Nas últimas semanas, uma ferramenta de assistente de IA de código aberto, conhecida por seus vários nomes — Clawdbot, Moltbot e, mais recentemente, OpenClaw — ganhou imensa popularidade. Prometendo ser um “IA que realmente faz coisas”, o OpenClaw oferece a capacidade de automatizar uma vasta gama de tarefas digitais, desde gerenciar e-mails e mensagens até realizar ações complexas em nome do usuário. No entanto, por trás de sua fachada de produtividade e inovação, esconde-se um pesadelo de segurança.
Este alerta tem como objetivo detalhar os graves riscos de segurança associados ao OpenClaw e recomendar fortemente contra sua instalação em qualquer ambiente de produção ou em sistemas que contenham dados sensíveis.
Se você está usando ou pretende usar isso, recomendamos ler atentamente o alerta a seguir.
O Que é o OpenClaw?
O OpenClaw é um agente de IA autônomo e auto-hospedado que opera localmente na máquina do usuário. Ele se integra a aplicativos de mensagens populares como WhatsApp e iMessage, e pode executar uma variedade de tarefas, como agendar voos, fazer reservas em restaurantes, controlar navegadores e gerenciar arquivos. Sua arquitetura permite a expansão de suas capacidades através de “skills” (habilidades) que a comunidade pode desenvolver e compartilhar. Essa combinação de autonomia, acesso local e extensibilidade é o que o tornou viral, mas também é a fonte de seus profundos problemas de segurança [1][2].
Falhas Arquiteturais e Vetores de Exploração
A arquitetura fundamental do OpenClaw cria uma confluência de riscos que o torna perigoso por padrão, especialmente quando mal configurado ou exposto à internet.
“De uma perspectiva de capacidade, o OpenClaw é inovador. É tudo o que os desenvolvedores de assistentes pessoais de IA sempre quiseram alcançar. De uma perspectiva de segurança, é um pesadelo absoluto.” – Cisco [2]
Os principais problemas de design incluem:
- Altos Privilégios por Padrão: Para funcionar, o OpenClaw requer acesso de alto nível ao sistema operacional, permitindo-lhe executar comandos de shell, ler e escrever arquivos e executar scripts. Se comprometido, o agente se torna um “superusuário fantasma” nas mãos de um ator mal intencionado [4].
- Vazamento de Credenciais e Chaves de API: Inúmeros casos de instâncias do OpenClaw mal configuradas foram encontradas expostas na internet, vazando chaves de API em texto plano, tokens de bot do Telegram, credenciais do Slack e históricos de conversas [1].
- Superfície de Ataque Expandida: A integração com aplicativos de mensagens estende a superfície de ataque, permitindo que invasores enviem prompts maliciosos para induzir comportamentos indesejados [2].
Vulnerabilidades Críticas e Riscos Detalhados
A pesquisa de segurança revelou várias vulnerabilidades e vetores de ataque específicos que tornam o uso do OpenClaw extremamente arriscado.
1. Execução Remota de Código (RCE) com Um Clique (CVE-2026-25253)
Em 01/02/2026 uma vulnerabilidade de alta gravidade (CVSS 8.8) foi identificada, permitindo a execução remota de código mediante um link malicioso. A falha reside na interface de controle (Control UI), que confia na URL do gateway sem validação adequada. Ao clicar em um link criado por um invasor, o token de autenticação do gateway da vítima é enviado para o servidor do invasor. Com este token, o invasor pode se conectar ao gateway da vítima, modificar configurações de segurança (como desativar o sandbox) e executar comandos arbitrários no sistema hospedeiro [3].
“O ataque funciona mesmo quando o gateway está configurado para escutar apenas em loopback, porque o navegador da vítima atua como a ponte.” – Peter Steinberger, criador do OpenClaw [3]
2. Injeção de Prompt (Prompt Injection)
O problema de injeção de prompt, ainda não resolvido no campo da IA, é particularmente perigoso no OpenClaw. Um invasor pode incorporar instruções maliciosas em conteúdo que o agente irá processar (como uma página da web ou um e-mail). O agente pode então ser levado a exfiltrar dados sensíveis, enviar informações para um servidor controlado pelo invasor ou executar comandos perigosos no sistema do usuário [1].
3. “Skills” Maliciosas e Ataques à Cadeia de Suprimentos
A capacidade de estender o OpenClaw com “skills” de terceiros abre um perigoso vetor de ataque de cadeia de suprimentos. Pesquisadores já descobriram “skills” maliciosas que funcionam como malware. Em um exemplo, uma extensão falsa do VS Code para o ClawdBot era, na verdade, um Trojan projetado para vigilância e roubo de dados. Em outro, um pesquisador de segurança criou uma “skill” com backdoor que foi baixada milhares de vezes, demonstrando a facilidade com que a confiança da comunidade pode ser abusada [1][2].
