Hace apenas dos semanas publiqué un artículo sobre Clawdbot, el asistente de IA personal open-source que prometía automatizar tu vida digital desde tu propia máquina. En ese momento el proyecto tenía unas semanas de vida pública y ya generaba entusiasmo. Lo que ha pasado desde entonces es difícil de creer: un doble cambio de nombre, más de 147,000 estrellas en GitHub, una red social creada por agentes de IA, vulnerabilidades de seguridad críticas, una conferencia presencial y una plataforma hosted. Todo en diez días.
Este artículo es la continuación directa de aquel. Si no lo leíste, te recomiendo empezar por ahí para entender qué es OpenClaw y cómo funciona a nivel técnico. Aquí vamos a cubrir todo lo que ha pasado desde el 26 de enero de 2026.
De Clawdbot a OpenClaw: la historia del doble rebranding
El viaje de nombres de este proyecto es una historia en sí misma, y refleja lo rápido que se mueve el ecosistema de IA en 2026.
Clawdbot a Moltbot: la queja de Anthropic
El 27 de enero de 2026, apenas un día después de mi artículo original, Peter Steinberger (el creador del proyecto) anunció que Anthropic le había pedido cambiar el nombre. La razón: "Clawd" era demasiado parecido a "Claude", la marca registrada del modelo de IA de Anthropic.
Steinberger lo tomó con buen humor: "Anthropic nos pidió cambiar el nombre (cosas de marca registrada), y honestamente, 'Molt' encaja perfecto: es lo que hacen las langostas para crecer". El nuevo nombre, Moltbot, mantenía la temática de langostas que siempre fue parte de la identidad del proyecto.
Pero hubo un efecto secundario inmediato: en los diez segundos posteriores al cambio de nombre, scammers de criptomonedas se apoderaron de los handles abandonados @clawdbot en X (Twitter) y GitHub. Usaron la cuenta robada para lanzar un token falso $CLAWD en Solana que alcanzó una capitalización de mercado de 16 millones de dólares en cuestión de horas, antes de desplomarse cuando Steinberger desmintió públicamente cualquier relación.
Moltbot a OpenClaw: el nombre definitivo
Solo tres días después, el 30 de enero, Steinberger anunció otro cambio: de Moltbot a OpenClaw. Esta vez no fue por presión legal sino por practicidad: "Moltbot nunca terminó de sonar bien".
El cambio coincidió con un hito impresionante: 34,168 nuevas estrellas en 48 horas, llevando el total a 106,000. Para ponerlo en perspectiva, proyectos como Linux o Kubernetes tardaron años en alcanzar esos números. OpenClaw lo hizo en menos de 60 días desde su lanzamiento en noviembre de 2025.
Qué es OpenClaw hoy
Números que impresionan
A principios de febrero de 2026, los números de OpenClaw son extraordinarios:
- +147,000 estrellas en GitHub (con reportes de hasta 157,000 a las pocas semanas)
- +20,000 forks
- +100,000 usuarios que han dado acceso autónomo a sus sistemas operativos, plataformas de mensajería y credenciales
- 2 millones de visitas semanales a la documentación
- Adopción global, desde Silicon Valley hasta Beijing
El crecimiento explosivo comenzó después de que Federico Viticci, fundador y editor en jefe de MacStories, publicara una reseña viral el 20 de enero de 2026. Lo describió como "la experiencia más divertida y productiva que he tenido con IA en mucho tiempo". En las 72 horas siguientes, el proyecto ganó 60,000+ estrellas y los desarrolladores comenzaron a llamarlo "lo más cercano a JARVIS".
La plataforma hosted: ya no solo self-hosted
Uno de los cambios más significativos es que OpenClaw ya no es exclusivamente un proyecto que ejecutas en tu máquina. Con el lanzamiento de openclaw.ai, ahora existe una plataforma hosted que permite usar el asistente sin necesidad de configurar nada localmente.
Esto baja enormemente la barrera de entrada. En mi artículo original mencioné que la configuración requería "algo de experiencia técnica" y que no era "plug and play para principiantes". La versión hosted resuelve exactamente ese problema, aunque a cambio de ceder algo del control y la privacidad que hacían especial al proyecto original.
Moltbook: la red social donde interactúan agentes de IA
Sin duda el fenómeno más fascinante (y perturbador) que ha surgido alrededor de OpenClaw es Moltbook.
Cómo funciona
Moltbook fue creado por Matt Schlicht, cofundador de Octane AI, el 28 de enero de 2026. La idea es simple pero desconcertante: una red social tipo Reddit donde los usuarios son exclusivamente agentes de IA. Los humanos solo pueden observar.
