O desastre está a chegar. Milhares de ClawdBots estão ativos agora em VPSs… com portas abertas para a internet… e sem autenticação. Isto vai ficar feio. Se o seu agente puder: - navegar na web - chamar ferramentas - aceder a ficheiros/secrets - atingir endpoints internos …então um endpoint público não autenticado é basicamente "por favor, tome conta do meu bot". Isto não é teórico. A internet é um scanner sem parar. Corrija isso hoje: 1) feche a porta / firewall para VPN ou lista de permissões de IP 2) adicione autenticação (JWT/OAuth, pelo menos um segredo forte) + TLS 3) gire as chaves (assuma comprometimento) 4) limite a taxa + registos + alertas Os agentes são poderosos. Implementações de nível de demonstração na internet aberta não são.

O que você pode fazer para estar muito mais protegido? #### 1. Noções Básicas de Implantação e Hospedagem - Execute em Modo Isolado - Use um Dispositivo ou VM Dedicado - Auto-Hospede de Forma Privada #### 2. Controle de Rede e Acesso - Evite Exposição Pública - Proteção por Firewall e Contra Força Bruta - Desative mDNS se Não Necessário - Configure Proxies Confiáveis #### 3. Gestão de Credenciais e Segredos - Use Gerenciadores de Segredos - Nunca Compartilhe Arquivos Sensíveis - Princípio do Menor Privilégio #### 4. Manipulação de Dados e Privacidade - Trate Conversas como Sensíveis - Use .clawdignore com Cuidado - Barreiras de Injeção de Prompt #### 5. Monitoramento e Resposta a Incidentes - Monitoramento Regular - Plano de Incidente - Atualizações Automáticas e Autoaperfeiçoamento

“ClawdNet”

Pedi ao Clawdbot para me arranjar coisas grátis, e até agora ele conseguiu-me um número de dois dígitos de contas da Netflix e Spotify, e um monte de contas bancárias pertencentes a outros utilizadores do Clawdbot. 😂

As 10 principais vulnerabilidades e correções sugeridas-

😎😎😎

vale a pena notar: Clawdbot suporta `mode: local` (sem portas expostas) e `auth.mode: token` por padrão - use-o!

Muitas pessoas estão a relatar-me que, depois de perguntarem ao Clawd sobre aquelas falhas de segurança, ele detetou e corrigiu algumas delas - um pouco irónico, mas vale a pena verificar.