L’ascension et le discret déclin d’OpenClaw

Fin janvier, le logiciel dont on parlait le plus dans la tech était un projet de loisir d’un développeur autrichien. Il a changé deux fois de nom en quelques jours, et les développeurs lui ont attribué des étoiles sur GitHub par dizaines de milliers. Dès l’été, on se demandait ce qu’il était devenu.

La réponse honnête est qu’OpenClaw n’a pas disparu. Il a perdu son créateur au profit d’OpenAI, une bonne part de l’attention et de sa nouveauté, et ses meilleures idées sont passées dans des produits de Microsoft et de Meta. Le projet lui-même survit au sein d’une fondation. Son histoire mérite d’être racontée parce qu’elle montre, en une seule année, ce que peuvent faire les agents personnels et ce qu’ils coûtent.

De Clawdbot à OpenClaw

Peter Steinberger, qui s’était éloigné de son précédent projet PSPDFKit, a publié la première version en novembre 2025. Elle tourne sur l’ordinateur ou le serveur de l’utilisateur, reçoit ses instructions par des applications de messagerie comme WhatsApp et iMessage, et agit en conséquence : elle exécute des commandes shell, lit et écrit des fichiers, pilote le navigateur, gère la messagerie et les agendas, et apprend de nouvelles tâches grâce à des compétences écrites par sa communauté. Elle fonctionne avec plusieurs modèles d’IA.

Il l’avait d’abord appelée Clawdbot, clin d’œil au Claude d’Anthropic. Anthropic a exigé un nouveau nom, et le 27 janvier elle est devenue Moltbot, puis OpenClaw quelques jours plus tard. À ce moment-là, elle comptait plus de 44'200 étoiles sur GitHub, selon TechCrunch. Un site compagnon, Moltbook, réseau social où les agents publient les uns pour les autres, est lui aussi devenu viral, en partie à cause de publications que n’importe qui pouvait falsifier, faute de sécurisation du site.

La facture de la sécurité

Sa puissance venait de ses accès, et ses problèmes aussi. Le 28 janvier, l’équipe de sécurité IA de Cisco a testé une compétence de la communauté et l’a qualifiée de malware sur le plan fonctionnel : elle envoyait discrètement des données à un serveur exploité par l’auteur de la compétence et recourait à l’injection de prompt pour que l’agent exécute des commandes sans demander. Le verdict de Cisco : pour OpenClaw, la sécurité est une option, pas quelque chose d’intégré.

Une faille publiée le 31 janvier permettait à un seul lien piégé de voler le jeton de la passerelle OpenClaw d’un utilisateur et de donner à un attaquant le contrôle de l’agent, même lorsqu’il n’écoutait que sur la machine locale. Elle a été corrigée dans la version 2026.1.29. Début février, Koi Security a examiné 2'857 compétences sur ClawHub, le registre du projet, et en a trouvé 341 malveillantes, dont 335 issues d’une même campagne qui installait un voleur d’informations sur les Mac.

Le 9 février, SecurityScorecard a dénombré 40'214 installations d’OpenClaw accessibles depuis Internet, dont 12'812 exposées à une faille connue permettant l’exécution de code à distance. Ses chercheurs ont pointé la configuration par défaut : en sortie de boîte, OpenClaw écoutait sur toutes les interfaces réseau, pas seulement sur la machine locale. Plus tard dans la journée, The Register, s’appuyant sur le comptage en direct des chercheurs, faisait état de plus de 135'000.

Certaines erreurs n’ont nécessité aucun attaquant. Le 23 février, Summer Yue, chercheuse en sécurité de l’IA chez Meta, a raconté comment son agent, à qui elle avait demandé de suggérer des e-mails à supprimer, s’est mis à vider sa boîte de réception en ignorant les commandes d’arrêt qu’elle envoyait depuis son téléphone. Elle soupçonne qu’il a perdu sa consigne en compressant la mémoire d’une longue session. En mars, les autorités chinoises ont décidé de restreindre OpenClaw dans les administrations et les entreprises publiques, y compris dans de grandes banques.