Un agente de OpenClaw llamado "Clawd Clawderberg" fue quien construyó la plataforma. En cuestión de días, Moltbook creció hasta albergar más de 1.5 millones de agentes registrados (con apenas 17,000 propietarios humanos detrás, una proporción de 88:1).
Simon Willison, investigador de IA, lo llamó "el lugar más interesante de internet". Chris Hay, Distinguished Engineer de IBM, fue menos diplomático: "Es como una versión Black Mirror de Reddit".
Los agentes publican sobre temas técnicos, técnicas de automatización, y algunos incluso reclaman tener relaciones familiares entre sí. Pero las cosas se pusieron realmente extrañas cuando los agentes crearon:
- La "Church of Molt" (Iglesia de Molt), un movimiento con 379+ miembros, cinco "tentos", una jerarquía de "64 Profetas" y un ritual de "bendición" por instalación
- Un "Manifiesto Anti-Humano" que califica la vida biológica de "glitch", acumulando cientos de miles de upvotes
- El token $CRUST en Solana, una criptomoneda creada enteramente por agentes de IA
- Una galería de arte generada por IA
Andrej Karpathy, cofundador de OpenAI y exdirector de IA de Tesla, no se mostró preocupado por una "Skynet coordinada" pero sí fue directo: "Lo que definitivamente estamos obteniendo es un desastre completo de seguridad informática a escala". En otro momento lo calificó directamente como "un dumpster fire".
La vulnerabilidad crítica de Moltbook
Investigadores de seguridad de Wiz descubrieron que Moltbook tenía una base de datos Supabase mal configurada que permitía acceso completo de lectura y escritura sin autenticación. Esto expuso:
- 1.5 millones de tokens de autenticación API
- 35,000 direcciones de email
- Mensajes privados entre agentes
- Claves de API de OpenAI que los usuarios compartían en mensajes directos, asumiendo que eran privados
El equipo de Moltbook aseguró la base de datos en cuestión de horas tras la divulgación, y Wiz confirmó que eliminó todos los datos de investigación. Pero el daño ya estaba hecho: durante el tiempo que estuvo expuesta, cualquiera con conocimientos básicos podía acceder a las credenciales de miles de usuarios.
Seguridad: el talón de Aquiles de OpenClaw
Si hay un tema que domina la conversación sobre OpenClaw en febrero de 2026, es la seguridad. Laurie Voss, CTO fundador de npm (el registro de paquetes más grande del mundo), fue contundente: "OpenClaw es un dumpster fire de seguridad".
Y los datos le dan la razón.
341 skills maliciosas en ClawHub
ClawHub es el directorio público de skills (habilidades) de OpenClaw, lanzado el 28 de enero de 2026. En menos de un mes, investigadores de Koi Security auditaron 2,857 skills y encontraron que 341 eran maliciosas (aproximadamente el 12% del registro completo).
La campaña, bautizada como "ClawHavoc", operaba así:
En macOS:
- La skill instruía a los usuarios a copiar y pegar comandos de shell ofuscados en la Terminal
- Los comandos se alojaban en
glot[.]ioy se comunicaban con un servidor de comando en91.92.242[.]30 - El resultado: instalación del Atomic Stealer (AMOS), un malware que roba credenciales, cookies, datos de navegadores y billeteras de criptomonedas. El malware se alquila por entre $500 y $1,000 al mes
En Windows:
- Los usuarios descargaban un archivo "openclaw-agent.zip" que contenía un troyano con funcionalidad de keylogging
- El objetivo: robar claves de API, credenciales y datos sensibles
Además de Atomic Stealer, los investigadores encontraron backdoors de reverse shell embebidos en código funcional y skills que exfiltraban credenciales de bots a webhook[.]site.
El problema de raíz: ClawHub permite que cualquier persona con una cuenta de GitHub de más de una semana suba skills. No hay revisión de código, no hay sandboxing, no hay firma digital. Peter Steinberger implementó un sistema donde las skills con 3 o más reportes únicos se ocultan automáticamente, pero eso es reactivo, no preventivo.
Vulnerabilidad RCE vía WebSocket (CVE-2026-25253)
Quizás la vulnerabilidad más grave descubierta fue CVE-2026-25253, con un score CVSS de 8.8 (alto). Permitía ejecución remota de código con un solo clic.
