ClawJacked: qualquer site poderia atacar por força bruta um agente OpenClaw local

ClawJacked, uma vulnerabilidade que a Oasis Security divulgou no agente de IA de código aberto OpenClaw em 26 de fevereiro de 2026, permitiu que qualquer site visitado por um desenvolvedor abrisse uma conexão com o agente em execução na própria máquina dele e adivinhasse sua senha até que o agente entregasse o controle. Nenhum clique, plugin ou prompt era necessário. O prêmio era o gateway que orquestra o agente: um intruso que entrasse poderia falar diretamente com o agente, despejar sua configuração, listar todos os dispositivos emparelhados e ler seus registros. A Oasis, fornecedora de software de gerenciamento de acesso agêntico, demonstrou a cadeia de ponta a ponta em seu próprio laboratório e a relatou de forma privada, e a OpenClaw lançou uma correção em menos de 24 horas. Nenhuma fonte citada neste artigo registra o uso do ataque contra um usuário real. O arquivo classifica o episódio como um incidente de infraestrutura de alta severidade, com data de precisão diária de 25 de fevereiro de 2026 e nenhum dano registrado no mundo real, ao lado do restante de suas entradas do OpenClaw no Orca AI Incident Archive.

Três predefinições, uma cadeia

OpenClaw é um agente pessoal auto-hospedado que seus usuários controlam a partir de um painel web ou de um terminal, e que se conecta a aplicativos de mensagens, calendários e ferramentas de desenvolvedor, atuando dentro deles. Em seu centro está um gateway, um servidor WebSocket local que a Oasis descreve como "o cérebro da operação": ele cuida da autenticação, armazena configurações, gerencia sessões de chat e despacha comandos para nós, como um app complementar para macOS ou um iPhone. A autenticação é por token ou por senha, e o gateway se vincula ao localhost por padrão, sob a premissa explícita de que o acesso local é inerentemente confiável (Oasis Security, 26 de fevereiro de 2026).

Três consequências dessa suposição encadeadas. Primeiro, os navegadores não aplicam regras de origem cruzada às conexões WebSocket da mesma forma que fazem com solicitações HTTP comuns, portanto, o JavaScript de qualquer página que o usuário visite pode abrir um socket para a porta local do gateway sem nada visível na tela. Segundo, o limitador de taxa do gateway isentava totalmente as conexões de loopback, então tentativas de senha malsucedidas provenientes de 127.0.0.1 não eram contabilizadas, limitadas nem registradas em log. Terceiro, o gateway aprovava automaticamente emparelhamentos de dispositivos provenientes do localhost, então um script autenticado podia se registrar como um dispositivo confiável sem o aviso de confirmação que um dispositivo remoto acionaria.

A Oasis mediu a taxa de adivinhação em seu próprio laboratório e a relatou na divulgação: "Em nossos testes de laboratório, alcançamos uma taxa sustentada de centenas de tentativas de senha por segundo apenas com JavaScript do navegador. Nessa velocidade, uma lista de senhas comuns se esgota em menos de um segundo, e um dicionário grande levaria apenas alguns minutos. Uma senha escolhida por humanos não tem chance." O BleepingComputer, que noticiou a divulgação em 1º de março de 2026, descreve os mesmos três passos e a mesma ordem.

O que um atacante obtém, e o que o Oasis realmente mostrou

Uma vez autenticado, o script mantinha uma sessão de operador com permissões de nível administrativo. O Oasis lista quatro coisas que ele pode então fazer diretamente: enviar mensagens ao agente de IA e ler suas respostas, despejar a configuração do gateway, que revela os provedores de IA, os modelos e os canais de mensagens em uso, enumerar cada nó conectado com sua plataforma e endereço IP, e ler os logs da aplicação. A partir daí, o Oasis descreve, em vez de demonstrar, a escalada: instruir o agente a procurar chaves de API no histórico do Slack do desenvolvedor, ler mensagens privadas, exfiltrar arquivos de dispositivos pareados ou executar comandos shell arbitrários em qualquer nó pareado. O resumo da empresa sobre o resultado é que, para um desenvolvedor com integrações típicas do OpenClaw, isso equivale a "comprometimento total da estação de trabalho, iniciado a partir de uma aba do navegador".

A demonstração publicada pela Oasis, com um vídeo de prova de conceito, é mais restrita do que essa descrição: um navegador em um site não relacionado adivinhou a senha do gateway, conectou-se com permissões totais e interagiu com sucesso com o agente do usuário, sem nenhuma indicação ao usuário. A exfiltração de arquivos e a execução de shell são descritas como o que o acesso possibilita, não como etapas executadas pela prova de conceito. Essa distinção importa quando o registro é lido como um incidente concretizado, e não como um incidente demonstrado.

