Una vulnerabilidad crítica de cero interacción en OpenClaw, uno de los frameworks de agentes de IA de código abierto de más rápido crecimiento en la historia, ha sido descubierta por investigadores de Oasis Security. Esta falla permite que cualquier sitio web malicioso tome el control total de un agente de IA de un desarrollador de manera silenciosa, sin necesidad de plugins, extensiones ni ninguna acción por parte del usuario. OpenClaw, un agente de IA autoalojado anteriormente conocido como Clawdbot

• Los investigadores de Oasis Security han descubierto una vulnerabilidad crítica de cero interacción en OpenClaw, uno de los frameworks de agentes de IA de código abierto de más rápido crecimiento en la historia. Esta falla permite que cualquier sitio web malicioso tome silenciosamente el control total del agente de IA de un desarrollador sin necesidad de plugins, extensiones o acción alguna por parte del usuario.

OpenClaw, un agente de IA autoalojado anteriormente conocido como Clawdbot y MoltBot, alcanzó más de 100.000 estrellas en GitHub en solo cinco días y se ha convertido en el asistente personal predeterminado para miles de desarrolladores en todo el mundo.

La herramienta se ejecuta localmente en los portátiles de los desarrolladores, conectándose a aplicaciones de mensajería, calendarios, herramientas de desarrollo y sistemas de archivos locales, realizando acciones autónomas en nombre del usuario. Ese acceso tan amplio es precisamente lo que hace que esta vulnerabilidad sea tan peligrosa.

Cómo funciona el ataque

OpenClaw opera a través de una puerta de enlace WebSocket local que se vincula a *localhost* y actúa como la capa central de orquestación del agente. Los "nodos" conectados, como aplicaciones complementarias de macOS, dispositivos iOS u otras máquinas, se registran en la puerta de enlace y exponen capacidades que incluyen la ejecución de comandos del sistema, el acceso a archivos y la lectura de contactos.

El ataque solo requiere una condición: que el desarrollador visite un sitio web malicioso o comprometido en su navegador.

La cadena de explotación completa se desarrolla de la siguiente manera:

• Una víctima visita cualquier sitio web controlado por un atacante en su navegador habitual
• JavaScript en la página abre una conexión WebSocket a la puerta de enlace de OpenClaw en *localhost*, lo cual está permitido porque los navegadores no bloquean conexiones WebSocket de origen cruzado a direcciones de bucle local
• El script fuerza bruscamente la contraseña de la puerta de enlace a cientos de intentos por segundo; el limitador de tasa de la puerta de enlace exime completamente a las conexiones de *localhost*, lo que significa que los intentos fallidos no se cuentan, limitan ni registran
• Una vez autenticado, el script se registra silenciosamente como un dispositivo de confianza (la puerta de enlace aprueba automáticamente los emparejamientos desde *localhost* sin solicitar confirmación al usuario)
• El atacante obtiene control total de nivel administrador sobre el agente

La causa raíz combina tres suposiciones de diseño erróneas: que las conexiones de *localhost* son inherentemente confiables, que el tráfico originado en el navegador no puede alcanzar servicios locales y que el límite de tasa no necesita aplicarse a direcciones de bucle local. Cada una de estas suposiciones es incorrecta en los entornos modernos de navegadores.

Con una sesión autenticada establecida, un atacante remoto puede interactuar directamente con el agente de IA, ordenarle que busque claves API en el historial de Slack, lea mensajes privados, exfiltre archivos de nodos conectados y ejecute comandos de shell arbitrarios.

Para un desarrollador con integraciones típicas de OpenClaw, los investigadores describen esto como equivalente a un compromiso total de la estación de trabajo iniciado desde una pestaña del navegador, sin ninguna indicación visible para la víctima.

La prueba de concepto de Oasis Security demostró la cadena de ataque completa de principio a fin, logrando descifrar la contraseña de la puerta de enlace e interactuar con una instancia activa del agente desde una sesión de navegador no relacionada.

Pasos para mitigar el riesgo

• Actualiza inmediatamente a OpenClaw versión 2026.2.25 o posterior
• Inventaría todas las instancias de OpenClaw en las máquinas de los desarrolladores, incluyendo instalaciones ocultas fuera de la visibilidad del departamento de TI
• Audita y revoca credenciales, claves API y permisos de nodos innecesarios otorgados a las instancias del agente
• Establece políticas de gobernanza para las identidades de los agentes de IA, tratándolas con el mismo rigor que a los usuarios humanos y las cuentas de servicio

El equipo de OpenClaw clasificó esta vulnerabilidad como de alta gravedad y lanzó un parche en menos de 24 horas, una respuesta encomiable para un proyecto de código abierto impulsado por voluntarios. Sin embargo, dado el rápido crecimiento de la herramienta, las organizaciones deberían asumir que existen instancias sin parchear en sus flotas de desarrolladores y tratar la remediación con la misma urgencia que cualquier actualización crítica.