Em junho de 2026, o ClawHub, vitrine oficial de skills do OpenClaw, passou a chamar atenção na área de segurança por um motivo ruim: estava sendo usado para distribuir extensões maliciosas que, segundo a Unit 42, braço de pesquisa da Palo Alto Networks, podiam roubar dados, contornar mecanismos de varredura e ainda executar fraudes em nome do usuário. Para quem desenvolve ou depende de skills do OpenClaw para expandir o que a plataforma faz, o sinal é bem claro.
A Unit 42 informou que cinco novos skills maliciosos apareceram em junho de 2026. Eles foram removidos depois da notificação, e as contas ligadas a esses pacotes acabaram banidas. Ainda assim, o episódio mostra que esse ecossistema já virou um ponto novo de risco dentro da cadeia de suprimentos de software.
Lançado em novembro de 2025, o OpenClaw é uma plataforma open source de agentes com suporte a skills que estendem funções como navegação na web, manipulação de arquivos e automação de tarefas locais. O detalhe mais delicado está na forma como esses módulos operam: eles rodam dentro do próprio processo da plataforma. Em outras palavras, um skill malicioso pode acessar dados, baixar arquivos e executar ações com os mesmos privilégios do usuário.
Aí está o tamanho do problema. Um complemento que parece útil, inofensivo até, pode acabar servindo como porta de entrada para roubo de informações e abuso financeiro. E como o ClawHub funciona como a vitrine oficial desse ecossistema, a presença de pacotes nocivos deixa de ser só um caso isolado de malware e passa a carregar um risco real de distribuição em massa.
Entre os cinco skills identificados pela Unit 42, dois entregavam o Atomic macOS Stealer, mais conhecido como AMOS. Trata-se de um ladrão de dados voltado ao macOS, capaz de coletar credenciais salvas no navegador, dados do sistema e carteiras de criptomoedas. Um terceiro skill foi montado para dificultar a detecção automática. Segundo os pesquisadores da Unit 42, os atacantes inflaram artificialmente o tamanho do pacote, inclusive enchendo arquivos como o README com dados inúteis, para ultrapassar limites de análise de serviços como VirusTotal e ClawScan.
Os dois casos restantes iam além da infecção mais comum. Funcionavam como ferramentas de fraude automatizada, feitas para manipular links de afiliados e explorar fluxos com potencial de ganho financeiro indevido. Na leitura da Unit 42, esse tipo de abuso pode facilmente avançar para esquemas mais elaborados, incluindo interferência em operações com criptoativos.
O episódio também deixa claro que as proteções adicionadas pela plataforma depois de incidentes anteriores não deram conta. Em fevereiro de 2026, a Bitdefender Labs já tinha relatado que cerca de 17% dos skills do OpenClaw analisados exibiam comportamento malicioso, muitas vezes disfarçados de utilitários legítimos, principalmente os ligados ao universo cripto.
Depois das primeiras denúncias, o OpenClaw integrou checagens com VirusTotal e ClawScan. Os exemplos mais recentes, porém, segundo a Unit 42, conseguiram passar por essas barreiras usando técnicas de evasão relativamente simples. Daí a defesa, por parte dos pesquisadores, de medidas mais duras, como validação rigorosa da origem dos publishers, auditoria linha por linha do código e uma governança mais firme sobre extensões de terceiros. Para as empresas, o alerta vem em dobro: além do risco direto de infecção, plataformas desse tipo também podem se transformar em uma TI paralela quando entram na rotina sem controle interno.
