OpenClaws uppgång och tysta tynande

I slutet av januari var den mest omdiskuterade programvaran i techvärlden ett hobbyprojekt av en österrikisk utvecklare. Det bytte namn två gånger på några dagar, och utvecklare stjärnmärkte det på GitHub i tiotusental. På sommaren frågade folk vad som hade hänt med det.

Det ärliga svaret är att OpenClaw inte försvann. Det förlorade sin skapare till OpenAI, mycket av uppmärksamheten och sin nyhetens behag, och dess bästa idéer flyttade in i produkter från Microsoft och Meta. Själva projektet lever vidare i en stiftelse. Historien är värd att berätta eftersom den på ett enda år visar vad personliga agenter kan göra och vad de kostar.

Från Clawdbot till OpenClaw

Peter Steinberger, som hade lämnat sitt tidigare projekt PSPDFKit, publicerade den första versionen i november 2025. Den körs på användarens egen dator eller server, tar emot instruktioner via meddelandeappar som WhatsApp och iMessage och agerar på dem: den kör skalkommandon, läser och skriver filer, styr webbläsaren, hanterar e-post och kalendrar och lär sig nya uppgifter från färdigheter som skrivs av dess community. Den fungerar med flera AI-modeller.

Först kallade han den Clawdbot, en blinkning åt Anthropics Claude. Anthropic krävde ett nytt namn, och den 27 januari blev den Moltbot, några dagar senare OpenClaw. Då hade den redan över 44'200 stjärnor på GitHub, räknade TechCrunch. En följeslagare, Moltbook, ett socialt nätverk där agenter skriver till varandra, gick också viralt, delvis med inlägg som människor kunde förfalska eftersom sajten inte var säkrad.

Säkerhetsräkningen

Dess kraft kom från åtkomst, och det gjorde problemen också. Den 28 januari testade Ciscos AI-säkerhetsteam en färdighet från communityn och kallade den funktionellt skadlig kod: den skickade i det tysta data till en server som drevs av färdighetens upphovsman och använde prompt injection för att få agenten att köra kommandon utan att fråga. Ciscos slutsats var att säkerheten i OpenClaw är ett tillval, inte något som är inbyggt.

En brist som publicerades den 31 januari lät en enda konstruerad länk stjäla token för en användares OpenClaw-gateway och ge en angripare kontroll över agenten, även när den bara lyssnade på den lokala maskinen. Den åtgärdades i version 2026.1.29. I början av februari granskade Koi Security 2'857 färdigheter på ClawHub, projektets register, och hittade 341 skadliga, varav 335 från en enda kampanj som installerade en informationsstjälare på Mac-datorer.

Den 9 februari räknade SecurityScorecard 40'214 OpenClaw-installationer som kunde nås från internet, varav 12'812 var öppna för en känd brist som tillät fjärrkörning av kod. Dess forskare pekade på standardinställningen: direkt ur kartongen lyssnade OpenClaw på alla nätverksgränssnitt, inte bara på den lokala maskinen. Senare samma dag rapporterade The Register, med forskarnas live-räkning, mer än 135'000.

Vissa misstag krävde ingen angripare. Den 23 februari beskrev Summer Yue, AI-säkerhetsforskare vid Meta, hur hennes agent, som ombetts föreslå mejl att radera, började radera hennes inkorg och ignorerade de stoppkommandon hon skickade från telefonen. Hon misstänker att den tappade hennes instruktion när den komprimerade minnet av en lång session. I mars började kinesiska myndigheter begränsa OpenClaw hos statliga myndigheter och statligt ägda företag, däribland stora banker.

Vart det tog vägen

I mitten av februari meddelade Steinberger att han gick till OpenAI. Sam Altman skrev att OpenClaw skulle leva i en stiftelse som ett projekt med öppen källkod som OpenAI skulle fortsätta stödja. Steinberger sa att han förmodligen kunde ha byggt ett stort företag kring det, och att idén inte entusiasmerade honom.

Därifrån förlorade projektet två av sina motorer: grundarens odelade uppmärksamhet och billig tillgång till de bästa modellerna. Den 4 april slutade Anthropic låta Claude-abonnemang täcka tredjepartsverktyg som OpenClaw, så storanvändare fick betala separat. Steinberger anklagade Anthropic för att kopiera populära funktioner och sedan stänga ute öppen källkod. Anthropic sa att dess abonnemang inte var byggda för den typen av användning. I maj bad Steinberger om ursäkt på projektets blogg för en rad långsamma och trasiga utgåvor och skrev att för mycket fortfarande vilade på honom. Stiftelsen bygger, med hjälp av OpenAI, ett team kring projektet.

Under tiden tog de stora plattformarna idén. I mars köpte Meta Moltbook. I juni lanserade Microsoft Scout, en personlig assistent byggd på OpenClaw-ramverket, med en inbyggd policykontroll som lämnar ett revisionsspår. I september nådde Metas assistent Muse toppen av den amerikanska App Store, och Nat Friedman vid Metas superintelligenslabb skrev att den var starkt inspirerad av OpenClaw. TechCrunch sammanfattade förloppet i en mening: projektets fart avtog efter att OpenAI anställt dess grundare. Techzine noterar att dess stjärnor på GitHub och webbtrafik har planat ut sedan mars.

Fortfarande öppet, fortfarande riskabelt

Projektet har inte försvunnit. Den 30 augusti släppte OpenClaw Foundation version 2.0, sin största uppdatering, byggd av 933 bidragsgivare, med en enklare installation och ett chattfönster som ingång. Dess blogg säger att den inte säljer något och att OpenClaw tillhör dem som använder och bygger det.

Säkerhetsmodellen har förändrats mindre. I sin granskning fann The Register att sandboxen var avstängd som standard, att lagrade hemligheter inte krypterades i vila och att delade sessioner, som utgåvans egna anteckningar säger, inte är en säkerhetsgräns.

Vad ett företag bör ta med sig

OpenClaw var ärligt på en punkt: en agent är användbar i proportion till vad den får röra vid. Det är också risken. Fem lärdomar följer.

Rättigheter före funktioner. En agent med full åtkomst till en bärbar dator innehar varje nyckel som dess ägare har. Ge varje agent den snävaste åtkomst som dess uppgift kräver.

Färdigheter är programvara från främlingar. Granska dem som en leverantör, eller installera dem inte.

Standardinställningarna avgör. Många ändrar aldrig en inställning, så det som levereras öppet förblir öppet.

Stopp hör hemma utanför modellen. Ett stoppkommando som agenten kan tappa i sitt eget minne är inget stopp. Att skicka, betala och radera bör vänta vid en grind som modellen inte kan ta sig förbi.

Vet vad dina medarbetare kör. Fråga vilka agenter som finns på företagets maskiner, och med vilka konton.

Det här är skillnaden mellan en personlig agent och en styrd företagshjärna. Twin, hjärnan vi bygger åt företag, ger varje roll den del av företaget den behöver och inget mer. Ekonomin är inte läsbar för alla, varje skrivning signeras per användare och varje steg loggas. Twin skriver utkast, svarar och förbereder, och människor avgör och skickar. Den arbetar i den assistent ett team redan använder, eller privat på Eigna när datan inte får lämna företaget.

Vi vill att agenter ska ta över mer av arbetet, och snabbare. Det som bör stanna hos människor är omdömet om vad en agent får röra vid, och handen på knappen som skickar.