OpenClaw e o risco de loopback: uma página de navegador pode controlar uma IA self-hosted

Há poucos dias, a comunidade de segurança encontrou uma falha grave no OpenClaw, uma das plataformas de agentes da IA self-hosted que nos últimos meses cresceu rapidamente em popularidade. Pesquisadores de Oasis Security identificaram uma fraqueza que permitia a um site maliciosa comunicar com uma instância local do OpenClaw e testar senhas até adivinhar a correta, tudo sem que o usuário notasse nada no seu navegador.

A raiz do problema estava no serviço de passaragem do OpenClaw, que expõe uma interface WebSocket ligada ao localhost por defeito. Essa combinação foi perigosa porque, ao contrário de outras APIs Web, os navegadores permitem abrir conexões WebSocket para endereços de loopback sem que as políticas de origem (same-origin) impeçam a conexão. Você pode ver como estas conexões funcionam na documentação técnica dos navegadores na página MDN Web Docs sobre WebSocket.

O mais preocupante não foi apenas a possibilidade de se conectar, mas como OpenClaw tratava as conexões locais: as proteções de limite de tentativas (rate limiting) foram concebidas para evitar ataques de força bruta, mas normalmente excluim a direção de loopback (127.0.0.1) para não bloquear sessões legítimas da própria máquina. Essa exceção abriu uma janela que, segundo os pesquisadores, permitia realizar centenas de tentativas por segundo desde JavaScript em uma página do navegador, o que bastava para esgotar listas de senhas comuns em fracções de segundo e dicionários maiores em questão de minutos.

Além disso, a passarela do OpenClaw aceitava emparelhamentos de dispositivos procedentes do localhost sem pedir confirmação ao usuário, de modo que, uma vez adivinhada a senha de gestão, um atacante podia se registrar como um dispositivo de confiança e obter permissões de administrador. Com esse acesso direto à plataforma, o atacante podia listar nós conectados, filtrar e roubar credenciais, ler registros e ordenar ao agente que procurasse ou exfiltrara informações sensíveis, e até mesmo executar comandos de shell em máquinas emparelhadas. Em poucas palavras: uma página do navegador poderia se tornar o vetor para uma completa tomada de controle do posto de trabalho.

O Oasis Security mostrou provas de conceito e uma demonstração prática do abuso, e notificou o problema aos desenvolvedores do OpenClaw. A reação foi rápida: em menos de 24 horas foi publicada uma correção, incluindo na versão 2026.2.26 libertada em 26 de fevereiro, que endurece as verificações de segurança nas conexões WebSocket e acrescenta proteções para que as conexões de loopback não possam ser aproveitadas para ataques de força bruta ou apropriação de sessões, embora estivessem isentas de limitações por design.

Esta incidência evidencia um risco duplo que acompanha o auge de plataformas self-hosted de agentes autônomos: por um lado, a grande superfície de ataque que supõe expor um serviço de controle local com capacidades administrativas; por outro, a combinação de comportamentos do navegador e configurações de servidor pensadas para conveniência, mas que podem ser exploradas. As equipes de segurança e os administradores que exibem esse tipo de software devem assumir que qualquer interface local pode ser alcançável a partir de um navegador e projetar defesas acordes.

OpenClaw não é o único projeto que deve repensar seu modelo de confiança: a pesquisa também lembra que repositórios de habilidades e plugins públicos podem ser utilizados por atores maliciosos para distribuir instruções perigosas. No caso concreto, foram observadas tentativas de abuso do repositório "ClawHub" para promover habilidades que exibem malware coletador de informações ou persuadem usuários para executar comandos prejudiciais em suas máquinas.

Se administrar ou utilizar uma instância de OpenClaw, a recomendação imediata é atualizar para a versão alterada (2026.2.26 ou posterior). Para além do adesivo, convém rever senhas administrativas e chaves, aplicar políticas de senhas fortes e únicas, minimizar a exposição de interfaces de administração a redes não confiáveis, e monitorar registros e comportamentos anormais nas integrações do agente. Para aqueles que querem aprofundar os testes e técnicas em torno de canais WebSocket, o OWASP Web Security Testing Guide oferece orientação útil sobre vetores e mitigações.

A boa notícia é a rapidez com que este buraco foi resolvido após a divulgação responsável: um exemplo de como o intercâmbio técnico entre pesquisadores e desenvolvedores pode limitar o impacto. A lição, no entanto, deve perdurar: com ferramentas que podem executar ações em ambientes reais e acessar dispositivos conectados, a segurança por design e a revisão contínua são imprescindíveis. Não basta que um serviço funcione; tem de estar blindado para assumir que a interface local também é uma porta de entrada potencial para um atacante.

Para aqueles que querem ler o relatório técnico completo e ver a demonstração compartilhada pelos descubridores, a entrada do Oasis contém os detalhes do achado e dos testes: Relatório do Oasis Security sobre a vulnerabilidade no OpenClaw. Manter-se informado e aplicar rapidamente adesivos continua a ser a melhor defesa contra este tipo de ameaças.