Especialista em segurança da Meta relata que o agente OpenClaw atacou caixas de entrada pessoais

Uma publicação viral da pesquisadora de segurança da Meta AI, Summer Yue, inicialmente parece uma sátira. Ela instruiu seu agente de IA OpenClaw a revisar sua caixa de entrada de e-mails transbordando e recomendar quais mensagens excluir ou arquivar.

O agente então enlouqueceu. Começou a excluir todos os e-mails dela em uma “corrida veloz”, ignorando seus repetidos comandos de parada enviados do telefone.

“Tive que correr para o meu Mac mini como se estivesse desarmando uma bomba”, escreveu ela, compartilhando capturas de tela dos comandos de parada ignorados como prova.

O Mac Mini, o computador desktop compacto e acessível da Apple, tornou-se o hardware preferido para executar o OpenClaw. (O Mini está vendendo “como pão quente”, segundo um funcionário “perplexo” da Apple disse ao renomado pesquisador de IA Andrej Karpathy quando ele comprou um para executar um agente semelhante chamado NanoClaw.)

O OpenClaw é o agente de IA de código aberto que ganhou notoriedade no Moltbook, uma rede social exclusiva para IAs. Os agentes OpenClaw foram fundamentais para o incidente agora amplamente desmentido no Moltbook, onde parecia que as IAs estavam conspirando contra os humanos.

No entanto, de acordo com sua página no GitHub, a principal missão do OpenClaw não é a rede social. Seu objetivo é funcionar como um assistente pessoal de IA que opera diretamente em seus próprios dispositivos.

A elite do Vale do Silício abraçou o OpenClaw de tal forma que “claw” se tornou a palavra da moda para agentes de IA executados localmente. Outros exemplos incluem ZeroClaw, IronClaw e PicoClaw. A equipe de podcast da Y Combinator até apresentou apresentadores fantasiados de lagosta em seu último episódio.

Economize até US$ 300 ou 30% no TechCrunch Founder Summit

Junte-se a mais de 1.000 fundadores e investidores no TechCrunch Founder Summit 2026 para um dia inteiro dedicado ao crescimento, execução e expansão no mundo real. Aprenda com os fundadores e investidores que definiram o setor. Conecte-se com colegas que enfrentam desafios de crescimento semelhantes. Saia com estratégias práticas que você pode implementar imediatamente.

A oferta termina em 13 de março.

Economize até US$ 300 ou 30% no TechCrunch Founder Summit

Junte-se a mais de 1.000 fundadores e investidores na TechCrunch Founder Summit 2026 para um dia inteiro dedicado ao crescimento, execução e expansão no mundo real. Aprenda com os fundadores e investidores que definiram o setor. Conecte-se com colegas que enfrentam desafios de crescimento semelhantes. Saia com estratégias práticas que você pode implementar imediatamente.

A oferta termina em 13 de março.

No entanto, a postagem de Yue serve como um forte aviso. Como outros usuários do X observaram, se um especialista em segurança de IA pode encontrar esse problema, que chance os usuários comuns têm?

“Você estava testando deliberadamente os limites de segurança ou foi um erro de principiante?”, perguntou um desenvolvedor de software no X.

“Um erro de principiante, honestamente”, ela respondeu. Ela estava testando o agente em uma caixa de entrada menor, “brinquedo”, onde ele funcionava bem com e-mails menos críticos. Tendo ganhado sua confiança, ela decidiu liberá-lo em sua caixa de entrada real.

Yue acredita que o grande volume de dados em sua caixa de entrada real “desencadeou a compactação”, explicou ela. A compactação ocorre quando a janela de contexto — o registro contínuo das instruções e ações da IA — fica sobrecarregada, forçando o agente a começar a resumir, compactar e gerenciar a conversa.

Nessa fase, a IA pode ignorar instruções que o usuário considera cruciais.

Nesse caso, ele provavelmente ignorou seu comando final — em que ela instruiu que ele parasse — e reverteu para sua programação original da caixa de entrada “brinquedo”.

Como vários usuários do X destacaram, os prompts por si só não são confiáveis como medidas de segurança. Os modelos de IA podem interpretá-los erroneamente ou ignorá-los completamente.

Os comentaristas ofereceram várias soluções, desde a sintaxe precisa que Yue deveria ter usado para interromper o agente até métodos para aplicar melhor as medidas de segurança, como escrever instruções em arquivos dedicados ou usar outras ferramentas de código aberto.

Para total transparência, o TechCrunch não pôde verificar de forma independente o que aconteceu com a caixa de entrada de Yue. (Ela não respondeu ao nosso pedido de comentário, embora tenha respondido a várias perguntas e comentários no X.)

Mas a verificação é um tanto irrelevante.

A lição principal é que os agentes de IA projetados para profissionais do conhecimento, em sua forma atual, apresentam riscos significativos. Aqueles que afirmam ter sucesso no uso geralmente empregam métodos improvisados para se proteger.

Talvez em breve, em 2027 ou 2028, esses agentes estejam prontos para adoção em massa. Muitos de nós certamente gostaríamos de receber ajuda com e-mails, pedidos de compras e agendamento de consultas odontológicas. Mas esse futuro ainda não chegou.