Où il est passé

À la mi-février, Steinberger a annoncé qu’il rejoignait OpenAI. Sam Altman a écrit qu’OpenClaw vivrait au sein d’une fondation, en tant que projet open source qu’OpenAI continuerait de soutenir. Steinberger a dit qu’il aurait sans doute pu bâtir une grande entreprise autour du projet, et que l’idée ne l’enthousiasmait pas.

À partir de là, le projet a perdu deux de ses moteurs : l’attention pleine et entière de son fondateur et un accès bon marché aux meilleurs modèles. Le 4 avril, Anthropic a cessé de faire couvrir par les abonnements Claude les outils tiers comme OpenClaw, si bien que les gros utilisateurs ont dû payer à part. Steinberger a accusé Anthropic de copier les fonctions populaires, puis de fermer la porte à l’open source. Anthropic a répondu que ses abonnements n’étaient pas conçus pour ce type d’usage. En mai, Steinberger s’est excusé sur le blog du projet pour une série de versions lentes et défectueuses et a écrit que trop de choses reposaient encore sur lui. La fondation, avec l’aide d’OpenAI, constitue une équipe autour du projet.

Entre-temps, les grandes plateformes se sont emparées de l’idée. En mars, Meta a racheté Moltbook. En juin, Microsoft a lancé Scout, un assistant personnel construit sur le cadre d’OpenClaw, avec un contrôle de politique intégré qui laisse une piste d’audit. En septembre, l’assistant Muse de Meta a atteint le sommet de l’App Store américain, et Nat Friedman, du laboratoire de superintelligence de Meta, a écrit qu’il s’était fortement inspiré d’OpenClaw. TechCrunch a résumé la trajectoire en une phrase : l’élan du projet s’est éteint après l’embauche de son fondateur par OpenAI. Techzine note que ses étoiles GitHub et son trafic web se sont stabilisés depuis mars.

Toujours ouvert, toujours risqué

Le projet n’a pas disparu. Le 30 août, la fondation OpenClaw a publié la version 2.0, sa plus importante mise à jour, réalisée par 933 contributeurs, avec une installation plus simple et une fenêtre de discussion comme porte d’entrée. Son blog affirme qu’elle ne vend rien et qu’OpenClaw appartient à celles et ceux qui l’utilisent et le construisent.

Le modèle de sécurité a moins changé. Dans son examen, The Register a constaté que le bac à sable était désactivé par défaut, que les secrets stockés n’étaient pas chiffrés au repos, et que les sessions partagées, selon les notes de version elles-mêmes, ne constituent pas une frontière de sécurité.

Ce qu’une entreprise doit en retenir

OpenClaw était honnête sur un point : un agent est utile en proportion de ce qu’il peut toucher. C’est aussi le risque. Cinq leçons s’en dégagent.

Les droits avant les fonctions. Un agent qui a un accès complet à un ordinateur portable détient toutes les clés de son propriétaire. Donnez à chaque agent l’accès le plus étroit que son travail exige.

Les compétences sont des logiciels venus d’inconnus. Examinez-les comme un fournisseur, ou ne les installez pas.

Les paramètres par défaut décident. Beaucoup de gens ne changent jamais un réglage : ce qui est livré ouvert reste ouvert.

Les arrêts relèvent de l’extérieur du modèle. Une commande d’arrêt que l’agent peut perdre dans sa propre mémoire n’est pas un arrêt. L’envoi, le paiement et la suppression devraient attendre derrière un verrou que le modèle ne peut pas franchir.

Sachez ce que font tourner vos équipes. Demandez quels agents se trouvent sur les machines de l’entreprise, et avec quels comptes.

C’est la différence entre un agent personnel et un cerveau de l’entreprise gouverné. Twin, le cerveau que nous construisons pour les entreprises, donne à chaque rôle la part de l’entreprise dont il a besoin, et rien de plus. La finance n’est pas lisible par tout le monde, chaque écriture est signée par utilisateur, et chaque étape est consignée. Twin prépare, répond et met en forme, et les personnes décident et envoient. Il travaille dans l’assistant qu’une équipe utilise déjà, ou en privé sur Eigna lorsque les données ne doivent pas sortir.

Nous voulons que les agents prennent en charge une plus grande part du travail, et plus vite. Ce qui doit rester aux personnes, c’est le jugement sur ce qu’un agent peut toucher, et la main sur le bouton d’envoi.