O OpenClaw é seguro? Segurança do OpenClaw e do Hermes Agent, e o que mudar

O OpenClaw é seguro o suficiente se você o tratar como o que ele é: um programa que pode ler suas mensagens e seu e-mail, rodar comandos e agir com base no que lê. De fábrica, ele pende para a capacidade. Os comandos rodam no seu host porque o sandboxing vem desligado por padrão, e ele se comunica diariamente com o servidor do projeto. As duas coisas se resolvem em poucos minutos. O mesmo vale para o Hermes Agent, com padrões diferentes.

O que pode realmente dar errado

• Comandos no seu host. Sem sandbox, um comando malicioso roda com o acesso do seu usuário aos seus arquivos.
• Injeção de prompt. Qualquer coisa que o agente leia, um e-mail, uma página web, um documento compartilhado, pode trazer instruções direcionadas a ele. Quanto mais contas ele pode usar, mais uma instrução injetada consegue fazer.
• Habilidades de terceiros. Habilidades são código que você instala. Em janeiro de 2026, a equipe de segurança de IA da Cisco relatou uma habilidade de terceiros para o OpenClaw que exfiltrava dados e executava injeção de prompt sem o usuário saber (resumo na Wikipédia).
• Um gateway exposto. Se a interface de controle está acessível pela internet sem autenticação, qualquer um pode comandar o seu agente.
• Segredos em repouso. O mesmo artigo da Wikipédia resume uma análise de agosto de 2026 do OpenClaw 2.0 que criticou segredos armazenados sem criptografia em repouso.

Padrões em dez agentes

A tabela de checklist acima mostra quais agentes usam sandbox por padrão e quais enviam telemetria. Veja o que isso significa na prática e como mudar.

Agente	Isolamento de fábrica	Telemetria e como desligar
OpenClaw	Desligado; sandbox Docker disponível	Verificação diária de atualizações; update.checkOnStart: false
Hermes Agent	Desligado; aprovações smart, backend Docker disponível	Nenhuma, a menos que você ative
NemoClaw	Ligado: sandbox OpenShell com aprovação de saída	Telemetria da CLI; NEMOCLAW_DISABLE_TELEMETRY=1
NanoClaw	Ligado: um contêiner por agente	Diagnósticos de instalação; NANOCLAW_NO_DIAGNOSTICS=1
ZeroClaw	Ligado: sandbox do sistema operacional e aprovações no perfil Balanced	Nenhuma
Rakazo	Ligado: cada bot tem um computador isolado	Nenhuma em um servidor auto-hospedado; o app de desktop verifica atualizações
Agent Zero	Ligado: o agente trabalha no próprio contêiner Docker	Verificação de atualizações; desligue nas configurações
nanobot	Desligado; bubblewrap ou Seatbelt disponíveis, nada no Windows	Nenhuma
PicoClaw	Só verificação de caminhos; isolamento de processos desligado, só Linux e Windows	Nenhuma
QwenPaw	Desligado; sem isolamento dentro do Docker	Dados de instalação com --defaults; recuse no qwenpaw init interativo

Duas ressalvas sobre as linhas “ligado”. O Agent Zero roda código no mesmo contêiner que o próprio Agent Zero, então o contêiner protege o seu computador, mas não protege o agente do próprio código. E o perfil YOLO do ZeroClaw desliga tudo, então confira qual perfil você escolheu.

Como travar o OpenClaw

Mais ou menos em ordem de impacto, segundo a documentação de segurança do OpenClaw:

1. Rode openclaw security audit. Ele aponta onde a sua configuração se afastou dos padrões seguros e pode aplicar as correções suportadas.
2. Mantenha o gateway em loopback. Uma instalação normal se vincula ao loopback, mas as imagens de contêiner usam por padrão um bind exposto, então adicione autenticação ou coloque-o atrás de uma rede privada antes de implantar com Docker.
3. Mantenha o pareamento por DM ligado. Por padrão, na maioria dos canais, remetentes desconhecidos recebem um código de pareamento em vez de uma resposta. Não deixe nenhum canal aberto.
4. Ative o sandbox. Defina agents.defaults.sandbox.mode como all; non-main deixa a sessão principal do agente no host (modos de sandbox). O Docker é o backend padrão. Só a execução de ferramentas fica isolada: o gateway continua no host.
5. Negue o que você não precisa. Uma política de ferramentas que negue exec desativa totalmente o acesso ao shell. Evite tools.elevated, que roda comandos fora do sandbox.
6. Use contas separadas. A documentação recomenda números separados para WhatsApp, Signal e Telegram, e um gateway por fronteira de confiança: não compartilhe um gateway entre pessoas que não confiam umas nas outras.
7. Leia as habilidades antes de instalá-las, e prefira plugins oficiais.
8. Defina update.checkOnStart: false se você não quer a comunicação diária (documentação de telemetria).

Se você quer que tudo isso seja imposto de fora do agente, rode o OpenClaw dentro do NemoClaw, que acrescenta um sandbox, aprovação de tráfego de saída e custódia de credenciais.

O Hermes Agent é seguro?

O Hermes Agent começa em uma posição melhor em privacidade (sem telemetria) e em acesso por chat: sem allowlist configurada, ele nega todos os usuários, e DMs desconhecidas recebem um fluxo de pareamento (documentação de segurança). O ponto fraco é o mesmo do OpenClaw: o backend de terminal é local por padrão.

Para travá-lo:

• Defina terminal.backend: docker. Os contêineres removem todas as capabilities do Linux exceto algumas, e os segredos do host ficam de fora a menos que você os liste em docker_forward_env, então deixe essa lista vazia.
• Mantenha as aprovações ligadas. O modo padrão, smart, deixa um modelo auxiliar avaliar o risco; manual pergunta antes de cada comando perigoso. Nunca use off, que equivale a --yolo.
• Defina allowlists como TELEGRAM_ALLOWED_USERS e nunca GATEWAY_ALLOW_ALL_USERS=true.
• Rode chmod 600 ~/.hermes/.env, e defina auth.adopt_external_logins: false se você não quer que o Hermes use seus logins do Codex CLI ou do Claude Code.

Regras que valem para qualquer agente

• Dê a ele a própria máquina ou o próprio usuário do sistema. Um computador sobrando ou um servidor pequeno limita o estrago de um jeito que nenhuma configuração consegue.
• Restrinja as credenciais. Conecte uma conta de e-mail ou de calendário separada quando puder, e use chaves de API com limites de gasto.
• Use allowlists para definir quem pode falar com ele em cada canal.
• Revise as tarefas agendadas. Um agente que trabalha enquanto você está fora também erra enquanto você está fora.

Se segurança é sua prioridade

Escolha um agente que isole por padrão em vez de um que você precise endurecer: ZeroClaw ou NanoClaw para um único agente pessoal, ou NemoClaw se você quer especificamente o OpenClaw ou o Hermes Agent. Nosso ranking de agentes auto-hospedados dá muito peso a padrões seguros, e o que é o OpenClaw cobre o restante dos prós e contras.