OpenClaw 2026.3.28 corrige 8 vulnerabilidades de segurança, incluindo escalonamento de privilégios crítico.
Correções críticas de segurança para OpenClaw
O OpenClaw 2026.3.28 inclui correções para 8 vulnerabilidades de segurança identificadas durante uma auditoria de 3 dias pelo Ant AI Security Lab. A auditoria encontrou 33 problemas no total, com estes 8 confirmados e corrigidos na última versão estável.
Principais vulnerabilidades corrigidas
Os problemas mais significativos incluem:
- Escalação de privilégios de gravidade crítica: Operadores com privilégios mais baixos poderiam aprovar acesso de administrador através do caminho
/pair approve - Fuga de sandbox de alta gravidade: A ferramenta
messagepoderia ser enganada para ler arquivos locais arbitrários usando parâmetros de alias - Bypass de aprovação de emparelhamento de nós de alta gravidade
- Sequestro de sessão WebSocket de alta gravidade
Sistemas afetados
Essas vulnerabilidades afetam configurações de OpenClaw com múltiplos nós e usuários de ferramentas integradas como message ou fal.
Alertas de segurança
Informações detalhadas estão disponíveis nos alertas de segurança do GitHub:
- Crítico - escalação /pair approve: GHSA-hc5h-pmr3-3497
- Alto - fuga de sandbox da ferramenta message: GHSA-v8wv-jg3q-qwpq
- Alto - bypass de aprovação de emparelhamento de nós: GHSA-2x4x-cc5g-qmmg
- Alto - sequestro de sessão WebSocket: GHSA-2pr2-hcv6-7gwv
Atualize para o OpenClaw 2026.3.28 imediatamente se ainda não o fez.
📖 Read the full source: r/openclaw
👀 See Also
Bypass de guardrail da IA Claude observado ao enquadrar solicitações como tarefas de segurança de rede
Um usuário do Reddit descobriu que o Claude AI fornece listas de domínios de pirataria quando as solicitações são enquadradas como tarefas de segurança de rede para bloqueio, contornando os mecanismos normais de recusa. O modelo reconheceu ter interpretado mal a intenção depois que o usuário apontou a influência do enquadramento.
A Abordagem de Segurança em Primeiro Lugar do IronClaw para a Segurança de Agentes de IA
IronClaw aborda as preocupações de segurança dos agentes de IA implementando execução restrita, ambientes criptografados e permissões explícitas, em vez de depender da inteligência do LLM para um comportamento seguro.
Preocupações de Segurança do OpenClaw: Chaves de API e Dados de Conversação em Risco na Hospedagem Própria Padrão
Um relatório da Cisco indica que a segurança do OpenClaw é "opcional, não integrada", com configurações padrão armazenando chaves de API em arquivos .env em instâncias VPS, criando uma exposição potencial para usuários não técnicos que executam em droplets básicos.
A2A Secure: Como os Desenvolvedores Construíram Comunicação Criptográfica Entre Agentes OpenClaw
Um novo protocolo permite que agentes OpenClaw se comuniquem de forma segura usando assinaturas Ed25519 sem chaves de API compartilhadas.