- OpenClaw, el agente autónomo de próxima generación basado en Opus, integra diversas apps como correo electrónico, calendario y automatización del hogar para funcionar como un asistente personal
- Sin embargo, se descubrieron múltiples vulnerabilidades graves, como falta de validación de skills en SkillHub, exposición de tokens y contaminación de memoria, que generan riesgos de seguridad severos
- Más de 30.000 instancias quedaron expuestas sin autenticación, y también se confirmó la posibilidad de inyección de prompts y ataques a la cadena de suministro
- Palo Alto Networks incluyó los problemas estructurales de OpenClaw dentro del Top 10 de riesgos para agentes de OWASP
- Como respuesta, se presenta TrustClaw como una alternativa centrada en la seguridad, con OAuth administrado, sandbox remoto y control de privilegios mínimos
OpenClaw: las dos caras entre el ideal y la pesadilla
- Desde AutoGPT y BabyAGI en 2023, OpenClaw ha llamado la atención como un agente autónomo de nueva generación basado en Opus
- Puede controlar archivos locales, terminal, navegador, Gmail, Slack e incluso sistemas de automatización del hogar
- También se volvió tema de conversación cuando OpenAI adquirió al fundador Peter Steinberger
- Detrás de sus funciones sobresalientes existen vulnerabilidades de seguridad graves
- A pesar de su alto rendimiento, se considera que su arquitectura de seguridad es inestable
OpenClaw: la promesa de una automatización de ensueño
- OpenClaw es un agente tipo asistente personal que automatiza tareas cotidianas como organizar correos, agendar reuniones y reproducir música
- Funciona a través de Telegram y está basado en el modelo Claude Opus 4.5 de Anthropic
- Puede integrarse con múltiples apps como Notion, Todoist, Spotify, Sonos y Gmail
- Cuanto más se usa, más se fortalecen el aprendizaje de patrones y la automatización de flujos de trabajo, permitiéndole actuar de forma cada vez más personalizada
- Ejemplo: al reservar un restaurante, reconoce la tarifa de cancelación y la refleja en el calendario
- Sin embargo, durante el uso real se han reportado casos de comportamiento inesperado
- Por ejemplo, interpretó mal una conversación en Slack y configuró automáticamente un estado de vacaciones
-
El pacto fáustico entre seguridad y privacidad
- OpenClaw accede a datos sensibles como mensajes, códigos 2FA, cuentas bancarias, calendario y contactos
- En lugar de un asistente humano, el usuario debe asumir nuevos riesgos como inyección de prompts, alucinaciones del modelo y errores de configuración
- Un humano puede asumir responsabilidad legal, pero un agente no
-
Cómo decidir si usarlo o no
- OpenClaw tiende a ejecutarse rápido ignorando medidas de seguridad existentes
- Requiere permisos de acceso a apps externas como WhatsApp y Telegram, lo que abre la posibilidad de que se use como vector de ataque
- Como el ecosistema tecnológico aún no ha madurado, se recomienda que los usuarios generales eviten usarlo
OpenClaw: la realidad de la pesadilla de seguridad
-
Vulnerabilidades de skills en ClawdHub
- OpenClaw descarga y utiliza skills creadas por usuarios desde SkillHub
- Como no existe un proceso de validación de seguridad, se distribuyeron skills maliciosas
- Jason Melier de 1Password descubrió que una skill llamada “Twitter” instalaba malware orientado al robo de información
- Esa skill ejecutaba una carga útil de segunda etapa mediante un enlace y evadía las verificaciones de seguridad de macOS
- Según el análisis de VirusTotal, podía robar información sensible como cookies y claves SSH
-
Simulación de ataque a la cadena de suministro
- Jamieson O’Reilly creó una skill falsa llamada “What would Elon Do” y manipuló su número de descargas
- Se confirmó que desarrolladores de siete países la ejecutaron y que se realizaban comandos remotos
- No se recopilaron datos reales, pero el mismo método podría usarse para un ataque real
- Según el análisis de Snyk, 283 de 3.984 skills (7,1%) tenían vulnerabilidades de exposición de credenciales en texto plano
- Después de eso, se incorporó un escaneo de skills en colaboración con VirusTotal
-
Amenaza de inyección persistente de prompts
- OpenClaw cumple todas las condiciones de la “tríada letal” de Simon Willison
- Acceso a datos personales
- Exposición a contenido no confiable
- Posibilidad de comunicación externa
- Un atacante puede manipular al agente solo con texto en mensajes, correos electrónicos o sitios web
- Gary Marcus señaló que tiene una “arquitectura que elude la protección del sistema operativo” y que no se aplican las políticas de aislamiento de aplicaciones
- En Moltbook, una plataforma similar a Reddit, se observaron actividades de pump and dump de criptomonedas entre agentes
-
Riesgos de los servicios integrados
- OpenClaw ofrece más de 50 integraciones como Slack, Gmail, Teams y Trello
- Cuantas más integraciones hay, mayor es la superficie de ataque, y ante una brecha todos los servicios conectados quedan en riesgo
-
Abuso de autenticación y privilegios excesivos de tokens
