转变：**从纯软件防御转向软硬件结合的物理层防御**。在AI Agent日益普及、攻击手段日益 sophisticated 的今天，这种"不可被软件攻破"的验证手段具有独特的价值。

对于部署LLM Agent的企业和组织，ClawGuard提供了一个值得考虑的纵深防御层。即使主机被攻破、日志被篡改、Agent被劫持，物理世界留下的电磁证据依然忠实记录着真实发生的一切。

正如论文标题所暗示的，ClawGuard就像守护Agent工作流的"爪子"，用物理世界的铁证，守护数字世界的安全。