OpenClaw en la empresa: los riesgos reales y la lista de control

jonathan@neuracloudconsulting.com (Jonathan Giordano) — Mon, 19 Oct 2026 10:21:00 GMT

Puede que un empleado ya haya instalado OpenClaw en su ordenador.

Es un agente de IA libre, muy popular desde principios de 2026.

Lee archivos, ejecuta comandos y responde desde una aplicación de mensajería.

Esos accesos son su fuerza, y su riesgo.

Esto es lo que está documentado, y lo que yo comprobaría antes de autorizarlo.

Tres riesgos documentados

Una vulnerabilidad que robaba el acceso en un clic

A finales de enero de 2026 se publicó una vulnerabilidad, la CVE-2026-25253.

Tiene una nota de 8,8 sobre 10.

Bastaba un enlace trampa para enviar el token de acceso del agente a un atacante.

Con ese token, el atacante podía cambiar la configuración y ejecutar comandos.

Afectaba incluso a las instalaciones limitadas al ordenador local.

Era el navegador de la víctima el que abría la conexión.

Está corregida desde la versión 2026.1.29, publicada el 30 de enero de 2026.

Cualquier versión anterior debe actualizarse sin esperar.

Habilidades maliciosas en el mercado

OpenClaw se amplía con «habilidades» que la comunidad publica en ClawHub.

Koi Security identificó 341 maliciosas, la mayoría ligadas a una misma campaña.

Snyk analizó 3.984 habilidades a principios de febrero de 2026.

Sus investigadores confirmaron 76 cargas maliciosas.

ClawHub añadió después un análisis automático de las publicaciones.

No basta.

Entre febrero y mayo de 2026, Unit 42 encontró otras cinco habilidades maliciosas sin bloquear.

Dos instalaban un programa que roba credenciales en Mac.

Otra inflaba su documentación hasta 22 MB para escapar de los analizadores.

Instalaciones abiertas a Internet

Varios recuentos públicos han contado decenas de miles de instancias accesibles desde Internet.

Las cifras varían según el método, pero el orden de magnitud se mantiene.

Yo formé parte del lote.

Al auditar mi servidor, encontré mi instalación más expuesta de lo que debía.

La detuve.

El riesgo que se olvida: el agente hereda sus permisos

Un agente actúa con los accesos que se le dan.

Si lee su correo, un correo trampa puede darle instrucciones.

Si tiene sus credenciales, una habilidad maliciosa también las tiene.

Este riesgo no se corrige con una actualización.

Se reduce dando el mínimo acceso posible.

La lista de control

Antes de autorizar OpenClaw, o cualquier agente generalista, yo comprobaría estos ocho puntos.

Inventario: saber quién lo ha instalado, en qué ordenador o en qué servidor.
Versión: 2026.1.29 como mínimo, y lo ideal es la última publicada.
Exposición: la interfaz de control solo escucha en la máquina local. El acceso remoto pasa por una red privada o un túnel.
Autenticación: activada, con un token largo, cambiado si el agente funcionó con una versión vulnerable.
Habilidades: ninguna instalación desde ClawHub sin leer el código y verificar al editor.
Aislamiento: el agente funciona en un contenedor o una máquina dedicada, con una cuenta sin privilegios.
Accesos: tokens propios del agente, limitados a lo estrictamente necesario. Nunca sus credenciales personales.
Vigilancia: las conexiones salientes del agente se registran y se revisan.

Si nadie en su empresa puede mantener estos ocho puntos en el tiempo, no use un agente generalista.

Lo más difícil es el tiempo que exigen, cada semana.

Qué hacer en su lugar

Para una tarea concreta, un agente acotado suele bastar.

Trabaja en sus herramientas actuales, solo con los accesos de su tarea.

He comparado cinco opciones en Alternativas a OpenClaw: 5 opciones para una pyme.

Si quiere una mirada externa sobre un agente ya instalado en su empresa, la auditoría es gratuita.

NeuraCloud Blog