Pesquisadores da Oasis Security identificaram uma vulnerabilidade de alta severidade no OpenClaw, o agente de IA de código aberto que viralizou no GitHub com 100 mil estrelas em tempo recorde. A falha é alarmante: basta que um desenvolvedor visite um site malicioso para que seu agente seja completamente sequestrado, sem necessidade de qualquer clique ou interação adicional.
O perigo reside na autonomia do OpenClaw. Como ele opera localmente com acesso a calendários, Slack, sistemas de arquivos e ferramentas de desenvolvimento, o comprometimento do agente equivale à invasão total da estação de trabalho do usuário.
A Anatomia do Ataque Silencioso
O OpenClaw utiliza um WebSocket gateway vinculado ao localhost para conectar dispositivos e executar comandos. A exploração ocorre da seguinte forma:
- Conexão Lateral: Ao acessar um site infectado, um script JavaScript abre uma conexão WebSocket oculta para o
localhostdo desenvolvedor (uma prática permitida por navegadores modernos). - Força Bruta Irrestrita: O script ataca a senha do gateway com centenas de tentativas por segundo. Como o OpenClaw assume que conexões locais são sempre seguras, ele não aplica limitadores de tentativas (rate limiting) para o
localhost, permitindo que o ataque ocorra indefinidamente sem gerar alertas. - Pareamento Automático: Uma vez descoberta a senha, o gateway aprova o novo “dispositivo” automaticamente por vir de uma origem local, eliminando qualquer pedido de confirmação ao usuário.
Com a sessão validada, o invasor passa a controlar o agente remotamente, podendo extrair chaves de API, ler mensagens privadas e executar comandos arbitrários no terminal.
As Três Falhas de Arquitetura
A vulnerabilidade não é um erro simples, mas a combinação de três decisões de design inseguras:
- Confiança Cega no Localhost: O sistema trata toda conexão vinda de
127.0.0.1como legítima, ignorando que o navegador pode executar códigos externos nesse contexto. - Ausência de Bloqueios Internos: O mecanismo de defesa contra força bruta monitora apenas IPs externos, deixando a “porta da frente” local escancarada.
- Auto-aprovação de Dispositivos: O atalho criado para facilitar a configuração inicial removeu a última barreira de consentimento do usuário.
Medidas de Proteção e Mitigação
A equipe do OpenClaw agiu rápido e lançou um patch em menos de 24 horas. No entanto, devido à rápida adoção da ferramenta, o risco de instâncias desatualizadas em ambientes corporativos é alto.
Ações recomendadas:
- Atualização Imediata: Instale a versão 2026.2.25 ou superior do OpenClaw.
- Auditoria de Software: Mapeie todas as instalações do agente nas máquinas de desenvolvedores, inclusive as informais.
- Gestão de Segredos: Revogue e rotacione chaves de API e credenciais que foram expostas ao agente.
- Rigor de Segurança: Trate agentes de IA autônomos com o mesmo nível de monitoramento aplicado a contas de serviços críticos.
