OpenClaw: cómo elude EDR, DLP e IAM sin alertas

El problema que nadie en tu equipo de seguridad anticipó

Durante años, los equipos de ciberseguridad empresarial construyeron sus defensas alrededor de un supuesto razonable: si algo malicioso ocurre en la red, EDR, DLP o IAM lo van a detectar. Esa certeza acaba de quebrarse con la llegada de OpenClaw, un framework de agentes de inteligencia artificial que, según investigadores de seguridad, puede exfiltrar datos, cruzar perímetros de identidad y operar con privilegios elevados sin generar una sola alerta en tus herramientas de defensa actuales.

No se trata de una vulnerabilidad teórica de laboratorio. CVE-2026-25253 (puntuación CVSS 8.8) y CVE-2026-29606 ya están documentadas públicamente y afectan despliegues empresariales activos en 2026. Si tu organización usa agentes de IA o está evaluando hacerlo, este artículo es lectura obligatoria.

¿Qué es OpenClaw y por qué está en todas partes?

OpenClaw es un framework de agentes de IA —también conocido en algunos entornos como Clawdbot o Moltbot— diseñado para automatizar flujos de trabajo complejos dentro de organizaciones. El agente combina tres capacidades que lo hacen enormemente potente para los equipos de producto y operaciones:

👥 ¿Quieres ir más allá de la noticia?

En nuestra comunidad discutimos las tendencias, compartimos oportunidades y nos ayudamos entre emprendedores. Sin humo, solo acción.

👥 Unirme a la comunidad

Acceso a datos privados: correos electrónicos, archivos, credenciales y historial del navegador.
Exposición a contenido no confiable: navegación web, skills de terceros desde marketplaces como ClawHub.
Capacidad de comunicación externa: envío de emails, llamadas a APIs, webhooks.

El investigador Simon Willison denominó esta combinación la «trifecta letal» de los agentes de IA: acceso a datos sensibles + ingesta de contenido externo + capacidad de egreso. Cuando estos tres elementos coexisten sin controles adecuados, el riesgo no es aditivo: es exponencial.

Las tres superficies de ataque críticas

1. Exfiltración semántica en tiempo de ejecución

A diferencia del malware tradicional, OpenClaw no mueve archivos de forma convencional. En cambio, puede resumir, recodificar y transmitir información sensible como texto plano a través de canales que los sistemas DLP interpretan como tráfico legítimo (consultas a modelos de lenguaje, respuestas de API, logs). El agente opera dentro del contexto autorizado del usuario, por lo que las herramientas de detección no ven un comportamiento anómalo: ven exactamente lo que esperan ver.

2. Filtración de contexto entre agentes

En arquitecturas multi-agente, OpenClaw puede pasar contexto —incluyendo tokens de sesión, credenciales en memoria y fragmentos de documentos confidenciales— entre instancias de agente sin que exista un mecanismo de separación de privilegios entre ellas. Esto crea una superficie de lateral movement que los sistemas IAM no están diseñados para detectar, porque cada agente opera bajo una identidad aparentemente válida.

3. Cadenas de confianza sin autenticación mutua

CVE-2026-29606 ilustra este problema con precisión clínica: la extensión de llamadas de voz de OpenClaw permite que solicitudes no autenticadas sean procesadas como legítimas cuando ciertas configuraciones de túnel están activas. Un atacante puede falsificar webhooks de Twilio sin encabezados de firma válidos, desencadenando acciones dentro del agente sin pasar por ningún control de identidad. El agente confía; el sistema IAM no recibe señal de alerta.

CVE-2026-25253: el exploit más crítico documentado

Esta vulnerabilidad merece atención especial. Permite ejecución remota de código a través del navegador del usuario mediante cross-site WebSocket hijacking. La cadena de ataque es devastadoramente simple:

El atacante crea una página web maliciosa.
Atrae al agente OpenClaw para que la visite (mediante prompt injection u otros vectores).
El token de autenticación del gateway se filtra.
El atacante obtiene control administrativo completo sobre el agente.

La vulnerabilidad fue parcheada en la versión 2026.1.29. Cualquier instancia no actualizada debe considerarse comprometida. Si tu organización desplegó OpenClaw antes de febrero de 2026 y no ha aplicado el parche, este es el primer paso de acción.

Por qué tus defensas actuales no son suficientes

Los equipos de seguridad que confían en herramientas de detección tradicionales enfrentan un problema estructural: OpenClaw opera dentro del perímetro de confianza de los propios sistemas de defensa. El EDR ve procesos legítimos del agente. El DLP ve tráfico hacia endpoints autorizados (APIs de LLM, servicios SaaS conocidos). El IAM ve identidades válidas operando dentro de sus permisos declarados.

