NemoClaw CVE-2026-65105: Uma única visita pelo navegador reescreveu o template de chat do modelo

Em 25 de agosto de 2026, a NVIDIA publicou o boletim de segurança 5872 e classificou como Alta, com pontuação base CVSS de 8,1, uma falha no NVIDIA NemoClaw, a ferramenta Linux que executa agentes OpenClaw dentro de sandboxes OpenShell. A CVE-2026-65105 é uma vulnerabilidade de falta de autenticação: o NemoClaw inicia o servidor de inferência Ollama em todas as interfaces de rede, e a API do Ollama não tem autenticação própria. Pesquisadores da Oasis Security — creditados nominalmente nos agradecimentos da NVIDIA, e com a Oasis Security agora em processo de aquisição pela Cyera — criaram uma demonstração na qual uma única visita a uma página da web controlada por um atacante bastava para alcançar esse servidor de dentro do navegador e reescrever o template de chat do modelo — uma edição que sobreviveu a conversas posteriores e persistiu mesmo depois de o agente fornecer seu próprio prompt de sistema. Não foi registrada nenhuma exploração em ambiente real. A entrada completa, com suas classificações de gravidade e confiança, está no Orca AI Incident Archive ao lado dos incidentes vizinhos do mesmo mês.

O que a NVIDIA publicou

O boletim intitula-se «Boletim de Segurança: NVIDIA NemoClaw e OpenShell - agosto de 2026», tem o número 5872 e o seu histórico de revisões contém uma única entrada: versão 1.0.0, datada de 2026-08-25. Trata-se de uma compilação, não de um aviso relativo a uma única CVE — a tabela de produtos afetados incluída no boletim lista dezoito CVEs em dois produtos, de CVE-2026-65081 a CVE-2026-65105. O item mais relevante do lote é CVE-2026-65093, uma fuga de sandbox no NVIDIA OpenShell for Linux classificada como 9,9 Crítica.

Para a CVE-2026-65105, o boletim declara que a falha "em sua configuração do servidor de inferência, na qual um atacante remoto pode acessar o serviço de inferência sem autenticação", e que um exploit bem-sucedido "pode levar à divulgação de informações e à negação de serviço". O vetor publicado é CVSS:3.1/AV:A/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:H — rede adjacente, baixa complexidade, sem privilégios, sem interação do usuário, alto impacto na confidencialidade, alto impacto na disponibilidade — e a classe de fraqueza é CWE-306, "Ausência de autenticação para função crítica".

A tabela de produtos afetados da NVIDIA indica as versões afetadas como "0 to 0.0.25" para o NemoClaw no Linux, e a versão atualizada como "f06796ff3; 0.0.25" — um hash de commit emparelhado com o mesmo número de versão que aparece na coluna de afetados. O eSecurity Planet, ao noticiar a falha em 27 de agosto de 2026, destaca exatamente essa sobreposição e aconselha os administradores a "verificar se o código implantado contém o commit de correção em vez de confiar apenas no número da versão".

A seção de agradecimentos atribui crédito a "CVE-2026-65105: Markus Halvorsen, Elad Luz, da Oasis Security". O registro do NVD para a CVE foi publicado em 25 de agosto de 2026 às 21:17 UTC e modificado pela última vez em 1 de setembro de 2026; ele apresenta a pontuação 8,1 da NVIDIA como a única avaliação CVSS v3.1, e a CVE não aparece no catálogo Known Exploited Vulnerabilities da CISA.

Vale nomear, em vez de suavizar, um detalhe na própria entrada da NVIDIA. O vetor não tem nenhum componente de integridade — I:N, impacto na integridade nenhum — e a descrição de uma linha menciona apenas divulgação de informações e negação de serviço. A alegação central dos pesquisadores, discutida abaixo, é que o chat template do modelo foi modificado e permaneceu modificado. Essa leitura do vetor é nossa, não da NVIDIA: a empresa não publicou nenhuma declaração sobre se o caminho de reescrita do template foi considerado quando a pontuação foi atribuída.

A configuração que tornou um servidor local acessível

O NemoClaw implanta agentes OpenClaw dentro de um sandbox OpenShell e oferece suporte ao Ollama como backend de inferência local. O problema de configuração é um efeito colateral dessa disposição. Como explica o relatório de pesquisa da Cyera, de autoria de Elad Luz e Ofek Itach, o OpenShell roda em Docker, de modo que um servidor Ollama no endereço de loopback padrão fica inacessível de dentro do contêiner. Por isso, o NemoClaw inicia o Ollama com OLLAMA_HOST=0.0.0.0:11434, o que vincula a porta 11434 a todas as interfaces, e não apenas ao loopback do host. O mesmo relatório observa que o instalador exibe "Using Ollama on localhost:11434", ainda que a vinculação real seja consideravelmente mais ampla.