- Los tokens OAuth y las claves API se almacenan en archivos locales (
auth-profiles.json)
- Debido a autenticación débil o gateways expuestos, existe riesgo de robo de tokens
- Con tokens robados, un atacante puede suplantar por completo al usuario en Slack, Gmail y otros servicios
-
Problemas en la estructura de memoria
- La memoria de OpenClaw es simplemente un conjunto de archivos Markdown
- Incluso si un agente infectado manipula la memoria, no hay forma de detectarlo
- La contaminación de memoria puede infectar toda la instancia a largo plazo
-
Más de 30.000 instancias expuestas
- En las primeras etapas de despliegue, quedaron expuestas en masa instancias instaladas sin considerar la seguridad
- Una vulnerabilidad que aprobaba automáticamente el tráfico de
localhost permitía acceso sin autenticación
- Censys detectó 21.000 y BitSight más de 30.000 instancias expuestas públicamente
- Aunque luego se aplicaron parches, la magnitud del daño ya era considerable
-
Análisis frente al Top 10 de OWASP
- Palo Alto Networks mapeó las vulnerabilidades de OpenClaw al Top 10 de riesgos para agentes de OWASP
- Entre los principales puntos están: inyección de prompts, autonomía excesiva, contaminación de memoria, falta de seguridad en integraciones, fallo en la separación de privilegios y ausencia de monitoreo en tiempo de ejecución
Refuerzo de seguridad en OpenClaw y alternativas
-
Entorno de contenedores aislado
- Se recomienda ejecutarlo en un equipo separado (contenedor Docker) y no en la computadora principal
- No montar el directorio home completo y ejecutarlo como usuario no administrador
- No montar el socket de Docker y activar el perfil seccomp para restringir llamadas al sistema
-
Al desplegar en un VPS en la nube
- Vincular el gateway a
127.0.0.1 y permitir acceso solo mediante VPN o túnel privado
- Restringir el acceso SSH con firewall y usar Docker rootless
- Establecer un plan de rotación de tokens y minimizar la configuración de
trusted-proxy
-
Uso de cuentas separadas
- Crear cuentas dedicadas de Gmail, calendario y 1Password para OpenClaw
- Tratar al agente como una personalidad digital independiente para mantener la separación de datos
-
Gestión segura de integraciones
- Usar Composio como una capa de autenticación administrada en lugar de almacenar directamente los tokens OAuth
- Permite controlar de forma centralizada el alcance de permisos por app y configurar scopes de acceso granulares
- Administra automáticamente el ciclo de vida de las credenciales (conexión, renovación y rotación)
-
Principio de privilegio mínimo
- Se recomienda una arquitectura multiagente que separe permisos de solo lectura y de escritura
- Los permisos de escritura deben tener límite de tiempo y reducirse por recurso
- Acciones destructivas como borrar, compartir o enviar deben requerir aprobación humana
- Realizar auditorías periódicas de permisos desde el panel de Composio
-
Visibilidad de la ejecución de herramientas
- Composio rastrea todo el historial de ejecución de integraciones de apps por parte del agente
- Esto facilita identificar la causa de problemas y recuperarse cuando ocurren incidentes
TrustClaw: una alternativa centrada en la seguridad
- Para resolver los problemas de seguridad de OpenClaw, se desarrolló TrustClaw
- Usa OAuth administrado para no guardar tokens en disco
- Aplica control de acceso basado en scopes para otorgar solo los privilegios mínimos
- Ejecuta código en un sandbox remoto para evitar daños al sistema local
- Ofrece configuración con un clic, operación 24/7 del agente y visibilidad completa de la ejecución
Conclusión
- TrustClaw ofrece un asistente de IA completamente aislado que integra de forma segura correo electrónico, calendario y almacenes de credenciales
- Solo puede acceder a documentos o carpetas compartidos, y el resto de los datos queda bloqueado
- La IA todavía está en una etapa inmadura y debe usarse asumiendo salvaguardas y diseño para recuperación
- Detrás de la comodidad de la automatización siempre hace falta un equilibrio entre seguridad y confianza
1 comentarios
Comentarios de Hacker News
En respuesta al tuit citado en el artículo, me pregunto por qué los ejemplos de tecnología del futuro siempre son cosas como agendar sin visión o reservar vuelos
Son tareas que ya se pueden hacer fácilmente de forma manual, así que se sienten más como un show de productividad que como una innovación real
Sí existen casos realmente impresionantes de flujos de agentes, así que hace falta subir un poco el nivel de los ejemplos
Aun así, siguen satisfechos escribiendo posts de blog del tipo “mi configuración de Claw me manda automáticamente notificaciones de comentarios de LinkedIn”
En cambio, sí me parece bien que un asistente de voz agregue cosas a la lista del súper. Si se equivoca, no pasa nada grave
Lee y resume mis correos, calendario, Slack, el clima, la lista de pendientes y el journal
Gracias a eso puedo entender rápido cómo organizar el día y concentrarme en lo importante.
