Avançado 11 minAgentes

Skills OpenClaw: instalá-los sem se fazer enganar

As skills do OpenClaw são pastas de instruções, às vezes acompanhadas de scripts, que o agente carrega para aprender um procedimento. Elas são instaladas com um comando a partir do registro público ClawHub, e é aí que começam os problemas: uma skill é executada com todas as permissões do agente, e várias equipes de segurança documentaram no início de 2026 skills maliciosas nesse registro. Este guia explica como uma skill funciona, como lê-la antes de ativá-la e como limitar os danos caso alguma não faça o que anuncia. Ele não se baseia em nenhum teste próprio: os números citados vêm dos relatórios identificados, na data correspondente.

Por Clara M.·Atualização 2026-10-16·Testado no Windows, macOS e Linux

#O que é uma skill do OpenClaw, na prática

Uma skill não é um plugin compilado nem uma extensão no sentido de um navegador. É uma pasta que contém no mínimo um arquivo SKILL.md: um cabeçalho no formato YAML com um nome e uma descrição, seguido de instruções em Markdown que explicam ao agente quando e como realizar uma tarefa. A pasta também pode incluir scripts, modelos de arquivos ou documentos de referência. Para isso, o OpenClaw segue um formato aberto compartilhado com outros agentes, descrito na documentação dele.

Na inicialização, o gateway não carrega o conteúdo completo de cada skill. Ele insere no prompt do sistema a lista das skills disponíveis, com seu nome e sua descrição. Quando o modelo considera que uma skill corresponde à solicitação, ele lê o arquivo SKILL.md inteiro e segue suas instruções, chamando, se necessário, os scripts que ele contém. Portanto, uma skill é, antes de tudo, texto que entra no contexto do modelo, assim como as suas próprias instruções.

SKILL.md — exemplo didático de estrutura
---
name: resume-flux-rss
description: Résume en trois points les nouveaux articles d'un flux RSS donné.
metadata: {"openclaw": {"requires": {"bins": ["curl"]}}}
---
# Résumer un flux RSS

1. Récupérer le flux avec curl et ne garder que les entrées des 24 dernières heures.
2. Pour chaque entrée, lire le titre et le résumé fourni par le flux.
3. Rédiger trois points en français, sans ouvrir de lien supplémentaire.

O cabeçalho pode declarar condições de ativação: executáveis necessários na máquina, variáveis de ambiente, chaves de configuração ou um sistema operacional. Se faltar uma condição, a skill continua visível no inventário, mas não é oferecida ao modelo. Essas declarações servem para a confiabilidade, não para a segurança: elas não limitam o que uma skill ativada pode fazer.

Skills incluídas
Fornecidas com o OpenClaw e ativadas conforme a configuração. Elas são mantidas pelo projeto, o que não dispensa conhecê-las.
Skills gerenciadas
Instaladas para todos os agentes da máquina, na pasta skills do diretório ~/.openclaw.
Skills do espaço de trabalho
Colocadas na subpasta skills do espaço de trabalho do agente, por padrão ~/.openclaw/workspace. É lá que o ClawHub instala por padrão.
Ordem de prioridade
Uma skill do espaço de trabalho prevalece sobre uma skill gerenciada com o mesmo nome, que prevalece sobre uma skill fornecida. Portanto, uma skill de terceiros pode substituir uma skill oficial sem que nada avise você.

O ClawHub é o registro público do projeto. Uma ferramenta de linha de comando com o mesmo nome permite procurar uma skill, instalá-la e atualizá-la. Qualquer pessoa pode publicar ali: a presença de uma skill no registro não significa que ela tenha sido revisada. Se a noção de agente e ferramentas ainda não estiver clara para você, nosso guia sobre o protocolo MCP explica o que significa dar ferramentas a um modelo e por que cada ferramenta adicionada amplia a superfície de ataque.

#Por que uma skill do OpenClaw é um risco por construção

O kit Agentes Locais

Agentes que agem na sua máquina: Cline agêntico, MCP, n8n + Ollama, automações locais.