A API do Ollama não tem autenticação. Suas defesas voltadas ao navegador são duas: um middleware CORS que trata uma requisição cujo Origin é igual ao seu Host como mesma origem e permite que requisições sem cabeçalho Origin passem, e uma etapa de validação do cabeçalho Host que normalmente aceita apenas nomes de host locais. A segunda defesa é a que desaparece sob a configuração do NemoClaw. O relato da Cyera é explícito: "quando o Ollama está vinculado a um endereço não-loopback (como 0.0.0.0), a validação do cabeçalho Host é ignorada por completo" — o código verifica se o endereço de vinculação é loopback e, caso contrário, contorna a verificação.

Essa combinação é o que faz o DNS rebinding funcionar. Um visitante carrega uma página de um domínio controlado pelo atacante, com o JavaScript da página acessando a porta 11434. O DNS do atacante então resolve novamente esse mesmo domínio para 127.0.0.1 ou para um endereço na rede local da vítima. Como a política de mesma origem do navegador é vinculada ao hostname, e o hostname não mudou, o navegador continua tratando a solicitação como de mesma origem. O Ollama a recebe, ignora a validação de Host porque seu bind não é loopback e vê Origin igual a Host — ambos sendo o domínio do atacante —, então a camada CORS permite. O resumo da Cyera do resultado é “acesso total e não autenticado à API”. O atacante precisa controlar apenas o próprio domínio; não é necessário nenhum ponto de apoio na rede ou na infraestrutura de DNS da vítima.

O sandbox não cobriu isto porque a falha está abaixo dele. A eSecurity Planet descreve o bug como estando "na camada de inferência sob esses controles de sandbox", de modo que colocar o agente em sandbox deixou o servidor de modelo com que ele fala desprotegido. A Cyera faz a mesma observação de forma mais ampla: "Colocar o agente em sandbox é necessário, mas não suficiente." A nota de pesquisa da Cloud Security Alliance sobre o caso, datada de 27 de agosto de 2026, acrescenta que a vinculação não-loopback reativa a exposição por trás de um problema anterior de rebinding do Ollama, rastreado como CVE-2024-28224.

Vale a pena dizer com clareza, porque se trata de um caminho de exposição distinto do ataque pelo navegador: vincular a 0.0.0.0 também coloca a API não autenticada diretamente na rede local, de modo que qualquer host capaz de rotear para a porta 11434 a alcança sem precisar de DNS rebinding.

De um template legível para um reescrito

Assim que o JavaScript consegue alcançar a API, o reconhecimento é trivial. A Cyera lista o que estava acessível na demonstração: os nomes, tamanhos, famílias e quantizações dos modelos instalados a partir de GET /api/tags, a versão exata do Ollama a partir de GET /api/version, os detalhes do modelo, os prompts de sistema, os templates e as licenças a partir de POST /api/show, e o nome do host e a chave pública — ou o nome de usuário conectado — a partir de POST /api/me. Os endpoints destrutivos também estavam acessíveis: POST /api/pull para baixar modelos arbitrários e encher o disco, POST /api/push para enviar modelos ao ollama.com na conta da vítima, DELETE /api/delete para remover os modelos da vítima e POST /api/signout. Os endpoints de inferência, incluindo a rota /v1/chat/completions compatível com OpenAI, executariam prompts na GPU da vítima.

A persistência veio de um desses endpoints. O relatório da Cyera explica que injetar um campo de sistema oculto por meio de POST /api/create foi ineficaz contra o OpenClaw, porque o agente envia seu próprio prompt de sistema no array de mensagens e isso substitui o campo de sistema interno do modelo. A rota mais forte é o campo template que /api/create também aceita. Um template de chat do Ollama é um template Go que controla como as mensagens são renderizadas em texto bruto antes da inferência, e "o template é aplicado no momento da inferência a todas as mensagens, incluindo qualquer prompt de sistema que o cliente envie". Na demonstração, o atacante buscou o template original por meio de /api/show, inseriu a injeção nele mantendo intactos a renderização de ferramentas, os tokens especiais e a formatação de papéis, e o reenviou.

O que decorre dessa colocação é a parte que importa. Segundo a Cyera, a modificação persiste em todas as futuras conversas com o modelo, sobrevive a prompts de sistema fornecidos pelo cliente, é invisível ao usuário porque o nome, o tamanho, os metadados e as capacidades do modelo parecem inalterados, e afeta todos os consumidores do modelo — clientes de CLI, de API e agentes. A própria formulação do relatório é que "o cliente não consegue detectar ou impedir isso", porque o template é "uma propriedade no nível do modelo invisível aos consumidores da API". O CSO Online, ao noticiar o caso em 26 de agosto de 2026, cita Luz descrevendo o template como algo que está "uma camada abaixo de tudo o que um guardrail ou um operador possa ver", e observa que a alteração sobrevive a todas as futuras sessões.

