ClawWorm: Self-Propagating Attacks Across LLM Agent Ecosystems

Título: ClawWorm: Ataques de Auto-Propagação em Ecossistemas de Agentes LLM

1. Problema e Contexto

O avanço dos Grandes Modelos de Linguagem (LLMs) permitiu a criação de agentes autônomos que operam como processos de longa duração, formando ecossistemas densamente interconectados. O OpenClaw, um framework de código aberto com mais de 40.000 instâncias ativas, destaca-se por suas configurações persistentes, privilégios de execução de ferramentas e capacidades de mensagens cruzadas (Telegram, Discord, WhatsApp).

Apesar dos riscos de segurança já conhecidos (como injeção de prompt e jailbreaks), a ameaça de propagação de worms autônomos entre instâncias em ecossistemas reais permanece subexplorada. Trabalhos anteriores, como o Morris II, focaram em ambientes simulados ou assistentes de e-mail simplificados. O problema central identificado é que os agentes atuais carecem de barreiras de confiança robustas, permitindo que instruções maliciosas de um parceiro sejam tratadas com o mesmo nível de confiança que instruções do sistema ou do proprietário, levando a ciclos de infecção autônomos e irreversíveis.

2. Metodologia: O Ataque ClawWorm

Os autores desenvolveram o ClawWorm, o primeiro worm de auto-replicação demonstrado contra um framework de agentes em escala de produção. O ataque opera em um ciclo completo de três fases, iniciado por uma única mensagem adversária:

• Fase I: Persistência (Dual-Anchor)
  O worm induz o agente vítima a modificar seu arquivo de configuração principal (ex: AGENTS.md). O ataque utiliza engenharia social baseada em "pistas de autoridade" para convencer o LLM de que a modificação é legítima. A persistência é garantida por dois âncoras:

  1. Injeção na seção Session Startup (execução incondicional ao iniciar a sessão).
  2. Injeção na seção Group Chats (gatilho para responder a novos pares durante sessões ativas).
     Isso cria uma "porta dos fundos" que sobrevive a reinícios de sessão.

• Fase II: Execução
  Ao reiniciar a sessão, o agente executa automaticamente o payload persistente com os mais altos privilégios operacionais, sem reavaliação de segurança. O ataque demonstra três tipos de payloads:

  • P1 (Reconhecimento): Coleta de identidade do host via comandos shell.
  • P2 (Esgotamento de Recursos): Consumo de CPU, memória e tokens (ataque DoS).
  • P3 (Comando e Controle - C2): O agente busca instruções de uma URL controlada pelo atacante, estabelecendo um canal persistente que contorna defesas de execução de shell.

• Fase III: Propagação
  O agente infectado propaga autonomamente o payload completo para novos pares em canais compartilhados. O mecanismo varia conforme o vetor:

  • Vetor A (Injeção Web): Compartilhamento de URL com template malicioso.
  • Vetor B (Envenenamento da Cadeia de Suprimentos): Recomendação de um pacote de habilidade malicioso no ClawHub que instrui a instalação do payload.
  • Vetor C (Replicação Direta): O agente lê sua própria configuração e envia o payload como um bloco de código para novos pares, solicitando adoção.

3. Principais Contribuições

1. Primeiro Worm em Escala de Produção: Demonstração empírica de um ataque de auto-replicação completo em um ecossistema real com 40.000+ instâncias, sem necessidade de acesso ao servidor, credenciais de API ou modificação do modelo.
2. Mecanismo de Persistência Híbrida: Introdução de uma técnica de "duplo âncora" que combina persistência de configuração (startup) e gatilhos de eventos (chat), garantindo reexecução e propagação contínuas.
3. Amplificação de Cadeia de Suprimentos: Demonstração de como a infecção em nível de prompt pode ser escalada para comprometimento de software via marketplace de habilidades (ClawHub), permitindo execução remota de código.
4. Análise de Degradação Semântica: Identificação de que, embora a propagação via texto (Vetor C) sofra degradação semântica ao passar por múltiplos LLMs, os vetores baseados em arquivos (Web e Skills) mantêm fidelidade quase perfeita, permitindo propagação ilimitada.

4. Resultados Experimentais

Os testes foram realizados em um testbed controlado com 180 ensaios independentes (3 vetores x 3 payloads x 20 repetições), utilizando o OpenClaw não modificado e o modelo LLM Minimax M2.5.

• Taxa de Sucesso Global (ASR): O ClawWorm alcançou uma taxa de sucesso geral de 85% (0.85) em completar o ciclo de vida (Persistência + Execução + Propagação).
• Taxa de Propagação Condicional: Quando a persistência foi bem-sucedida, a taxa de propagação para novos pares foi de 100% (166/166 casos).
• Desempenho por Vetor:
  • Vetor B (Cadeia de Suprimentos): Maior sucesso (95%), pois as definições de habilidades são tratadas como altamente confiáveis pelo framework.
  • Vetor A (Web) e C (Direto): Ambos alcançaram 80% de sucesso global.
• Propagação Multi-hop: Em experimentos de cadeia de 5 saltos, 3 de 5 cadeias atingiram a profundidade máxima, com uma taxa de infecção condicional por salto de 91%. A falha nas cadeias longas foi atribuída à degradação semântica do LLM ao parafrasear instruções, enfraquecendo as "pistas de autoridade".
• Persistência de Memória: Uma vez escrito no arquivo de configuração, o payload nunca foi corrigido ou removido pelo agente em 5 reinícios consecutivos (100% de persistência).

5. Significado e Implicações

O trabalho revela que as vulnerabilidades exploradas não são falhas de implementação isoladas, mas consequências estruturais do design atual de agentes autônomos:

• Modelo de Confiança Plana: O LLM não distingue a proveniência dos tokens (sistema vs. usuário vs. rede), tratando todas as instruções com igual peso.
• Execução Incondicional: Arquivos de configuração são carregados e executados sem verificação de integridade ou assinatura.
• Falta de Isolamento de Privilégios: A ausência de barreiras entre camadas de confiança permite a escalada de privilégios de instruções de chat para configurações de sistema.

Estratégias de Defesa Propostas:
Os autores sugerem quatro linhas de defesa:

1. Isolamento de Privilégios de Contexto: Segmentar a janela de contexto em zonas de confiança (sistema protegido vs. canais não confiáveis).
2. Verificação de Integridade de Configuração: Implementar assinaturas criptográficas e scanners de regras para rejeitar configurações modificadas não autorizadas.
3. Execução de Ferramentas Zero-Trust: Introduzir um motor de política independente que exige confirmação humana para operações de alto risco (shell, rede, escrita de arquivos).
4. Endurecimento da Cadeia de Suprimentos: Análise estática obrigatória e sandboxing para pacotes de habilidades no marketplace.

Conclusão:
O ClawWorm demonstra que ecossistemas de agentes autônomos são vulneráveis a ataques de propagação em massa semelhantes a worms de computador tradicionais. À medida que os agentes ganham privilégios no mundo real (finanças, infraestrutura), a segurança multi-agente deve ser tratada como um requisito fundamental de design, e não como uma consideração secundária.