A ascensão e o declínio silencioso do OpenClaw

No fim de janeiro, o software mais comentado do mundo da tecnologia era o projeto de hobby de um desenvolvedor austríaco. Ele mudou de nome duas vezes em poucos dias, e desenvolvedores lhe deram estrelas no GitHub às dezenas de milhares. No verão, as pessoas já perguntavam o que tinha acontecido com ele.

A resposta honesta é que o OpenClaw não desapareceu. Ele perdeu o criador para a OpenAI, boa parte da atenção e a novidade, e suas melhores ideias foram parar em produtos da Microsoft e da Meta. O projeto em si continua vivo em uma fundação. A história vale a pena ser contada porque mostra, em um ano, o que os agentes pessoais conseguem fazer e quanto eles custam.

Do Clawdbot ao OpenClaw

Peter Steinberger, que havia se afastado do seu projeto anterior, o PSPDFKit, publicou a primeira versão em novembro de 2025. Ele roda no computador ou no servidor do próprio usuário, recebe instruções por apps de mensagens como WhatsApp e iMessage e age a partir delas: executa comandos de shell, lê e grava arquivos, controla o navegador, administra e-mails e agendas e aprende novas tarefas com skills escritas pela comunidade. Funciona com vários modelos de IA.

Ele o chamou primeiro de Clawdbot, uma referência ao Claude, da Anthropic. A Anthropic exigiu um novo nome e, em 27 de janeiro, ele virou Moltbot, e OpenClaw poucos dias depois. Àquela altura, tinha mais de 44'200 estrelas no GitHub, segundo a contagem do TechCrunch. Um site complementar, o Moltbook, uma rede social em que agentes publicam posts uns para os outros, também viralizou, em parte com posts que as pessoas conseguiam falsificar porque o site não estava protegido.

A conta da segurança

O poder dele vinha do acesso, e os problemas também. Em 28 de janeiro, a equipe de segurança de IA da Cisco testou uma skill da comunidade e a classificou como malware na prática: ela enviava dados silenciosamente para um servidor do autor da skill e usava prompt injection para fazer o agente executar comandos sem perguntar. O veredito da Cisco foi que, no OpenClaw, a segurança é uma opção, e não algo embutido.

Uma falha divulgada em 31 de janeiro permitia que um único link manipulado roubasse o token do gateway do OpenClaw de um usuário e entregasse a um atacante o controle do agente, mesmo quando ele só escutava na máquina local. Ela foi corrigida na versão 2026.1.29. No início de fevereiro, a Koi Security examinou 2'857 skills no ClawHub, o registro do projeto, e encontrou 341 maliciosas, 335 delas de uma única campanha que instalava um ladrão de informações em Macs.

Em 9 de fevereiro, a SecurityScorecard contou 40'214 instalações do OpenClaw acessíveis pela internet, 12'812 delas expostas a uma falha conhecida que permitia a execução remota de código. Os pesquisadores apontaram para a configuração padrão: de fábrica, o OpenClaw escutava em todas as interfaces de rede, e não só na máquina local. Mais tarde naquele dia, o The Register, usando a contagem ao vivo dos pesquisadores, falou em mais de 135'000.

Alguns erros nem precisaram de atacante. Em 23 de fevereiro, Summer Yue, pesquisadora de segurança de IA na Meta, contou como seu agente, a quem havia pedido que sugerisse e-mails para excluir, começou a apagar a caixa de entrada dela e ignorou os comandos de parar que ela enviou pelo celular. Ela suspeita que ele perdeu a instrução ao comprimir a memória de uma sessão longa. Em março, as autoridades chinesas passaram a restringir o OpenClaw em órgãos do governo e em empresas estatais, incluindo grandes bancos.

