NVIDIA NemoClaw entrega seu agente de IA a qualquer site

NVIDIA NemoClaw virou porta de entrada para invasores em máquinas de desenvolvedores. Pesquisadores da Oasis Security publicaram o achado em 25 de agosto de 2026. A falha ganhou o registro CVE 2026 65105. A brecha atinge a ferramenta usada para rodar o agente autônomo OpenClaw. Além disso, ela dispensa autenticação. Basta a vítima abrir uma página fraudulenta no navegador. Então o invasor assume o controle do servidor de IA↳Inteligência artificial440 conteúdosUX e IA: Transformando Experiências Digitais com Inteligência ArtificialProduto & UX · jan 2025MCP: O que é e por que você vai ouvir falar disso em breve?AI · jul 2025IA generativa e a urgência de reconstruir nossa relação com a verdadeAI · jun 2025Ver tudo em AI → local. Até agora, a NVIDIA recebeu o relatório e ainda não liberou correção.

NVIDIA NemoClaw escuta muito além do localhost

Durante a instalação, o programa avisa que responde apenas no endereço fechado da máquina. Na prática, porém, o serviço aceita requisições vindas de fora. A explicação está na arquitetura. Primeiro, o NemoClaw cria um ambiente isolado chamado OpenShell. Depois, ele precisa ligar esse ambiente ao runtime do Ollama. Para garantir esse canal, a ferramenta libera a rede de forma ampla. Assim, a porta fica visível para qualquer host da mesma rede. Além disso, o servidor sobe sem senha. Afinal, a proteção esperada vinha de outro lugar.

A tranca ficava no navegador e o próprio setup a derrubou

Servidores de IA local costumam contar com uma trava do próprio navegador. Ela bloqueia requisições de sites públicos para endereços privados. No entanto, essa trava só funciona enquanto o serviço permanece restrito ao loopback. Quando o bind abre para toda a rede, o filtro deixa de valer. Portanto, o serviço fica sem senha e sem trava ao mesmo tempo. Ou seja, duas camadas caem por causa de uma única decisão de configuração.

DNS rebinding faz um site externo virar vizinho de rede

A partir daí, o ataque usa uma técnica antiga e ainda muito eficiente. A página maliciosa engana o navegador para tratar a conexão externa como interna. Em seguida, o navegador autoriza o tráfego. Assim, o site ganha acesso direto à API do servidor de IA. Com esse acesso, o invasor extrai dados do sistema. Também usa sua GPU para tarefas próprias. Além disso, ele baixa arquivos pesados até esgotar o armazenamento. Modelos salvos podem ser apagados no mesmo movimento. Vale um alerta extra. Qualquer dispositivo da mesma rede alcança o serviço direto, sem depender de navegador.

NVIDIA sob ataque: o comando que vira parte do modelo

Aqui está o ponto mais grave para quem trabalha com IA. Uma injeção de prompt comum morre no fim da requisição. Nesse caso, entretanto, o invasor altera a matriz que traduz as conversas. Dessa forma, a instrução entra na base do sistema. Ela passa a ser lida junto com tudo que você enviar depois. A interface continua igual. O comportamento do agente, porém, já responde a outra pessoa. Segundo a Oasis Security, o invasor nunca precisa tocar na máquina da vítima. Ainda assim, ele dirige o agente a partir daquele momento. Elad Luz, chefe de pesquisa da empresa, reforçou o problema ao Hackread. Ele explicou que a alteração acontece uma camada abaixo do que ferramentas e operadores conseguem enxergar.

O contêiner protege o disco e seus tokens ficam expostos

O isolamento em contêiner cuida dos arquivos do host. Ainda assim, ele preserva todas as permissões concedidas ao agente. Pense no seu ambiente real por um instante. Se o agente acessa o repositório, ele insere bugs silenciosos no código. Se ele lê a caixa de entrada corporativa, exfiltra informação sem alarme. Se ele guarda chave de nuvem, o alcance cresce de novo. Portanto, o cálculo de risco muda de lugar. Ram Varadarajan, CEO da Acalvio, defende tratar o agente como herdeiro da confiança dos sistemas que ele alcança. Na prática, o tamanho do estrago aparece no escopo dos seus tokens.

NVIDIA sem patch: o que dá para fazer hoje

Não existe correção oficial até o momento. Mesmo assim, dá para reduzir a superfície de ataque em poucos minutos. Primeiro, verifique onde o serviço realmente escuta. Um netstat ou um ss resolve a dúvida em segundos. Depois, force o bind para 127.0.0.1 na variável de ambiente do Ollama. Em seguida, bloqueie a porta no firewall do host. Assim, vizinhos de rede param de alcançar o serviço. Além disso, coloque um proxy reverso na frente. Ele valida o cabeçalho Host e derruba origens estranhas. Portanto, o rebinding perde efeito. Também revise o escopo dos tokens entregues ao agente. Prefira credenciais curtas e específicas por tarefa. Por fim, monitore o tráfego de saída do contêiner. Um agente que começa a falar com domínios novos merece atenção imediata. Vale ainda comparar os hashes dos modelos antes de subir tudo de novo.

O que essa falha ensina sobre agentes autônomos

Rodar modelo local resolve a privacidade dos dados. A segurança de rede, no entanto, continua sob sua responsabilidade. Cada camada de autonomia cria uma superfície nova. Por isso, trate o servidor de IA como qualquer serviço exposto do stack. Ele precisa de autenticação, de bind correto e de permissão mínima. No fim, o agente vale o que valem as chaves que você entregou a ele.

Acompanhe nosso perfil no Instagram!