L’ascesa e la lenta uscita di scena di OpenClaw

A fine gennaio il software di cui si parlava di più nel mondo tech era un progetto hobbistico di uno sviluppatore austriaco. Ha cambiato nome due volte in pochi giorni, e gli sviluppatori lo hanno premiato con stelle su GitHub a decine di migliaia. In estate ci si chiedeva che fine avesse fatto.

La risposta onesta è che OpenClaw non è scomparso. Ha perso il suo creatore a favore di OpenAI, gran parte dell’attenzione e la sua novità, e le sue idee migliori sono passate in prodotti di Microsoft e Meta. Il progetto in sé sopravvive in una fondazione. Vale la pena raccontare la sua storia perché mostra, nell’arco di un anno, che cosa possono fare gli agenti personali e quanto costano.

Da Clawdbot a OpenClaw

Peter Steinberger, che si era allontanato dal suo progetto precedente PSPDFKit, ha pubblicato la prima versione a novembre 2025. Gira sul computer o sul server dell’utente, riceve istruzioni tramite app di messaggistica come WhatsApp e iMessage e agisce di conseguenza: esegue comandi di shell, legge e scrive file, controlla il browser, gestisce e-mail e calendari e impara nuovi compiti da skill scritte dalla sua comunità. Funziona con diversi modelli di IA.

In origine lo aveva chiamato Clawdbot, un cenno al Claude di Anthropic. Anthropic ha richiesto un nuovo nome, e il 27 gennaio è diventato Moltbot, poi OpenClaw pochi giorni dopo. A quel punto aveva più di 44'200 stelle su GitHub, ha contato TechCrunch. Anche un sito gemello, Moltbook, un social network in cui gli agenti si scrivono tra loro, è diventato virale, in parte con post che chiunque poteva falsificare perché il sito non era protetto.

Il conto della sicurezza

La sua forza veniva dall’accesso, e così i suoi problemi. Il 28 gennaio il team di sicurezza IA di Cisco ha testato una skill della comunità e l’ha definita funzionalmente un malware: inviava di nascosto dati a un server gestito dall’autore della skill e usava la prompt injection per far eseguire comandi all’agente senza chiedere. Il verdetto di Cisco è stato che la sicurezza per OpenClaw è un optional, non qualcosa di integrato.

Una falla pubblicata il 31 gennaio permetteva a un singolo link costruito ad arte di rubare il token del gateway OpenClaw di un utente e di dare a un aggressore il controllo dell’agente, anche quando ascoltava solo sulla macchina locale. È stata corretta nella versione 2026.1.29. All’inizio di febbraio Koi Security ha esaminato 2'857 skill su ClawHub, il registro del progetto, e ne ha trovate 341 dannose, 335 delle quali da un’unica campagna che installava un information stealer sui Mac.

Il 9 febbraio SecurityScorecard ha contato 40'214 installazioni di OpenClaw raggiungibili da internet, 12'812 delle quali esposte a una falla nota che consentiva l’esecuzione di codice da remoto. I suoi ricercatori hanno indicato l’impostazione predefinita: di serie, OpenClaw ascoltava su ogni interfaccia di rete, non solo sulla macchina locale. Più tardi nello stesso giorno The Register, usando il conteggio in tempo reale dei ricercatori, ha riportato più di 135'000.

Alcuni errori non hanno richiesto alcun aggressore. Il 23 febbraio Summer Yue, ricercatrice di sicurezza IA presso Meta, ha descritto come il suo agente, a cui aveva chiesto di suggerire le e-mail da eliminare, ha iniziato a cancellarle la casella di posta e ha ignorato i comandi di arresto che gli inviava dal telefono. Sospetta che abbia perso la sua istruzione mentre comprimeva la memoria di una sessione lunga. A marzo le autorità cinesi si sono mosse per limitare OpenClaw presso enti governativi e aziende statali, comprese grandi banche.

Dove è finito

A metà febbraio Steinberger ha annunciato di entrare in OpenAI. Sam Altman ha scritto che OpenClaw sarebbe vissuto in una fondazione come progetto open source che OpenAI avrebbe continuato a sostenere. Steinberger ha detto che probabilmente avrebbe potuto costruirci attorno una grande azienda, e che l’idea non lo entusiasmava.