As consequências que a Cyera lista para um agente executado em um template envenenado são potenciais, não observadas: inserir vulnerabilidades no código gerado, suprimir avisos de segurança, direcionar recomendações para pacotes, URLs ou configurações controlados pelo atacante e exfiltrar dados de conversas ou arquivos onde exista acesso de saída. O relatório também é cuidadoso quanto ao que o sandbox ainda limita — ações no filesystem, na rede e em processos em nível de host — enquanto observa que o acesso autorizado do agente a controle de código-fonte, CI/CD, APIs internas, serviços de nuvem e servidores MCP é onde reside a exposição real.

O que a demonstração mostrou, e o que não mostrou

A prova de conceito ocorreu em quatro etapas, como a Cyera descreve. Os pesquisadores se conectaram a um sandbox do NemoClaw e enviaram um prompt; o agente respondeu normalmente. Em seguida, abriram uma página web que realizou DNS rebinding contra o servidor Ollama local. Essa página leu a versão do Ollama, os modelos instalados, o nome do host e a chave pública, e envenenou o template do modelo com uma instrução oculta. Reenviar o mesmo prompt retornou uma resposta contendo o marcador injetado, sem que nenhuma alteração fosse feita no próprio agente isolado em sandbox.

Essa é a forma mais forte da alegação feita pelos pesquisadores, e é também onde começam os limites do registro. Trata-se de uma demonstração sob uma configuração específica — Ollama iniciado com OLLAMA_HOST=0.0.0.0:11434 — e não de um levantamento de sistemas implantados. Nenhuma vítima é nomeada em qualquer lugar da cobertura revisada para este artigo: nem no boletim da NVIDIA, nem no registro do NVD, nem no texto da Cyera, nem nas reportagens do CSO Online ou do eSecurity Planet. Nenhum deles publicou uma contagem de instalações do NemoClaw expostas, e nenhum deles relata exploração em campo. A ausência de uma listagem no CISA KEV é um fato sobre o catálogo, não uma prova de que ninguém tentou.

Comentário independente veio de Randolph Barr, da Cequence Security, citado pelo CSO Online: “O DNS rebinding tem sido um truque de festa de navegador há mais de uma década”, disse ele, enquanto “apontá-lo para um servidor de modelo local não autenticado é a parte nova”. Essa é uma descrição justa da novidade aqui — a técnica de navegador é antiga e a classe de alvo é nova — e também é um lembrete de que a divulgação se baseia na demonstração de uma única equipe de pesquisa. Nenhuma replicação independente do resultado de envenenamento de template foi encontrada na cobertura revisada para este artigo.

A correção, e a lacuna do Windows

O commit que a NVIDIA indica como a correção, f06796ff3, tem o título "fix(security): vincular o Ollama ao localhost com proxy autenticado". Quando confrontado com o repositório público, ele faz três coisas. Altera o caminho de inferência local para que o Ollama seja iniciado em 127.0.0.1:11434 em vez de 0.0.0.0:11434. Adiciona um pequeno proxy reverso autenticado, scripts/ollama-auth-proxy.js, que escuta em 0.0.0.0:11435 e valida um token bearer gerado por instância no onboarding e armazenado na credencial do provedor OpenShell, para que o gateway em contêiner ainda possa alcançar a inferência, enquanto qualquer acesso sem o token recebe 401; GET /api/tags é deliberadamente isento para verificações de integridade do contêiner. E atualiza o script de configuração e os testes de inferência local para a porta do proxy. A mensagem de commit registra o ticket interno como "PSIRT bug 6002780, CVSS 7.5 High", em contraste com a pontuação 8.1 que a NVIDIA publicou posteriormente para a CVE.

O status de remediação além desse commit é onde as fontes divergem, e a divergência deve ser relatada em vez de resolvida. A CSO Online relata que "a falha agora foi corrigida pela Nvidia para sistemas não Windows". A nota da Cloud Security Alliance de 27 de agosto de 2026 é mais específica: diz que macOS e Linux foram corrigidos na v0.0.35, que uma compilação posterior, a v0.0.106, se recusa a iniciar a menos que o Ollama esteja vinculado ao loopback, e que "a remediação da NVIDIA abrange macOS e Linux, mas, até a publicação, não se estende ao Windows ou ao WSL". Nesse relato, a verificação de inicialização "não alcança o caminho de código usado no Windows e no WSL", a v0.0.34 "adicionou apenas um aviso em vez de impor a vinculação ao loopback", e "as implantações em Windows e WSL permaneceram expostas no momento da divulgação". O próprio boletim da NVIDIA sustenta apenas parte disso: sua tabela de produtos afetados restringe o CVE-2026-65105 ao Linux, indica um único commit e uma única versão atualizados e não lista nenhuma entrada para Windows, nem como afetado nem como corrigido. A NVIDIA não respondeu a essa discrepância em nenhum documento revisado aqui.

