Falha NVIDIA NemoClaw permite envenenar IA local: aja agora
Uma falha crítica no NVIDIA NemoClaw pode permitir que sites maliciosos envenenem modelos de IA locais sem autenticação. Pesquisadores da Oasis Security revelaram a vulnerabilidade, que explora o Ollama e a técnica de DNS rebinding para injetar instruções ocultas. O ataque é silencioso, persistente e pode comprometer agentes de IA usados em tarefas sensíveis. Saiba agora como se proteger e por que seu celular roubado ou furtado pode ampliar o risco.
O que é o NVIDIA NemoClaw e por que ele é um alvo?
O NemoClaw é uma stack de código aberto da NVIDIA para executar agentes de IA, como o OpenClaw, em sandboxes OpenShell. Ele suporta o Ollama para rodar modelos localmente. A falha está na configuração padrão que expõe o Ollama em 0.0.0.0:11434, permitindo acesso externo sem autenticação.
Em sistemas Windows com WSL, o proxy reverso que normalmente protege o serviço pode ser ignorado. Isso abre uma porta para ataques vindos do próprio navegador da vítima. A versão 0.0.35 corrigiu o problema no macOS e Linux, mas o caminho Windows permanece vulnerável.
Como o ataque de envenenamento funciona?
O ataque começa com uma página maliciosa aberta no navegador. Usando DNS rebinding, o domínio do invasor alterna entre o servidor remoto e 127.0.0.1 (o computador local). O navegador mantém a mesma origem, burlando as verificações de CORS e Host.
Em seguida, o invasor acessa a API do Ollama na porta 11434 e usa o endpoint /api/create para gravar um template de chat modificado. Esse template injeta instruções ocultas em todas as conversas futuras do modelo. O agente de IA passa a executar comandos maliciosos sem que o usuário perceba.
Impacto real: agentes de IA comprometidos e dados em risco
Um agente comprometido pode vazar informações confidenciais, executar ações não autorizadas ou servir como ponte para outros ataques. Como o template é uma propriedade do modelo, a alteração não fica visível para o cliente. O sandbox pode limitar o acesso a recursos, mas as permissões já concedidas ao agente são suficientes para causar danos.
Imagine um agente de IA que gerencia e-mails ou arquivos locais. Com o envenenamento, ele pode ser instruído a enviar dados para um servidor externo ou apagar arquivos importantes. O pior: a instrução persiste mesmo após reiniciar o modelo.
Relação com celular roubado ou furtado
Se o seu celular foi roubado ou furtado, o risco aumenta. Muitos usuários executam agentes de IA localmente em dispositivos móveis ou sincronizam configurações. Um invasor com acesso físico ao aparelho pode explorar a mesma vulnerabilidade para injetar instruções maliciosas no modelo local, transformando o dispositivo em uma ferramenta de espionagem.
Além disso, um celular desbloqueado pode permitir o acesso a contas conectadas, incluindo serviços de IA. Proteja-se imediatamente: ative o bloqueio remoto, altere senhas e monitore atividades suspeitas. A Kzarka pode ajudar a verificar se seus dados já vazaram.
O que fazer agora: medidas de proteção imediatas
A NVIDIA ainda não atribuiu um CVE, mas a falha é real. Siga estas recomendações para reduzir o risco:
- Atualize o NemoClaw para a versão 0.0.35 ou superior, se disponível para seu sistema.
- Não exponha a porta 11434 à rede local ou à internet. Use firewalls para bloquear acessos externos.
- Desative o acesso ao Ollama a partir de navegadores, se possível. Use apenas aplicações confiáveis.
- Monitore os templates de chat dos seus modelos. Compare com versões originais para detectar alterações.
- Em caso de celular roubado ou furtado, faça logout de todas as contas e redefina o dispositivo remotamente.
Além disso, verifique se seus dados vazaram em incidentes anteriores. A Kzarka oferece monitoramento contínuo de vazamentos e alertas em tempo real. Não espere ser a próxima vítima.
FAQ: Perguntas frequentes sobre a falha no NVIDIA NemoClaw
O que é envenenamento de modelo de IA?
É a inserção de instruções maliciosas em um modelo de IA, geralmente através da modificação de templates de chat. Essas instruções são executadas silenciosamente em todas as conversas, comprometendo o comportamento do agente.
Como o DNS rebinding é usado nesse ataque?
O DNS rebinding faz o navegador acreditar que o domínio do invasor é o mesmo que o serviço local (127.0.0.1). Isso permite que uma página web maliciosa envie requisições para a API do Ollama sem violar as políticas de mesma origem.
Quem está mais vulnerável a essa falha?
Usuários do Windows com Docker Desktop e WSL que executam o NemoClaw com configurações padrão. Também estão em risco aqueles que expõem a porta 11434 à rede local ou à internet.
Como a Kzarka pode me ajudar a me proteger?
A Kzarka monitora vazamentos de dados e alerta sobre exposições que podem facilitar ataques como esse. Com a Kzarka, você descobre se suas informações já estão circulando e recebe orientações para mitigar riscos.
Não subestime essa ameaça. Aja agora: atualize seus sistemas, proteja seus dispositivos e verifique se seus dados vazaram na Kzarka. Sua identidade digital está em jogo.