1. 引入文章摘要本文全面介绍了 Agent Audit 工具这是一个用于扫描 Agent 源代码安全漏洞的开源静态分析工具。文章首先说明了 Agent 开发中可能面临的安全风险然后详细展示了如何使用 Agent Audit 进行扫描并生成 SARIF 格式报告。通过扫描 openclaw 源码的实际案例展示了工具能检测出 BLOCK、WARN、INFO 等不同级别的漏洞。最后文章系统性地列举了 Agent Audit 能够检测的 17 种漏洞类型包括注入攻击、提示词注入、密钥泄露、MCP 配置安全等核心安全问题为 Agent 开发者提供了全面的安全审计指南。如果你开发了一个Agent源码那这个Agent上线之前是否存在安全风险比如可能会受到“提示词注入”、“MCP配置权限太高”、“MCP工具投毒”、“远程代码执行”等攻击我们该用什么工具来扫描一下这个Agent源码以发现安全漏洞呢Agent Audit参考1就是这样一个工具他能扫描你开发的Agent源代码通过静态分析的方法发现Agent的风险而且它还是开源的参考2。2. agent-audit的使用安装pipinstallagent-audit扫描agent-audit scan ./your-agent-project扫描后输出sarif格式报告agent-audit scan.--formatsarif--outputresults.sarif如下是扫描openclaw源码后输出的sarif数据部分{results:[{ruleId:AGENT-047,level:warning,message:{text:Agent executes subprocess (subprocess.check_output) without sandbox isolation. Subprocess execution with dynamic input can lead to command injection.},locations:[{physicalLocation:{artifactLocation:{uri:skills/model-usage/scripts/model_usage.py},region:{startLine:36,endLine:36}}}],fingerprints:{primary:87b213ea819556a8},properties:{confidence:0.08000000000000002,cwe:CWE-78,owasp:ASI-02}}]}3. agent-audit扫描openclaw源码使用agent-audit扫描openclaw源码输入如下命令即可执行(base)ubuntuVM-0-13-ubuntu:~/project/tmp$ ll total110712drwxrwxr-x5ubuntu ubuntu4096Jun222:53 ./ drwxrwxr-x6ubuntu ubuntu4096May1414:13../ drwxrwxr-x20ubuntu ubuntu4096Jun222:12 openclaw-main/(base)ubuntuVM-0-13-ubuntu:~/project/tmp$ agent-audit scan openclaw-main/ Scanning Python files... Scanning MCP configurations... Scanningforsecrets... Scanningforprivilege issues...可以看到agent-audit会对python的代码MCP的配置代码中的硬编码密码权限问题等进行扫描。扫描需要3~5分钟扫描完成后得到如下结论只显示部分AGENT-004: Hardcoded Credentials Location: openclaw-main/src/cli/gateway-cli/register.ts:146 Code: const parentPass*******************************************and,password);Reason: Found Generic Secret/Password AGENT-004: Hardcoded Credentials Location: openclaw-main/src/cli/daemon-cli/register-service-commands.ts:39 Code: const parentPass*******************************************and,password);Reason: Found