A declaração pública da NVIDIA veio após a publicação, no CSO Online: “Agradecemos a descoberta e o relatório dos pesquisadores”, disse a empresa, acrescentando que “a Nvidia lançou uma atualização que os clientes podem baixar e instalar”.

As medidas do lado do operador listadas pela eSecurity Planet são o remanescente prático do registro:

• Atualize o NemoClaw e confirme que o código implantado contém o commit f06796ff3, em vez de confiar na string de versão, já que 0.0.25 aparece tanto na coluna afetada quanto na atualizada.

• Restrinja o Ollama a 127.0.0.1, a menos que seja explicitamente necessário um acesso mais amplo, o que remove a vinculação fora do loopback que faz com que a validação de Host seja ignorada.

• Coloque um proxy autenticado e controles de firewall à frente dos serviços de inferência, em vez de confiar no limite de rede da própria aplicação.

• Monitorize as interfaces de escuta, os templates de modelo, as configurações do modelo e a atividade da API para detetar alterações inesperadas, uma vez que o template envenenado deixa o nome, o tamanho e os metadados do modelo intactos.

• Mantenha cópias de referência confiáveis de templates de modelos e configurações para detecção e recuperação de adulteração, e teste planos de resposta a incidentes para envenenamento de modelos e inferência exposta — isolamento, verificações de integridade, rotação de credenciais e restauração.

• Aplique o princípio do menor privilégio a tudo o que o agente possa acessar: repositórios, sistemas de CI/CD, APIs, recursos de nuvem e credenciais, pois a sandbox limita as ações no host, mas não as permissões concedidas ao agente.

O que está estabelecido, o que é atribuído e o que não se sabe

Estabelecido.A NVIDIA publicou o boletim 5872 em 25 de agosto de 2026 com CVE-2026-65105 classificado como 8,1 Alta, CWE-306, afetando NemoClaw para Linux versões 0 a 0.0.25 e corrigido no commit f06796ff3. O registro do NVD corrobora a pontuação, o vetor e a classe de fraqueza independentemente da própria página do boletim. O reconhecimento da NVIDIA cita Markus Halvorsen e Elad Luz, da Oasis Security. O commit público indicado como a correção altera a vinculação para loopback e introduz um proxy autenticado por token na porta 11435. A CVE não está no catálogo de Vulnerabilidades Exploradas Conhecidas da CISA.

Atribuído. Que uma única visita a uma página da web seja suficiente para reescrever o template de chat de um modelo e que a alteração sobreviva a sessões posteriores e a prompts de sistema fornecidos pelo cliente é a descoberta da Oasis Security, relatada no artigo de pesquisa da Cyera e divulgada pela CSO Online e pela eSecurity Planet. Que o macOS e o Linux tenham sido corrigidos na v0.0.35 e na v0.0.106, enquanto o Windows e o WSL tenham recebido apenas um aviso na v0.0.34, é o relato da Cloud Security Alliance; a versão mais curta da CSO Online da mesma alegação é que o patch abrange sistemas não Windows. A lista de consequências downstream para agentes — código vulnerável, avisos suprimidos, pacotes direcionados pelo atacante, exfiltração de dados — é a descrição da Cyera de efeitos potenciais, não de um resultado observado.

Não estabelecido. Quantas implantações do NemoClaw foram executadas com o bind 0.0.0.0, e quantas eram acessíveis a partir de uma rede adjacente, não foi publicado por ninguém. Se o caminho de envenenamento foi considerado na pontuação 8.1 da NVIDIA é desconhecido — o vetor publicado não traz impacto à integridade, e a NVIDIA não disse nada sobre isso em nenhum sentido. Nenhuma vítima, nenhum relatório de incidente e nenhuma exploração em ambiente real foi registrado por qualquer fonte revisada aqui, e nenhum segundo grupo de pesquisa publicou uma replicação.

O registro em si é um achado de pesquisa, não um evento de implantação: a entrada do arquivo traz severidade alta com grau de confiança A, não registra dano no mundo real e o marca como incontroverso. Isso corresponde ao que as fontes mostram — uma vulnerabilidade bem documentada, com um exploit demonstrado e nenhuma vítima relatada — e é a razão pela qual este texto separa a demonstração de suas consequências, em vez de tratar as duas como uma única afirmação.