Várias universidades alertam para os riscos de segurança do OpenClaw, algumas proibindo estritamente o uso no campus

“Desde já, todos os docentes e funcionários da universidade estão estritamente proibidos de instalar, executar ou usar o software OpenClaw, suas versões derivadas, plugins complementares e scripts de habilidades de terceiros em qualquer equipamento de escritório, terminais de ensino ou ambiente de rede do campus (incluindo terminais de conexão remota via VPN).”

No dia 10 de março, o Departamento de Gestão de Dados e Informação da Universidade de Tecnologia de Zhuhai emitiu o aviso «Proibição de uso do software OpenClaw no campus», solicitando a desinstalação imediata e completa dos programas relacionados, bem como a eliminação de todas as configurações, caches e logs. A universidade realizará varreduras de segurança e verificações periódicas na rede e nos terminais, e qualquer instalação ou uso não autorizado será tratado de acordo com as normas.

O Departamento de Gestão de Dados e Informação da Universidade de Tecnologia de Zhuhai também pediu que os responsáveis de cada departamento cumpram rigorosamente a responsabilidade principal pela segurança da rede, organizando imediatamente uma autoavaliação e correção abrangente dos seus docentes e funcionários, garantindo cobertura total, sem pontos cegos e implementação eficaz. Qualquer incidente de segurança causado pelo uso indevido do software, incluindo vazamento de dados ou danos ao sistema, será responsabilizado de acordo com a lei.

Recentemente, o framework de IA de código aberto OpenClaw (cujo ícone é uma lagosta, popularmente chamado de “lagosta”) tornou-se viral na internet, atraindo atenção por suas funções de execução autônoma de operações de computador e processamento de tarefas administrativas. No entanto, a Plataforma de Compartilhamento de Informações sobre Ameaças e Vulnerabilidades de Segurança Cibernética do Ministério da Indústria e Tecnologia da Informação detectou que, sob configurações padrão ou inadequadas, o OpenClaw apresenta riscos elevados de segurança, podendo causar ataques cibernéticos, vazamento de dados e controle não autorizado de sistemas, representando uma ameaça séria à segurança de rede e informação.

Informações públicas indicam que várias universidades já emitiram alertas para prevenir riscos de segurança do OpenClaw.

Por exemplo, o Escritório de Segurança de Redes e Informática da Universidade Normal de Anhui, em 10 de março, publicou um aviso alertando para os principais riscos de segurança do “lagosta” AI.

Primeiro, risco elevado de vazamento de privacidade: a ferramenta requer permissões elevadas do computador para funcionar, armazenando registros de conversas, senhas, conteúdos de e-mails, arquivos e outros dados pessoais em texto claro localmente. Se mal configurada ou invadida por hackers, informações sensíveis podem ser rapidamente roubadas.

Segundo, execução autônoma pode sair do controle: a ferramenta pode interpretar mal comandos ou executar instruções imprecisas, operando de forma autônoma ao preencher comandos ambíguos, tendo ocorrido casos de ignorar limites do usuário, deletar e-mails em massa ou excluir arquivos importantes por engano. Sua taxa de sucesso em auditorias de segurança e segurança em dimensões essenciais é extremamente baixa.

Terceiro, vulnerabilidades na gestão de permissões: a ferramenta possui fronteiras de confiança pouco claras, com capacidade de execução contínua, decisão autônoma e acesso a recursos do sistema e externos. Sem controles de permissão e mecanismos de auditoria eficazes, pode ser induzida por comandos maliciosos, assumindo controle malicioso e executando operações com privilégios elevados, levando ao controle remoto do sistema.

Quarto, incompatibilidade entre a complexidade técnica e os riscos de uso: a ferramenta é uma estrutura de baixo nível voltada para desenvolvedores, exigindo conhecimentos profissionais como comandos de linha, gerenciamento de chaves API, não sendo um produto maduro para usuários comuns. Usuários que implantarem por serviços não oficiais de “instalação por terceiros” podem ampliar riscos de segurança por falta de entendimento de configurações de permissões, além de possíveis golpes de “impostos de inteligência” por serviços de instalação não autorizados.

O Escritório de Segurança de Redes e Informática da universidade recomenda que toda a comunidade acadêmica avalie racionalmente a necessidade do uso da ferramenta, evitando instalação ou implantação do “lagosta” por impulso, especialmente em dispositivos conectados à rede do campus, computadores de trabalho ou dispositivos contendo informações pessoais sensíveis ou dados de trabalho; unidades internas e docentes devem proibir o uso em atividades de ensino, pesquisa, administração ou gestão de dados de estudantes, a fim de evitar vazamentos de dados, ataques ao sistema e garantir a segurança dos dados do campus.

Por fim, o aviso reforça que toda a comunidade deve conscientizar-se sobre a segurança de rede e proteção de informações pessoais, reconhecendo os riscos de novas ferramentas de IA, evitando conceder permissões elevadas a softwares desconhecidos e não instalando programas de fontes não oficiais.

O Departamento de Construção de Informação e Gestão de Recursos Públicos da Universidade Normal de Jiangsu publicou, em 11 de março, o aviso «Lembrete para prevenção de riscos de segurança do OpenClaw».

A universidade afirmou que o OpenClaw apresenta problema de “fronteira de confiança pouco clara”, e na ausência de controles de permissão eficazes, pode ser induzido ou maliciosamente controlado, executando operações com privilégios elevados, além de poder causar controle remoto do dispositivo, representando alto risco de segurança cibernética, com casos de exclusão acidental de arquivos e roubo de credenciais de contas. Recomenda-se que o uso seja feito preferencialmente em servidores na nuvem, máquinas virtuais ou containers isolados, evitando expor o serviço à internet pública ou à rede do campus. Quando necessário acesso remoto, deve-se usar canais criptografados como SSH, limitando estritamente os endereços de origem. Durante a implantação, é proibido usar contas com privilégios de administrador, concedendo apenas o mínimo necessário para a tarefa, e confirmando ou aprovando manualmente operações sensíveis como exclusão de arquivos, envio de dados ou alterações na configuração do sistema.

O aviso também alerta que pacotes de habilidades fornecidos por comunidades online podem estar infectados por malwares. Os docentes e estudantes devem ser cautelosos ao baixar esses pacotes, verificando cuidadosamente o conteúdo do código antes da instalação, e recusando-se a usar pacotes que exijam “baixar arquivos ZIP”, “executar scripts shell” ou “digitar senhas”.

Fonte: Pengpai News

Aviso de risco e isenção de responsabilidade

O mercado possui riscos, investimentos cautela. Este texto não constitui aconselhamento de investimento pessoal, nem leva em consideração objetivos, situação financeira ou necessidades específicas de usuários individuais. Os usuários devem avaliar se as opiniões, pontos de vista ou conclusões aqui apresentadas são compatíveis com suas condições particulares. Investimentos de risco, responsabilidade do investidor.