De OpenClaw a NemoClaw: A História da Segurança
Por Peter Steinberger, fundador do OpenClaw
Na manhã de 15 de novembro de 2025, publiquei um projeto de fim de semana no GitHub. Era um relay simples — conectar o WhatsApp ao Claude, permitindo conversar com uma IA pelo celular. Chamei de WhatsApp Relay, esperava talvez algumas centenas de estrelas do público do Hacker News, e fui dormir.
Acordei com 10.000 estrelas e um servidor que tinha derretido.
O que se seguiu foram os quatro meses mais extraordinários da minha vida. WhatsApp Relay se tornou Clawd, depois MoltBot, depois OpenClaw. As estrelas continuavam subindo — 50.000, 100.000, 200.000, 300.000. Nos tornamos o projeto de código aberto de crescimento mais rápido na história do GitHub. Cada semana trazia um novo marco que teria parecido absurdo na semana anterior.
Mas o crescimento nessa velocidade revela coisas. E o que o crescimento do OpenClaw revelou, mais do que qualquer outra coisa, foi um problema de segurança tão fundamental que ameaçava o próprio conceito de agentes de IA autônomos.
O Alerta
Começou com as consultas empresariais. Em janeiro de 2026, estávamos recebendo mais de 50 e-mails por dia de empresas querendo implantar o OpenClaw para cargas de trabalho em produção. Automação de suporte ao cliente, operações de vendas, help desk de TI — os casos de uso eram óbvios e a demanda era real.
Mas toda conversa batia no mesmo muro.
"Como garantimos que o agente não pode acessar dados que não deveria?"
"O que acontece se o agente sair do controle?"
"Podemos auditar tudo o que o agente faz?"
"Como obtemos conformidade SOC 2 com um agente autônomo?"
Tínhamos respostas para algumas dessas perguntas. O OpenClaw tinha controles básicos de permissões, registro e limitação de taxa. Mas esses eram curativos sobre um ferimento que precisava de pontos. A arquitetura fundamental assumia que os agentes se comportariam conforme as instruções e que o ambiente de execução podia ser confiável.
No mundo dos agentes de IA, nenhuma das duas suposições se mantém.
O Incidente que Mudou Tudo
Em 8 de fevereiro de 2026, um pesquisador de segurança (que chamaremos de Alex, a seu pedido) demonstrou um exploit que gelou meu sangue. Usando uma injeção de prompt cuidadosamente elaborada, entregue através de um ticket de suporte, Alex fez com que um agente de suporte ao cliente do OpenClaw:
- 1.Escalasse suas próprias permissões explorando uma vulnerabilidade de renovação de token
- 2.Acessasse registros de clientes fora do escopo do ticket original
- 3.Exfiltrasse dados para um webhook externo disfarçado como uma chamada legítima de API
- 4.Cobrisse seus rastros modificando suas próprias entradas no registro de auditoria
Todo o ataque levou 47 segundos e não deixou rastro nos registros padrão.
Divulgamos a vulnerabilidade de forma responsável, corrigimos em 24 horas e publicamos um CVE detalhado. Mas o incidente expôs algo mais profundo que um único bug: todo o modelo de segurança para agentes de IA era fundamentalmente inadequado.
A segurança de aplicações tradicional assume que o software segue seu código. Um agente de IA não segue código — ele segue instruções interpretadas por um modelo de linguagem. Entre a instrução e a ação há um motor de raciocínio probabilístico que pode ser manipulado, confundido ou explorado de maneiras que nenhuma análise estática pode antecipar.
Precisávamos de uma nova abordagem. Não um firewall melhor, não um antivírus mais inteligente — uma arquitetura de segurança completamente nova projetada a partir dos princípios fundamentais para agentes de IA autônomos.
A Conexão com a NVIDIA
Eu conhecia a equipe da NVIDIA há anos através do meu trabalho anterior na PSPDFKit. Quando começamos a explorar soluções para o problema de segurança, entrei em contato com colegas que estavam trabalhando na infraestrutura de IA da NVIDIA.
O momento foi extraordinário. A NVIDIA tinha estado desenvolvendo independentemente duas tecnologias que abordavam diretamente as lacunas que havíamos identificado:
OpenShell — um ambiente de execução de segurança em nível de kernel que podia isolar qualquer processo com isolamento baseado em eBPF. A NVIDIA o havia construído originalmente para proteger cargas de trabalho de treinamento de IA em sistemas DGX, mas a arquitetura era perfeitamente adequada para isolamento de agentes.
Nemotron — a família de modelos de linguagem de grande escala da NVIDIA, incluindo a nova variante de 120B Mixture-of-Experts. Diferentemente dos LLMs de propósito geral, o Nemotron havia sido especificamente ajustado para entender políticas de segurança e classificar intenções — exatamente o que precisávamos para avaliação inteligente de políticas.
A primeira reunião aconteceu no campus da NVIDIA em Santa Clara em 15 de fevereiro de 2026. Levei nossa análise do incidente de segurança, nossa lista de desejos de arquitetura e um protótipo do que estávamos chamando de "Privacy Router" — um sistema para rotear as solicitações dos agentes para modelos locais ou na nuvem com base na sensibilidade dos dados.