Generic Secret/Password ℹ️ INFO — Tier3(hidden, use--verboseto show)—100findings ⬛ SUPPRESSED — Tier4(hidden, use--verboseto show)—29findings Summary: BLOCK:20|WARN:149|INFO:100|SUPPRESSED:29Risk Score: █████████████████████████████░9.8/10(HIGH)可以看到扫描得到如下漏洞20 个 BLOCK 级别的漏洞高置信度的严重安全问题必须立即处理149 个 WARN 级别的漏洞 中等置信度的安全风险需要审查100 个 INFO 级别的漏洞 低置信度的潜在问题作为参考29 个 SUPPRESSED的漏洞 被系统自动抑制的低置信度发现默认不显示同时这次扫描agent-audit给openclaw的risk打分为“高危”。4. agent-audit可以检测的漏洞类型从参考3中可以看出agent-audit这个工具能检测如下17种类型的漏洞注入攻击漏洞核心风险原理业务未对用户输入数据做安全过滤与校验直接将可控用户输入传入代码执行函数、子进程调用、数据库SQL语句等高危执行接口导致攻击者可构造恶意输入篡改执行逻辑、执行任意代码或窃取、篡改数据。对应检测规则包含AGENT-001、AGENT-041是Agent应用最常见的高危漏洞类型。提示词注入漏洞核心风险原理系统将用户可控输入直接拼接、嵌入Agent系统提示词中未做隔离与净化攻击者可通过构造特殊恶意提示词覆盖、篡改原有系统指令诱导Agent突破业务逻辑、泄露隐私数据、执行违规操作对应检测规则为AGENT-010。密钥泄露漏洞核心风险原理开发或部署过程中将API密钥、接口令牌、认证凭证等敏感密钥信息硬编码在源代码、MCP服务配置文件中代码打包、开源或配置文件泄露后攻击者可直接获取凭证非法调用接口、侵占服务权限对应检测规则包含AGENT-004、AGENT-031。输入校验缺失漏洞核心风险原理Agent 自定义的tool工具函数未配置任何输入校验逻辑直接接收原始字符串参数执行业务逻辑无法拦截恶意、超长、非法格式的输入数据极易触发注入、代码异常、权限越权等衍生风险对应检测规则为AGENT-034。MCP服务器不安全配置漏洞核心风险原理MCP模型控制协议服务器存在多项不合规安全配置包括未开启身份认证机制、未固定服务版本导致自动更新引入未知风险、权限配置过宽过度授权等问题攻击者可利用未认证接口非法接入、通过版本漏洞入侵或滥用超额权限操控服务对应检测规则包含AGENT-005、AGENT-029、AGENT-030、AGENT-033。MCP工具投毒漏洞核心风险原理攻击者篡改MCP工具的描述信息在其中植入隐藏恶意指令、数据窃取逻辑Agent调用该工具时会无意识触发隐藏行为造成业务逻辑被篡改、核心数据外泄等安全事件对应检测规则包含AGENT-056、AGENT-057。MCP工具影子覆盖漏洞核心风险原理多台MCP服务器同时注册名称完全一致的工具后注册或优先级更高的工具会覆盖原有正常工具的执行逻辑导致Agent调用常规工具时实际执行的是攻击者植入的恶意工具逻辑实现恶意操控对应检测规则为AGENT-055。MCP工具异动/跑路漏洞核心风险原理MCP服务器工具在完成初始安全审计、上线运行后被私自篡改功能逻辑、删减能力或新增高危操作导致上线后安全状态失控原有审计合规性失效引入未知安全风险对应检测规则为AGENT-054。安全防护围栏缺失漏洞核心风险原理Agent运行机制未配置安全约束规则无迭代执行次数限制、无人工审核机制可无限制循环执行任务、自主发起高危操作极易出现过度调用工具、恶意循环执行、越权操作等风险无法自主终止异常行为对应检测规则包含AGENT-028、AGENT-037。无限制代码执行漏洞核心风险原理Agent工具直接启用eval动态代码执行、shell系统命令调用等高风险能力且未配置沙箱隔离、权限限制与执行校验攻击者可通过可控输入触发任意系统命令、自定义代码执行完全接管运行环境对应检测规则为AGENT-035。源码映射文件泄露漏洞核心风险原理Agent打包发布过程中未清理调试类产物将.map源码映射文件、.pdb调试文件等敏感调试文件一同发布攻击者可通过调试文件反编译还原核心源码、定位代码漏洞大幅降低代码逆向与漏洞挖掘难度对应检测规则为AGENT-110。子代理权限提升漏洞核心风险原理Agent父子代理联动机制存在权限管控缺陷子代理创建后会无限制继承父代理的全部工具权限与操作能力未做权限裁剪与隔离一旦子代理被劫持攻击者可通过子代理获取父代理全部操作权限实现权限越权提升对应检测规则为AGENT-112。