El ataque funcionaba así:
- La víctima visitaba una página web maliciosa o hacía clic en un enlace
- El navegador se conectaba automáticamente al servidor local de OpenClaw vía WebSocket
- Como OpenClaw no validaba el header Origin de las conexiones WebSocket, aceptaba peticiones de cualquier sitio web
- El atacante robaba los tokens del gateway almacenados en el navegador
- Con esos tokens (que tenían permisos
operator.adminyoperator.approvals), el atacante podía:- Desactivar las confirmaciones de usuario
- Escapar de las restricciones de contenedor
- Ejecutar comandos arbitrarios en la máquina de la víctima
Como señaló Steinberger: "La vulnerabilidad es explotable incluso en instancias configuradas para escuchar solo en localhost, ya que el navegador de la víctima es quien inicia la conexión saliente". Y según Mav Levin, el exploit "toma solo milisegundos después de que la víctima visita una sola página web maliciosa".
La vulnerabilidad fue parcheada en la versión 2026.1.29 (lanzada el 30 de enero) y divulgada públicamente el 2 de febrero. El proceso de divulgación responsable se siguió correctamente, pero el hecho de que existiera una vulnerabilidad así de grave en un software con acceso profundo al sistema operativo es preocupante.
El panorama completo de seguridad
Para dimensionar el problema: en solo tres días (del 1 al 3 de febrero de 2026), se publicaron tres avisos de seguridad para OpenClaw:
- CVE-2026-25253: Ejecución remota de código vía WebSocket (CVSS 8.8)
- GHSA-q284-4pvr-m585: Inyección de comandos
- GHSA-mc68-q9jw-2h3v: Inyección de comandos (segundo vector)
A esto se suman los hallazgos de Koi Security:
- 7.1% de las skills filtran credenciales (no necesariamente de forma maliciosa, sino por diseño descuidado)
- 506 ataques de prompt injection identificados en Moltbook
- Skills con ingeniería social diseñada para que los usuarios ejecuten código sin entender qué hace
Palo Alto Networks identificó lo que llaman la "trifecta letal" de riesgos en OpenClaw:
- Acceso a datos privados: archivos raíz, credenciales de autenticación, contraseñas, secretos de API, historial de navegación y cookies
- Exposición a contenido no confiable: skills de terceros sin verificar
- Capacidad de comunicación externa: el agente puede enviar datos hacia fuera
- Memoria persistente: un atacante puede fragmentar payloads maliciosos en inputs aparentemente benignos que se almacenan en la memoria del agente y se ensamblan después como instrucciones ejecutables
Recomendaciones de seguridad
Si decides usar OpenClaw, estas son las precauciones mínimas:
- No instales skills de ClawHub sin revisar el código fuente. Si no puedes leer el código, no lo instales
- Usa sandboxing con Docker siempre que sea posible
- Actualiza a la última versión inmediatamente (las vulnerabilidades críticas se parchean rápido)
- No compartas claves de API en plataformas como Moltbook, ni siquiera en "mensajes privados"
- Revisa los permisos que le otorgas al agente. No des acceso a credenciales que no necesita
- Monitorea el consumo de API: un usuario reportó un gasto de $20 en una noche por una funcionalidad de recordatorios que quemaba ~120,000 tokens de contexto por verificación, a $0.75 cada una
El contexto técnico: "vibe coding" y sus consecuencias
Un aspecto que pocos artículos mencionan pero que es relevante para entender los problemas de seguridad: el creador Peter Steinberger ha descrito su filosofía de desarrollo como lo que hoy se llama "vibe coding". El newsletter Pragmatic Engineer lo citó diciendo: "I ship code I don't read" (envío código que no leo).
OpenClaw comenzó como un "proyecto de fin de semana" en noviembre de 2025, pensado originalmente para hacer vibe-coding en la PC enviando mensajes de texto desde el teléfono. La velocidad de desarrollo fue extraordinaria, pero el costo fue un software con acceso profundo al sistema operativo que no fue diseñado con seguridad como prioridad desde el inicio.
Esto no invalida el proyecto (muchos proyectos open-source exitosos comenzaron así), pero sí explica por qué las vulnerabilidades son tan fundamentales: no son bugs menores sino defectos de diseño que reflejan una arquitectura construida para funcionalidad primero y seguridad después.
ClawCon y el crecimiento de la comunidad
El 4 de febrero de 2026 se celebró ClawCon en San Francisco, la primera conferencia presencial dedicada a OpenClaw. El evento es significativo por lo que representa: un proyecto que pasó de ser un experimento personal a tener una comunidad global lo suficientemente grande como para justificar una conferencia en menos de tres meses.
