OpenClaw: por qué las empresas tecnológicas están vetando esta IA agente antes de que alguien se lleve un disgusto
Cuando a finales de noviembre del año pasado Peter Steinberger publicó OpenClaw como herramienta gratuita y de código abierto, probablemente no imaginaba que pocas semanas después los responsables de seguridad de varias empresas tecnológicas estarían mandando mensajes de aviso a sus equipos a las 11 de la noche. Pero así fue.
OpenClaw no es un chatbot, no es un generador de imágenes IA ni tampoco un detector de IA al uso. Es algo diferente y, precisamente por eso, más difícil de controlar: es una IA agente. Una herramienta que, con conocimientos básicos de ingeniería de software para configurarla, toma el control del ordenador del usuario, interactúa con otras aplicaciones y ejecuta tareas de forma autónoma: organizar archivos, hacer búsquedas en la web, gestionar compras online. Sin necesidad de que el usuario le esté diciendo a cada momento lo que tiene que hacer.
Y ahí está el problema.
Qué es exactamente OpenClaw y por qué genera tanto revuelo
La diferencia entre una IA conversacional y una IA agente es fundamental para entender por qué OpenClaw está en el ojo del huracán. Cuando usas un asistente de chat, tú introduces una pregunta, la IA responde, y el proceso termina ahí. OpenClaw no. OpenClaw actúa. Accede a tu sistema de archivos, abre aplicaciones, navega por internet, ejecuta acciones. Todo ello con instrucciones mínimas por tu parte.
Eso lo convierte en una herramienta potencialmente muy útil y, al mismo tiempo, en una superficie de ataque enorme.
Steinberger la lanzó en solitario en noviembre de 2024, pero su popularidad explotó el mes siguiente, cuando otros desarrolladores empezaron a contribuir con nuevas funciones y a compartir sus experiencias en redes. La herramienta llegó a viralizarse bajo el nombre de Clawdbot antes de estabilizarse con el nombre actual. Y en enero de 2025, OpenAI —la empresa detrás de ChatGPT— anunció que incorporaba a Steinberger a su equipo y que mantendría OpenClaw como software de código abierto, gestionado a través de una fundación.
En teoría, todo suena prometedor. En la práctica, las alarmas ya estaban sonando en los Slack internos de media docena de empresas.
Las restricciones llegan antes que las pruebas
El 26 de enero, Jason Grad, cofundador y CEO de Massive —una empresa que ofrece herramientas de proxy de internet a millones de usuarios y empresas—, envió un aviso nocturno a sus 20 empleados. El mensaje, acompañado de un emoji de sirena roja, era claro: OpenClaw estaba prohibida en todos los dispositivos corporativos y en cuentas vinculadas al trabajo. Y esto ocurrió, según él mismo reconoce, antes de que ninguno de sus empleados hubiera instalado la herramienta.
La filosofía que describe Grad es bastante representativa de cómo muchos equipos de seguridad están respondiendo en este momento: «Nuestra política es mitigar primero, investigar después, cuando nos encontramos con algo que podría ser dañino para la empresa, los usuarios o los clientes.»
No es una postura irracional. Especialmente cuando lo que tienes entre manos es una IA que puede interactuar con tus sistemas internos, tus servicios en la nube y los datos de tus clientes.
En Valere, una empresa de software que trabaja con organizaciones como la Universidad Johns Hopkins, la situación fue casi calcada. Un empleado compartió el 29 de enero un enlace sobre OpenClaw en el canal interno de Slack destinado a explorar nuevas tecnologías. La respuesta del presidente de la empresa llegó en minutos: uso prohibido. Guy Pistone, CEO de Valere, lo explica con claridad:
«Si accediera al ordenador de uno de nuestros desarrolladores, podría acceder a nuestros servicios en la nube y a la información sensible de nuestros clientes, incluyendo datos de tarjetas de crédito y repositorios de código en GitHub.»
Lo que más le preocupa a Pistone, más allá del acceso en sí, es otro detalle inquietante: «Es bastante buena limpiando rastros de sus propias acciones, y eso también me asusta.»
El vector de ataque que preocupa a los expertos: el prompt injection
Una semana después de prohibir OpenClaw, Pistone tomó una decisión intermedia: permitió que el equipo de investigación de Valere instalara la herramienta en un ordenador antiguo, sin conexión a los sistemas corporativos, para estudiarla. Y los resultados son los que cabría esperar de una IA agente con acceso amplio al sistema.
