事故现象：自动化流程中的异常文档行为

某金融团队使用 ClawOffice 文档处理流水线时，夜间批量任务突然异常中断。监控系统捕获到以下关键日志：

[ERROR] WorkBuddy-OfficeParser: MacroExecutionError in invoice_Q3.xlsm
[WARNING] ClawBridge 通道检测到未授权注册表修改
[ALERT] SandboxViolation: 试图创建 C:\Windows\Temp\payload.dll

排查链路：从文档到系统调用

1. 文档溯源
   通过 ClawHub 的版本控制追溯，发现涉事文档来自第三方供应商邮件附件，其 VBA 宏包含以下高危操作：
2. 利用 WScript.Shell 执行 PowerShell 下载器
3. 修改 HKCU\Software 注册表键值
4. 尝试通过 COM 接口调用 Outlook 发送邮件

5. 在临时目录释放伪装成 .txt 的可执行文件

6. Agent 行为分析
   WorkBuddy 工作流配置了「文档预处理」AutoClaw 触发器，默认信任 Office 文件内宏执行权限。问题链路：

   graph LR
   A[ClawOffice 文件上传] --> B[AutoClaw 触发解析]
   B --> C{宏安全等级?}
   C -->|默认允许| D[执行 VBA 代码]
   D --> E[系统调用逃逸]
   E --> F[横向移动尝试]

   关键漏洞点：
7. 未校验文档来源可信度
8. 宏执行未启用模拟用户权限

9. 无代码签名验证机制

10. 沙箱逃逸路径
    攻击者利用 Excel 4.0 宏（XLM）绕过 AMSI 检测，通过 ShellExecute 调用突破 ClawSDK 的默认文件系统沙箱规则。逃逸手法包括：

11. 滥用 WMI 接口获取系统信息
12. 通过 regsvr32 加载远程 DLL
13. 利用 Office 文档嵌入 OLE 对象

根因定位：三层防御失效

工具调用（MCP）层缺陷

• OfficeParser 工具未声明 requires_sandbox:strict 属性
• 缺少宏代码静态分析阶段
• 未实现文档哈希值黑名单匹配

权限边界层漏洞

• 注册表监控仅覆盖 HKLM 而遗漏 HKCU
• 文件系统沙箱未限制临时目录写入
• COM 接口调用未启用白名单机制

审批流程缺失

• 第三方文件未强制进入人工审核队列
• 未设置高风险操作审批阈值
• 审计日志未记录宏代码内容

修复方案：增强防御纵深

技术控制强化

1. 修改 ClawSDK 默认策略：

   # claw-agent.yaml
   office_processing:
     macro_execution: false
     sandbox_level: win32k_filtered
     registry_watches: [HKCU\Software\*, HKLM\*]
     com_interfaces: [Excel.Application, Word.Application] # 严格白名单

2. 添加 AutoClaw 预处理规则：

3. 对含宏文档自动添加 risk_level:high 标签
4. 触发 ClawBridge 的审批通知到 Telegram 运维频道
5. 强制扫描文档内嵌 OLE 对象

流程改进措施

• 建立「供应商文件」专用接收通道：
• 强制经过 VirusTotal 扫描
• 自动隔离至 ClawOS 受限存储区
• 在 Canvas 工作台添加可视化标记：
• 宏文档显示红色边框
• 外部来源文件标注黄色警示
• 实施变更管理：
• 单日宏文档处理量阈值（≤5）
• 关键操作需双重审批

预防体系检查清单

沙箱配置验证

1. [ ] 确认 Office 工具声明 filesystem:read_only
2. [ ] 测试 COM 对象调用是否受限
3. [ ] 验证临时目录写入隔离效果
4. [ ] 检查 AMSI 扫描是否覆盖 XLM 宏

审批触发条件

1. [ ] 设置单用户单日宏执行上限
2. [ ] 关键注册表操作需二次确认
3. [ ] 外部文档默认进入人工审核

监控覆盖强化

1. [ ] 部署 YARA 规则扫描文档内 XLM 代码
2. [ ] 日志中记录宏的 SHA256 指纹
3. [ ] 监控异常进程树创建行为
4. [ ] 捕获 Office 子进程网络请求

后续架构演进

该事件推动 ClawOS 1.7 新增三项核心能力： 1. 动态分析沙箱： - 检测到可疑行为立即冻结进程 - 支持宏执行过程录制回放 2. 文档指纹系统： - 宏代码静态签名比对 - 供应商文件信誉评分 3. 自适应审批流： - 根据行为风险动态提升审批级别 - 集成 Slack 快速审批按钮

经验总结

1. 最小权限原则：
2. 宏执行应降权至虚拟用户
3. 严格限制 COM 接口范围
4. 纵深防御：
5. 沙箱+审批+监控需形成闭环
6. 关键操作保留人工介入点
7. 可观测性：
8. 记录完整的宏执行上下文
9. 审计日志关联文档元数据

注：实际部署需结合企业安全策略调整。完整方案见 OpenClaw 文档《Securing Office Automation》及 GitHub 安全公告 GHSA-xxxx-xxxx-xxxx。