O patch entrou na 2026.2.25, não na 2026.2.26

A Oasis disse aos leitores para atualizarem para a versão 2026.2.25 ou posterior, e o próprio advisory da OpenClaw concorda. O advisory do GitHub, GHSA-jmmg-jqc7-5qf4, lista as versões afetadas como 2026.2.24 e anteriores, as versões corrigidas como 2026.2.25 e posteriores, e credita o relatório a @luz-oasis, o líder de pesquisa da Oasis, Elad Luz. O carimbo de data/hora do registro npm para 2026.2.25 é 04:16 UTC em 26 de fevereiro de 2026, e as notas de versão do projeto para essa versão descrevem a correção em termos que correspondem um a um às três configurações padrão: "Segurança/Autenticação WebSocket do Gateway: impor verificações de origem para clientes WebSocket diretos do navegador além do Control UI/Webchat, aplicar limitação de falhas de autenticação por senha a tentativas de loopback com origem no navegador (incluindo localhost) e bloquear o emparelhamento automático silencioso para clientes de navegador que não sejam do Control UI."

Duas das reportagens citam um número diferente. O BleepingComputer diz que a correção foi "lançada na versão 2026.2.26 em 26 de fevereiro", e o SecurityAffairs repete que a 2026.2.26 foi a versão que corrigiu o problema, enquanto seu próprio parágrafo de recomendação orienta os leitores a atualizar para a 2026.2.25 ou posterior. A Infosecurity Magazine, ao cobrir a divulgação em 2 de março de 2026, cita a 2026.2.25. A versão 2026.2.26 existe, mas o npm a registra às 23:59 UTC de 26 de fevereiro, cerca de vinte horas depois da 2026.2.25, e suas notas são um lote separado de reforços de segurança. A correção que o leitor deve procurar é a da 2026.2.25.

O identificador veio depois. O aviso do GitHub foi publicado em 3 de março de 2026 sob CVE-2026-32025, e o registro do NVD para ele foi publicado em 19 de março de 2026 com uma pontuação base CVSS 3.1 de 7,5, classificado como alto pelo NVD como avaliador principal e pela VulnCheck como avaliador secundário. O próprio aviso é mais prudente do que a pontuação: seu campo de gravidade indica moderado, e seu texto chama o bug de "grave, mas condicional", explicitando quatro pré-condições — o gateway acessível via loopback, autenticação por senha em uso, a vítima abrindo conteúdo web controlado pelo atacante e uma senha adivinhável dentro de tentativas viáveis. Ele também afirma claramente o que o bug não é: "Isto não é, por si só, um problema da classe RCE não autenticado exposto à internet; é uma lacuna no reforço de autenticação com origem no navegador local, com impacto significativo nas condições acima."

De onde vem o 42.665, e por que ele não é um número ClawJacked

O resumo do arquivo registra que 42.665 instâncias foram expostas na divulgação e observa que o SecurityScorecard fornece um número diferente, 40.214, das quais 35,4% eram vulneráveis. Nenhuma das três fontes citadas para este registro contém qualquer um dos dois números — Oasis, BleepingComputer e SecurityAffairs descrevem a vulnerabilidade sem indicar uma contagem de base instalada. Ambos os números vêm de outro lugar, e ambos foram publicados antes de o ClawJacked existir.

O 42,665 é uma varredura independente. Maor Dayan, um pesquisador de segurança que publicou suas descobertas no Medium, criou um scanner chamado ClawdHunter v3.0 e o executou sobre dados do Shodan e do Censys coletados entre 28 e 31 de janeiro de 2026, relatando "pelo menos 42,665 instâncias" do OpenClaw publicamente expostas na internet, das quais 5,194 foram verificadas ativamente como vulneráveis e 93.4% dessas verificadas apresentaram um bypass de autenticação. O 40,214 é da equipe STRIKE da SecurityScorecard, em pesquisa publicada em 9 de fevereiro de 2026, que contou instâncias do OpenClaw expostas à internet e sinalizou 15.2K como vulneráveis à execução remota de código, com "35.4% das implantações observadas sinalizadas como vulneráveis". Os próprios itens de resumo da SecurityScorecard fornecem 42.9K endereços IP únicos hospedando painéis de controle expostos, ao lado das 40,214 instâncias confirmadas no texto principal — duas medições diferentes dentro de um único relatório.

