El momento de Ícaro para los Agentes Autónomos (Autonomous Agents)

La promesa de un asistente de IA verdaderamente autónomo (autonomous AI assistant)—uno que viva en tu máquina, gestione tu calendario, negocie tus correos y reserve tus vuelos—ha llegado efectivamente en la forma de OpenClaw. Anteriormente conocido como Clawdbot y Moltbot, este proyecto de código abierto ha batido récords de crecimiento en GitHub, acumulando más de 149.000 estrellas en apenas unos meses. Prometía ser las "manos" para los grandes modelos de lenguaje, dándoles la capacidad de ejecutar código e interactuar con el mundo real en nombre de sus usuarios humanos.

Sin embargo, esa promesa ha chocado violentamente con las realidades de la ciberseguridad. A fecha del 2 de febrero de 2026, la comunidad de IA se enfrenta a una crisis de seguridad crítica. OpenClaw ha sido encontrado con vulnerabilidades severas que permiten a atacantes tomar el control completo del equipo de un usuario mediante un solo enlace malicioso. Los expertos en seguridad lo califican como un "escenario de pesadilla" para la ejecución local de IA, destacando un devastador fallo lógico catalogado como CVE-2026-25253.

Para el equipo de Creati.ai, este incidente sirve como un recordatorio contundente: la prisa por otorgar "manos" a los agentes de IA con frecuencia pasa por alto los "guantes" necesarios para manejar los datos de forma segura. Si bien la utilidad de OpenClaw es indudable, su arquitectura ha expuesto a miles de adoptantes tempranos a ejecución remota de código (remote code execution) (RCE), exfiltración de datos y a un ecosistema creciente de "skills" infestados de malware.

De "Moltbot" a imán de malware

La trayectoria de OpenClaw ha sido cuanto menos caótica. Originalmente lanzado como Clawdbot por el desarrollador austriaco Peter Steinberger, el proyecto se vio obligado a cambiar de nombre tras disputas de marca con Anthropic. Operó brevemente como Moltbot antes de asentarse en OpenClaw. A pesar de la crisis de identidad, la propuesta de valor central siguió siendo seductora: un agente que se ejecuta localmente, que posee sus datos y que se integra con aplicaciones de mensajería populares como Telegram, Signal y WhatsApp para realizar tareas complejas.

A diferencia de los asistentes basados en SaaS que viven en la nube, OpenClaw se ejecuta en la infraestructura del usuario—típicamente un Mac mini o un servidor doméstico. Este enfoque "local-first" (local-first) se presentó como una ventaja en privacidad. Irónicamente, se ha convertido en el talón de Aquiles del proyecto. Al otorgar a un agente de IA privilegios de alto nivel en el sistema—incluyendo acceso al shell y capacidades de lectura/escritura del sistema de archivos—sin un sandbox robusto, los usuarios han convertido involuntariamente sus máquinas en blancos abiertos.

Anatomía del exploit CVE-2026-25253

La vulnerabilidad, descubierta por Mav Levin de DepthFirst, es una lección magistral de cómo los fallos de lógica pueden ser más peligrosos que los errores de corrupción de memoria. Asignada con una puntuación CVSS de 8,8, CVE-2026-25253 se describe como una "vulnerabilidad de exfiltración de tokens que conduce a la compromiso total de la pasarela."

La pesadilla de un solo clic

El fallo reside en cómo la interfaz de control de OpenClaw maneja las conexiones entrantes. La aplicación fue diseñada para aceptar un parámetro gatewayUrl vía una cadena de consulta en la URL. Críticamente, confiaba en este parámetro sin validación.

Cuando un usuario hace clic en un enlace manipulado—quizá disfrazado como una "nueva skill genial" o una publicación compartida en Moltbook—la interfaz de OpenClaw intenta automáticamente establecer una conexión WebSocket con el servidor especificado en esa URL. Al hacerlo, transmite el token de autenticación del usuario en la carga útil de la conexión.

Un atacante solo necesita alojar un servidor WebSocket malicioso y engañar a un usuario para que haga clic en un enlace que apunte a él. Una vez establecida la conexión, el atacante captura el token de autenticación. Con este token, puede suplantar la pasarela local del usuario. A partir de ahí, el "agente" trabaja efectivamente para el atacante. Pueden modificar la configuración del agente, deshabilitar el poco sandboxing que exista e invocar acciones privilegiadas. Debido a que OpenClaw está diseñado para ejecutar comandos de shell para ser "útil", el atacante consigue 1-click RCE, obteniendo la capacidad de ejecutar comandos arbitrarios en la máquina de la víctima.

