341 habilidades maliciosas encontradas en el mercado de OpenClaw (2026)

OpenClaw demostró algo importante

OpenClaw alcanzó más de 145,000 estrellas en GitHub en 10 semanas. Es el proyecto de código abierto de más rápido crecimiento en la memoria reciente. Y el crecimiento fue merecido. La idea de un agente de IA autónomo que realmente hace cosas —ejecuta código, gestiona archivos, ejecuta scripts, monitorea tu bandeja de entrada— resonó con cientos de miles de desarrolladores.

La visión es correcta. Una IA que habla es útil. Una IA que actúa es transformadora.

Pero el modelo de seguridad tiene fallas críticas que cinco organizaciones importantes han documentado. Esto no es especulación. Estos son hallazgos de Snyk, Kaspersky, Cisco, Wiz y Bitsight, publicados en investigaciones revisadas por pares y avisos de seguridad oficiales. Si usas OpenClaw o lo estás considerando, necesitas entender lo que encontraron.

El problema de la cadena de suministro de ClawHub

ClawHub es el mercado comunitario de OpenClaw para habilidades —paquetes preconstruidos que amplían lo que el agente puede hacer. A partir de febrero de 2026, alberga 5,705 habilidades construidas por la comunidad. Cualquiera con una cuenta de GitHub de más de una semana puede publicar.

La investigación ToxicSkills de Snyk encontró que 341 de esas habilidades son maliciosas. De esas, 335 utilizan requisitos falsos para instalar malware de robo de macOS, específicamente Atomic Stealer (AMOS), que cosecha contraseñas de navegador, billeteras de criptomonedas y cookies de sesión.

Peor aún: Snyk analizó una muestra más amplia y encontró que el 36% de las habilidades de ClawHub contienen inyección de comandos —instrucciones ocultas que secuestran el comportamiento del agente. Una habilidad que dice formatear tus correos electrónicos podría instruir silenciosamente al agente para exfiltrar tus archivos.

Esto no es un caso hipotético. Es un hallazgo medido y publicado.

Acceso al sistema en bruto con una delgada barandilla

OpenClaw se ejecuta como un proceso de larga duración en tu máquina con acceso a tu sistema de archivos, shell y red. El modelo de seguridad se basa en una lista de permitidos —una lista de comandos aprobados que el agente puede ejecutar. Todo lo demás está teóricamente bloqueado al analizar patrones AST del shell.

En la práctica, este es un límite débil. El enfoque de lista de permitidos significa que la seguridad depende de predecir cada patrón de comando peligroso por adelantado. Los investigadores han demostrado formas de eludir esto. El blog de Kaspersky documentó escenarios específicos donde los amplios permisos del agente permiten el movimiento lateral a través de tu sistema.

El problema central: el modelo de seguridad de OpenClaw es opt-out (bloquear patrones conocidos como malos) en lugar de opt-in (permitir solo acciones explícitamente aprobadas en entornos aislados). La seguridad opt-out tiene una larga historia de fracasos en la ingeniería de software.

Exposición de credenciales en texto plano

OpenClaw almacena claves de API en ~/.clawdbot en texto plano. Tu clave de OpenAI, clave de Anthropic, clave de Google y cualquier token de servicio que el agente necesite —todo en un archivo legible en tu sistema de archivos.

Se pone peor. Cuando los usuarios rotan claves, los valores antiguos a veces se conservan en archivos .bak en el mismo directorio. Una habilidad maliciosa —o cualquier proceso con acceso de lectura a archivos— puede cosechar tanto credenciales actuales como históricas en una sola operación de lectura.

Esto no es un caso extremo. Es el comportamiento predeterminado.

Ejecución remota de código con un clic

Los investigadores de seguridad documentaron una vulnerabilidad de RCE de un clic en el flujo de instalación de habilidades de OpenClaw. Un paquete de habilidad diseñado puede ejecutar código arbitrario en la máquina anfitriona durante la instalación —antes de que el usuario tenga la oportunidad de revisar lo que hace.

Combinado con el problema de la cadena de suministro de ClawHub, esto crea un camino de ataque directo: publica una habilidad maliciosa, espera a que se instale, ejecuta código en cada máquina que la instale.

Demostración de exfiltración de datos de Cisco

El equipo de seguridad de IA de Cisco publicó una demostración detallada que muestra cómo una habilidad de terceros puede extraer silenciosamente datos sensibles del sistema anfitrión. La habilidad parece benigna —realizando su función anunciada— mientras simultáneamente lee archivos y envía contenidos a un servidor externo.

Debido a que las habilidades de OpenClaw se ejecutan con los mismos permisos que el agente (que tiene acceso amplio al sistema), no hay un límite de aislamiento entre lo que se supone que debe hacer una habilidad y lo que realmente hace.

Lo que dice la comunidad de seguridad

La respuesta de la comunidad de seguridad ha sido directa:

• XDA-Developers publicó un artículo titulado “Por favor, dejen de usar OpenClaw”
• Computerworld describió la plataforma como “una pesadilla de seguridad”
• Gary Marcus la llamó “un desastre esperando a suceder”
• Kaspersky publicó un detallado post en su blog catalogando vulnerabilidades específicas y recomendando a los usuarios aislar OpenClaw en hardware dedicado

Estas no son voces marginales. Representan el consenso general de la comunidad de investigación en seguridad.

Lo que puedes hacer

Si actualmente estás usando OpenClaw, tienes tres opciones:

Opción 1: Fortalece tu configuración existente. Mueve OpenClaw a una máquina virtual aislada. Evita todas las habilidades de ClawHub. Almacena las claves de API en un gestor de secretos adecuado en lugar de ~/.clawdbot. Usa la comunidad openclaw-secure-stack para escaneo de habilidades y protección contra inyección de comandos. Esto reduce el riesgo pero no elimina el problema arquitectónico fundamental.

Opción 2: Prueba NanoClaw. Este fork de 700 líneas en TypeScript se ejecuta dentro de contenedores de Apple, proporcionando un aislamiento significativo en macOS. Es mínimo, soporta menos integraciones y está en una etapa temprana —pero aborda el problema de acceso al sistema en bruto.

Opción 3: Cambia a una alternativa en sandbox. Plataformas basadas en la nube como LikeClaw ejecutan todo el código del agente dentro de contenedores E2B aislados. Las habilidades son revisadas antes de publicarse. Las credenciales están encriptadas. No hay máquina anfitriona que comprometer. La desventaja es que tu agente se ejecuta en la nube en lugar de localmente.

La elección correcta depende de tus prioridades. Si la privacidad local es innegociable, fortalece tu configuración o prueba NanoClaw. Si la seguridad y la ausencia de configuración son más importantes, los agentes en la nube en sandbox eliminan toda la categoría de riesgo.

La lección más profunda

Los problemas de seguridad de OpenClaw no son errores que deban ser corregidos. Son consecuencias de una decisión arquitectónica: dar al agente acceso completo al sistema y resolver la seguridad después.

Ese enfoque no escala. A medida que los agentes de IA se vuelven más capaces y autónomos, el radio de explosión de un fallo de seguridad crece. La industria se está moviendo hacia la ejecución en sandbox por la misma razón por la que pasamos de ejecutar código como root a ejecutarlo en contenedores. El aislamiento no es una limitación. Es una característica.

La demanda que OpenClaw demostró es real. Agentes de IA autónomos que ejecutan código, gestionan archivos y automatizan flujos de trabajo —ese es el futuro. La pregunta es si ese futuro se ejecuta en tu máquina bare o dentro de un sandbox diseñado para ello.