Clawdbot 专用防篡改审计守护进程，通过 HMAC 链式证据监控可疑文件系统活动，即使主代理被入侵也无法阻止或伪造日志。
说明：
## 核心用法
Clauditor 是专为 Clawdbot 设计的安全审计守护进程，采用分层隔离架构实现**不可否认的日志记录**。用户通过交互式向导完成六步安装：创建独立系统用户、配置内核审计规则、部署 systemd 服务、生成 HMAC 密钥、设置日志目录权限、启动监控守护进程。核心命令包括 `wizard status/next/verify` 三步走安装流程，以及 `digest` 子命令生成可验证的 Markdown 格式审计报告。
运行时通过 Linux `auditd` 内核子系统监控配置的 `watch_paths`，所有事件经 HMAC-SHA256 签名后追加到仅追加日志文件，签名密钥由独立的 `sysaudit` 用户持有，形成**密码学证据链**。
## 显著优点
– **入侵抵抗设计**：日志进程以低权限独立用户运行，与 Clawdbot 主进程隔离；即使攻击者获取 root，也无法在不破坏 HMAC 链的前提下篡改历史记录
– **零配置快速部署**：向导模式将复杂的 Linux 审计系统配置拆解为可验证的步骤，降低安全工具使用门槛
– **可验证的证据格式**：`digest` 输出带完整校验和的 Markdown 报告，便于合规审计和司法取证
## 潜在局限与风险
– **单点故障隐患**：密钥文件 `/etc/sysaudit/key` 若未离线备份，磁盘损坏将导致所有历史日志无法验证
– **隐蔽通道未解决**：恶意 Clawdbot 仍可通过 CPU/内存侧信道或网络外泄数据，Clauditor 仅监控文件系统层
– **内核依赖**：依赖 Linux `audit` 子系统，容器化或受限内核环境（如 WSL2、某些云主机）可能无法启用
– **配置复杂性**：`target_uid` 等参数需手动调优，误配可能导致日志淹没或监控盲区
## 适合人群
– 运行高权限 AI 代理（Clawdbot）且需满足合规审计要求的系统管理员
– 研究 AI 安全/沙箱隔离的安全研究人员
– 对「不可停止的审计」有强需求的企业内网环境
## 常规风险
**中等偏高**。虽然设计目标为安全工具，但：1) 安装脚本需 root 执行，存在供应链攻击面；2) 内核审计规则配置错误可能引发系统不稳定；3) 密钥管理不善将导致审计失效。建议配合离线密钥托管和定期 `digest` 验证使用。
会员专属
