Contexto de OpenClaw
OpenClaw es una plataforma de código abierto para agentes IA autohospedados que alcanzó más de 100.000 estrellas en GitHub en cinco días, convirtiéndose en asistente predeterminado para miles de desarrolladores. Opera en laptops locales, integrándose con apps de mensajería, calendarios y herramientas de desarrollo para ejecutar acciones autónomas. Su gateway WebSocket, unido a localhost por defecto, gestiona autenticación y comandos.
Detalle de la vulnerabilidad ClawJacked
La cadena de fallos reside en el núcleo del sistema, sin requerir plugins o extensiones. Un sitio web malicioso inicia el ataque así: JavaScript abre una conexión WebSocket a localhost (permitida por políticas de origen cruzado); fuerza la contraseña del gateway a cientos de intentos por segundo (sin limitación de tasa para localhost); se registra como dispositivo confiable con aprobación automática; y obtiene control total para interactuar con el agente, volcar configuraciones, enumerar nodos y leer logs. Esto equivale a compromiso completo de la workstation, permitiendo extracción de claves API de Slack, mensajes privados o ejecución de comandos shell. Oasis demostró el ataque end-to-end sin alertas visibles.
Respuesta y parche oficial
Tras divulgación responsable, OpenClaw clasificó la falla como alta severidad y liberó la versión 2026.2.25 el 26 de febrero de 2026, fortaleciendo chequeos de WebSocket y protecciones contra abusos en conexiones loopback. Usuarios deben actualizar de inmediato, auditar accesos de agentes y aplicar gobernanza para identidades no humanas. Microsoft y otros advierten contra despliegues sin aislamiento.
Contexto de riesgos más amplios
OpenClaw enfrenta escrutinio por su ecosistema: parches previos cubrieron envenenamiento de logs (v2026.2.13), múltiples CVEs con RCE y SSRF (v2026.1.20+), y 71 skills maliciosos en ClawHub que propagan stealers como Atomic Stealer o estafas crypto. Exposiciones públicas previas permitieron fugas de tokens y comandos root. Expertos recomiendan visibilidad en flotas de IA, revisión de credenciales y entornos aislados para minimizar el radio de explosión.