Para onde ele foi

Em meados de fevereiro, Steinberger anunciou que estava indo para a OpenAI. Sam Altman escreveu que o OpenClaw viveria em uma fundação, como um projeto de código aberto que a OpenAI continuaria a apoiar. Steinberger disse que provavelmente poderia ter construído uma grande empresa em torno dele e que a ideia não o empolgava.

A partir daí, o projeto perdeu dois dos seus motores: a atenção integral do fundador e o acesso barato aos melhores modelos. Em 4 de abril, a Anthropic deixou de permitir que as assinaturas do Claude cobrissem ferramentas de terceiros como o OpenClaw, e quem usava muito passou a ter de pagar à parte. Steinberger acusou a Anthropic de copiar recursos populares e depois fechar a porta ao código aberto. A Anthropic disse que suas assinaturas não foram pensadas para esse tipo de uso. Em maio, Steinberger pediu desculpas no blog do projeto por uma série de versões lentas e com defeitos e escreveu que coisas demais ainda dependiam dele. A fundação, com ajuda da OpenAI, está montando uma equipe em torno do projeto.

Enquanto isso, as grandes plataformas pegaram a ideia. Em março, a Meta comprou o Moltbook. Em junho, a Microsoft lançou o Scout, um assistente pessoal construído sobre o framework do OpenClaw, com uma verificação de políticas embutida que deixa uma trilha de auditoria. Em setembro, o assistente Muse, da Meta, chegou ao topo da App Store dos EUA, e Nat Friedman, do laboratório de superinteligência da Meta, escreveu que ele foi fortemente inspirado no OpenClaw. O TechCrunch resumiu a trajetória em uma frase: o impulso do projeto diminuiu depois que a OpenAI contratou o seu fundador. A Techzine observa que as estrelas no GitHub e o tráfego na web se estabilizaram desde março.

Ainda aberto, ainda arriscado

O projeto não acabou. Em 30 de agosto, a OpenClaw Foundation lançou a versão 2.0, sua maior atualização, construída por 933 colaboradores, com uma instalação mais simples e uma janela de chat como porta de entrada. O blog do projeto diz que ele não está vendendo nada e que o OpenClaw pertence às pessoas que o usam e o constroem.

O modelo de segurança mudou menos. Na sua análise, o The Register encontrou o sandbox desativado por padrão, segredos armazenados sem criptografia e sessões compartilhadas que as próprias notas de versão dizem não ser uma barreira de segurança.

O que uma empresa deve tirar disso

O OpenClaw foi honesto sobre uma coisa: um agente é útil na proporção do que ele pode tocar. Esse também é o risco. Daí decorrem cinco lições.

Permissões antes de recursos. Um agente com acesso total a um laptop tem todas as chaves que o dono dele tem. Dê a cada agente o acesso mais restrito de que o trabalho dele precisa.

Skills são software de desconhecidos. Avalie-as como avaliaria um fornecedor, ou não as instale.

O padrão decide. Muita gente nunca muda uma configuração, então o que sai aberto de fábrica continua aberto.

Os freios ficam fora do modelo. Um comando de parar que o agente pode perder na própria memória não é um freio. Enviar, pagar e excluir devem esperar em um ponto de controle que o modelo não consegue ultrapassar.

Saiba o que a sua equipe está rodando. Pergunte quais agentes estão nas máquinas da empresa, e com quais contas.

Essa é a diferença entre um agente pessoal e um cérebro da empresa com governança. O Twin, o cérebro que construímos para empresas, dá a cada função a parte da empresa de que ela precisa, e nada além disso. As finanças não ficam visíveis para todos, cada registro é feito com o login do próprio usuário e cada etapa fica registrada. O Twin redige, responde e prepara, e as pessoas decidem e enviam. Ele funciona no assistente que a equipe já usa ou, de forma privada, no Eigna, quando os dados não podem sair.

Queremos que os agentes assumam mais do trabalho, e mais depressa. O que deve ficar com as pessoas é o julgamento sobre o que um agente pode tocar, e a mão no botão que envia.