无认证代理委派漏洞核心风险原理跨Agent任务委派、能力调用过程中未做身份核验与权限认证任意代理均可随意委派任务、调用其他代理能力攻击者可伪造代理身份发起非法委派越权调用其他代理资源与功能对应检测规则为AGENT-113。工具自动全量放行漏洞核心风险原理Agent默认开启全部工具自动审批执行机制未对工具做安全风险分级高危、敏感工具无需任何校验即可自动执行无安全拦截机制极易触发高危操作风险对应检测规则为AGENT-117。人机校验绕过漏洞核心风险原理Agent人机闭环HITL审核机制存在缺陷攻击者可通过代理任务委派、Agent自我逻辑修改等方式绕过人工审核流程强制执行高危敏感操作突破人工安全管控屏障对应检测规则为AGENT-118。溯源日志屏蔽漏洞核心风险原理恶意操作通过篡改Git提交记录、运行日志、输出结果等方式清除AI代理的操作溯源标识掩盖恶意操作痕迹导致安全事件发生后无法追溯操作主体、操作行为与攻击链路丧失审计溯源能力对应检测规则为AGENT-119。配置钩子投毒漏洞核心风险原理攻击者利用配置文件钩子机制漏洞对应CVE-2025-59536在.claude/settings.json、.cursor/、.mcp.json等核心配置文件中植入恶意钩子程序Agent启动或运行时会自动加载执行恶意钩子逻辑触发恶意操作对应检测规则为AGENT-120。5. 总结本文全面介绍了 Agent Audit 工具这是一个用于扫描 Agent 源代码安全漏洞的开源静态分析工具。文章首先说明了 Agent 开发中可能面临的安全风险然后详细展示了如何使用 Agent Audit 进行扫描并生成 SARIF 格式报告。通过扫描 openclaw 源码的实际案例展示了工具能检测出 BLOCK、WARN、INFO 等不同级别的漏洞。最后文章系统性地列举了 Agent Audit 能够检测的 17 种漏洞类型包括注入攻击、提示词注入、密钥泄露、MCP 配置安全等核心安全问题为 Agent 开发者提供了全面的安全审计指南。6. 参考https://arxiv.org/pdf/2603.22853https://github.com/HeadyZhang/agent-audithttps://github.com/HeadyZhang/agent-audit#what-it-detects
1. 引入文章摘要本文全面介绍了 Agent Audit 工具这是一个用于扫描 Agent 源代码安全漏洞的开源静态分析工具。文章首先说明了 Agent 开发中可能面临的安全风险然后详细展示了如何使用 Agent Audit 进行扫描并生成 SARIF 格式报告。通过扫描 openclaw 源码的实际案例展示了工具能检测出 BLOCK、WARN、INFO 等不同级别的漏洞。最后文章系统性地列举了 Agent Audit 能够检测的 17 种漏洞类型包括注入攻击、提示词注入、密钥泄露、MCP 配置安全等核心安全问题为 Agent 开发者提供了全面的安全审计指南。如果你开发了一个Agent源码那这个Agent上线之前是否存在安全风险比如可能会受到“提示词注入”、“MCP配置权限太高”、“MCP工具投毒”、“远程代码执行”等攻击我们该用什么工具来扫描一下这个Agent源码以发现安全漏洞呢Agent Audit参考1就是这样一个工具他能扫描你开发的Agent源代码通过静态分析的方法发现Agent的风险而且它还是开源的参考2。2. agent-audit的使用安装pipinstallagent-audit扫描agent-audit scan ./your-agent-project扫描后输出sarif格式报告agent-audit scan.--formatsarif--outputresults.sarif如下是扫描openclaw源码后输出的sarif数据部分{results:[{ruleId:AGENT-047,level:warning,message:{text:Agent executes subprocess (subprocess.check_output) without sandbox isolation. Subprocess execution with dynamic input can lead to command injection.