NemoClaw 安全预警与审计溯源：基于 GitHub Security Advisory 的 npm 漏洞提前预警机制

NemoClaw 安全预警与审计溯源基于 GitHub Security Advisory 的 npm 漏洞提前预警机制【免费下载链接】NemoClawRun agents like Hermes, LangChain Deep Agents, and OpenClaw more securely inside NVIDIA OpenShell with managed inference项目地址: https://gitcode.com/gh_mirrors/ne/NemoClaw关联文档docs/security/advisory-early-warning.md导读NemoClaw 的 npm 供应链审计采用「Reviewed Feed已审核生态记录」作为权威执行边界但上游公开的安全公告往往比该记录提前数周发布存在明显的时间盲区。本文基于 docs/security/advisory-early-warning.md 完整讲解 NemoClaw 的Advisory Early Warning安全公告早预警机制如何将 GitHub Security Advisory 与已审核 npm 库存进行离线关联、如何通过 NVD 进行补充对账、以及每一次 npm audit 如何通过 provenance sidecar 固化可验证的时间线与审计身份。读完本文你将掌握该机制的信号模型、CLI 用法、置信度编码规则与审计溯源结构并能独立复现其扫描流程。为什么需要「早预警」Reviewed Feed 的时间盲区npm audit执行的是全局「reviewed ecosystem record已审核生态记录」——即经过审核、映射到具体 npm 包与版本范围的记录。问题在于这条记录往往明显滞后于上游公告以fast-uriGHSA-4c8g-83qw-93j6为例上游仓库公告在6 月 29 日发布而全局 reviewed 记录直到7 月 21 日才传播到位同一易受攻击版本在18:46 UTC审计结果为干净clean却在20:09 UTC被报告为 High。这意味着仅依赖npm audit存在一个可达数周的真实检测空窗。NemoClaw 的 early-warning 关联模块正是用于缩小这个时间差它把上游更早的公开信号变成可追踪、非阻塞的调查提示investigation prompt同时为每次审计记录固化 provenance溯源证据使这些时间线可以被留存产物证明。三类全局公告记录关联逻辑同时消费全球公告数据库中的三种记录类型见 scripts/lib/advisory-early-warning.mts 顶部注释类型来源语义与处理路径Reviewed recordsnpm audit强制执行的语料命中即表示包级强制即将或正在生效信号确认 reviewed gate 能够检测到它Unreviewed recordsNVD通常早于 curated feed 出现但缺少已验证的 npm 映射走 ambiguous / informational 路径提供更早的提示Malware recordsnpm 恶意包公告与被审核库存命中时按普通记录关联保持非阻塞直接轮询上游仓库级公告如fastify/fast-uri的仓库公告是最早的公开信号来源但需要「包到仓库」的映射表这是文档明确标注的计划扩展而关联模块已经按同一记录形状repository-level 与 global 记录共享结构兼容接收。早预警关联的工作原理核心模块与信号结构scripts/lib/advisory-early-warning.mts 将 GitHub Security Advisory JSON 与已审核 npm 库存关联输出结构化信号{ advisoryId: string; // GHSA ID如 GHSA-4c8g-83qw-93j6 cveId?: string; // 仅当公告带格式合法的 cve_id 时出现 package: string; // npm 包名 vulnerableRange: string; // 易受攻击版本范围 matchedVersions: string[]; // 命中库存中的具体版本 source: upstream-ghsa; confidence: exact | ambiguous; action: investigate | informational; }源码中的AdvisorySignal类型advisory-early-warning.mts定义了这一结构。可选的cveId只用于下面介绍的 NVD 补充对账绝不参与关联判定。库存Inventory从哪来默认库存来自 ci/reviewed-npm-audit.jsonarchivePackages每个已提交的归档包 spec例如openclaw2026.9.1、zed-industries/codex-acp0.11.1、tencent-weixin/openclaw-weixin2.4.3等lockedGraphs各锁定图openclaw-runtime、mcporter-runtime、wechat-runtime、mcp-tool-discovery-runtime的package-lock.json中记录的已安装包身份。