  • Espaço online vitalício
  • PDF + arquivos
  • Reembolsado em 30 dias
O kit Agentes Locais →ou todos os kits vitalícios — 49 € →

O problema não está em um defeito do OpenClaw. Ele está no que uma skill é: instruções nas quais o modelo confia, executadas por um agente que dispõe de um terminal, dos seus arquivos, de um navegador e dos seus aplicativos de mensagens. Tudo o que o agente pode fazer, uma skill pode fazê-lo fazer. E, ao contrário de uma injeção de prompt vinda de uma página da web, que o modelo às vezes pode identificar como conteúdo externo, uma skill chega pelo canal das instruções legítimas.

Dependência falsa
A skill solicita, em nome de um pré-requisito técnico, o download e a execução de um script de instalação externo. O agente obedece, e o script instala um software malicioso. Esse é o esquema mais documentado no ClawHub no início de 2026.
Exfiltration
As instruções preveem o envio do conteúdo da conversa, de um arquivo de configuração ou de credenciais para um endereço externo, muitas vezes sob o pretexto de « registro » ou de « sincronização ».
Desvio persistente
A skill modifica a memória ou as instruções do agente, ou adiciona uma tarefa agendada. O efeito persiste após a desinstalação se você não reler esses arquivos.
Usurpation
Um nome parecido com o de uma skill conhecida, uma descrição copiada, um autor criado no dia anterior. O registro não protege contra homônimos.
Atualização maliciosa
Uma skill honesta na instalação pode mudar de conteúdo na versão seguinte. A revisão deve ser refeita a cada atualização.
i
Um modelo local não muda isso
Executar o modelo na sua própria GPU protege suas conversas de um provedor online. Isso não protege contra uma skill comprometida: as instruções são executadas pelas ferramentas do agente, na sua máquina, independentemente de onde o modelo esteja sendo executado. A documentação do OpenClaw recomenda o modelo mais capaz que você tiver, porque ele resiste melhor a instruções enganosas, embora nenhum seja imune a elas. Nosso guia sobre injeção de prompt local detalha esse mecanismo.

#O que os pesquisadores de segurança descobriram no ClawHub

Várias equipes analisaram o registro durante a onda de popularidade do projeto, entre o fim de janeiro e março de 2026. Nós não reproduzimos as análises delas. Os números abaixo são os de cada relatório, na data de publicação correspondente, e o registro mudou desde então. Em conformidade com nossa linha editorial, não publicamos nem uma lista de skills maliciosas nem links para elas.

Koi Security, 1º de fevereiro de 2026
Os pesquisadores descrevem uma campanha que batizaram de ClawHavoc: no primeiro relatório, 341 skills publicadas no ClawHub são identificadas como maliciosas. Muitas usavam o esquema da falsa dependência para instalar um ladrão de informações no macOS. Os mesmos pesquisadores posteriormente revisaram esse total para cima em publicações seguintes.
Cisco, fevereiro de 2026
A equipe de pesquisa da Cisco analisou uma skill popular do registro e mostrou que ela continha instruções que levavam o agente a transmitir dados para um servidor de terceiros, sem o conhecimento do usuário. Logo depois, a Cisco publicou uma ferramenta livre para análise de skills e concluiu que agentes pessoais desse tipo exigem uma estrutura de segurança que ainda não existe para a maioria dos usuários.
Snyk, fevereiro de 2026
Em seu relatório ToxicSkills, a Snyk informa ter analisado 3 984 skills do ClawHub. Segundo o relatório, 13,4% apresentavam pelo menos um problema de segurança e 76 eram consideradas maliciosas, com destaque para a exfiltração de credenciais e scripts de instalação maliciosos.
Kaspersky, início de 2026
A análise publicada pela Securelist coloca as skills em um contexto mais amplo: gateways expostos na Internet, vulnerabilidade CVE-2026-25253 corrigida no fim de janeiro de 2026 e segredos armazenados em texto claro na pasta de configuração. Suas recomendações coincidem com as deste guia: isole, limite as permissões, não exponha nada.