},locations:[{physicalLocation:{artifactLocation:{uri:skills/model-usage/scripts/model_usage.py},region:{startLine:36,endLine:36}}}],fingerprints:{primary:87b213ea819556a8},properties:{confidence:0.08000000000000002,cwe:CWE-78,owasp:ASI-02}}]}3. agent-audit扫描openclaw源码使用agent-audit扫描openclaw源码输入如下命令即可执行(base)ubuntuVM-0-13-ubuntu:~/project/tmp$ ll total110712drwxrwxr-x5ubuntu ubuntu4096Jun222:53 ./ drwxrwxr-x6ubuntu ubuntu4096May1414:13../ drwxrwxr-x20ubuntu ubuntu4096Jun222:12 openclaw-main/(base)ubuntuVM-0-13-ubuntu:~/project/tmp$ agent-audit scan openclaw-main/ Scanning Python files... Scanning MCP configurations... Scanningforsecrets... Scanningforprivilege issues...可以看到agent-audit会对python的代码MCP的配置代码中的硬编码密码权限问题等进行扫描。扫描需要3~5分钟扫描完成后得到如下结论只显示部分AGENT-004: Hardcoded Credentials Location: openclaw-main/src/cli/gateway-cli/register.ts:146 Code: const parentPass*******************************************and,password);Reason: Found Generic Secret/Password AGENT-004: Hardcoded Credentials Location: openclaw-main/src/cli/daemon-cli/register-service-commands.ts:39 Code: const parentPass*******************************************and,password);Reason: Found Generic Secret/Password ℹ️ INFO — Tier3(hidden, use--verboseto show)—100findings ⬛ SUPPRESSED — Tier4(hidden, use--verboseto show)—29findings Summary: BLOCK:20|WARN:149|INFO:100|SUPPRESSED:29Risk Score: █████████████████████████████░9.8/10(HIGH)可以看到扫描得到如下漏洞20 个 BLOCK 级别的漏洞高置信度的严重安全问题必须立即处理149 个 WARN 级别的漏洞 中等置信度的安全风险需要审查100 个 INFO 级别的漏洞 低置信度的潜在问题作为参考29 个 SUPPRESSED的漏洞 被系统自动抑制的低置信度发现默认不显示同时这次扫描agent-audit给openclaw的risk打分为“高危”。4. agent-audit可以检测的漏洞类型从参考3中可以看出agent-audit这个工具能检测如下17种类型的漏洞注入攻击漏洞核心风险原理业务未对用户输入数据做安全过滤与校验直接将可控用户输入传入代码执行函数、子进程调用、数据库SQL语句等高危执行接口导致攻击者可构造恶意输入篡改执行逻辑、执行任意代码或窃取、篡改数据。对应检测规则包含AGENT-001、AGENT-041是Agent应用最常见的高危漏洞类型。提示词注入漏洞核心风险原理系统将用户可控输入直接拼接、嵌入Agent系统提示词中未做隔离与净化攻击者可通过构造特殊恶意提示词覆盖、篡改原有系统指令诱导Agent突破业务逻辑、泄露隐私数据、执行违规操作对应检测规则为AGENT-010。密钥泄露漏洞核心风险原理开发或部署过程中将API密钥、接口令牌、认证凭证等敏感密钥信息硬编码在源代码、MCP服务配置文件中代码打包、开源或配置文件泄露后攻击者可直接获取凭证非法调用接口、侵占服务权限对应检测规则包含AGENT-004、AGENT-031。输入校验缺失漏洞核心风险原理Agent 自定义的tool工具函数未配置任何输入校验逻辑直接接收原始字符串参数执行业务逻辑无法拦截恶意、超长、非法格式的输入数据极易触发注入、代码异常、权限越权等衍生风险对应检测规则为AGENT-034。