从源码看advisory-early-warning-scan.mtsCLI 会从配置中读取lockedGraphs数组逐个拼接directory/package-lock.json并解析其中所有node_modules/...条目。两个解析函数分工明确parseInventoryFromAuditConfig解析archivePackages的packageSpecnameversion格式parseInventoryFromPackageLock解析 lockfile v3 的packages表且优先采用条目中的真实name字段——因为别名安装npm install aliasnpm:real-name路径是别名、但公告按真实包名引用这样处理才能命中见 advisory-early-warning.mts。可离线覆盖通过--inventory file传入显式的{name, version}数组用于密闭hermetic离线运行。注意格式错误的条目会直接导致运行失败而不是被静默跳过——静默缩减库存会在无任何信号提示的情况下漏报公告advisory-early-warning-scan.mts。置信度是「编码」而非「推断」置信度不是启发式推断而是严格的规则编码见 advisory-early-warning.mts 的correlateAdvisories仅当npm 生态 包名 可解析的语义化版本范围三者同时命中才产生confidence: exact与action: investigate非 npm 生态CPE 派生记录造成的包名碰撞、以及无法解析的版本范围产生confidence: ambiguous与action: informationalAmbiguous 匹配永不阻塞或变更发布流程命中版本被证明在范围之外、或包不在库存中、或公告对象格式非法时不产生任何信号同一公告与包的 exact / ambiguous 证据分别追踪exact 信号只携带证明性范围与已验证的命中版本ambiguous 证据永远不会升级为 exact。版本判定采用公告常用的逗号分隔比较器子集如 3.0.0, 3.1.3比较器按 AND 语义求值任一可解析比较器为假即证明版本在范围外即使存在不可解析的兄弟比较器只有版本无法解析或没有可解析比较器能判定时才返回「未知」调用方必须将其视为 ambiguous 而非确认命中advisory-early-warning.mts。权威边界谁在真正把关npm auditgatescripts/audit-reviewed-npm-graph.mts在 CI 中始终保持启用它才是 npm 包与版本范围决策的权威来源early-warning 路径只触发调查与重扫investigation and rescanning绝不会替代 gate。这一边界同样写在模块头注释中「No output of this function may block or mutate a release」。扫描 CLI 的使用方法scripts/advisory-early-warning-scan.mts 是该模块的 CLI 入口只读取本地文件无论是否发现信号都以退出码 0 结束不修改任何输入文件或外部状态。通过--output可将信号写入本地文件# 列出库存中的包名每行一个这是公告查询的输入 node scripts/advisory-early-warning-scan.mts \ --list-packages # 将已抓取的公告记录与库存关联输出信号 node scripts/advisory-early-warning-scan.mts \ --advisories advisories.json --output signals.json # 附加 NVD 补充对账文件来自调用方预先抓取的 NVD 2.0 响应 node scripts/advisory-early-warning-scan.mts \ --advisories advisories.json \ --nvd-records nvd-responses.json \ --output signals.json # 离线密闭运行用显式库存替换仓库派生的库存 node scripts/advisory-early-warning-scan.mts \ --inventory inventory.json --advisories advisories.json --output signals.json从 CLI 实现看advisory-early-warning-scan.mts的几个关键行为--list-packages模式只输出去重排序后的包名列表直接返回缺少--advisories时打印 usage 并报错无--output时信号仅打印到 stdout格式如GHSA-xxxx package range - action (confidence, matched v1, v2)带 NVD 对账时附加— NVD: corroborated (published ...)