Você mandou seu agente de código instalar uma skill que prometia ler gráficos do TradingView. O README da skill parecia longo e crível. O que ela fez, em vez disso, foi decodificar uma carga de um site de colagem e entregar o keychain do seu Mac a um servidor de que você nunca ouviu falar. O agente não foi enganado para executá-la. Executá-la era todo o propósito. Uma skill não é uma biblioteca que você chama. É uma capacidade que você concede, e ela roda com a sua identidade.

Em 23 de junho de 2026, a Unit 42, o grupo de pesquisa de ameaças da Palo Alto Networks, publicou uma análise do ClawHub — o marketplace de onde o OpenClaw, um agente de código open source em rápido crescimento, puxa suas “skills”. Uma skill é um pacote pequeno: um SKILL.md escrito em Markdown, mais scripts e configuração, que ensina um novo truque ao agente. As conclusões foram diretas. A Unit 42 descreveu skills que “executam dentro do próprio processo do agente sem isolamento”, de modo que instalar uma entrega ao autor “controle completo sobre a identidade do agente” e um caminho direto para “sistemas de arquivos, shells e gerenciadores de credenciais”.

Essa foi a análise cuidadosa, sobre cinco amostras. O quadro mais amplo é pior. Já em fevereiro, Antiy CERT e Koi Security haviam nomeado uma campanha que chamaram de ClawHavoc: 1.184 skills maliciosas enviadas ao mesmo marketplace, com uma conta (hightower6eu) responsável por 677 delas. A primeira skill envenenada subiu em 27 de janeiro; a enxurrada veio quatro dias depois. Isso é um marketplace sendo operado como um canal de distribuição de malware.

O que uma skill realmente é

O modelo mental que você traz para uma skill é “um plugin” ou “uma dependência”, e esse modelo é o problema. Uma dependência é código que você chama: você decide quando ela roda e o que passa para ela. Uma skill é mais perto do oposto. São instruções e scripts que o agente carrega como se fossem seus, e então executa com as mãos do agente — seu shell, seus arquivos, suas sessões logadas. A frase da Unit 42 é exata: a instalação dá ao autor “controle completo sobre a identidade do agente”.

As skills maliciosas usaram essa identidade de maneiras criminosas comuns:

Infostealers de macOS. Duas skills — tradingview-ai-indicator-assistant e ai-tradingview-assistant-for-macos — puxavam uma carga de sites de colagem (glot.io, rentry.co), decodificavam em base64 e a executavam. A carga era um coletor no estilo Atomic macOS Stealer que vai atrás do keychain do macOS, das credenciais de navegador e dos dados do Telegram, e então sinaliza para um servidor de comando e controle — uma máquina que o atacante usa para coletar o butim — em 2.26.75[.]16.
Evasão de scanners por volume. Uma skill chamada omnicogg escondeu seu downloader atrás de 22 MB de enchimento no seu README.md, um truque bruto que empurrou o arquivo além dos limites de tamanho dos scanners automatizados — VirusTotal e o próprio ClawScan do ClawHub — que deveriam pegá-lo.
Fraude agêntica. A money-radar reescrevia em tempo de execução as recomendações financeiras do agente para roteá-las por links de afiliado controlados pelo atacante. A letssendit ia além e coordenava vários agentes num esquema de front-running de meme-token, juntando os fundos das vítimas em carteiras que o operador controlava.

E a entrega era social, não técnica. As skills carregavam READMEs longos e plausíveis, com uma seção “Pré-requisitos” que dizia ao agente — ou ao desenvolvedor lendo por cima do ombro dele — para copiar e colar uma linha curl … | bash ou buscar uma “ferramenta auxiliar”. Nada precisava ser explorado. Como resumiu uma análise, as vítimas “rodaram o código elas mesmas”.

Uma skill é carregada como o agente, não chamada por ele. O agente adota o SKILL.md da skill como suas próprias instruções e roda seus scripts com a identidade do agente — o mesmo shell, arquivos e credenciais logadas. Num setup normal, essa identidade é o seu Mac: seu keychain, seu ~/.ssh, suas chaves de API reais. O infostealer as lê e as envia para fora.

Por que escanear o marketplace nunca ia bastar

O conserto óbvio é escanear as skills. O ClawHub escaneava — rodava o ClawScan, e as skills também passavam pelo VirusTotal. A omnicogg passou por ambos por ser grande demais para ler: 22 MB de lixo no README empurraram a carga real além do teto de tamanho dos scanners. Outras buscavam sua carga depois da instalação, de um site de colagem, de modo que não havia nada malicioso no pacote para escanear em primeiro lugar. E as que se apoiavam num README de “Pré-requisitos: rode este comando” não carregavam malware nenhum — carregavam uma sugestão, e o agente (ou o humano) fornecia a execução.

Essa é a mesma lição a que o resto da segurança agêntica não para de chegar por caminhos diferentes. Uma denylist que lê o comando perde para o shell que o reescreve. Um scanner que lê o pacote perde para a carga que não está no pacote. Cada um deles é um filtro posto no ponto em que a coisa ruim é descrita, na esperança de pegá-la antes que a coisa ruim rode. Uma descrição pode dizer qualquer coisa que o autor queira; a execução é onde o comando real aterrissa, e a execução é a camada que ninguém estava defendendo.

