Clawdbot, la creciente pasarela de agentes de IA de código abierto, enfrenta crecientes preocupaciones de seguridad, con más de 900 instancias no autenticadas expuestas en línea y múltiples fallos de código que permiten el robo de credenciales y la ejecución remota de código. Clawdbot es un asistente personal de IA de código abierto que se integra con plataformas de mensajería como WhatsApp, Telegram, Slack, Discord, Signal e iMessage.

Clawdbot, la creciente puerta de enlace de agentes de IA de código abierto, enfrenta crecientes preocupaciones de seguridad, con más de 900 instancias no autenticadas expuestas en línea y múltiples fallos de código que permiten el robo de credenciales y la ejecución remota de código.

Clawdbot es un asistente personal de IA de código abierto que se integra con plataformas de mensajería como WhatsApp, Telegram, Slack, Discord, Signal e iMessage.

Cuenta con una Gateway para operaciones de plano de control, incluyendo el manejo de WebSocket, ejecución de herramientas y gestión de credenciales, y una Interfaz de Control basada en web para configuración, historial de conversaciones y gestión de claves API.

Se despliega mediante npm en Node.js ≥22, y por defecto se enlaza a loopback en el puerto 18789, pero admite acceso remoto a través de Tailscale o proxies inversos como nginx/Caddy.

El investigador de seguridad Jamieson O’Reilly detalló el problema en un hilo de X el 23 de enero de 2026, destacando las mala configuraciones en esta popular puerta de enlace de agentes de IA de código abierto.

O’Reilly utilizó Shodan para buscar la etiqueta única de título HTML de la Interfaz de Control, “Clawdbot Control”, y encontró cientos de instancias públicas poco después de su despliegue.

Servicios como Shodan y Censys indexan huellas HTTP, como favicons o frases específicas, lo que permite un descubrimiento rápido. Escaneos similares revelaron más de 900 Gateways expuestas en el puerto 18789, muchas de las cuales no tenían autenticación.

Mientras algunas tenían autenticación, otras dejaban al descubierto configuraciones, claves API de Anthropic, tokens de Telegram/Slack y meses de historiales de chat completamente accesibles.

El problema surge de la aprobación automática de localhost en la lógica de autenticación de Clawdbot, diseñada para desarrollo local pero explotable detrás de proxies inversos. Los proxies reenvían el tráfico a través de 127.0.0.1, eludiendo las comprobaciones, ya que gateway.trustedProxies está vacío por defecto e ignora los encabezados X-Forwarded-For.

O’Reilly confirmó mediante el código fuente que las direcciones de socket parecen locales, lo que otorga acceso automático a WebSockets y la interfaz de usuario. Un issue en GitHub señala esto para la exposición de la Interfaz de Control. O’Reilly envió un PR de endurecimiento; ahora la documentación recomienda establecer trustedProxies: [“127.0.0.1”] y sobrescribir encabezados de proxy para evitar suplantaciones.

Impacto de los ataques

Los servidores expuestos permiten compromisos graves. El acceso de lectura extrae credenciales (claves API, secretos OAuth) e historiales completos con archivos adjuntos. Los atacantes heredan la agencia del agente: enviar mensajes, ejecutar herramientas o manipular percepciones filtrando respuestas.

Algunas instancias se ejecutaban como contenedores raíz, permitiendo comandos arbitrarios en el host sin autenticación.

La documentación de Clawdbot insta a ejecutar clawdbot security audit --deep para detectar exposiciones, ajustando políticas de DM/grupos y permisos. Para proxies, activa gateway.auth.mode: “password” mediante CLAWDBOT_GATEWAY_PASSWORD y proxies de confianza. Rota los secretos tras una exposición: tokens de autenticación, claves de modelos y credenciales de canales.

Usa Tailscale Serve/Funnel o Cloudflare Tunnels en lugar de enlaces directos. La última versión (2026.1.14-1, 15 de enero) es anterior a los informes; ejecuta clawdbot doctor para migraciones.

Debes auditar las exposiciones de inmediato, ya que los agentes de IA concentran activos de alto valor, exigiendo endurecimiento de proxies y valores predeterminados de mínimo privilegio.