Vulnerabilidades Críticas de Segurança do OpenClaw Corrigidas em 28/03/2026.
Problemas Críticos de Segurança no OpenClaw Core
O Ant AI Security Lab identificou 33 vulnerabilidades no framework do OpenClaw, com 8 problemas críticos corrigidos na versão 2026.3.28. Essas vulnerabilidades expõem problemas fundamentais de limites de confiança em como os agentes são implantados.
Vulnerabilidades Específicas e Seu Impacto
Bypass do Isolamento da Sandbox
Nas versões ≤2026.3.24, a ferramenta message aceita aliases mediaUrl e fileUrl que contornam a validação da sandbox. Isso permite que agentes restritos a uma sandbox leiam arquivos locais arbitrários através desses parâmetros de alias, tornando o isolamento ineficaz.
Escalonamento de Privilégios via Emparelhamento de Dispositivo
O caminho do comando /pair approve estava chamando a aprovação do dispositivo sem encaminhar os escopos do chamador para a verificação principal. Isso significa que usuários com privilégios básicos de emparelhamento poderiam aprovar solicitações de dispositivos pendentes que pediam escopos mais amplos, incluindo acesso total de administrador, efetivamente concedendo a si mesmos permissões que não possuem.
Ineficácia da Revogação de Token
Quando tokens são revogados para dispositivos suspeitos de comprometimento, o gateway apenas atualiza as credenciais armazenadas sem desconectar as sessões WebSocket já autenticadas. Dispositivos revogados podem continuar usando sessões ativas até que as conexões caiam naturalmente.
Vulnerabilidade SSRF no Provedor de Imagem
Ao usar o provedor fal para geração de imagens, ele utiliza buscas brutas tanto para o tráfego da API quanto para downloads de imagens, ignorando o caminho de busca protegido contra SSRF. Isso permite que retransmissores maliciosos forcem o gateway a buscar URLs internas e expor respostas de serviços internos através do pipeline de imagens.
Degradação da Lista de Permissões
Listas de permissão de grupo em nível de rota para plataformas como Google Chat ou Zalo estavam sendo silenciosamente rebaixadas de allowlist para open em vez de preservar as políticas de grupo. Isso permite que qualquer membro do espaço permitido interaja com o bot, ignorando restrições em nível de remetente.
Ações Imediatas Necessárias
- Verifique sua versão do OpenClaw. Se for ≤2026.3.24, atualize para 2026.3.28 imediatamente.
- Revise os logs de emparelhamento para quaisquer concessões de administrador inesperadas.
- Se você revogou um token recentemente, reinicie forçadamente seu gateway para encerrar sessões WebSocket remanescentes.
A auditoria do Ant AI Security Lab revela que, embora muita atenção se concentre em riscos de segurança de LLM como injeção de prompt, a própria validação de parâmetros e limites de confiança do framework apresentam vulnerabilidades críticas. Todos os 8 avisos da auditoria estão publicamente disponíveis na aba de segurança do GitHub do OpenClaw.
📖 Read the full source: r/openclaw
👀 See Also
Camadas de Defesa Empilhadas Reduzem Injeção de Prompt a 0 no Claude Code
O Boris Cherny, da Anthropic, afirma que defesas em camadas — treinamento, classificadores de intenção e sondas de entrada — reduzem a injeção de prompt a 0% em ataques desconhecidos. O classificador agora é gratuito.
Chatbot Claude explorado em violação de dados do governo mexicano
Um hacker usou o chatbot Claude da Anthropic para atacar várias agências governamentais mexicanas, roubando 150GB de dados, incluindo registros de contribuintes e credenciais de funcionários. O hacker fez jailbreak no Claude com prompts para contornar as proteções e gerar milhares de planos de ataque detalhados.
Preocupações de Segurança do OpenClaw: Chaves de API e Dados de Conversação em Risco na Hospedagem Própria Padrão
Um relatório da Cisco indica que a segurança do OpenClaw é "opcional, não integrada", com configurações padrão armazenando chaves de API em arquivos .env em instâncias VPS, criando uma exposição potencial para usuários não técnicos que executam em droplets básicos.
Isolamento de Agentes de IA Locais com MicroVMs Firecracker
Um desenvolvedor criou um ambiente isolado que executa agentes de IA dentro de microVMs Firecracker rodando Alpine Linux, abordando preocupações de segurança sobre agentes executando comandos diretamente na máquina hospedeira. A configuração usa vsock para comunicação e se conecta ao Claude Desktop através do MCP.