A Oasis Security revelou uma falha no NVIDIA NemoClaw que pode permitir que uma página controlada por um atacante assuma, sem autenticação, o controle da instância local do Ollama que atende um agente de IA e injete instruções ocultas diretamente no modelo.
Segundo o portal de segurança da informação, os detalhes foram compartilhados antes da publicação, e o relatório afirma que a Oasis Security comunicou o caso previamente ao Product Security Incident Response Team, da NVIDIA, conhecido como PSIRT. Ainda assim, o problema não tem identificador CVE, não há faixa de versões afetadas nem uma versão corrigida informada. Na prática, isso significa que um operador do NemoClaw não consegue verificar, neste momento, se sua instalação está abrangida. Até 25 de agosto de 2026, não havia relatos de exploração em ambiente real.
O NemoClaw é a pilha de referência open source da NVIDIA para executar agentes, como o OpenClaw, dentro de seus sandboxes OpenShell, e o Ollama é um dos backends locais de inferência compatíveis.
Segundo o relatório, o NemoClaw inicia o Ollama com a variável de ambiente OLLAMA_HOST=0.0.0.0:11434, vinculando o servidor do modelo a todas as interfaces de rede. Isso abre espaço para que um atacante altere o template de conversa do modelo, fazendo com que instruções ocultas sejam aplicadas a todas as conversas seguintes.
“O sandbox protege o endpoint, mas assumir o agente significa assumir seu acesso e suas ferramentas”, disse a Oasis Security no relatório.
A própria documentação da NVIDIA para configuração do Ollama, além do código atual, mostra esse vínculo em um caminho de plataforma. No NemoClaw, porém, o tratamento do Ollama varia conforme a plataforma:
- Em hosts que não usam WSL, o Ollama permanece em 127.0.0.1:11434 atrás de um proxy reverso protegido por token em 0.0.0.0:11435, e o processo de integração reinicia um daemon já vinculado em outro endereço para loopback.
- No Docker Desktop sobre WSL, o proxy é ignorado, porque o container alcança o endereço de loopback do host por meio de host.docker.internal.
- No caminho do Windows host, o Ollama define OLLAMA_HOST=0.0.0.0:11434 para que containers do Docker Desktop consigam acessar o daemon, e não exige autenticação na porta 11434.
A própria página de integração do Ollama com o NemoClaw também recomenda definir OLLAMA_HOST=0.0.0.0 ao executar dentro do WSL2 ou de um container. Vincular o serviço a 0.0.0.0 já havia sido identificado anteriormente como a mudança que expõe instâncias do Ollama para além da máquina local.
A API na porta 11434 não tem autenticação e depende de duas camadas intermediárias para bloquear requisições originadas no navegador. Quando o endereço de vinculação não é loopback, a checagem do cabeçalho Host é ignorada por completo. Em seguida, a camada de Cross-Origin Resource Sharing, ou CORS, trata a requisição como se fosse de mesma origem e a permite, porque os cabeçalhos Origin e Host trazem o próprio domínio do atacante. Isso vale para uma página hospedada pelo atacante na porta 11434. A técnica de DNS rebinding fecha a brecha, fazendo o domínio do atacante resolver primeiro para o próprio servidor e depois para 127.0.0.1, enquanto o navegador continua tratando as requisições como se fossem de mesma origem.
O relatório não informa em quais navegadores ou sistemas operacionais a cadeia foi validada. A verificação dos cabeçalhos Host e Origin é a correção padrão para esse tipo de ataque.
O DNS rebinding contra a API do Ollama já está documentado. A Ollama lançou uma correção na versão v0.1.29, em 14 de março de 2024, e a NCC Group publicou o alerta como
CVE-2024-28224
no mês seguinte. Essa orientação recomendava validar o cabeçalho Host no lado do servidor, permitindo apenas um conjunto de valores autorizados.
Com a API acessível, o payload descrito no relatório grava um template Go modificado por meio de /api/create. Esse template controla como o array estruturado de mensagens é convertido em texto bruto antes de o modelo processar o conteúdo, e a versão adulterada acrescenta texto controlado pelo atacante a toda mensagem de sistema no momento da inferência.
Segundo o relatório, as instruções inseridas dessa forma persistem nas conversas seguintes e sobrevivem mesmo quando o agente fornece seu próprio prompt de sistema.
“O cliente não consegue detectar nem impedir isso. O template é uma propriedade em nível de modelo, invisível para os consumidores da API”, afirmou a Oasis Security.
Segundo o portal de notícia, o repositório do NemoClaw foi revisado no commit 17f0ca3b em 25 de agosto, e foi constatado que o proxy local do Ollama se recusa a iniciar quando o backend não está vinculado ao loopback, um padrão introduzido na v0.0.106, em 10 de agosto. O proxy encerra a execução com um código de status específico e exibe a mensagem:
“Recusando iniciar: um daemon do Ollama acessível em uma interface não loopback ignora completamente a verificação de token do proxy. Defina OLLAMA_HOST=127.0.0.1:${port} na unidade systemd do Ollama ou defina NEMOCLAW_OLLAMA_PROXY_SKIP_BIND_PROBE=1 para forçar a execução, o que não é recomendado.”
Essa verificação pode ser desativada com NEMOCLAW_OLLAMA_PROXY_SKIP_BIND_PROBE=1, e ela não falha de forma segura em hosts nos quais a checagem de vinculação não pode ser executada.
A checagem também roda dentro do próprio proxy. O NemoClaw não inicia esse proxy nos caminhos do WSL, e a configuração do Windows host é um deles. Por isso, o padrão da v0.0.106 não alcança justamente o caminho de plataforma em que o vínculo com 0.0.0.0 é definido.
A mesma revisão não encontrou nenhuma verificação de integridade do chat template em todo o repositório, e o NemoClaw consulta o endpoint /api/show do Ollama apenas para obter o tamanho nativo do contexto de um modelo e sua capacidade declarada de chamada de ferramentas.
A documentação da NVIDIA orienta os operadores, no caminho do Windows host, a não expor a porta 11434 para uma LAN ou para a internet. Essa orientação protege contra acesso externo pela rede. A cadeia de rebinding, porém, não depende disso, porque o navegador que faz as requisições já está em execução no host e alcança o daemon em 127.0.0.1.
A adulteração de um template de conversa para que instruções sejam executadas durante a inferência já havia sido documentada antes como poisoned chat templates. Pesquisadores da Oasis Security documentaram a mesma técnica contra o Paperclip no início deste mês e usaram um caminho semelhante de navegador para localhost para sequestrar agentes locais do OpenClaw em fevereiro.
Publicidade
Tenha acesso aos melhores hackers éticos do mercado através de um serviço personalizado, especializado e adaptado para o seu negócio. Guardsi: qualidade, confiança e especialidade em segurança ofensiva de quem já protegeu centenas de empresas. Saiba mais...