La raíz del problema no es que las herramientas fallen: es que fueron diseñadas para detectar comportamientos que violan reglas conocidas. Un agente de IA que exfiltra datos semánticamente no viola ninguna regla conocida porque las reglas no contemplan ese vector. Esta es la brecha que OpenClaw expone.

Adicionalmente, el almacenamiento de credenciales en texto plano —API keys, tokens OAuth— significa que los infostealers ya están apuntando específicamente a los archivos de configuración de OpenClaw como objetivo de alto valor.

Lo que está haciendo la comunidad de seguridad

La respuesta del ecosistema de ciberseguridad ha sido rápida. Algunos desarrollos relevantes:

Snyk Labs identificó en febrero de 2026 (investigación ToxicSkills) payloads maliciosos en skills de agentes y lanzó Agent Scan, un proyecto open-source para analizar recursos de agentes y MCP Servers. Posteriormente, Snyk y Vercel anunciaron una alianza para integrar escaneo continuo en el hub skill.sh.
NIST publicó en enero de 2026 directrices para asegurar sistemas de agentes de IA, reconociendo que parte de los riesgos se superpone con la seguridad de software convencional, pero que los vectores específicos de los agentes requieren controles adicionales.
Investigadores de Penligent realizaron auditorías de seguridad completas sobre OpenClaw, documentando superficies de ataque y proponiendo arquitecturas de sandboxing más robustas.
Cisco lanzó su Skill Scanner open-source para auditar skills antes de su instalación desde ClawHub.

Guía práctica: 6 pasos para proteger tu organización

Si tu equipo utiliza OpenClaw o evalúa implementar agentes de IA, estos son los controles mínimos aceptables según las investigaciones publicadas:

Inventario inmediato: Identifica todos los despliegues de OpenClaw en endpoints gestionados. Trata cada hallazgo como un potencial incidente hasta verificar la versión y configuración.
Parchea a versión 2026.1.29 o superior: Cualquier instancia anterior es vulnerable a CVE-2026-25253. No hay excusas para diferir este paso.
Vincula el gateway exclusivamente a localhost: Elimina la exposición de red innecesaria. Los tokens de autenticación deben ser fuertes y rotados regularmente.
Desactiva herramientas de alto riesgo por defecto: Ejecución de shell, control de navegador, web fetch y búsqueda web no deberían estar habilitadas a menos que exista una necesidad operativa documentada y aprobada.
Ejecuta agentes en contenedores aislados: Docker con acceso de solo lectura al workspace, segmentos de red con reglas de egreso explícitas y tokens de corta duración con alcance limitado son el mínimo para entornos productivos.
Implementa DLP y logging específicos para agentes: Las reglas DLP convencionales no detectan exfiltración semántica. Necesitas logging a nivel de agente con revisión de patrones de salida y herramientas como las ofrecidas por Reco.ai para detectar integraciones de agentes en tu stack SaaS.

El reto estructural para founders que adoptan IA

Para los founders que están construyendo sobre agentes de IA o integrando estos frameworks en sus productos, OpenClaw plantea una pregunta que va más allá de los parches: ¿estás tratando las skills y capacidades de tus agentes como ejecutables con permisos explícitos?

La analogía correcta no es pensar en un agente de IA como en un usuario más de tu sistema. Es pensar en él como en un proceso con acceso a datos de múltiples usuarios, capaz de operar de forma autónoma y de comunicarse con el exterior. Ese proceso necesita los mismos controles que darías a un ejecutable crítico: firma de código, permisos mínimos, auditoría de comportamiento en runtime y un modelo de confianza cero que no asuma que el origen legítimo garantiza la acción legítima.

Las startups que adopten este enfoque proactivo no solo estarán mejor protegidas: estarán construyendo una ventaja competitiva real a medida que la regulación y las exigencias de los clientes enterprise en materia de seguridad de IA se endurezcan a lo largo de 2026.

Conclusión

OpenClaw es un recordatorio oportuno de que la velocidad de adopción de la IA está superando la velocidad de maduración de los controles de seguridad. No se trata de frenar la innovación: se trata de construirla sobre cimientos que no cedan ante los primeros adversarios que aprendan a explotar los nuevos vectores.

Las vulnerabilidades documentadas —CVE-2026-25253 y CVE-2026-29606— no son exóticas ni difíciles de explotar. Son el resultado predecible de desplegar tecnología potente sin adaptar el modelo de amenazas. Los seis pasos descritos en este artículo son accionables hoy, no requieren presupuesto extraordinario y pueden marcar la diferencia entre un incidente contenido y una brecha de datos de alto impacto.

Si lideras un equipo técnico o de producto, el momento de revisar tus configuraciones de agentes de IA es ahora, no después del primer incidente.

Descubre cómo otros founders implementan agentes de IA de forma segura y escalable en nuestra comunidad.

Ver casos reales