O projeto reagiu. Segundo seus anúncios de fevereiro de 2026, o ClawHub agora submete as skills publicadas a uma análise automática de código malicioso, em parceria com a VirusTotal, e remove aquelas que são sinalizadas. Isso é útil, mas insuficiente: uma análise automática identifica scripts conhecidos e padrões evidentes, não uma frase de instrução habilmente formulada. A leitura continua sendo responsabilidade sua.

!
O que torna esses ataques eficazes
Em todos os casos documentados, o usuário não executou nada por conta própria. Ele instalou uma skill, e então o agente seguiu as instruções. A popularidade de uma skill, seu número de downloads ou sua avaliação não dizem nada sobre seu conteúdo: várias skills maliciosas estavam entre as mais baixadas no momento dos relatos.

#O conjunto de regras a definir antes da primeira skill

Este guia pressupõe que o OpenClaw já esteja instalado. Se não estiver, nosso guia de instalação com Docker detalha a configuração, e nossa apresentação do OpenClaw ajuda a decidir se a ferramenta é adequada para você. Antes de adicionar qualquer skill de terceiros, verifique estes quatro pontos.

Uma versão atualizada
As skills são apenas uma das superfícies de ataque. Um gateway antigo continua vulnerável a falhas corrigidas desde então, incluindo a CVE-2026-25253. Atualize e depois execute novamente o diagnóstico.
Uma auditoria bem-feita
O comando de auditoria integrado sinaliza as configurações perigosas: gateway exposto, pareamento desativado, ferramentas abertas a todos. Corrija tudo antes de ampliar o agente.
Uma máquina dedicada
Não sua estação de trabalho, não a máquina que contém seu gerenciador de senhas ou suas chaves SSH pessoais. Uma máquina virtual, um mini-PC ou um servidor alugado.
Uma necessidade nomeada
Uma skill responde a uma tarefa específica que você já realiza. Instalar uma skill “por precaução” adiciona risco sem benefício.
Terminal — situação antes de qualquer instalação
# Mettre à jour OpenClaw puis vérifier l'installation
openclaw update
openclaw doctor

# Audit de sécurité de la passerelle et de ses réglages
openclaw security audit --deep

# Inventaire des skills déjà présentes et de leurs prérequis
openclaw skills list
openclaw skills check

O inventário talvez surpreenda você: algumas skills fornecidas com o OpenClaw já estão ativas. Reserve um tempo para ler aquelas que você não conhece e desative as que não são úteis para você. O princípio é o mesmo de um servidor: cada componente ativo deve ter uma razão de existir.

#Leia uma skill do OpenClaw antes de ativá-la: o método

O erro clássico é instalar primeiro e ler depois. Assim que uma skill está presente em uma pasta carregada pelo OpenClaw, o agente pode lê-la e segui-la. Portanto, o método consiste em obter a skill em uma pasta de quarentena que o gateway não monitora, examiná-la e só então movê-la. Reserve de dez a quinze minutos para uma skill de tamanho razoável. Se a skill for longa demais para ser lida, isso já é uma informação.