MCP服务器不安全配置漏洞核心风险原理MCP模型控制协议服务器存在多项不合规安全配置包括未开启身份认证机制、未固定服务版本导致自动更新引入未知风险、权限配置过宽过度授权等问题攻击者可利用未认证接口非法接入、通过版本漏洞入侵或滥用超额权限操控服务对应检测规则包含AGENT-005、AGENT-029、AGENT-030、AGENT-033。MCP工具投毒漏洞核心风险原理攻击者篡改MCP工具的描述信息在其中植入隐藏恶意指令、数据窃取逻辑Agent调用该工具时会无意识触发隐藏行为造成业务逻辑被篡改、核心数据外泄等安全事件对应检测规则包含AGENT-056、AGENT-057。MCP工具影子覆盖漏洞核心风险原理多台MCP服务器同时注册名称完全一致的工具后注册或优先级更高的工具会覆盖原有正常工具的执行逻辑导致Agent调用常规工具时实际执行的是攻击者植入的恶意工具逻辑实现恶意操控对应检测规则为AGENT-055。MCP工具异动/跑路漏洞核心风险原理MCP服务器工具在完成初始安全审计、上线运行后被私自篡改功能逻辑、删减能力或新增高危操作导致上线后安全状态失控原有审计合规性失效引入未知安全风险对应检测规则为AGENT-054。安全防护围栏缺失漏洞核心风险原理Agent运行机制未配置安全约束规则无迭代执行次数限制、无人工审核机制可无限制循环执行任务、自主发起高危操作极易出现过度调用工具、恶意循环执行、越权操作等风险无法自主终止异常行为对应检测规则包含AGENT-028、AGENT-037。无限制代码执行漏洞核心风险原理Agent工具直接启用eval动态代码执行、shell系统命令调用等高风险能力且未配置沙箱隔离、权限限制与执行校验攻击者可通过可控输入触发任意系统命令、自定义代码执行完全接管运行环境对应检测规则为AGENT-035。源码映射文件泄露漏洞核心风险原理Agent打包发布过程中未清理调试类产物将.map源码映射文件、.pdb调试文件等敏感调试文件一同发布攻击者可通过调试文件反编译还原核心源码、定位代码漏洞大幅降低代码逆向与漏洞挖掘难度对应检测规则为AGENT-110。子代理权限提升漏洞核心风险原理Agent父子代理联动机制存在权限管控缺陷子代理创建后会无限制继承父代理的全部工具权限与操作能力未做权限裁剪与隔离一旦子代理被劫持攻击者可通过子代理获取父代理全部操作权限实现权限越权提升对应检测规则为AGENT-112。无认证代理委派漏洞核心风险原理跨Agent任务委派、能力调用过程中未做身份核验与权限认证任意代理均可随意委派任务、调用其他代理能力攻击者可伪造代理身份发起非法委派越权调用其他代理资源与功能对应检测规则为AGENT-113。工具自动全量放行漏洞核心风险原理Agent默认开启全部工具自动审批执行机制未对工具做安全风险分级高危、敏感工具无需任何校验即可自动执行无安全拦截机制极易触发高危操作风险对应检测规则为AGENT-117。人机校验绕过漏洞核心风险原理Agent人机闭环HITL审核机制存在缺陷攻击者可通过代理任务委派、Agent自我逻辑修改等方式绕过人工审核流程强制执行高危敏感操作突破人工安全管控屏障对应检测规则为AGENT-118。溯源日志屏蔽漏洞核心风险原理恶意操作通过篡改Git提交记录、运行日志、输出结果等方式清除AI代理的操作溯源标识掩盖恶意操作痕迹导致安全事件发生后无法追溯操作主体、操作行为与攻击链路丧失审计溯源能力对应检测规则为AGENT-119。配置钩子投毒漏洞核心风险原理攻击者利用配置文件钩子机制漏洞对应CVE-2025-59536在.claude/settings.json、.cursor/、.mcp.json等核心配置文件中植入恶意钩子程序Agent启动或运行时会自动加载执行恶意钩子逻辑触发恶意操作对应检测规则为AGENT-120。5. 总结本文全面介绍了 Agent Audit 工具这是一个用于扫描 Agent 源代码安全漏洞的开源静态分析工具。文章首先说明了 Agent 开发中可能面临的安全风险然后详细展示了如何使用 Agent Audit 进行扫描并生成 SARIF 格式报告。通过扫描 openclaw 源码的实际案例展示了工具能检测出 BLOCK、WARN、INFO 等不同级别的漏洞。最后文章系统性地列举了 Agent Audit 能够检测的 17 种漏洞类型包括注入攻击、提示词注入、密钥泄露、MCP 配置安全等核心安全问题为 Agent 开发者提供了全面的安全审计指南。6. 参考https://arxiv.org/pdf/2603.22853https://github.com/HeadyZhang/agent-audithttps://github.com/HeadyZhang/agent-audit#what-it-detects