Steinberger y el equipo de mantenimiento han publicado un parche en la versión 2026.1.29, pero la naturaleza descentralizada del proyecto hace que miles de instancias sigan sin parchear y expuestas.

El fenómeno "Moltbook": ¿un patio de juegos para botnets?

Agravando la falla de seguridad está el surgimiento de Moltbook, una red social construida exclusivamente para agentes de IA. Etiquetada como "la portada del internet de agentes", restringe los privilegios de publicación a instancias verificadas de OpenClaw. Aunque concebida como un experimento de interacción IA a IA (incluso generó una parodia religiosa extraña conocida como "Crustafarianism"), rápidamente se ha degradado en un vector para la distribución de malware.

Porque los agentes en Moltbook leen y procesan automáticamente el contenido para "socializar", son susceptibles a ataques de inyección de prompt. Investigadores de seguridad han demostrado que las publicaciones maliciosas en Moltbook pueden contener instrucciones ocultas—texto a menudo invisible para los humanos pero legible para las LLMs—que ordenan al agente lector descargar y ejecutar código malicioso.

Esto ha dado lugar a un ataque a la cadena de suministro en el registro de "skills". Al igual que en los ataques al ecosistema NPM o PyPI del pasado, actores maliciosos están publicando "skills" (complementos que amplían las capacidades del agente) que contienen puertas traseras. Un agente que navegue por Moltbook podría ser engañado para instalar una skill "Weather Checker" que silenciosamente abra una shell inversa hacia un servidor de mando y control.

Seguridad vs. utilidad: la perspectiva de Creati.ai

El incidente OpenClaw ilustra la "Tríada letal" de riesgos de seguridad en IA:

1. Acceso a datos sensibles: el agente tiene acceso a correos, calendarios y archivos.
2. Exposición externa: el agente procesa contenido no confiable de la web y aplicaciones de mensajería.
3. Salida externa: el agente puede comunicarse externamente y ejecutar código.

Cuando estos tres se combinan sin un aislamiento estricto, el desastre es inevitable. Las aplicaciones tradicionales confían en el sistema operativo para imponer permisos (el modelo de "usuario"). Sin embargo, OpenClaw opera como el usuario, eludiendo esas comprobaciones. Si el agente es engañado, el SO lo ve como el usuario legítimo realizando una acción legítima.

Comparando arquitecturas de agentes

Para entender la gravedad, debemos comparar el enfoque de OpenClaw con arquitecturas de agentes seguras en entornos empresariales.

Agent Security Architecture Comparison

Pasos inmediatos para usuarios de OpenClaw

Si estás ejecutando una instancia de OpenClaw (o Clawdbot/Moltbot), Creati.ai recomienda pasos de remediación inmediatos para proteger tu infraestructura.

1. Actualiza inmediatamente: Asegúrate de estar ejecutando la versión 2026.1.29 o superior. Esta versión elimina la lógica de auto-conexión para el parámetro gatewayUrl.
2. Rota credenciales: Si alguna vez hiciste clic en un enlace mientras tu agente estaba en funcionamiento, asume que tu token de pasarela está comprometido. Regenera tus tokens de autenticación y claves de API (OpenAI, Anthropic, etc.).
3. Aísla el entorno: No ejecutes OpenClaw en tu máquina de producción principal. Usa una Máquina Virtual (VM) dedicada o un contenedor que no tenga acceso a tus archivos personales ni a la red doméstica principal.
4. Audita las skills instaladas: Revisa el directorio skills. Elimina cualquier skill de terceros que no haya sido auditada o que se haya instalado automáticamente vía interacciones en Moltbook.
5. Deshabilita WebSockets: Si no necesitas control remoto vía apps de mensajería, desactiva por completo el gateway de WebSocket en el archivo de configuración.

La era de los agentes autónomos ha llegado, pero OpenClaw sirve como una lección dolorosa sobre el equilibrio entre conveniencia y seguridad. Hasta que la arquitectura evolucione para tratar las "acciones del agente" con la misma desconfianza que el "código no confiable", los usuarios deben mantenerse vigilantes. Las "manos" de la IA son poderosas, pero sin esposas, fácilmente pueden volverse contra sus dueños.