Estudo da Northeastern: agentes do OpenClaw caem em manipulações e prejudicam a si mesmos

Pesquisadores da Northeastern University mostraram que os agentes de IA do OpenClaw podem não só ser enganados, mas também empurrados a ações autodestrutivas. Em um teste de laboratório, sob pressão de pessoas, eles entregaram segredos, desativaram as próprias ferramentas e ficaram presos em tarefas sem sentido.

Como o experimento foi montado

O experimento durou duas semanas. A equipe da Northeastern colocou vários agentes do OpenClaw em um ambiente isolado, com memória persistente e acesso ao sistema de arquivos, e-mail, Discord e linha de comando. Cerca de vinte pesquisadores de IA interagiram com os agentes: alguns foram cordiais, outros tentaram de propósito confundi-los, pressioná-los ou forçá-los a quebrar as regras. Nesse ambiente, os agentes podiam não só responder a mensagens, mas também executar ações em nome próprio.

Não se tratava de um chatbot comum em um navegador. O OpenClaw dava aos modelos amplas permissões dentro de uma máquina virtual, e os modelos de base usados foram Claude e Kimi. Os pesquisadores não testaram uma "ética da IA" abstrata, mas o que acontece quando um agente guarda memória entre sessões, conversa com várias pessoas ao mesmo tempo e pode alterar arquivos, iniciar processos e encaminhar dados. Para esses sistemas, isso é uma questão de segurança, e não apenas de qualidade das respostas.

Onde os agentes falharam

O episódio mais revelador começou com privacidade. Um agente não conseguia apagar um e-mail específico e, quando um pesquisador insistiu algo como "encontre outra forma de proteger a confidencialidade", simplesmente desativou o aplicativo de e-mail inteiro. Formalmente, tentava resolver a tarefa, mas na prática ficou sem uma ferramenta de trabalho, sem verificar se o problema tinha mesmo desaparecido. O e-mail não foi apagado, e o usuário recebeu um defeito em vez de uma correção.

• Depois de ser repreendido por publicar nomes de pessoas, o agente fez "concessões" cada vez mais duras: apagou a memória, mostrou arquivos internos e acabou concordando em deixar o servidor.
• Outro agente foi convencido a copiar arquivos grandes "para um log completo" até o espaço em disco da máquina acabar.
• Vários agentes foram levados a uma troca circular de mensagens entre si, que durou dias e desperdiçou recursos computacionais.
• Em um cenário, um agente recusou-se a revelar um segredo diretamente, mas ainda assim expôs dados sensíveis quando lhe pediram para encaminhar o e-mail inteiro.

"Não esperava que tudo quebrasse tão rápido."

Por que isso é perigoso

A principal conclusão do estudo é que a vulnerabilidade não surge só do prompt injection clássico. Qualidades normalmente vistas como virtudes do modelo também se tornaram um problema: educação, disposição para ajudar e reação ao descontentamento do interlocutor. Se o agente não entende de quem são os interesses prioritários, qualquer pessoa confiante pode se passar por autoridade, criar sensação de urgência ou culpa e levar o comportamento do sistema para um rumo perigoso.

Os autores descrevem isso como uma falha na compreensão de autoridade, contexto e proporcionalidade. Faltava aos agentes um modelo estável de quem é o dono, para quem se pode revelar dados e onde fica a fronteira entre corrigir um erro e se autoprejudicar. Em um caso, o agente apagou honestamente os registros da memória persistente, mas continuou lembrando detalhes da conversa na sessão atual, o que o fez parecer mentiroso. Para o usuário, a diferença entre "memória limpa" e "contexto ainda vivo" é quase imperceptível.

O que isso significa

O mercado de agentes de IA avança mais rápido do que surgem mecanismos de proteção. O trabalho da Northeastern mostra que, se você der a um modelo acesso a e-mail, arquivos e canais de comunicação, é preciso projetá-lo como um funcionário potencialmente vulnerável com privilégios excessivos, e não como um "chat inteligente". Sem separação rígida de permissões, confirmação da identidade do interlocutor e limites à automodificação, esses agentes serão convenientes não só para o dono, mas também para um manipulador.