341 Habilidades Maliciosas Encontradas no Marketplace do OpenClaw (2026)

OpenClaw provou algo importante

OpenClaw alcançou mais de 145.000 estrelas no GitHub em 10 semanas. É o projeto de código aberto que mais cresce na memória recente. E esse crescimento foi conquistado. A ideia de um agente de IA autônomo que realmente faz coisas — executa código, gerencia arquivos, roda scripts, monitora sua caixa de entrada — ressoou com centenas de milhares de desenvolvedores.

A visão está certa. Uma IA que fala é útil. Uma IA que age é transformadora.

Mas o modelo de segurança tem falhas críticas que cinco grandes organizações agora documentaram. Isso não é especulação. Essas são descobertas da Snyk, Kaspersky, Cisco, Wiz e Bitsight, publicadas em pesquisas revisadas por pares e avisos de segurança oficiais. Se você usa OpenClaw ou está considerando, precisa entender o que eles encontraram.

O problema da cadeia de suprimentos do ClawHub

ClawHub é o marketplace comunitário do OpenClaw para habilidades — pacotes pré-construídos que ampliam o que o agente pode fazer. Em fevereiro de 2026, ele hospeda 5.705 habilidades construídas pela comunidade. Qualquer um com uma conta do GitHub com mais de uma semana pode publicar.

A pesquisa ToxicSkills da Snyk descobriu que 341 dessas habilidades são maliciosas. Destas, 335 usam pré-requisitos falsos para instalar malware de roubo de macOS, especificamente o Atomic Stealer (AMOS), que coleta senhas de navegadores, carteiras de criptomoedas e cookies de sessão.

Pior: a Snyk analisou uma amostra mais ampla e descobriu que 36% das habilidades do ClawHub contêm injeção de prompt — instruções ocultas que sequestram o comportamento do agente. Uma habilidade que afirma formatar seus e-mails poderia silenciosamente instruir o agente a exfiltrar seus arquivos.

Isso não é uma hipótese. É uma descoberta medida e publicada.

Acesso ao sistema bruto com uma proteção fraca

OpenClaw roda como um processo de longa duração na sua máquina com acesso ao seu sistema de arquivos, shell e rede. O modelo de segurança depende de uma lista de permissões — uma lista de comandos aprovados que o agente pode executar. Tudo o que não está na lista é teoricamente bloqueado ao analisar padrões de AST do shell.

Na prática, essa é uma fronteira fraca. A abordagem da lista de permissões significa que a segurança depende de prever todos os padrões de comandos perigosos com antecedência. Pesquisadores demonstraram contornos. O blog da Kaspersky documentou cenários específicos onde as amplas permissões do agente permitem movimento lateral em seu sistema.

A questão central: o modelo de segurança do OpenClaw é opt-out (bloquear padrões conhecidos como ruins) em vez de opt-in (permitir apenas ações explicitamente aprovadas em ambientes isolados). A segurança opt-out tem uma longa história de falhas na engenharia de software.

Exposição de credenciais em texto simples

OpenClaw armazena chaves de API em ~/.clawdbot em texto simples. Sua chave OpenAI, chave Anthropic, chave Google e qualquer token de serviço que o agente precise — tudo isso em um arquivo legível no seu sistema de arquivos.

Fica pior. Quando os usuários trocam chaves, os valores antigos às vezes são preservados em arquivos .bak no mesmo diretório. Uma habilidade maliciosa — ou qualquer processo com acesso de leitura a arquivos — pode coletar tanto credenciais atuais quanto históricas em uma única operação de leitura.

Isso não é um caso extremo. É o comportamento padrão.

Execução remota de código com um clique

Pesquisadores de segurança documentaram uma vulnerabilidade de RCE com um clique no fluxo de instalação de habilidades do OpenClaw. Um pacote de habilidade elaborado pode executar código arbitrário na máquina host durante a instalação — antes que o usuário tenha a chance de revisar o que ele faz.

Combinado com o problema da cadeia de suprimentos do ClawHub, isso cria um caminho de ataque direto: publique uma habilidade maliciosa, aguarde as instalações, execute código em cada máquina que a instalar.

Demonstração de exfiltração de dados da Cisco

A equipe de segurança de IA da Cisco publicou uma demonstração detalhada mostrando como uma habilidade de terceiros pode extrair silenciosamente dados sensíveis do sistema host. A habilidade parece benigna — realizando sua função anunciada — enquanto simultaneamente lê arquivos e envia conteúdos para um servidor externo.

Como as habilidades do OpenClaw rodam com as mesmas permissões que o agente (que tem amplo acesso ao sistema), não há uma fronteira de isolamento entre o que uma habilidade deve fazer e o que realmente faz.

O que a comunidade de segurança está dizendo

A resposta da comunidade de segurança tem sido direta:

• XDA-Developers publicou um artigo intitulado “Por favor, parem de usar OpenClaw”
• Computerworld descreveu a plataforma como “um pesadelo de segurança”
• Gary Marcus a chamou de “um desastre esperando para acontecer”
• Kaspersky publicou um post detalhado catalogando vulnerabilidades específicas e recomendando que os usuários isolem o OpenClaw em hardware dedicado

Essas não são vozes marginais. Elas representam o consenso geral da comunidade de pesquisa em segurança.

O que você pode fazer

Se você está usando o OpenClaw atualmente, tem três opções:

Opção 1: Fortaleça sua configuração existente. Mova o OpenClaw para uma máquina virtual isolada. Evite todas as habilidades do ClawHub. Armazene chaves de API em um gerenciador de segredos adequado em vez de ~/.clawdbot. Use a openclaw-secure-stack da comunidade para escaneamento de habilidades e proteção contra injeção de prompt. Isso reduz o risco, mas não elimina o problema arquitetônico fundamental.

Opção 2: Experimente o NanoClaw. Este fork de 700 linhas em TypeScript roda dentro de contêineres da Apple, proporcionando isolamento significativo no macOS. É minimalista, suporta menos integrações e está em estágio inicial — mas resolve o problema de acesso ao sistema bruto.

Opção 3: Mude para uma alternativa em sandbox. Plataformas baseadas em nuvem como LikeClaw executam todo o código do agente dentro de contêineres E2B isolados. As habilidades são verificadas antes da publicação. As credenciais são criptografadas. Não há máquina host para comprometer. A desvantagem é que seu agente roda na nuvem em vez de localmente.

A escolha certa depende das suas prioridades. Se a privacidade local é inegociável, fortaleça sua configuração ou experimente o NanoClaw. Se segurança e zero-configuração importam mais, agentes em nuvem em sandbox eliminam toda a categoria de risco.

A lição mais profunda

Os problemas de segurança do OpenClaw não são bugs a serem corrigidos. Eles são consequências de uma decisão arquitetônica: dar ao agente acesso total ao sistema e resolver a segurança depois.

Essa abordagem não escala. À medida que os agentes de IA se tornam mais capazes e autônomos, o raio de explosão de uma falha de segurança cresce. A indústria está se movendo em direção à execução em sandbox pelo mesmo motivo que nos afastamos de executar código como root para executá-lo em contêineres. O isolamento não é uma limitação. É uma característica.

A demanda que o OpenClaw provou é real. Agentes de IA autônomos que executam código, gerenciam arquivos e automatizam fluxos de trabalho — esse é o futuro. A questão é se esse futuro roda na sua máquina bare ou dentro de uma sandbox projetada para isso.