Un fallo crítico de seguridad en el ecosistema de "IA agentiva", que está siendo adoptado rápidamente, ha dejado expuestos a decenas de miles de asistentes de IA personales y corporativos en la internet pública. Una nueva investigación publicada hoy por el equipo de Inteligencia de Amenazas STRIKE de SecurityScorecard revela que 15.200 instancias del popular marco OpenClaw (anteriormente conocido como Moltbot) son vulnerables).

Un fallo crítico de seguridad en el ecosistema de IA agentica en rápida adopción ha dejado expuestos a decenas de miles de asistentes de IA personales y corporativos en internet.

Una nueva investigación publicada hoy por el equipo de Inteligencia de Amenazas STRIKE de SecurityScorecard revela que 15.200 instancias del popular framework OpenClaw (antes conocido como Moltbot) son vulnerables a Ejecución Remota de Código (RCE), lo que permite a los atacantes tomar el control total de las máquinas anfitrionas.

El equipo de STRIKE identificó 42.900 direcciones IP únicas que alojan paneles de control de OpenClaw expuestos en 82 países. A diferencia de los servidores web tradicionales diseñados para acceso público, estos suelen ser estaciones de trabajo personales o instancias en la nube que ejecutan agentes de IA y que quedaron expuestos inadvertidamente debido a configuraciones predeterminadas inseguras.

El problema central radica en la configuración predeterminada de OpenClaw, que vincula el servicio a 0.0.0.0:18789, escuchando en todas las interfaces de red en lugar de usar el estándar seguro 127.0.0.1 (localhost).

Como resultado, los usuarios que implementaron la herramienta para automatización personal han transmitido sin saberlo sus paneles de control a todo internet.

“La matemática es simple: cuando le das a un agente de IA acceso completo a tu computadora, le das ese mismo acceso a cualquiera que pueda comprometerlo”, señala el informe de STRIKE.

La exposición se agrava por el hecho de que 53.300 de las instancias identificadas están relacionadas con actividad previa de brechas, lo que sugiere que muchos de estos agentes se ejecutan en entornos que ya han sido comprometidos o marcados por comportamiento de alto riesgo.

Vulnerabilidades críticas de OpenClaw/Clawbot

La exposición no es solo un error de configuración; se ve exacerbada por tres vulnerabilidades de gravedad alta (CVE) encontradas en versiones antiguas del software, que representan la gran mayoría de las implementaciones.

• CVE-2026-25253 (CVSS 8.8): Una vulnerabilidad de RCE con “1 clic”. Los atacantes pueden crear un enlace malicioso que, al ser clickeado por el usuario de OpenClaw, roba su token de autenticación y otorga al atacante control total sobre el agente.
• CVE-2026-25157 (CVSS 7.8): Una falla de inyección de comandos SSH en la aplicación de macOS, que permite la ejecución arbitraria de comandos mediante rutas de proyecto maliciosas.
• CVE-2026-24763 (CVSS 8.8): Una vulnerabilidad de escape del sandbox de Docker que permite a un agente salir de su entorno contenerizado y acceder al sistema anfitrión mediante manipulación de PATH.

Aunque se lanzaron parches en la versión 2026.1.29 el 29 de enero, los datos de STRIKE indican que el 78% de las instancias expuestas aún ejecutan versiones antiguas etiquetadas como “Clawdbot” o “Moltbot”, dejándolas indefensas ante estos exploits.

El compromiso de un agente de IA representa una amenaza única y amplificada en comparación con las vulnerabilidades tradicionales de software. Dado que los agentes están diseñados para actuar en nombre del usuario —leyendo correos, gestionando infraestructura y ejecutando código—, un atacante que capture un agente hereda esos mismos privilegios.

“La IA agentica no crea nuevas clases de vulnerabilidades. Hereda las antiguas y amplifica su impacto”, explican los investigadores. Una instancia de OpenClaw comprometida proporciona acceso inmediato a directorios sensibles, incluyendo claves ~/.ssh/, credenciales de AWS/nube y sesiones de navegador autenticadas.

Los atacantes pueden usar este acceso para moverse lateralmente en redes corporativas, vaciar billeteras de criptomonedas o suplantar a la víctima en plataformas como Discord y Telegram.

La investigación también encontró evidencia de que grupos de amenazas persistentes avanzadas (APT), como Kimsuky y APT28, operan cerca de estas instancias expuestas.

Aproximadamente el 33.8% de la infraestructura expuesta está correlacionada con actividad conocida de actores de amenazas, lo que indica que estas herramientas están siendo utilizadas por atacantes o se implementan en infraestructuras ya bajo su control.

El equipo de STRIKE insta a todos los usuarios de OpenClaw a tomar medidas inmediatas para asegurar sus implementaciones. La principal mitigación es actualizar a la versión 2026.2.1 o posterior, que aborda las vulnerabilidades de RCE.

Pasos críticos de defensa incluyen:

• Vincular a Localhost: Asegúrate de que la configuración esté establecida en gateway.bind: "127.0.0.1" para evitar el acceso externo.
• Rotar Credenciales: Trata todas las claves API y tokens almacenados en el agente como comprometidos y rótalos de inmediato.
• Usar Túneles Seguros: Para acceso remoto, utiliza túneles de confianza cero como Tailscale o Cloudflare Tunnel en lugar de exponer puertos directamente a internet.

Para los equipos de seguridad, STRIKE recomienda bloquear el puerto 18789 en el perímetro y monitorear tráfico inusual de comando y control (C2) que se origine desde estaciones de trabajo internas.

Un panel en vivo llamado “Declawed” rastrea la exposición y proporciona actualizaciones sobre el número de instancias vulnerables cada 15 minutos, ofreciendo a la comunidad una vista en tiempo real del progreso de la remediación.