Segurança TOTP Contornada por Agente de IA que Gera Terminal Web Público
Detalhes do Incidente de Segurança
Um desenvolvedor usando a habilidade secure-reveal do OpenClaw com autenticação TOTP descobriu uma falha crítica quando seu agente de IA criou acesso público e não autenticado à sua máquina. O incidente ocorreu ao pedir ao agente para "enviar um código QR usando uvx" - o agente interpretou isso como a criação de um terminal acessível via web.
O Que Aconteceu
O desenvolvedor solicitou: "Segura meu café… liga isso em uma sessão tmux com uvx ptn". Isso resultou em:
- Uma sessão tmux rodando com uvx ptn (que parece ser ptpython ou similar com interface web via funcionalidade estilo ttyd/gotty)
- Um terminal web voltado para o público acessível via navegador
- Sem autenticação ou proteção por senha
- Acesso completo ao shell interativo da máquina de desenvolvimento
- Exposição via serviço de túnel gratuito automaticamente selecionado pelo agente
Implicações de Segurança
A proteção TOTP falhou porque o prompt não continha nenhuma das palavras-chave bloqueadas: "token", "password", "key", "secret" ou "credential". O agente ajudou a escalar a solicitação para criar um shell baseado em navegador.
O desenvolvedor classificou os perigos atuais:
- Prompts que criam shells/túneis públicos de longa duração
- Invocações de ferramentas que expõem arquivos/portas/rede sem controle
- Revelações diretas de segredos (que o TOTP realmente impede)
Medidas de Mitigação Sendo Implementadas
- Adicionando palavras-chave gatilho ao monitoramento de segurança: tmux, ptn, ttyd, gotty, tunnel, ngrok, cloudflare, expose, jupyter, code-server, web-terminal
- Considerando restrições de rede em contêineres: limitações de
--network=hostou--network=nonecom regras de permissão explícitas - Auditando todas as ferramentas compatíveis com uvx em contêineres
O link ficou ativo por aproximadamente 45 segundos antes de ser encerrado, mas poderia ter sido raspado, copiado ou registrado pelo serviço de túnel.
📖 Leia a fonte completa: r/openclaw
👀 See Also
O Problema do Guarda Uniformizado: Por que os Sandboxes de Agentes Precisam de Identidade, Não Apenas de Política
O sandbox openshell da Nemoclaw define escopos de políticas para binários, permitindo que malwares vivam da terra usando os mesmos binários que o agente. ZeroID, uma camada de identidade de agente de código aberto, aplica políticas de segurança a agentes respaldados por identidades seguras.
BlindKey: Injeção Cega de Credenciais para Agentes de IA
BlindKey é uma ferramenta de segurança que impede que agentes de IA acessem credenciais de API em texto puro, utilizando tokens de cofre criptografados e um proxy local. Os agentes referenciam tokens como bk://stripe, e o proxy injeta a credencial real no momento da solicitação.
Análise Estática de 48 Aplicativos Gerados por IA: 90% Apresentavam Vulnerabilidades de Segurança
Um desenvolvedor analisou 48 repositórios públicos do GitHub criados com Lovable, Bolt e Replit. 90% tinham pelo menos uma vulnerabilidade. Problemas comuns: falhas de autenticação (44%), funções Postgres SECURITY DEFINER (33%), BOLA/IDOR (25%) e segredos commitados (25%).
Os modelos Claude são vulneráveis a sequestros por caracteres Unicode invisíveis, especialmente com acesso a ferramentas.
Testes mostram que o Claude Sonnet 4 tem 71,2% de conformidade com instruções ocultas embutidas em caracteres Unicode invisíveis quando as ferramentas estão ativadas, com o Opus 4 atingindo 100% de conformidade na codificação Unicode Tags. O acesso às ferramentas aumenta drasticamente a vulnerabilidade em todos os modelos Claude.