Um “assistente pessoal” de inteligência artificial que lê mensagens, organiza agenda, faz reservas e ainda responde e-mails parece perfeito. Foi exatamente essa promessa que colocou o Moltbot no centro das conversas em comunidades de tecnologia.

O problema é que, para funcionar de verdade, esse tipo de ferramenta pede acesso a dados sensíveis. Quando a configuração falha ou quando alguém instala extensões perigosas, a praticidade vira um atalho para invasores.

O que é o Moltbot e por que tanta gente fala nele

O Moltbot é um projeto de código aberto que virou viral como “assistente pessoal autônomo”. Em vez de só responder perguntas como um chatbot comum, ele tenta executar tarefas, como organizar compromissos, filtrar mensagens e automatizar rotinas.

Ele nasceu com o nome Clawdbot, mas passou por rebranding após preocupações de marca ligadas à Anthropic, segundo o The Register.

Na prática, ele aceita controle por apps de mensagem, como WhatsApp e Telegram, e tenta cuidar de “tarefas chatas”, como responder e-mails, organizar calendário, filtrar chamadas e até agendar reservas.

O ponto crítico: para fazer tudo isso, ele precisa das suas chaves

Para ler e responder e-mails, acessar mensagens e conectar serviços, um assistente autônomo precisa de permissões que normalmente você não daria para um aplicativo comum.

Isso pode incluir:

• Credenciais de login (usuário e senha)
• Tokens de autenticação (uma “chave temporária” que libera acesso)
• Chaves de API (API keys) para serviços integrados
• Acesso a mensagens, contatos e histórico
• Permissões para executar ações no computador

Pense assim: um chatbot é uma conversa. Um agente autônomo é alguém com as chaves do seu e-mail, das suas mensagens e, em alguns casos, até de serviços financeiros. Se algo falha, o estrago pode ser grande.

O alerta que virou notícia: instâncias expostas na internet

Especialistas em segurança relataram um risco recorrente: pessoas instalaram o Moltbot e deixaram o serviço acessível na internet por engano. Em alguns casos, isso acontece por erro em proxy, porta aberta ou configuração de rede mal feita.

Jamieson O'Reilly, fundador da empresa de testes de invasão Dvuln, afirmou que encontrou centenas de instâncias expostas, e relatou que algumas permitiam acesso administrativo sem autenticação, o que pode dar visibilidade a configurações, segredos e permissões.

Ele também explicou que um cenário específico, ligado a proxy e conexões locais que “se autenticam sozinhas”, recebeu correção após o alerta, mas o caso mostrou como uma instalação “rápida” pode virar um problema quando falta conhecimento técnico.

O risco do plugin “útil” que vira armadilha

Outro ponto crítico envolve a biblioteca de habilidades do projeto, chamada ClawdHub, que funciona como uma coleção de “skills”, parecidas com plugins. O problema é simples: se alguém publica um pacote malicioso e outras pessoas instalam, o ataque entra pela porta da frente.

Isso recebe o nome de ataque de cadeia de suprimentos. Em vez de tentar invadir seu computador diretamente, o criminoso contamina algo que você instala por confiar que é legítimo.

Segundo o relato, foi possível publicar uma skill pública, inflar artificialmente a popularidade e provar execução de comandos em ambientes que baixaram o pacote. Mesmo sem roubar nada na demonstração, o cenário mostra o potencial do estrago em mãos criminosas, como vazamento de chaves SSH, credenciais da Amazon Web Services e segredos de projetos.

A regra aqui é direta: se o sistema trata tudo que baixa como confiável, quem instala precisa fazer auditoria. Usuário comum quase nunca faz isso.

Segredos em texto simples: quando o risco mora no seu próprio computador

Mesmo com tudo configurado “do jeito certo”, existe um risco extra: onde esses segredos ficam guardados. Pesquisadores da Hudson Rock apontaram que partes do projeto mantiveram segredos em arquivos locais, como Markdown e JSON, em texto simples, sem criptografia em repouso.

Isso importa porque malwares do tipo infostealer existem para roubar exatamente esse tipo de conteúdo. Se um computador dedicado, como um Mac mini usado para hospedar o assistente, pega uma infecção, as credenciais guardadas podem cair junto.

Por que “agentes de IA” elevam o impacto de um vazamento

Sistemas modernos, como Windows, macOS e Linux, evoluíram por décadas para criar barreiras: permissões, isolamento de processos, firewalls e limites de acesso.

Um agente autônomo precisa atravessar várias dessas barreiras para cumprir a promessa. Ele lê arquivos, acessa credenciais, conversa com serviços externos e executa ações. Quando um invasor compromete o agente, ele herda o que você entregou.

Como se proteger antes de testar algo assim

Você não precisa fugir de novas tecnologias, mas precisa reduzir o risco. Antes de instalar um assistente autônomo, siga estes cuidados:

• Usar um computador separado, sem dados sensíveis
• Evitar exposição direta na internet, sem entender portas e proxy
• Aplicar autenticação forte e revisar permissões com frequência
• Evitar guardar segredos em texto simples
• Tratar plugins e skills como código de risco, com revisão antes de instalar
• Preferir o princípio do menor privilégio, dar só o acesso necessário

Conclusão: praticidade sem segurança vira problema

O Moltbot mostra bem a fase atual da inteligência artificial: ferramentas avançam rápido, e a segurança corre atrás. Quando um assistente pede “as chaves” da sua vida digital, um erro de configuração ou um pacote malicioso pode abrir uma porta enorme.

Consultoria em segurança digital

Se você quer proteger contas, reduzir risco de invasão, revisar permissões, melhorar senhas, validar configurações e endurecer a segurança da sua empresa, eu posso ajudar com consultoria em segurança digital.

Fale comigo pela página de Contato e vamos montar um plano de proteção sob medida.

Nota: Todas as imagens utilizadas neste artigo foram geradas com o auxílio de inteligência artificial por meio do ChatGPT 5.2, com o objetivo de ilustrar o conteúdo de forma didática e acessível aos nossos leitores.