clawd/memory/2026-02-06.md

2026-02-06 (Joi)

🔒 Security Audit Executat (14:41 UTC / 16:41 București)

Findings:

⚠️ CRITICAL (2 issues):

1. Control UI allows insecure HTTP auth

• Problema: gateway.controlUi.allowInsecureAuth=true permite token-only auth peste HTTP
• Risc: Dacă e expus extern (reverse proxy), token poate fi interceptat
• Status: Gateway rulează pe localhost (127.0.0.1) → risc REDUS dacă nu e expus
• Fix posibil:
  • Disable allowInsecureAuth
  • SAU switch la HTTPS (Tailscale Serve)
  • SAU keep localhost-only (current setup OK)

2. Small model (qwen2.5-7b) fără sandboxing + web tools enabled

• Problema: Model 7B folosit ca fallback, dar:
  • Sandboxing = OFF
  • Web tools enabled (web_search, web_fetch, browser)
  • Small models = susceptibili la prompt injection prin dirty data
• Risc: Dacă modelul mic procesează emailuri/web content → vulnerabil
• Fix recomandat:
  • Enable sandboxing pentru toate sessions: agents.defaults.sandbox.mode="all"
  • SAU disable web tools pentru model mic: tools.deny=["group:web","browser"]
  • SAU remove model mic din fallback chain

⚠️ WARN (2 issues):

3. Reverse proxy headers not trusted

• Problema: gateway.trustedProxies e empty
• Risc: Dacă expui Control UI prin reverse proxy, IP checks pot fi spoofed
• Fix: Setează gateway.trustedProxies la IP-urile proxy-ului
• SAU: Keep Control UI local-only (current setup)

4. Gateway password în config file

• Problema: gateway.auth.password e stocat în config pe disk
• Risc: Dacă cineva accesează filesystem → vede parola
• Fix recomandat:
  • Folosește OPENCLAW_GATEWAY_PASSWORD (env variable)
  • Remove gateway.auth.password din config

✅ INFO (bun):

• WhatsApp DMs disabled (evită dirty data)
• Attack surface: 0 open groups, 3 allowlist
• Elevated tools enabled (OK, controlat prin aprobare)
• Browser control enabled (OK pentru automatizări)

---

✅ Acțiuni Executate:

1. Security Rules adăugate în AGENTS.md

• Secțiune nouă: "Securitate (MANDATORY)"
• Reguli: API keys în .env, whitelist email, plan mode, model selection
• Marcată ca META-REGULĂ (nu se modifică fără aprobare)

2. Daily Self-Audit Cron Job Creat

• Când: 09:30 București (07:30 UTC), zilnic
• Ce face:
  • Review AGENTS/SOUL/USER/IDENTITY/HEARTBEAT/TOOLS/cron-jobs/infrastructure
  • Caută: info outdated, reguli conflictuale, workflow-uri nedocumentate
  • Propune cleanup în #echo-work (doar dacă găsește probleme)
• Model: Sonnet (balance între cost și capability)

3. Cron-jobs.md actualizat

• Adăugat daily-self-audit la 09:30

---

📋 Recomandări pentru Marius:

🔥 Prioritate ÎNALTĂ:

A. Fix model mic (qwen2.5-7b) vulnerability:

• Opțiune 1 (RECOMAND): Remove din fallback chain (folosește doar Claude models)
• Opțiune 2: Enable sandboxing global (agents.defaults.sandbox.mode="all")
• Opțiune 3: Disable web tools pentru model mic

De ce e important: Model 7B + web tools + dirty data = vulnerabil la prompt injection

---

📌 Prioritate MEDIE:

B. Move gateway password în environment variable:

# .env
OPENCLAW_GATEWAY_PASSWORD=<current_password>

Apoi remove din config.json.

C. Review Control UI exposure:

• Verifică dacă e expus extern (reverse proxy, Tailscale)
• Dacă DA → setează trustedProxies sau disable allowInsecureAuth
• Dacă NU (localhost-only) → OK as-is

---

💡 Nice-to-Have:

D. Periodic security audits:

• Manual: openclaw security audit --deep (lunar)
• Sau: Cron job pentru audit automat (dar poate fi noisy)

---

📊 Video-uri Procesate Azi:

1. ✅ A Powerful NLP Reframe (8:50) - Reframing pentru credințe limitatoare
2. ✅ NLP Trick Cold Calls (0:59) - Tehnică: spune numele întâi
3. ❌ NLP Sales Techniques (4:20) - Promotional, no content
4. ✅ OpenClaw Best Practices (22:31) - Tutorial complet (18KB notă)

---

🎯 Următorii Pași:

• Marius decide fix pentru qwen2.5-7b vulnerability
• Marius decide move password în .env
• Daily self-audit rulează prima dată mâine 09:30
• Monica Ion Blog - Tura 1 (20 articole) programată diseară 23:00

---

Ora finalizare: 14:41 UTC (16:41 București)

---

🌙 Raport Seară Executat (18:00 UTC / 20:00 București)

✅ Acțiuni:

• Email raport trimis pe mmarius28@gmail.com
• Git commit + push: 8 fișiere (5 noi, 3 modificate)
• Propuneri cu ZI și ORĂ concrete:
  • A1: Reframe NLP - Luni 9 feb 15:00
  • A2: Diagnostic Platou - Marți 10 feb 15:00
  • A3: Legea Transformării - Miercuri 11 feb 15:00
  • A4: Cold Call Trick - OPȚIONAL (test singur)

📋 Conținut raport:

• Mâine: NLP Master Modul 4 (toată ziua)
• Status azi: Security audit, 4 video-uri, 5 insights, 4 exerciții
• Săptămâna viitoare: Luni-Miercuri 15:00-16:00 liber (Joi ocupat)