Pesquisadores da Tsinghua e Ant Group Revelam um Framework de Segurança de Cinco Camadas Orientado ao Ciclo de Vida para Mitigar Vulnerabilidades de Agentes LLM Autônomos no OpenClaw

Agentes LLM autônomos como o OpenClaw estão mudando o paradigma de assistentes passivos para entidades proativas capazes de executar tarefas complexas e de longo prazo por meio de acesso a sistemas com altos privilégios. No entanto, um relatório de pesquisa de análise de segurança da Tsinghua University e do Ant Group revela que a arquitetura 'kernel-plugin' do OpenClaw — ancorada por um pi-coding-agent servindo como a Minimal Trusted Computing Base (TCB) — é vulnerável a riscos sistêmicos multiestágios que contornam defesas tradicionais e isoladas. Ao introduzir um framework de cinco camadas que abrange inicialização, entrada, inferência, decisão e execução, a equipe de pesquisa demonstra como ameaças compostas, como o envenenamento de memória e a contaminação da cadeia de suprimentos de habilidades, podem comprometer toda a trajetória operacional de um agente. Arquitetura OpenClaw: O pi-coding-agent e a TCB O OpenClaw utiliza uma arquitetura 'kernel-plugin' que separa a lógica central da funcionalidade extensível. A Trusted Computing Base (TCB) do sistema é definida pelo pi-coding-agent, um núcleo mínimo responsável pelo gerenciamento de memória, planejamento de tarefas e orquestração da execução. Esta TCB gerencia um ecossistema extensível de plugins de terceiros — ou 'habilidades' — que permitem ao agente realizar operações de alto privilégio, como engenharia de software automatizada e administração de sistemas. Uma vulnerabilidade arquitetônica crítica identificada pela equipe de pesquisa é o carregamento dinâmico desses plugins sem verificação rigorosa de integridade, o que cria um limite de confiança ambíguo e expande a superfície de ataque do sistema. Tabela 1: Ameaças de Ciclo de Vida Completo e Proteções Correspondentes para OpenClaw “Lobster” ✓ Indica mitigação de risco eficaz pela camada de proteção × Denota riscos não cobertos pela camada de proteção Uma Taxonomia de Ameaças Orientada ao Ciclo de Vida A equipe de pesquisa sistematiza o cenário de ameaças em cinco estágios operacionais que se alinham à pipeline funcional do agente: Estágio I (Inicialização): O agente estabelece seu ambiente operacional e limites de confiança carregando prompts do sistema, configurações de segurança e plugins. Estágio II (Entrada): Dados multimodais são ingeridos, exigindo que o agente diferencie entre instruções de usuário confiáveis e fontes de dados externas não confiáveis. Estágio III (Inferência): O processo de raciocínio do agente utiliza técnicas como Chain-of-Thought (CoT) prompting, ao mesmo tempo em que mantém a memória contextual e recupera conhecimento externo por meio de geração aumentada por recuperação. Estágio IV (Decisão):