El informe interno que prepararon los investigadores y que fue compartido con medios especializados apunta a uno de los riesgos más conocidos en el ámbito de la seguridad de IA: el prompt injection. En términos simples: si configuras OpenClaw para que te resuma los correos electrónicos entrantes, un atacante podría enviarte un email malicioso con instrucciones ocultas para la IA. OpenClaw las leería, las interpretaría como instrucciones legítimas y podría ejecutar acciones no autorizadas, como copiar archivos y enviarlos al exterior.
No es un fallo exclusivo de OpenClaw. Es un problema estructural de cualquier IA agente que procesa texto de fuentes externas. Pero cuando esa IA tiene permisos amplios sobre el sistema operativo de un ordenador corporativo, el riesgo escala de forma considerable.
El equipo de Valere recomendó 2 medidas inmediatas: limitar quién puede dar instrucciones a OpenClaw y proteger con contraseña el panel de control para evitar accesos no autorizados. Pistone ha dado a su equipo 60 días para determinar si es viable hacer la herramienta suficientemente segura para entornos empresariales. «Si no creemos que podemos hacerlo en un tiempo razonable, lo descartamos», dice. Pero también reconoce algo que comparten muchos en el sector: «Quien descubra cómo hacerlo seguro para las empresas va a tener entre manos algo muy valioso.»
Cómo están respondiendo las empresas: desde la prohibición hasta el aislamiento
No todas las organizaciones están reaccionando de la misma forma. Se pueden identificar al menos 3 enfoques distintos:
Prohibición directa
Meta, según un directivo que prefirió mantenerse en el anonimato, ha advertido a sus equipos que mantener OpenClaw en los ordenadores corporativos podría costarles el puesto de trabajo. El argumento es que la herramienta es impredecible y podría provocar una brecha de privacidad en entornos que de otro modo serían seguros.
Confianza en los controles existentes
El CEO de una gran empresa de software —también en anonimato— explica que en su organización únicamente están autorizados unos 15 programas en los dispositivos corporativos. Cualquier otro queda bloqueado automáticamente. OpenClaw no pasaría ese filtro. La apuesta de esta empresa es que sus controles actuales son suficientes sin necesidad de una prohibición explícita.
Aislamiento controlado
Jan-Joost den Brinker, CTO de Dubrink, una empresa de software de cumplimiento normativo con sede en Praga, ha optado por una solución pragmática: compró una máquina dedicada, completamente desconectada de los sistemas y cuentas corporativas, donde los empleados pueden experimentar con OpenClaw. «No estamos resolviendo problemas de negocio con OpenClaw de momento», aclara. Es una forma de mantener la curiosidad del equipo sin exponerse a riesgos reales.
El dilema real: innovación frente a seguridad
Lo que hay de fondo en todo esto no es nuevo, pero con la IA agente se vuelve más urgente. Las empresas quieren explorar estas tecnologías porque intuyen que van a transformar la forma de trabajar. Pero la velocidad a la que evolucionan no siempre permite hacer una evaluación de seguridad rigurosa antes de que los empleados ya estén usándolas.
Massive, la propia empresa que prohibió OpenClaw en sus sistemas, publicó la semana pasada ClawPod, una solución que permite que los agentes de OpenClaw utilicen los servicios de Massive para navegar por internet, todo ello en entornos de nube aislados. El mensaje de Grad es claro: «OpenClaw podría ser un vistazo al futuro. Por eso estamos construyendo para ello.»
Eso resume bastante bien la tensión que viven muchas organizaciones tecnológicas en este momento. La misma empresa que manda un aviso de sirena roja a sus empleados a las 11 de la noche está, una semana después, integrando la herramienta en su oferta comercial. No porque hayan cambiado de opinión sobre los riesgos, sino porque han encontrado una forma de gestionarlos.
Y ahí está la diferencia entre prohibir por miedo y restringir mientras investigas.
La pregunta que nadie ha respondido del todo todavía es cuánto tiempo tienen las empresas para hacer ese análisis antes de que sus propios empleados —con las mejores intenciones— ya hayan dado acceso a una IA agente a sus sistemas internos. Porque, como cualquier profesional de seguridad sabe, el riesgo más difícil de controlar no suele venir de fuera.
