Estudo: Falha crítica no Openclaw permite o sequestro total dos privilégios administrativos

A falácia do “ambiente confiável”

Um estudo de 31 de março realizado pela empresa de segurança Web3 Certik revelou um “colapso sistêmico” das barreiras de segurança dentro do Openclaw, uma plataforma de inteligência artificial (IA) de código aberto. Apesar de sua rápida ascensão a mais de 300.000 estrelas no GitHub, a estrutura acumulou mais de 100 CVEs e 280 alertas de segurança em apenas quatro meses, criando o que os pesquisadores chamam de uma superfície de ataque “ilimitada”.

O relatório destaca uma falha arquitetônica fundamental: o Openclaw foi originalmente projetado para “ambientes locais confiáveis”. No entanto, à medida que a popularidade da plataforma explodiu, os usuários começaram a implantá-la em servidores expostos à Internet — uma transição para a qual o software nunca foi preparado.

De acordo com o relatório do estudo, os pesquisadores identificaram vários pontos de falha de alto risco que comprometem os dados dos usuários, incluindo a vulnerabilidade crítica CVE-2026-25253, que permite que invasores assumam controle administrativo total. Ao induzir um usuário a clicar em um único link malicioso, os hackers podem roubar tokens de autenticação e sequestrar o agente de IA.
Enquanto isso, varreduras globais revelaram mais de 135.000 instâncias do Openclaw expostas à Internet em 82 países. Muitas delas tinham a autenticação desativada por padrão, vazando chaves de API, históricos de bate-papo e credenciais confidenciais em texto simples. O relatório também afirma que o repositório da plataforma para “habilidades” compartilhadas pelos usuários foi infiltrado por malware, e descobriu-se que centenas dessas extensões incluíam infostealers projetados para extrair senhas salvas e carteiras de criptomoedas.

Além disso, os invasores agora estão ocultando instruções maliciosas em e-mails e páginas da web. Quando o agente de IA processa esses documentos, ele pode ser forçado a extrair arquivos ou executar comandos não autorizados sem o conhecimento do usuário.

“O Openclaw se tornou um estudo de caso sobre o que acontece quando grandes modelos de linguagem deixam de ser sistemas de chat isolados e começam a agir em ambientes reais”, disse um auditor-chefe da Penligent. “Ele agrega defeitos clássicos de software a um ambiente de execução com alta autoridade delegada, tornando o alcance de qualquer bug isolado massivo.”

Recomendações de mitigação e segurança

Em resposta a essas descobertas, especialistas estão recomendando uma abordagem de “segurança em primeiro lugar” tanto para desenvolvedores quanto para usuários finais. Para desenvolvedores, o estudo recomenda estabelecer modelos formais de ameaças desde o início, impor isolamento rigoroso em sandbox e garantir que qualquer subprocesso gerado pela IA herde apenas permissões imutáveis e de baixo privilégio.

Para usuários corporativos, as equipes de segurança são instadas a usar ferramentas de detecção e resposta de endpoint (EDR) para localizar instalações não autorizadas do Openclaw dentro das redes corporativas. Por outro lado, usuários individuais são incentivados a executar a ferramenta exclusivamente em um ambiente sandbox, sem acesso a dados de produção. Mais importante ainda, os usuários devem atualizar para a versão 2026.1.29 ou posterior para corrigir falhas conhecidas de execução remota de código (RCE).

Embora os desenvolvedores do Openclaw tenham recentemente feito parceria com a Virustotal para verificar as habilidades enviadas, os pesquisadores da Certik alertam que isso “não é uma solução milagrosa”. Até que a plataforma alcance uma fase de segurança mais estável, o consenso do setor é tratar o software como inerentemente não confiável.

Perguntas frequentes ❓

• O que é o Openclaw? O Openclaw é uma estrutura de IA de código aberto que cresceu rapidamente para mais de 300.000 estrelas no GitHub.
• Por que é arriscado? Ele foi criado para uso local confiável, mas agora está amplamente implantado online, expondo falhas graves.
• Que ameaças existem? CVEs críticas, extensões infectadas por malware e mais de 135.000 instâncias expostas em 82 países.
• Como os usuários podem se manter seguros? Execute apenas em ambientes sandbox e atualize para a versão 2026.1.29 ou posterior.