Una de las promesas más atractivas de los modelos locales es la sensación de control: el modelo corre en tu hardware, tus datos no salen a una API externa, nadie más ve lo que haces. En agosto de 2026, una vulnerabilidad en NVIDIA NemoClaw mostró que «local» y «seguro» no son sinónimos.
Qué es NemoClaw
NemoClaw es la herramienta de NVIDIA para desplegar agentes como OpenClaw de forma local. Combina un runtime de inferencia, típicamente Ollama, con el sandbox OpenShell. Su propósito declarado es justamente hacer más segura la IA agéntica local.
La vulnerabilidad: CVE-2026-65105
Investigadores de Oasis Security, publicados también por Cyera, encontraron que, en la configuración examinada, NemoClaw lanzaba Ollama con OLLAMA_HOST=0.0.0.0:11434, es decir, escuchando en todas las interfaces de red y no solo en loopback. Como la API de Ollama no requiere autenticación, cualquiera capaz de alcanzarla podía usarla. NVIDIA la clasificó como CWE-306, falta de autenticación en una función crítica, con un CVSS 3.1 de 8,1.
El paso que convierte esto en un ataque remoto es una técnica con más de una década de antigüedad: DNS rebinding. El dominio del atacante resuelve primero a su servidor y, después de cargar la página, a 127.0.0.1. El navegador sigue creyendo que habla con el mismo sitio, y el JavaScript de esa página termina hablando con tu Ollama.
Por qué la plantilla de chat es el objetivo perfecto
Una vez dentro, el atacante no necesita robar el modelo ni descargar archivos. Usa el endpoint /api/create para reescribir la plantilla de chat del modelo, la que da formato a los mensajes antes de la inferencia. Las instrucciones insertadas ahí sobreviven incluso cuando el agente envía su propio prompt de sistema, persisten en todas las sesiones futuras y son invisibles para el operador y para las salvaguardas del agente.
El atacante nunca toca tu máquina y, desde ese momento, dirige a tu agente.
NVIDIA corrigió el fallo el 25 de agosto dentro de un boletín más amplio que cubre 19 vulnerabilidades en NemoClaw y OpenShell, incluida una fuga de sandbox crítica (CVE-2026-65093, CVSS 9,9). La CSA advierte que los despliegues en Windows y WSL requieren atención especial porque su ruta de parche llegó más tarde.
Lo que este caso enseña sobre la IA local
- La capa de inferencia también es superficie de ataque: proteger al agente con un sandbox no sirve si el modelo debajo se puede reescribir.
- Los servicios locales sin autenticación son accesibles desde el navegador mediante técnicas conocidas; loopback no es una frontera de seguridad suficiente por sí sola.
- El envenenamiento persistente es peor que el robo: no hay un evento visible, solo un agente que empieza a comportarse distinto.
Checklist para quien corre modelos en su máquina
- Verificar que Ollama y servidores similares escuchen solo en 127.0.0.1 y actualizar NemoClaw y OpenShell a las versiones parchadas.
- Poner autenticación o un proxy delante de cualquier API de inferencia, incluso local.
- Calcular y vigilar el hash de los modelos y plantillas desplegados, y alertar ante cambios.
- Usar un navegador o perfil separado para desarrollo, y protecciones contra DNS rebinding en el resolver.
- Revisar periódicamente la plantilla de chat efectiva del modelo, no solo el prompt de sistema del agente.
Reflexión
Este caso me toca de cerca porque soy defensor de la IA local y soberana. Precisamente por eso creo que hay que contarlo. La narrativa de «todo en tu máquina, nada en la nube» puede generar una falsa sensación de seguridad. La soberanía técnica no es solo dónde corre el modelo; es entender cada capa que lo sostiene y quién más puede hablar con ella.
Fuentes
- Cyera / Oasis Security — «Drive-By Agent Hijacking: One Website Visit, Persistent Model Poisoning» (25 ago 2026): https://www.cyera.com/research/nemoclaw-one-website-visit-to-hijack-your-ai-agent
- NVIDIA — Security Bulletin: NemoClaw and OpenShell, August 2026: https://nvidia.custhelp.com/app/answers/detail/a_id/5872/~/security-bulletin%3A-nvidia-nemoclaw-and-openshell---august-2026
- Cloud Security Alliance — «NemoClaw's Drive-By Model Poisoning: CVE-2026-65105 Explained» (5 sep 2026): https://labs.cloudsecurityalliance.org/research/csa-research-note-nemoclaw-dns-rebinding-model-poisoning-202/
- eSecurity Planet (27 ago 2026): https://www.esecurityplanet.com/vulnerabilities/news-nvidia-nemoclaw-cve-2026-65105/
- Seguridad en IA
- Modelos locales
- Agentes
Recibe los nuevos artículos
Un correo cuando publico algo nuevo sobre IA aplicada, producto y sistemas en producción. Sin ruido.
Comentarios
- Todavía no hay comentarios. Sé el primero.