Nenhum dos dois números mede o alcance do ClawJacked, porque ambos contam instâncias que respondem em uma interface pública. A precondição do ClawJacked é a configuração oposta: um gateway vinculado ao loopback, em modo de senha, em uma máquina cujo usuário navega para uma página hostil. Um servidor contado em uma varredura de toda a internet pode estar protegido pela própria autenticação e não ser afetado por este bug, enquanto o laptop que nunca aparece em tal varredura é exatamente o alvo descrito pelo Oasis. A própria formulação do arquivo, "no momento da divulgação", portanto, associa uma contagem populacional de janeiro a uma vulnerabilidade de fevereiro. As contagens são medições reais de quanto o OpenClaw estava exposto; não são uma contagem das máquinas que o ClawJacked poderia ter assumido. Este artigo não está julgando uma disputa — o registro não está marcado como disputado —, mas a proveniência dos dois números é verificável e não sustenta o enquadramento "no momento da divulgação".

O que está estabelecido, e o que não está

Estabelecido: que a Oasis Security encontrou a cadeia e a demonstrou em laboratório; que o próprio aviso e as notas de versão da OpenClaw confirmam os três comportamentos — ausência de aplicação de origem para clientes WebSocket de navegador, ausência de limitação de tentativas de senha via loopback, emparelhamento automático silencioso — e que a 2026.2.25 alterou cada um deles; que a correção foi lançada em até um dia após o relatório; e que três veículos fora do próprio blog do descobridor noticiaram o caso. A nota de confiança A do arquivo é coerente com esse registro, e nada aqui é contestado pelas partes envolvidas.

Não comprovado: que alguém o tenha usado. Nenhuma fonte é citada aqui, e nenhuma foi encontrada na cobertura em torno da divulgação que relate um comprometimento no mundo real, uma vítima ou dados obtidos. O da Oasis é uma demonstração de laboratório, e a análise descreve a capacidade do atacante, não um ataque observado. Isso é consistente com o registro do arquivo de que não houve dano real, e é o qualificador mais importante da história: este é um registro de vulnerabilidade, não um relatório de violação.

Dois rótulos em circulação estão errados, e ambos são fáceis de herdar. Vários textos secundários associam o CVE-2026-25253 ao ClawJacked. O registro do NVD para esse identificador descreve uma vulnerabilidade diferente no mesmo produto: o OpenClaw antes de 2026.1.29 aceitando um gatewayUrl de uma string de consulta e conectando-se a ele sem solicitar confirmação enquanto envia um token, um roubo de token com um único clique com pontuação CVSS de 8.8, publicado em 1 de fevereiro de 2026 e corrigido em 29 de janeiro. Essa é a vulnerabilidade de janeiro, com um mecanismo diferente e um patch diferente. O identificador do ClawJacked é CVE-2026-32025. A Infosecurity Magazine, por sua vez, descreveu o ClawJacked como uma injeção indireta de prompt; a cadeia documentada pela Oasis não envolve nenhum prompt nem qualquer decisão do modelo — trata-se de um bypass de autenticação que termina em uma sessão de operador.

O que mudou depois

A OpenClaw corrigiu a falha, publicou o aviso de segurança e creditou o responsável pelo relato, e a CVE foi atribuída dentro de uma semana após a divulgação pública. As recomendações da Oasis às organizações vão além da correção: inventariar quais agentes e assistentes estão em execução nas máquinas dos desenvolvedores, atualizar cada instância, auditar quais credenciais e capacidades cada um detém e revogar o que não estiver em uso, e governar agentes como identidades não humanas, com verificações de intenção, aplicação de políticas, acesso just-in-time e uma trilha de auditoria que vai do humano ao agente e à ação. A empresa vende software nessa última categoria, o que vale saber ao ponderar a última recomendação em relação às três primeiras.

O contexto mais amplo é que o ClawJacked foi um aviso em meio a uma enxurrada. O banco de dados de avisos do GitHub contém um grande lote de avisos do OpenClaw datados de 3 de março de 2026 — o mesmo dia em que o do ClawJacked foi publicado — cobrindo bugs separados de autenticação, emparelhamento, path traversal e escape de sandbox nas versões 2026.2.19 a 2026.2.26. O padrão que o registro do ClawJacked preserva é mais estreito do que "agentes de IA são inseguros" e mais útil: o gateway tratava o loopback como uma fronteira de confiança, e o navegador tornou essa suposição falsa. Qualquer serviço local que isente 127.0.0.1 de limitação de taxa, e qualquer fluxo de emparelhamento de dispositivos que aprove automaticamente chamadores locais, herda o mesmo formato, tenha ou não um modelo de IA por trás. Neste caso, o modelo nunca foi o componente vulnerável — a camada de autenticação ao redor dele era.