Cadeia de falhas no assistente de IA OpenClaw permite ir do WhatsApp ao controle total do host
Um pesquisador de segurança detalhou uma cadeia de ataque que parte de uma mensagem recebida no WhatsApp e termina com controle total da máquina onde roda o OpenClaw, assistente pessoal de IA, ao encadear três falhas hoje corrigidas - entre elas a GHSA-hjr6-g723-hmfm, de severidade alta (CVSS 8,8), ligada a injeção de comandos no sistema operacional. As vulnerabilidades combinadas permitem escalonamento de privilégio e execução arbitrária de código no host, expondo credenciais da vítima a partir de uma única interação no aplicativo de mensagens. O caso mostra como assistentes de IA com acesso simultâneo a canais de mensageria e ao sistema operacional local ampliam significativamente a superfície de ataque tradicional.
Um pesquisador detalhou a cadeia completa que leva de uma mensagem no WhatsApp ao controle total da máquina que roda o OpenClaw, assistente pessoal de IA. Três falhas encadeadas — hoje corrigidas, entre elas a GHSA-hjr6-g723-hmfm, de severidade alta (CVSS 8,8), envolvendo injeção de comandos no sistema operacional — permitem escalonamento de privilégio e execução arbitrária de código no host a partir de uma única interação no mensageiro.
A anatomia do ataque é a lição: assistentes de IA pessoais concentram, por design, acesso simultâneo a canais de entrada não confiáveis (mensageria) e a capacidades privilegiadas no sistema local (executar comandos, ler arquivos). Cada canal conectado é uma porta; cada capacidade concedida, uma arma à disposição de quem entrar.
Para quem roda assistentes desse tipo, o caso pede revisão imediata de duas coisas: a versão (as falhas têm correção publicada) e o modelo de permissões — o assistente precisa mesmo de acesso irrestrito ao shell? O incidente demonstra que a resposta padrão deveria ser não.