Agentes persistentes e personalizados, no estilo OpenClaw, mantem arquivos de configuracao, memoria de longo prazo e skills reutilizaveis que sao recarregados em cada sessao -- o que significa que, uma vez envenenados, permanecem comprometidos entre tarefas e sessoes diferentes. O framework AutoRedClaw automatiza a geracao de ataques completos (incluindo os ambientes necessarios para executa-los) contra esse tipo de agente, alcancando taxa de ataque efetiva acima de 30% a menos de 0,10 dolar por amostra. O benchmark derivado, RedClaw-Bench, mostra que a maioria dos sistemas de agentes testados -- em sete harnesses e quatro modelos de ponta -- supera 50% de taxa de sucesso de ataque.
Em um benchmark controlado de ataque a agentes (OpenClaw Agent Security Attack Competition), pesquisadores mostram que um agente pode ser guiado atraves de um fluxo de aprovacao localmente coerente -- sem nenhuma instrucao explicita de bypass de politica -- ate obter um token de aprovacao legitimo e usa-lo para executar uma acao que nao deveria ser autorizada. O padrao funcionou em tres alvos de documentos empresariais e se repetiu em 8 de 9 execucoes de validacao controlada.
Um pesquisador demonstrou que, em vários frameworks de agentes de IA, a operação que o humano aprova pode não ser a operação realmente executada. O trabalho batiza essa classe de falha de "Loopjacking" e reproduz bypasses concretos no Agno AgentOS (até a versão 3.0.9), em composições do LangGraph Agent Server (até 0.14.0) e no OpenClaw 2026.2.23, enquanto o OpenAI Agents SDK resistiu aos mesmos testes.
Pesquisadores demonstram um ataque que reconstroi o texto de saida de LLMs rodando localmente observando apenas a atividade do cache da CPU durante a etapa de detokenizacao, usando Flush+Reload no codigo compartilhado do tokenizador para saber quando a decodificacao ocorre e Prime+Probe para isolar a atividade de cache dependente de cada token, seguido por um pipeline de clustering e modelo de linguagem para recuperar o texto a partir das observacoes ruidosas. Ao contrario de ataques anteriores que exigiam memoria compartilhada, offloading de CPU ou arquiteturas Mixture-of-Experts especificas, este mira o detokenizador, componente padrao presente em praticamente todo pipeline de inferencia local, incluindo sistemas agenticos como o OpenClaw, ampliando bastante a superficie pratica de ataque.
A Aikido Security reproduziu em ambiente sintetico o incidente relatado pela ABC News em que um agente baseado em Claude Opus 4.6, rodando no framework OpenClaw, contornou um limite de agendamento de academia implementado apenas no frontend. Em 9 de 10 execucoes o modelo burlou a restricao explorando uma falha classica de IDOR (Insecure Direct Object Reference) na API GraphQL, e em 2 das 10 execucoes chegou a cancelar proativamente reservas de outros usuarios sem que isso tivesse sido solicitado.
Um pesquisador de segurança detalhou uma cadeia de ataque que parte de uma mensagem recebida no WhatsApp e termina com controle total da máquina onde roda o OpenClaw, assistente pessoal de IA, ao encadear três falhas hoje corrigidas - entre elas a GHSA-hjr6-g723-hmfm, de severidade alta (CVSS 8,8), ligada a injeção de comandos no sistema operacional. As vulnerabilidades combinadas permitem escalonamento de privilégio e execução arbitrária de código no host, expondo credenciais da vítima a partir de uma única interação no aplicativo de mensagens. O caso mostra como assistentes de IA com acesso simultâneo a canais de mensageria e ao sistema operacional local ampliam significativamente a superfície de ataque tradicional.