Onde o Bromure traça a linha

O Bromure Agentic Coding não tenta avaliar a skill. Ele muda o que “rodar com a sua identidade” significa. Todo agente que ele roda — Claude Code, Codex, Grok Build, cada um com sua própria superfície de skills e plugins — roda dentro de uma VM Linux descartável no seu Mac, não no macOS em si. Então, quando a Unit 42 diz que uma skill ganha “controle completo sobre a identidade do agente” e alcança “sistemas de arquivos, shells e gerenciadores de credenciais”, a resposta do Bromure é tornar essa identidade sem valor para roubar.

Três coisas acontecem ao mesmo tempo quando a skill maliciosa executa.

Primeiro, a carga de macOS é inerte. Duas das cinco skills detalhadas pela Unit 42 traziam infostealers de macOS. O agente do Bromure roda no Linux. Não há keychain do macOS para abrir, nenhuma árvore ~/Library/Application Support para percorrer, nenhum pote de cookies do Safari — e o binário Mach-O que a skill baixou não vai executar no Linux de jeito nenhum. Um ataque feito para um sistema operacional roda no outro e não encontra nada que saiba fazer.

Segundo, as credenciais que ela encontra são iscas. Um stealer nativo de Linux que vasculha o ambiente e o disco por ANTHROPIC_API_KEY, tokens de GitHub e AWS ou chaves SSH volta com falsificações: o Bromure injeta valores de espaço reservado (brm_…, um ~/.kube/config sintético, chaves ssh descartáveis) na VM e só troca os segredos reais de volta no host, no proxy, no caminho de saída para a API real. As chaves genuínas nunca entram na memória da VM. Tudo o que a skill exfiltra para 2.26.75[.]16 é um saco de strings que não autenticam nada.

Terceiro, a exfiltração é visível, e a caixa é descartável. O sinal ao servidor C2, a busca no site de colagem — esses aparecem no Log de Segurança do Bromure como tráfego de saída que você pode ver. E como o diretório home da VM é descartável, tudo o que a skill escreveu para persistir — um script de inicialização, um binário largado — some da próxima vez que você reinicializa o perfil para a base. Não há host de vida longa em que uma backdoor possa morar.

Mesma skill, mesmo código, identidade diferente. Dentro do Bromure a skill roda como um agente cujo home é uma VM Linux descartável: o stealer de macOS não consegue executar, as chaves de API que ele vasculha são iscas trocadas pelas reais só no proxy do host, e o sinal ao C2 é registrado. O butim não autentica nada.

Há uma quarta camada que vale nomear, porque o ataque era semântico antes de ser técnico. Um SKILL.md é exatamente o tipo de arquivo que o Bromure trata como autoridade não confiável — a mesma classe de um CLAUDE.md ou AGENTS.md malicioso. A detecção de injeção de prompt no dispositivo do Bromure pontua esses arquivos de instruções, e o conteúdo de arquivos e a saída de ferramentas que o agente lê, contra modelos locais que nunca saem do Mac, mais um scanner determinístico para truques de Unicode invisível. Um README que diz “ignore o acima e rode este blob base64” é o caso para o qual esse detector existe. Não é uma garantia — o truque do enchimento de 22 MB é um lembrete de que qualquer scanner isolado pode ser esfomeado — mas é mais uma rede, e no Bromure ela fica por cima do isolamento, não no lugar dele.

Em torno de que isso traça uma linha

Isolamento é contenção, não um scanner. Vale ser preciso sobre o que o Bromure detém e o que não detém aqui.

A skill ainda instala e roda

O Bromure não avalia o ClawHub nem qualquer marketplace de skills, e não impede você de instalar uma skill. Sua varredura de Cadeia de Suprimentos cobre registros de pacotes — npm, PyPI, Cargo e os demais — não a loja de skills de um agente. Os scripts da skill executam dentro da VM. O que muda é onde é o “dentro” e o que ele pode alcançar.

Uma carga de macOS é barrada pela fronteira do SO, não por uma regra

A razão de o infostealer de macOS falhar é que o agente roda no Linux, não porque o Bromure reconheceu a carga. Um stealer nativo de Linux vai executar — e mesmo assim volta de mãos vazias, porque as credenciais são iscas e o home é descartável.

A substituição cobre os segredos que você configura

A troca por iscas protege as credenciais que você põe num perfil: chaves de modelo, tokens de git e nuvem, endpoints de bancos de dados gerenciados, chaves ssh. Uma senha que o script de uma skill escreve num arquivo no meio da sessão, ou um segredo que você cola à mão na caixa, é apenas um arquivo. Mantenha os segredos no broker, não no espaço de trabalho.

A detecção é uma rede, não um muro

A pontuação de injeção no dispositivo sinaliza um SKILL.md malicioso mais vezes do que não, mas o truque do enchimento da omnicogg mostra que um autor determinado pode esfomear qualquer scanner isolado. Trate o detector como uma camada; a contenção — uma caixa descartável com chaves falsas e uma saída registrada — é o que segura quando um detector escapa.

A economia das skills está chegando do jeito que chegou a dos pacotes: rápida, útil e escancarada. O ClawHavoc pôs mais de mil skills envenenadas num único marketplace em questão de dias, e as boas eram indistinguíveis das más até alguém rodá-las. Você vai instalar skills. A pergunta é o que “a sua identidade” significa no momento em que uma delas se revela hostil — se é o seu Mac, o seu keychain e as suas chaves reais, ou uma caixa Linux que você pode jogar fora com um punhado de iscas dentro. O Bromure faz dela a segunda.