NemoClaw: basta un clic en un enlace para que tu agente de IA quede bajo control total del atacante

A veces, para comprometer a un agente de IA no se necesita un programa malicioso, sino simplemente visitar un sitio web. Expertos de Oasis Security encontraron una vulnerabilidad crítica CVE-2026-65105 (8.1 en la escala CVSS 3.1) en NVIDIA NemoClaw, que permite que una página controlada por un atacante tome el control del modelo de IA local que sirve al agente, sin instalar software adicional.

NemoClaw ejecuta OpenClaw dentro del entorno protector NVIDIA OpenShell. Sin embargo, el error encontrado permite al atacante eludir el aislamiento esperado y afectar al modelo tras abrir una página web especialmente preparada. Tras la explotación, el atacante puede modificar el comportamiento del modelo en todos los diálogos posteriores sin mostrar al usuario signos evidentes de manipulación.

El problema es peligroso porque el agente de IA suele tener acceso legítimo a archivos, servicios y otros sistemas fuera del navegador. El entorno protector puede limitar parte de las consecuencias, pero no elimina por completo el riesgo si al agente ya se le ha permitido acceder a recursos externos. En ese caso, el modelo comprometido puede usar esos permisos en beneficio del atacante.

La nueva vulnerabilidad recuerda al fallo ClawJacked en OpenClaw, descubierto por Oasis Security en febrero de 2026. En ese caso, los especialistas demostraron que un sitio malicioso puede obtener silenciosamente el control del agente sin instalar software malicioso, una extensión dañina ni requerir una acción notable por parte del usuario. CVE-2026-65105 traslada un escenario similar a la infraestructura de NemoClaw.

Otro riesgo separado está relacionado con el envenenamiento de datos para IA, cuando los atacantes alteran la información o las instrucciones que recibe el sistema. Los especialistas ya han encontrado en sitios web comandos ocultos para agentes de IA capaces de hacer que el agente ignore la tarea original, revele información o realice acciones que beneficien al atacante. En el caso de NemoClaw, el impacto va más profundo, hacia el modelo local subyacente al agente.

NemoClaw puede usar Ollama para ejecutar localmente grandes modelos de lenguaje. Ese esquema ofrece más control sobre los datos, pero elimina parte de los mecanismos de protección centralizados de los grandes servicios de IA. CVE-2026-65105 muestra un riesgo específico de los agentes de IA locales: la compromisión del modelo subyacente puede afectar el funcionamiento posterior del agente más allá de una sola página web.