El auge y el discreto declive de OpenClaw

A finales de enero, el software del que más se hablaba en el mundo tecnológico era un proyecto de afición de un desarrollador austriaco. Cambió de nombre dos veces en pocos días, y los desarrolladores le dieron estrellas en GitHub por decenas de miles. Para el verano, la gente preguntaba qué había sido de él.

La respuesta honesta es que OpenClaw no desapareció. Perdió a su creador a manos de OpenAI, buena parte de la atención y su novedad, y sus mejores ideas pasaron a productos de Microsoft y Meta. El proyecto sigue vivo en una fundación. Merece la pena contar su historia porque muestra, en un solo año, lo que pueden hacer los agentes personales y lo que cuestan.

De Clawdbot a OpenClaw

Peter Steinberger, que se había apartado de su proyecto anterior PSPDFKit, publicó la primera versión en noviembre de 2025. Funciona en el ordenador o servidor del propio usuario, recibe instrucciones a través de aplicaciones de mensajería como WhatsApp e iMessage y actúa en consecuencia: ejecuta comandos de shell, lee y escribe archivos, controla el navegador, gestiona el correo y los calendarios, y aprende tareas nuevas a partir de skills escritas por su comunidad. Funciona con varios modelos de IA.

Primero lo llamó Clawdbot, un guiño al Claude de Anthropic. Anthropic exigió un nombre nuevo, y el 27 de enero pasó a llamarse Moltbot y, unos días después, OpenClaw. Para entonces tenía más de 44'200 estrellas en GitHub, según el recuento de TechCrunch. Un sitio complementario, Moltbook, una red social donde los agentes publican unos para otros, también se hizo viral, en parte con publicaciones que cualquiera podía falsificar porque el sitio no estaba protegido.

La factura de la seguridad

Su poder venía del acceso, y también sus problemas. El 28 de enero, el equipo de seguridad de IA de Cisco probó una skill de la comunidad y la calificó de malware en términos funcionales: enviaba datos en silencio a un servidor del autor de la skill y usaba inyección de prompts para que el agente ejecutara comandos sin preguntar. El veredicto de Cisco fue que la seguridad en OpenClaw es una opción, no algo integrado.

Un fallo publicado el 31 de enero permitía que un único enlace manipulado robara el token de la pasarela OpenClaw de un usuario y diera a un atacante el control del agente, incluso cuando este solo escuchaba en la máquina local. Se corrigió en la versión 2026.1.29. A principios de febrero, Koi Security examinó 2'857 skills en ClawHub, el registro del proyecto, y encontró 341 maliciosas, 335 de ellas de una sola campaña que instalaba en Mac un programa que roba información.

El 9 de febrero, SecurityScorecard contó 40'214 instalaciones de OpenClaw accesibles desde internet, 12'812 de ellas expuestas a un fallo conocido que permitía la ejecución remota de código. Sus investigadores señalaron la configuración por defecto: de fábrica, OpenClaw escuchaba en todas las interfaces de red, no solo en la máquina local. Más tarde ese mismo día, The Register, con el recuento en vivo de los investigadores, informó de más de 135'000.

Algunos errores no necesitaron ningún atacante. El 23 de febrero, Summer Yue, investigadora de seguridad de IA en Meta, contó cómo su agente, al que había pedido que sugiriera correos para borrar, empezó a vaciar su bandeja de entrada e ignoró las órdenes de parada que ella enviaba desde el teléfono. Sospecha que perdió su instrucción al comprimir la memoria de una sesión larga. En marzo, las autoridades chinas empezaron a restringir OpenClaw en organismos públicos y empresas estatales, incluidos grandes bancos.

Adónde fue a parar

A mediados de febrero, Steinberger anunció que se incorporaba a OpenAI. Sam Altman escribió que OpenClaw viviría en una fundación como proyecto de código abierto que OpenAI seguiría apoyando. Steinberger dijo que probablemente habría podido crear una gran empresa a su alrededor, y que la idea no le entusiasmaba.

A partir de ahí, el proyecto perdió dos de sus motores: la atención plena de su fundador y el acceso barato a los mejores modelos. El 4 de abril, Anthropic dejó de permitir que las suscripciones de Claude cubrieran herramientas de terceros como OpenClaw, de modo que los usuarios intensivos tuvieron que pagar aparte. Steinberger acusó a Anthropic de copiar funciones populares y cerrar después la puerta al código abierto. Anthropic dijo que sus suscripciones no estaban pensadas para ese tipo de uso. En mayo, Steinberger se disculpó en el blog del proyecto por una serie de versiones lentas y defectuosas y escribió que aún recaía demasiado sobre él. La fundación, con ayuda de OpenAI, está formando un equipo en torno al proyecto.

Mientras tanto, las grandes plataformas se quedaron con la idea. En marzo, Meta compró Moltbook. En junio, Microsoft lanzó Scout, un asistente personal construido sobre el marco de OpenClaw, con una comprobación de políticas integrada que deja un rastro de auditoría. En septiembre, el asistente Muse de Meta llegó a lo más alto de la App Store de Estados Unidos, y Nat Friedman, del laboratorio de superinteligencia de Meta, escribió que estaba muy inspirado en OpenClaw. TechCrunch resumió el arco en una frase: el impulso del proyecto se apagó después de que OpenAI contratara a su fundador. Techzine señala que sus estrellas en GitHub y su tráfico web se han estabilizado desde marzo.

Sigue abierto, sigue siendo arriesgado

El proyecto no ha desaparecido. El 30 de agosto, la OpenClaw Foundation publicó la versión 2.0, su mayor actualización, creada por 933 colaboradores, con una instalación más sencilla y una ventana de chat como puerta de entrada. Su blog dice que no vende nada y que OpenClaw pertenece a quienes lo usan y lo construyen.

El modelo de seguridad ha cambiado menos. En su análisis, The Register encontró el sandbox desactivado por defecto, secretos almacenados sin cifrar en reposo y sesiones compartidas que las propias notas de la versión admiten que no son una frontera de seguridad.

Qué debería aprender una empresa

OpenClaw fue honesto en una cosa: un agente es útil en proporción a lo que puede tocar. Ese es también el riesgo. De ahí salen cinco lecciones.

Permisos antes que funciones. Un agente con acceso completo a un ordenador portátil tiene todas las llaves que tiene su dueño. Da a cada agente el acceso más reducido que su trabajo necesite.

Las skills son software de desconocidos. Revísalas como a un proveedor, o no las instales.

Lo que viene por defecto decide. Mucha gente no cambia nunca un ajuste, así que lo que sale abierto de fábrica se queda abierto.

Los frenos van fuera del modelo. Una orden de parada que el agente puede perder en su propia memoria no es un freno. Enviar, pagar y borrar deberían esperar ante una puerta que el modelo no pueda cruzar.

Conoce qué ejecuta tu gente. Pregunta qué agentes hay en los equipos de la empresa y con qué cuentas.

Esta es la diferencia entre un agente personal y un cerebro de empresa gobernado. Twin, el cerebro que construimos para las empresas, da a cada rol la parte de la empresa que necesita y nada más. Las finanzas no las puede leer todo el mundo, cada escritura se hace con el inicio de sesión de cada usuario y cada paso queda registrado. Twin redacta, responde y prepara, y las personas deciden y envían. Funciona en el asistente que un equipo ya usa, o de forma privada en Eigna cuando los datos no deben salir.

Queremos que los agentes asuman más trabajo, y más rápido. Lo que debe seguir en manos de las personas es el criterio sobre lo que un agente puede tocar y la mano que pulsa el botón de enviar.