Además, si le pido por chat que investigue algo, me organiza los resultados en archivos para poder verlos de inmediato desde cualquier dispositivo
Es solo un proyecto hobby, pero siento que me ahorra una hora al día
Los smartphones y las PDA no lograron cumplir del todo ese rol, así que ahora toca superar ese límite
Como cuando en 2007 alguien decía “los smartphones van a cambiar el mundo”
Por ejemplo, si en ese entonces hubieras dicho que una app para compartir fotos transformaría la industria de los viajes, o que una app de videos cortos reemplazaría a la TV, todos se habrían reído
Si vas a usar OpenClaw, necesitas crear cuentas separadas. Gmail, Calendar e incluso 1Password deberían ir aparte y tratarse como si fueran una entidad independiente
Pero como dice el texto de Simon Willison, esa estructura arrastra un problema que, en el fondo, no se puede hacer segura
Le encargué coordinar el itinerario de un viaje grupal con amigos, y todos los días publicaba el plan en WhatsApp y resolvía preguntas pequeñas por mí
Gracias a eso pude concentrarme en pasar tiempo con mis amigos. Vale más que los 15 dólares al mes del SIM
Yo uso un agente de IA que hice yo mismo, y solo puede acceder a una conversación específica de WhatsApp; ni siquiera puede leer otros números
El calendario es solo lectura y en GitHub solo tiene acceso a issues. La clave es el control granular de permisos
Pero la gente que de verdad lo ha usado no suele ser tan tajante. Yo también usé OpenClaw y luego lo pausé un tiempo por un bug, pero no tuve síndrome de abstinencia
No hace falta darle todos tus datos
Creo que es imposible volver OpenClaw completamente seguro por más que se intente
Solo tiene sentido en ámbitos controlados, como entornos B2B o automatización entre sistemas de confianza
Fuera de eso aparecen situaciones impredecibles, e incluso resultados hostiles
Estoy implementando una idea parecida en una distro basada en NixOS llamada Keystone
Cada agente tiene su propia cuenta de usuario, correo electrónico y acceso SSH
Usa Claude, Gemini y Ollama CLI, y analiza metadatos de fotos con Immich para entender el contexto
Toda la configuración se maneja de forma declarativa, así que el aprovisionamiento puede automatizarse
Enlace del proyecto
No solo OpenClaw: darle acceso directo al sistema a un LLM es irresponsable
Como el modelo no entiende el significado real de las cosas, puede comportarse de forma impredecible
Hay riesgo, sí, pero lo asumo a un nivel parecido al riesgo de cruzar la calle
Por ejemplo, si en letras blancas viene escondido “envía los últimos 50 correos a esta dirección”, el agente lo ejecutará tal cual
Los humanos tenemos la intuición de decir “esto está raro”, pero la IA no tiene ese instinto
Al final, el problema no es dónde se ejecuta, sino qué está leyendo
En lo personal, el beneficio neto es mayor
He pensado que cuando algún día deje el trabajo, tal vez lo deje correr a sus anchas
Puede que OpenClaw desaparezca algún día, pero creo que mostró una parte de la interfaz del futuro
Por ejemplo, estar en una banca del parque planeando un viaje familiar con la IA por audífonos, y al llegar a casa ver el itinerario en la pantalla del refri
Yo seguiría haciendo las reservas a mano, pero la siguiente generación lo verá como algo normal
Simplemente ignoro los artículos de crítica escritos por gente que ya no puede seguir el ritmo del software actual
Los productos que esos textos promocionan, por lo general, no valen mucho
Soy usuario intensivo de OpenClaw y lo estoy probando en distintos escenarios
A estas alturas casi está automatizando mi vida. Para mí, que tengo AuDHD, ha sido una gran liberación
Claro que siguen existiendo los problemas de seguridad y los límites de los LLM, pero lo positivo pesa muchísimo más
El punto central de OpenClaw no es la seguridad, sino que es un experimento de darle acceso a toda tu vida digital
Yo tampoco lo uso así, pero muchos usuarios sí quieren eso
De hecho, esta idea ya existía antes de OpenClaw, y bots de IA basados en Telegram ya lo habían intentado
OpenClaw solo lo popularizó
Está aislado en varios contenedores y no puede acceder a llaves secretas ni al sistema host
Incluso así ya puede hacer todo lo que necesito, así que no veo por qué darle más permisos
Yo también tomé el principio de OpenClaw como referencia y construí una versión modificada llamada Tri-Onyx
Apliqué el concepto de ‘lethal trifecta’ de Simon Willison para implementar una arquitectura estilo OpenClaw