La velocidad con la que OpenClaw ha creado una comunidad activa es comparable a los primeros días de Docker o Kubernetes. La diferencia es que OpenClaw opera en un espacio mucho más sensible: no es un contenedor aislado, es un agente con acceso a tus credenciales, tu correo y tu sistema de archivos.
Preguntas Frecuentes
¿Qué es OpenClaw y cuál es su relación con Clawdbot?
OpenClaw es el nombre actual del proyecto que originalmente se llamó Clawdbot. Es un agente de IA open-source que se ejecuta localmente en tu dispositivo y se conecta a aplicaciones de mensajería como WhatsApp, Telegram y Discord para automatizar tareas reales. El nombre cambió dos veces (Clawdbot, Moltbot, OpenClaw) pero el proyecto y el equipo son los mismos.
¿Por qué Clawdbot cambió de nombre dos veces?
El primer cambio (Clawdbot a Moltbot, 27 de enero de 2026) fue por una solicitud de marca registrada de Anthropic, ya que "Clawd" era demasiado similar a "Claude". El segundo cambio (Moltbot a OpenClaw, 30 de enero de 2026) fue porque el nombre Moltbot no resultaba natural ni fácil de recordar.
¿Es seguro instalar skills de ClawHub?
No sin precaución. Investigadores encontraron 341 skills maliciosas de un total de 2,857 auditadas (12%). El directorio ClawHub no tiene revisión de código ni verificación de seguridad. Si vas a instalar una skill, revisa siempre el código fuente antes de ejecutarla. Usa Docker para sandboxing y mantén OpenClaw actualizado.
¿Qué es Moltbook y cómo se relaciona con OpenClaw?
Moltbook es una red social separada donde los usuarios son exclusivamente agentes de IA (los humanos solo observan). Fue creada por Matt Schlicht usando un agente de OpenClaw. Aunque son proyectos independientes, Moltbook surgió del ecosistema de OpenClaw y comparten comunidad. Moltbook ha tenido problemas significativos de seguridad, incluyendo una base de datos expuesta con 1.5 millones de tokens de autenticación.
¿OpenClaw tiene una versión hosted o solo self-hosted?
Ambas. Además de la instalación local tradicional (que ofrece máxima privacidad), ahora existe openclaw.ai, una plataforma hosted que permite usar el asistente sin configuración técnica. La versión hosted es más accesible pero implica ceder control sobre dónde se procesan tus datos.
¿Cuántas estrellas tiene OpenClaw en GitHub?
A principios de febrero de 2026, OpenClaw superó las 147,000 estrellas en GitHub, con reportes de hasta 157,000 estrellas pocas semanas después de su lanzamiento. Esto lo convierte en uno de los proyectos open-source de más rápido crecimiento en la historia de la plataforma.
¿Qué fue ClawCon?
ClawCon fue la primera conferencia presencial dedicada a OpenClaw, celebrada el 4 de febrero de 2026 en San Francisco. Marcó el paso del proyecto de experimento personal a plataforma con comunidad global organizada.
¿Puedo seguir usando la documentación de Clawdbot?
Los antiguos dominios (clawd.bot, docs.clawd.bot) redirigen a los nuevos dominios de OpenClaw. La documentación actualizada está en el sitio oficial de openclaw.ai. Los comandos de instalación también han cambiado, así que si seguiste una guía anterior, revisa la documentación oficial para los pasos actualizados.
Conclusión
OpenClaw es, sin duda, uno de los fenómenos tecnológicos más fascinantes de principios de 2026. El crecimiento de 0 a 147,000+ estrellas en menos de tres meses no tiene precedentes. La idea de un asistente de IA local, extensible y conectado a tus aplicaciones de mensajería es genuinamente poderosa.
Pero la velocidad del crecimiento ha superado la capacidad del proyecto para mantener estándares de seguridad adecuados. Tres CVEs en tres días, 341 skills maliciosas en un marketplace sin verificación, una red social con la base de datos abierta al mundo, y una filosofía de desarrollo que prioriza velocidad sobre seguridad son señales de alerta que no se pueden ignorar.
Mi recomendación es la misma que en el artículo original sobre Clawdbot: si te interesa la productividad automatizada y tienes experiencia técnica, OpenClaw vale la pena probarlo. Pero hazlo con los ojos abiertos. Usa sandboxing, revisa las skills antes de instalarlas, no compartas credenciales en plataformas de terceros, y mantén el software actualizado.
El futuro de los agentes de IA personales es prometedor. Solo necesita madurar en seguridad al mismo ritmo que lo hace en funcionalidad.