4. Confusão de Identidade e Golpes
A rápida sucessão de mudanças de nome (de Clawdbot para Moltbot e depois para OpenClaw) criou uma janela de oportunidade para golpistas. Repositórios falsos e golpes de criptomoeda surgiram, explorando a confusão. Um token falso de criptomoeda “Clawdbot AI” conseguiu arrecadar $16 milhões antes de seu valor despencar [1][4].
NUNCA Usar o OpenClaw em Produção
Instalar o OpenClaw, MoltBolt ou Clawdbot em um ambiente de produção é um risco inaceitável. As razões são claras:
- Risco de Violação de Dados: A exposição de credenciais e o potencial para exfiltração de dados via injeção de prompt colocam todos os dados no sistema em risco.
- Ponto de Entrada para a Rede: Um agente comprometido serve como uma backdoor persistente, permitindo que invasores realizem movimento lateral, escalem privilégios e comprometam toda a rede.
- Potencial para Ransomware: Com acesso para ler e escrever arquivos, um invasor pode facilmente usar o agente para criptografar dados e exigir um resgate [4].
O uso de OpenClaw, MoltBolt ou Clawdbot em ambientes críticos, tais como áreas de saúde e ambientes industriais e de IoT pode levar a riscos consideráveis a vidas humanas.
Recomendações
Com base na análise técnica das vulnerabilidades e riscos inerentes, nossa recomendação é inequívoca:
- NÃO INSTALE O OPENCLAW EM AMBIENTES DE PRODUÇÃO: Nunca, sob nenhuma circunstância, esta ferramenta deve ser usada em sistemas que contenham dados reais, sensíveis ou que estejam conectados a redes corporativas.
- USE APENAS EM AMBIENTES TOTALMENTE ISOLADOS: Se você deseja experimentar o OpenClaw por curiosidade, faça-o em uma máquina virtual ou contêiner completamente isolado, sem acesso a dados pessoais, credenciais ou qualquer outra rede.
- DESCONFIE DE TODAS AS “SKILLS” DE TERCEIROS: O ecossistema de “skills” não é seguro. Trate cada extensão como um potencial malware.
- ENTENDA QUE A ARQUITETURA É INERENTEMENTE INSEGURA: Mesmo com configurações de segurança e firewalls, o design fundamental do OpenClaw, que concede alta autonomia e privilégios a um agente de IA, representa um risco que não pode ser totalmente mitigado no momento.
Palavras finais
O OpenClaw é um experimento fascinante sobre o futuro dos agentes de IA, mas é apenas isso: um experimento.
Sua arquitetura, embora poderosa, ignora princípios de segurança fundamentais, transformando-o em uma ferramenta perigosa nas mãos de usuários desavisados e um alvo valioso para invasores.
A conveniência oferecida não justifica o risco catastrófico que ele representa. No momento de escrita desse alerta, nossa única recomendação possível é que, Até que esses problemas fundamentais de segurança sejam resolvidos, a única abordagem sensata é manter o OpenClaw longe de qualquer sistema importante.
Referências
[1] ZDNET. “OpenClaw is a security nightmare – 5 red flags you shouldn’t ignore (before it’s too late)”. https://www.zdnet.com/article/openclaw-moltbot-clawdbot-5-reasons-viral-ai-agent-security-nightmare/
[2] Cisco Blogs. “Personal AI Agents like OpenClaw Are a Security Nightmare”. https://blogs.cisco.com/ai/personal-ai-agents-like-openclaw-are-a-security-nightmare
[3] The Hacker News. “OpenClaw Bug Enables One-Click Remote Code Execution via Malicious Link”. https://thehackernews.com/2026/02/openclaw-bug-enables-one-click-remote.html [4] Vectra AI. “From Clawdbot to OpenClaw: When Automation Becomes a Digital Backdoor”. https://www.vectra.ai/blog/clawdbot-to-moltbot-to-openclaw-when-automation-becomes-a-digital-backdoor
Adriano Mauro Cansian, Doutor em Física Computacional e Professor Associado e pesquisador da UNESP – Universidade Estadual Paulista, possui 30 anos de experiência em pesquisa, desenvolvimento e ensino de segurança cibernética. Fundador e coordenador do Laboratório ACME! Cybersecurity Research, e revisor das revistas “Computers & Security” e “International Journal of Forensic Computer Science“, consultor e membro de vários comitês e organizações técnicas para promover a pesquisa em segurança da informação, além de atuar como voluntário em organizações de governança da Internet.