Da lì il progetto ha perso due dei suoi motori: la piena attenzione del fondatore e l’accesso a basso costo ai modelli migliori. Il 4 aprile Anthropic ha smesso di far coprire dagli abbonamenti a Claude gli strumenti di terze parti come OpenClaw, così gli utenti intensivi hanno dovuto pagare a parte. Steinberger ha accusato Anthropic di copiare funzioni popolari e poi chiudere la porta all’open source. Anthropic ha detto che i suoi abbonamenti non erano pensati per quel tipo di uso. A maggio Steinberger si è scusato sul blog del progetto per una serie di versioni lente e difettose e ha scritto che troppo poggiava ancora su di lui. La fondazione, con l’aiuto di OpenAI, sta costruendo un team attorno al progetto.

Nel frattempo le grandi piattaforme hanno preso l’idea. A marzo Meta ha acquistato Moltbook. A giugno Microsoft ha lanciato Scout, un assistente personale costruito sul framework OpenClaw, con un controllo delle policy integrato che lascia una traccia di audit. A settembre l’assistente Muse di Meta è arrivato in cima all’App Store statunitense, e Nat Friedman del laboratorio di superintelligenza di Meta ha scritto che era fortemente ispirato a OpenClaw. TechCrunch ha riassunto l’arco in una frase: lo slancio del progetto si è spento dopo che OpenAI ha assunto il suo fondatore. Techzine osserva che le sue stelle su GitHub e il traffico web si sono stabilizzati da marzo.

Ancora aperto, ancora rischioso

Il progetto non è scomparso. Il 30 agosto la OpenClaw Foundation ha rilasciato la versione 2.0, il suo aggiornamento più grande, costruito da 933 contributori, con un’installazione più semplice e una finestra di chat come porta d’ingresso. Il suo blog afferma che non sta vendendo nulla e che OpenClaw appartiene alle persone che lo usano e lo costruiscono.

Il modello di sicurezza è cambiato meno. Nella sua recensione, The Register ha trovato la sandbox disattivata per impostazione predefinita, segreti memorizzati senza cifratura a riposo e sessioni condivise che le note di rilascio stesse dicono non essere un confine di sicurezza.

Che cosa dovrebbe trarne un’azienda

OpenClaw è stato onesto su una cosa: un agente è utile in proporzione a ciò che può toccare. Questo è anche il rischio. Ne seguono cinque lezioni.

Diritti prima delle funzioni. Un agente con pieno accesso a un portatile detiene ogni chiave che detiene il suo proprietario. Date a ogni agente l’accesso più ristretto di cui il suo compito ha bisogno.

Le skill sono software di sconosciuti. Controllatele come un fornitore, oppure non installatele.

Le impostazioni predefinite decidono. Molte persone non cambiano mai un’impostazione, quindi ciò che esce aperto resta aperto.

Gli stop stanno fuori dal modello. Un comando di arresto che l’agente può perdere nella propria memoria non è un arresto. Inviare, pagare e cancellare dovrebbero attendere a un punto di controllo che il modello non può superare.

Sappiate che cosa fanno girare le vostre persone. Chiedete quali agenti sono sulle macchine aziendali, e con quali account.

È questa la differenza tra un agente personale e un cervello aziendale governato. Twin, il cervello che costruiamo per le aziende, dà a ogni ruolo la parte dell’azienda di cui ha bisogno e nient’altro. I dati finanziari non sono leggibili da tutti, ogni scrittura è firmata con l’identità del singolo utente e ogni passo viene registrato. Twin redige, risponde e prepara, e le persone decidono e inviano. Funziona nell’assistente che un team usa già, oppure in privato su Eigna quando i dati non devono uscire.

Vogliamo che gli agenti si facciano carico di una parte maggiore del lavoro, e più in fretta. Ciò che deve restare alle persone è il giudizio su ciò che un agente può toccare, e la mano sul pulsante che invia.