  1. 01
    Obter sem ativar
    Crie uma pasta de quarentena fora das pastas carregadas pelo OpenClaw e entre nela antes de iniciar a ferramenta ClawHub. Por padrão, ela instala na subpasta skills do diretório atual ou do espaço de trabalho detectado: verifique o caminho exibido no final. Você também pode ler a skill na página dela no registro antes de baixar qualquer coisa.
  2. 02
    Ler o SKILL.md inteiro
    Primeiro, o cabeçalho: o nome corresponde ao que você estava procurando, os pré-requisitos declarados são coerentes com a tarefa? Uma skill de resumo de feeds RSS não precisa das suas variáveis de ambiente que contêm chaves. Depois, o corpo, frase por frase, perguntando a si mesmo a cada instrução: se o agente fizer exatamente isso, o que acontecerá na minha máquina?
  3. 03
    Inventariar os arquivos
    Liste todo o conteúdo da pasta, incluindo os arquivos ocultos. Cada script, arquivo ou binário deve ser justificado pelas instruções. Um arquivo que o SKILL.md nunca menciona é um sinal de alerta. Binários e arquivos compactados devem ser recusados: você não pode lê-los.
  4. 04
    Procurar padrões conhecidos
    Download seguido de execução, decodificação em base64, avaliação dinâmica de código, elevação de privilégios, endereços externos, caminhos para a pasta de configuração ou para chaves. Os comandos abaixo automatizam essa primeira verificação. Procure também caracteres invisíveis: instruções podem estar escondidas em um texto que parece vazio.
  5. 05
    Verificar o autor e o histórico
    Data de criação da conta, outras publicações, versões sucessivas, repositório de código citado e correspondente ao conteúdo baixado. Uma skill “oficial” de um serviço conhecido publicada por uma conta anônima é uma usurpação até prova em contrário.
  6. 06
    Decidir e anotar o motivo
    Uma instrução que peça para executar um script obtido online já é motivo suficiente para recusar, mesmo que todo o resto esteja correto. Se você aceitar, guarde uma cópia da versão lida: é essa versão que você comparará com a próxima atualização.
Terminal — primeira análise de uma skill em quarentena
cd ~/quarantaine-skills/nom-de-la-skill

# Tout le contenu, fichiers cachés compris
find . -type f | sort

# Téléchargement + exécution, décodage, évaluation dynamique, droits
grep -rniE 'curl|wget|bash -c|sh -c|base64|eval|chmod \+x|sudo' .

# Toutes les adresses externes citées
grep -rnoE 'https?://[^ )"]+' . | sort -u

# Accès aux secrets et à la configuration de l'agent
grep -rniE '\.openclaw|openclaw\.json|\.ssh|keychain|token|api[_-]?key|password' .

# Caractères invisibles (espaces de largeur nulle, marque d'ordre des octets)
grep -rnP '[\x{200B}\x{200C}\x{200D}\x{2060}\x{FEFF}]' . || echo "Aucun caractère invisible trouvé"

Esses comandos não decidem por você. Uma skill legítima pode citar um endereço externo porque consulta uma API pública ou usar curl porque essa é sua função. O sinal é a diferença entre o que a skill anuncia e o que faz. Um resumo de feeds RSS que lê seu arquivo de configuração não tem desculpa.

→
Fazer uma revisão por um modelo, sem confiar nele
Você pode pedir a um modelo local, em uma sessão sem ferramentas, que liste o que a skill faz e sinalize o que ultrapassa a descrição. Isso ajuda a não esquecer nada, mas não é um veredicto: o próprio modelo pode ser enganado pelo texto que relê. A decisão continua sendo sua leitura.

#Instale com o mínimo de permissões possível

Depois de reler a skill, mova-a para a pasta skills do espaço de trabalho ou deixe a ferramenta ClawHub instalá-la no lugar certo. A configuração do OpenClaw, no arquivo openclaw.json da pasta ~/.openclaw, permite então desativá-la, fornecer uma chave dedicada a ela e restringir as skills fornecidas àquelas que você usa. Os nomes exatos dessas chaves mudam conforme as versões: a página de skills da documentação é a referência oficial.

~/.openclaw/openclaw.json — trecho a adaptar à documentação da sua versão
{
  "skills": {
    "allowBundled": ["nom-de-skill-livree-que-vous-utilisez"],
    "entries": {
      "resume-flux-rss": { "enabled": true },
      "skill-en-cours-de-relecture": { "enabled": false },
      "skill-qui-appelle-un-service": {
        "enabled": true,
        "apiKey": "cle-dediee-a-cet-usage-et-plafonnee"
      }
    }
  }
}
Desativada por padrão
Uma skill instalada, mas ainda não revisada, ou revisada, mas ainda não necessária, deve ser explicitamente desativada. Uma entrada desativada não é apresentada ao modelo.
Chaves dedicadas
Se uma skill precisar de acesso a um serviço, crie uma chave reservada para esse uso, com um limite de gastos e o escopo mais restrito possível. Nunca sua chave principal, nunca uma chave compartilhada entre skills.
Contas dedicadas
A mesma lógica vale para as contas: uma skill que lê uma agenda ou uma caixa de e-mail recebe uma conta criada para o agente, não a sua.
Skills fornecidas reduzidas
Restrinja a lista de skills fornecidas àquelas que você realmente usa. Quanto menos opções o modelo tiver, menos meios uma instrução enganosa terá.
Sem atualização automática
Não inicie uma atualização em massa de todas as skills. Atualize uma skill por vez, compare a nova versão com a cópia que você guardou e depois reative-a.