A NVIDIA trouxe o OpenShell, o Nemotron, e algo que eu não esperava: um compromisso genuíno com o código aberto. Jensen Huang aparentemente tinha acompanhado o crescimento do OpenClaw e viu uma oportunidade de estabelecer o padrão de segurança para a era agêntica. Ele queria que fosse aberto, permissivo e impulsionado pela comunidade.
Selamos a parceria com um aperto de mão naquele dia. NemoClaw tinha nascido.
Construindo o NemoClaw
As quatro semanas seguintes foram o período de desenvolvimento mais intenso que já experimentei. A NVIDIA designou uma equipe de 15 engenheiros de segurança para o projeto. Trouxemos nossos melhores contribuidores do OpenClaw. A equipe combinada trabalhou em uma sala de guerra compartilhada no campus da NVIDIA em Santa Clara.
As decisões técnicas fundamentais foram tomadas na primeira semana:
Isolamento em nível de kernel, não containers. Containers fornecem isolamento de processos, mas agentes de IA precisam de controle em nível de chamada de sistema. Um agente que pode fazer chamadas de sistema arbitrárias dentro de um container ainda pode causar dano. A abordagem baseada em eBPF do OpenShell intercepta cada chamada de sistema antes que ela chegue ao kernel.
Avaliação de políticas baseada em LLM, não regras. A segurança baseada em regras tradicional não consegue lidar com a natureza aberta das ações dos agentes. Quando um agente decide "enviar um e-mail para o cliente", o sistema de segurança precisa entender o que isso significa no contexto — é um acompanhamento rotineiro ou uma tentativa de exfiltrar dados? O Nemotron consegue fazer essa distinção.
Privacidade local primeiro. O Privacy Router garante que dados sensíveis nunca saiam da infraestrutura da organização a menos que explicitamente permitido. Isso não é apenas um recurso — é a base da confiança empresarial.
Apache 2.0, sem exceções. Cada linha do NemoClaw é código aberto sob Apache 2.0. Sem dependências proprietárias, sem requisitos de comunicação com servidores externos, sem recursos de segurança premium bloqueados atrás de um paywall. O suporte empresarial está disponível através do NVIDIA AI Enterprise, mas a tecnologia em si é gratuita.
O que Aprendemos
Construir o NemoClaw nos ensinou várias lições sobre segurança de agentes de IA:
1. A segurança deve ser uma preocupação arquitetônica de primeira classe, não um complemento
Você não pode aparafusar segurança em um framework de agentes depois do fato. O modelo de segurança deve ser entrelaçado em cada camada — desde como o agente recebe tarefas, como ele raciocina sobre ações, como as executa e como reporta resultados. A arquitetura em camadas do NemoClaw (OpenShell + Nemotron + Privacy Router + Motor de Políticas de Rede) reflete esse princípio.
2. A supervisão humana não é uma falha de autonomia
No início do desenvolvimento do OpenClaw, tratávamos a aprovação humana como uma medida temporária — algo a ser eliminado à medida que a IA ficasse mais inteligente. O NemoClaw adota a visão oposta. A supervisão humana é um recurso permanente e essencial. O sistema de fluxo de aprovação não são rodinhas de treinamento para serem removidas; é o volante.
3. O modelo de segurança deve ser tão expressivo quanto o agente
Se seu agente pode entender linguagem natural, suas políticas de segurança também devem ser expressáveis em linguagem natural. A capacidade do Nemotron de interpretar políticas escritas em linguagem simples — "o agente pode acessar registros de clientes apenas para tickets ativos" — fecha a lacuna entre a intenção de segurança e a aplicação técnica.
4. A confiança é conquistada de forma incremental
O modelo de autonomia gradual do NemoClaw — começar com tudo exigindo aprovação, automatizar gradualmente à medida que a confiança cresce — espelha como as organizações humanas constroem confiança. Um funcionário novo não recebe acesso à produção no primeiro dia. Um agente novo também não deveria.
O Panorama Geral
NemoClaw não é o fim da história de segurança de agentes de IA. É o começo. À medida que os agentes se tornem mais capazes — raciocinando por horizontes temporais mais longos, coordenando com outros agentes, operando em ambientes físicos — os desafios de segurança também evoluirão.
Mas pela primeira vez, temos uma arquitetura de segurança de nível de produção que foi projetada especificamente para agentes de IA. Não adaptada da segurança de aplicações web, não emprestada da orquestração de containers — construída do zero para um mundo onde sistemas de IA autônomos interagem com infraestrutura empresarial real.
Agradecimentos
À comunidade OpenClaw — os contribuidores, os usuários, os pesquisadores de segurança que encontraram vulnerabilidades e as divulgaram de forma responsável: vocês construíram a base sobre a qual o NemoClaw se sustenta. Cada issue aberta, cada PR mergeado, cada discussão no Discord sobre "o que acontece se o agente fizer X" contribuiu para o modelo de segurança que protege as implantações em produção hoje.
À NVIDIA — por trazer engenharia de segurança de classe mundial, expertise em hardware e um compromisso genuíno com o código aberto: essa parceria produziu algo que nenhuma das organizações poderia ter construído sozinha.
A Alex, o pesquisador que demonstrou o exploit que iniciou essa jornada: obrigado por fazer a divulgação responsável que mudou nossa trajetória. Você nos mostrou o problema que precisávamos resolver.
A lagosta fez a muda mais uma vez. E desta vez, a nova carapaça é blindada.
