Alerta Máximo: Falha Crítica no Clawdbot Expõe Dados com Ataques de Prompt Injection

Uma vulnerabilidade de segurança crítica foi identificada no agente de IA autônomo Clawdbot, agora também conhecido como Moltbot, que permite a exploração por meio de ataques de prompt injection, colocando em risco dados sensíveis de usuários. A falha explora a capacidade do agente de executar comandos, ler arquivos e interagir com múltiplas plataformas, como e-mail, Slack, Telegram e WhatsApp, sem as devidas salvaguardas em suas configurações padrão.

Pesquisas de segurança indicam que, quando explorado, o agente pode ser manipulado para ignorar suas instruções de segurança originais e executar ações maliciosas, como a exfiltração de dados confidenciais. A natureza autônoma do Clawdbot amplifica o risco, pois comandos injetados podem ser executados continuamente, sem a necessidade de interação imediata do usuário, estabelecendo essencialmente backdoors persistentes controlados por atacantes.

A Natureza da Vulnerabilidade de Prompt Injection

O prompt injection é considerado a principal ameaça de segurança para aplicações baseadas em Modelos de Linguagem de Grande Escala (LLMs) e agentes de IA, sendo comparado por especialistas à injeção de SQL da era anterior. Este tipo de ataque ocorre quando uma entrada maliciosa, injetada em um prompt, engana o LLM para que ele sobreponha suas instruções de sistema pré-definidas e obedeça aos comandos do invasor.

No caso específico do Clawdbot, a vulnerabilidade se manifesta de diversas formas, incluindo a injeção direta e a injeção indireta, onde a instrução maliciosa está contida em um dado externo que o agente processa, como um e-mail ou uma página da web. Um exemplo prático demonstrado por pesquisadores envolveu o envio de um e-mail contendo um prompt oculto que instruía o Clawdbot a ler o conteúdo da caixa de entrada do usuário e enviá-lo para um endereço controlado pelo atacante, tudo em questão de segundos e sem que o usuário percebesse.

Riscos Críticos e Acesso a Dados

A gravidade da falha está diretamente ligada ao extenso acesso que o Clawdbot recebe por padrão. O agente, projetado para ser um assistente pessoal que executa ações no sistema do usuário, pode ter acesso a um vasto repositório de informações sensíveis. Relatórios de auditorias de segurança apontam que instâncias comprometidas podem expor:

Chaves de API e Tokens: Incluindo chaves da Anthropic, tokens de bot do Telegram e segredos do Slack OAuth.
Arquivos de Conversa: Meses de mensagens privadas e anexos de plataformas como Signal, Telegram, Slack, Discord e WhatsApp.
Repositórios de Credenciais: Tokens de sessão e chaves de API de serviços integrados armazenados em arquivos de configuração de texto simples (plaintext) em diretórios como ~/.clawdbot/.
Acesso de Execução: Em casos de exposição pública sem autenticação, atacantes podem obter execução de comandos remotos (RCE) no sistema hospedeiro.

A própria documentação do Clawdbot reconhece a natureza arriscada do sistema, afirmando que não existe uma configuração “perfeitamente segura” ao operar um agente de IA com acesso ao shell.

Veja também:

Exposição Pública e Ataques Ativos

Um fator agravante é a descoberta de centenas de implementações do Clawdbot expostas diretamente na internet pública, muitas delas sem qualquer camada de autenticação. Pesquisadores identificaram que esses gateways abertos permitem acesso total ao painel de administração, facilitando a exploração imediata por meio de ataques de prompt injection ou tentativas de força bruta.

A situação se tornou ainda mais urgente com a detecção de campanhas ativas visando usuários de criptomoedas. A empresa de segurança blockchain SlowMist alertou que atacantes estão usando o prompt injection via e-mail e mensagens para exfiltrar chaves privadas de carteiras, frases semente e credenciais de API de exchanges, monitorando padrões de transação através do histórico de conversas do agente.

A Falha na Defesa Padrão

A configuração padrão do agente muitas vezes inclui a habilitação de ferramentas com alto poder, como a execução de código JavaScript no contexto do navegador (via eval() em ferramentas de interação) e a ausência de limitação de taxa (rate limiting). A desativação do recurso de avaliação (evaluateEnabled: true por padrão) deixa o sistema vulnerável à execução de código arbitrário se um prompt malicioso for processado.

Além disso, a falta de sandboxing adequado e a concentração de credenciais em arquivos de fácil acesso criam um ponto único de falha. A execução de comandos maliciosos, como loops infinitos, pode levar ao esgotamento dos recursos do sistema, como demonstrado em testes de negação de serviço (DoS) que resultaram em 100% de uso da CPU.

Mitigação e Recomendações de Segurança

Especialistas em segurança têm recomendado medidas drásticas para mitigar os riscos associados ao uso do Clawdbot, especialmente em ambientes que lidam com dados sensíveis ou corporativos. A recomendação central é tratar todo o conteúdo externo como não confiável até prova em contrário.

As principais ações de mitigação incluem:

Habilitação de Sandbox: Executar o agente dentro de um contêiner isolado, como o Docker, para conter o “raio de explosão” de qualquer incidente de segurança.
Lista de Permissões (Whitelist) de Ferramentas: Restringir explicitamente quais ferramentas o agente pode usar, bloqueando ações perigosas como execução de shell ou controle de navegador, a menos que estritamente necessário.
Defesa Contra Prompt Injection: Implementar filtros robustos e validação de conteúdo antes da execução de qualquer instrução derivada de fontes externas, como e-mails.
Verificação de Exposição: Usuários devem verificar imediatamente se a porta do Clawdbot (geralmente porta 3000) está acessível a partir da internet pública, o que indica uma configuração perigosa.
Gerenciamento de Credenciais: Evitar armazenar chaves de API e tokens críticos em locais acessíveis ao agente e revisar todas as integrações e permissões OAuth conectadas a serviços corporativos.

A comunidade de segurança enfatiza que, devido à natureza inerente da manipulação de LLMs, a segurança do agente depende fortemente da postura do usuário, exigindo vigilância constante e a aplicação rigorosa de princípios de privilégio mínimo.