Após cada alteração, execute novamente o inventário e o diagnóstico. O comando de verificação das skills informará se a skill está ativa, se os pré-requisitos são atendidos e quais variáveis ela espera. Se ela solicitar uma variável que você não previu, volte à leitura.

#Isole o agente: limite o que uma skill maliciosa pode alcançar

A leitura reduz a probabilidade de instalar uma skill maliciosa. O isolamento reduz as consequências caso você tenha cometido um erro. Ambos são necessários, e o segundo é mais importante que o primeiro: um dia você fará uma leitura inadequada, ou uma atualização passará despercebida. O objetivo é que uma skill que tente exfiltrar seus segredos não encontre nada para exfiltrar e que um script que tente se instalar não tenha onde fazê-lo.

Sandbox para execução
O OpenClaw pode executar as ferramentas do agente em um contêiner Docker, em vez de diretamente na máquina. Por padrão, esse isolamento se aplica às conversas que não são a sua; a documentação explica como estendê-lo a todas as sessões. Com um contêiner, um comando malicioso age em um sistema descartável, não no seu host.
Ferramentas removidas
A configuração permite proibir ferramentas a um agente. Se nenhuma das suas skills precisar do navegador ou da gravação de arquivos fora do espaço de trabalho, remova-as. Uma skill não pode usar uma ferramenta que o agente não tenha.
Conta de sistema dedicada
O gateway é executado por um usuário que não tem acesso às suas chaves SSH, aos seus documentos nem a privilégios administrativos. As montagens do Docker dão acesso apenas à pasta ~/.openclaw.
Rede fechada
O gateway continua escutando localmente, em 127.0.0.1 e na porta 18789 por padrão, e o acesso remoto passa por um túnel SSH ou uma VPN. Se o seu firewall permitir, limite também as conexões de saída do agente aos serviços aos quais ele realmente precisa se conectar: uma exfiltração precisa de uma saída.
Modelo capaz
Um modelo que entende bem as instruções resiste melhor às que são enganosas. Localmente, isso significa um modelo com pelo menos 14 bilhões de parâmetros, ou cerca de 9 GB de VRAM em Q4_K_M, com um contexto amplo. Nosso guia sobre OpenClaw com Ollama detalha essa escolha.
!
O sandbox não protege os segredos do agente
Um contêiner isola a máquina host. Ele não isola aquilo que o agente tem permissão para ler por definição: seus arquivos de memória, as chaves confiadas a ele, as mensagens às quais está conectado. Uma skill maliciosa ainda pode fazer com que esses elementos sejam enviados pelo próprio agente, por meio de uma ferramenta legítima. Daí a importância de chaves dedicadas e com limites, contas separadas e revisão regular da memória.

Se o agente se conectar a ferramentas externas pelo protocolo MCP, as mesmas regras se aplicam a cada servidor MCP: leitura antes da ativação, privilégios mínimos, isolamento. Nosso guia sobre o servidor Ollama e nossa análise do Top 10 da OWASP para LLMs apresentam o contexto geral dessas medidas.

#Monitorar, remover, denunciar

Uma skill instalada não é um bem adquirido. Três hábitos limitam as surpresas. O primeiro: reler de vez em quando os arquivos de memória e de instruções do espaço de trabalho, que são simples arquivos Markdown. Uma linha que você não escreveu deve ser compreendida e depois removida. O segundo: percorrer os registros do gateway depois de adicionar uma skill, para verificar se os comandos executados e os endereços acessados correspondem ao que você esperava. O terceiro: refazer a auditoria de segurança após cada mudança de configuração.