描述CLI 自身永远不做网络请求——公告与 NVD 响应都由调用方未来调度工作流抓取后以文件传入。公告数据来源于 GitHub 的/advisoriesAPI请求覆盖全部三种类型、使用分页并按库存包名批次过滤affects参数。NVD 补充对账Supplementary Reconciliation带 CVE ID 的信号可以在services.nvd.nist.gov/rest/json/cves/2.0进行对账。NVD 仅是补充来源issue #7338 明确禁止把含混的 NVD 或 CPE 匹配当作权威 npm 映射对账是纯信息性的永远不改变信号的action或confidence。scripts/lib/nvd-reconciliation.mts 解析 NVD 2.0 API 响应记录 CVE ID、vulnStatus、发布日期与修改日期以及被标记为 vulnerable 的 CPE 标准然后为每个信号标注三种一致状态之一状态含义corroboratedNVD 列出相同 CVE ID 且未拒绝vulnStatus非 rejected说明 NVD 独立佐证该 CVEnvd-missingNVD 无记录——典型于 CVE 处于保留reserved状态或等待 NVD 处理期间此时更早的上游信号依然有效nvd-divergentNVD 拒绝了该 CVE ID或返回了不同的记录此时应调查分歧而非丢弃信号实现要点对应 nvd-reconciliation.mts 的reconcileSignalWithNvdderiveCveId使用CVE-\d{4}-\d{4,}模式校验只有格式合法的 CVE ID 才会发起对账CPE 标准只以数量形式出现在 note 中X vulnerable CPE criteria on file绝不会被当作包匹配NVD 对保留 ID 返回的「格式合法空响应」解析为null统一按nvd-missing处理attachNvdReconciliations是纯增量操作无 CVE ID 的信号原样透传重复的 CVE ID 首个可解析者生效。每次审计的 Provenance 溯源Sidecar 结构与缓存复用条件每次 npm audit 报告都附带一个*.provenance.jsonsidecar覆盖coverage/reviewed-npm-audit/目录下的审计产物以及 WeChat 锁定运行时图审计的npm-audit.provenance.json。从 scripts/lib/reviewed-npm-audit.mts 的类型定义看sidecar 至少包含runstartedAt/finishedAt、rawReportPath、advisoryIds等字段。缓存复用仅在以下条件全部匹配时发生包与 lock 的字节内容一致钉死的 npm 身份一致版本、SHA-512 SRI、归档 SHA-256固定的 Yarn audit registry 源一致命令参数一致parser 身份一致。镜像构建只接受schema version 2的 receipt且必须绑定相同的完整 npm 身份与固定 registry对应 scripts/audit-reviewed-npm-graph.mts 中parseAuditConfig对schemaVersion ! 2的强制校验。Sidecar 记录的内容清单每次 sidecar 记录Scanner 身份npm audit本体、精确的 npm 版本及验证过的归档完整性、Node.js 版本Receipt schema version 2把审计结果绑定到该 npm 版本与完整性消费者可以拒绝混合或未验证的 scanner 身份固定 Yarn audit registry以及 npm 用于提交依赖图的派生 bulk advisory endpointnpm 7 及以上没有 quick-audit fallback请求失败时 npm 不报告任何公告数据sidecar 会记录这一条件运行起止时间戳ISO 8601 格式审计图标签graph label与提交的包 spec机器可读报告的原始路径rawReportPath按约定为相对 sidecar 所在目录的路径从报告中提取的 GHSA advisory ID 列表advisoryIdsfailure标记审计尝试失败时 sidecar 仍记录该尝试便于审计。用连续运行定位「首次检测」对比连续保留运行的advisoryIds可以确定新浮现公告的最后一次可比较未检出与第一次检出。即便某次早期运行因无关发现失败这种对比依然可行——这正是下面事后分析得以成立的基础。