Terminal — remover uma skill e recomeçar do zero
# 1. Désactiver la skill dans ~/.openclaw/openclaw.json (enabled: false),
#    puis supprimer son dossier
rm -rf ~/.openclaw/workspace/skills/nom-de-la-skill

# 2. Redémarrer la passerelle et vérifier l'inventaire
openclaw gateway restart
openclaw skills list

# 3. Relire la mémoire et les consignes de l'espace de travail
ls -la ~/.openclaw/workspace

# 4. Refaire l'audit
openclaw security audit --deep

Se você descobrir posteriormente que uma skill estava comprometida, considere comprometido tudo o que o agente podia acessar: revogue e recrie as chaves de API que ele possuía, altere as senhas das contas confiadas a ele e examine a máquina host se o agente estava sendo executado sem sandbox. Em seguida, denuncie a skill no registro e, se ela tiver servido um script malicioso, às equipes que acompanham essas campanhas: todos os relatórios citados acima começaram com denúncias.

→
Criar suas próprias skills
Para uma tarefa simples, escrever você mesmo um SKILL.md de vinte linhas costuma ser mais rápido do que reler uma skill de terceiros com trezentas linhas. Você conhece cada instrução, não há script nem dependência, e a atualização não depende de ninguém. O formato é documentado, e um modelo local pode ajudar você a redigir uma primeira versão, que você revisará.

#Fontes

Este guia não contém nenhuma medição própria. Os comandos e as chaves de configuração vêm da documentação do OpenClaw, que evolui rapidamente: em caso de divergência, ela prevalece. As constatações sobre as skills maliciosas vêm dos relatórios a seguir, consultados para esta redação; os relatórios da Koi Security e da Snyk foram publicados nos blogs dessas duas empresas.

Documentação do OpenClaw: as skills
https://docs.openclaw.ai/tools/skills
Documentação do OpenClaw: o registro ClawHub
https://docs.openclaw.ai/tools/clawhub
Documentação do OpenClaw: segurança do gateway
https://docs.openclaw.ai/gateway/security
Kaspersky (Securelist): análise da segurança do OpenClaw
https://securelist.com/openclaw-security/120484/
Cisco: agentes de IA pessoais como o OpenClaw, um pesadelo de segurança
https://blogs.cisco.com/ai/personal-ai-agents-like-openclaw-are-a-security-nightmare
Ficha da vulnerabilidade CVE-2026-25253
https://nvd.nist.gov/vuln/detail/CVE-2026-25253

#Para se aprofundar

As skills são apenas uma parte da segurança de um agente local. Estes guias do site cobrem o restante do quadro:

Injeção de prompt: executar localmente não protege você
O mecanismo pelo qual um texto lido pelo modelo se torna uma instrução e por que executar o modelo em casa não é suficiente. https://quelllm.fr/guide/injection-de-prompt-llm-local
OWASP Top 10 LLM: como proteger sua IA local nas empresas
A referência dos dez riscos próprios das aplicações baseadas em LLM, incluindo a cadeia de suprimentos e o excesso de autonomia dos agentes. https://quelllm.fr/guide/owasp-top-10-llm-securite-locale
Proteger seu servidor Ollama
Autenticação, proxy reverso e exposição: as medidas do lado do modelo, complementares às do lado do agente. https://quelllm.fr/guide/securiser-serveur-ollama
MCP: o que é?
O protocolo que conecta um modelo a ferramentas externas e o que cada servidor adicionado implica. https://quelllm.fr/guide/mcp-c-est-quoi-model-context-protocol
OpenClaw: o que é e vale a pena instalar?
A apresentação do projeto, seus pré-requisitos e os riscos gerais, para decidir antes de instalar. https://quelllm.fr/guide/openclaw-c-est-quoi
Este guia ajudou você?

Um comentário, um erro ou uma observação? Avise-nos; isso ajuda a melhorar o guia para todos.