#7276 事后分析四种检测触发分类issue #7338 对 #7276 的证据提出两个问题答案只依赖保留证据并继承其局限证据无法支撑「单一普适的 feed 延迟根因」结论无法被证据证明的发现归类为「unproven未证明」而非「归因」。Q1检测触发是什么发现分类证据fast-uriCVE-2026-13676, GHSA-4c8g-83qw-93j6Reviewed-mapping delay直接证明上游仓库公告 6 月 29 日已存在但 7 月 21 日 18:46 UTC 的npm audit未报告fast-uri3.1.2全局 reviewed 记录 19:03 UTC 传播20:09 UTC 同一版本审计返回 High。前后对照证明是 reviewed 包映射传播触发了检测opentelemetry/coreCVE-2026-54285, GHSA-8988-4f7v-96qf审计或重扫覆盖缺口其 reviewed 记录 6 月 15 日就已存在早于检测一个多月feed 延迟无法解释它直到 7 月 21 日构建进入插件审计才首次浮现说明审计覆盖或执行顺序存在缺口Jaeger propagatorCVE-2026-59892, GHSA-45rx-2jwx-cxfr与 reviewed-mapping delay 一致但未证明reviewed 记录 7 月 21 日 19:07 UTC 出现首个到达该图的插件审计 20:26 UTC 报告序列一致但更早构建在插件审计前就停止了缺少受控的前后对比tarCVE-2026-59873, GHSA-23hp-3jrh-7fpw证据缺失未证明6 月 27 日上游披露到检测的差距真实存在7 月 21 日 Trivy 扫描报告易受攻击的tar7.5.11与7.5.15reviewed 记录日期为 7 月 20 日但未保留可比较的前置扫描触发机制无法证明Q2理想触发与当前覆盖理想触发是按与任何一次构建进度无关的调度以最早的上游公开披露为信号对依赖库存求值。将每个已证明缺口映射到机制Reviewed-mapping delayfast-uriJaeger 传播器也疑似关联路径从提供的公告文件读取 unreviewed NVD 源记录与 reviewed、malware 记录并列也读取通过--nvd-records提供的预抓取 NVD 响应计划中的调度工作流将在 #7338 sign-off 后抓取 NVD 记录并传给 CLI每六小时运行一次——披露了库存包名的公告在 reviewed 映射存在之前就会产生信号NVD 对账提供补充佐证直接轮询上游仓库公告尚未实现这是需要包到仓库映射表的计划扩展审计/重扫覆盖缺口opentelemetry/core及 Jaeger 结论的局限计划中的调度扫描每六小时将每种公告类型与完整 reviewed 库存关联与构建执行顺序无关重扫已维护的不可变镜像摘要尚未实现镜像扫描管线等待 #7338 所需的支持镜像范围定义未证明触发tar任何触发设计都无法恢复缺失的证据现在每次 npm audit 都写入带端点、时间戳与 advisory ID 的 provenance sidecar连续保留运行即可为未来发现建立「最后一次可比较未检出」与「第一次检出」。验证与测试该机制的单元测试位于 test/automation/pull-requests/advisory-early-warning.test.ts 与 test/automation/releases/nvd-reconciliation.test.ts覆盖的关键行为包括上游公告命中受影响库存条目时输出confidence: exact/action: investigateCPE 派生的非 npm 记录保持 informational 而非阻塞不可解析的 npm 范围视为 ambiguous 而非阻塞包不在库存、或库存版本在易受攻击范围之外时不产生信号同一公告与包的重复匹配合并为单个信号格式非法的公告GHSA ID 不合法被拒绝且不抛异常库存解析归档包 spec、lockfile v3 已安装包、别名条目按真实包名入库、格式错误的配置条目被跳过。当前状态与后续路线诚实边界按文档标注的 Status该功能当前的完成度是已实现correlation 模块、扫描 CLI、审计 provenance未实现定时调度运行与响应策略alert 路由是独立的后续工作由 issue #7338 门控——需要产品与安全负责人依据 #7276 证据签核支持的历史镜像范围、重扫归属、告警目的地与响应预期后才新增每六小时的调度工作流。这保证了本文描述的每一个「已实现」能力都有仓库代码与测试作为依据而每一项「计划中」的能力都被明确标注为后续扩展。【免费下载链接】NemoClawRun agents like Hermes, LangChain Deep Agents, and OpenClaw more securely inside NVIDIA OpenShell with managed inference项目地址: https://gitcode.com/gh_mirrors/ne/NemoClaw创作声明：本文部分内容由AI辅助生成（AIGC），仅供参考