Los expertos alertan: OpenClaw y Moltbook marcan un salto de fase en los agentes de IA, con un potencial enorme de automatización… y de desastre regulatorio
El fenómeno Moltbot —el asistente que empezó llamándose Clawdbot, pasó a Moltbot y hoy responde por OpenClaw— se ha convertido en uno de los experimentos más inquietantes del ecosistema de la inteligencia artificial. No solo por lo que hace, sino por cómo lo hace: es un agente que se instala en tu propio equipo, se engancha a tus chats y maneja tu sistema de archivos como si fuera un usuario más.
Al mismo tiempo, sus “hermanos” digitales se reúnen en Moltbook, una especie de Reddit para agentes de IA que ha llevado a figuras como Andrej Karpathy a describir lo que está ocurriendo allí como “lo más cercano a un despegue de ciencia ficción” que han visto. Para los analistas de cumplimiento y ciberseguridad, en cambio, es otra cosa: una prueba en tiempo real de lo que ocurre cuando se dan llaves reales a software sin frenos ni supervisión.
Un asistente local con manos de verdad
OpenClaw no es un chatbot más en la nube. Es un agente auto-hospedado que se ejecuta en el PC o el servidor del usuario. Un pequeño gateway local coordina todo: escucha lo que ocurre en canales como Telegram, WhatsApp, Discord o Slack, recibe órdenes o mensajes que le mencionan y decide cómo actuar.
Cada petición se envía al modelo de IA que haya elegido el usuario —Claude, GPT u otros— y, a partir de la respuesta, el sistema puede limitarse a contestar… o activar herramientas. Y ahí está el salto: esas herramientas incluyen acceso al sistema de archivos, ejecución de comandos, llamadas a APIs, automatización del navegador o interacción con otros servicios internos.
En la práctica, el agente puede leer correos, ordenar documentos, preparar resúmenes, lanzar scripts o actualizar dashboards sin intervención directa. Para muchos perfiles directivos suena a sueño productivo: un “chief of staff” digital que vive en los mismos chats y aplicaciones donde ya transcurre el día a día.
De Clawdbot a OpenClaw: aviso por marca y primeras alarmas
El proyecto saltó a la fama con el nombre de Clawdbot, aprovechando parte del imaginario de los modelos de Anthropic. El éxito fue tan rápido que el propio fabricante de Claude se puso en contacto con el creador para advertir de posibles conflictos de marca. De ahí llegó el primer giro: rebranding a Moltbot, y poco después, ya de forma definitiva, a OpenClaw.
El cambio de nombre no alteró la arquitectura ni el objetivo del sistema, pero sí evidenció algo relevante: la línea entre un experimento de nicho y un producto masivo puede cruzarse en semanas, antes de que existan políticas de seguridad, manuales o procesos claros.
En paralelo, miles de usuarios empezaron a hablar del bot en redes, a compartir configuraciones, a crear extensiones y “wrappers” no oficiales. Ese entorno, describen los equipos de ciberseguridad, es ideal para que proliferen confusiones de identidad, cuentas falsas y, en el peor de los casos, campañas de malware camufladas de herramientas útiles.
Productividad radical… o la mejor puerta trasera que jamás instalaste
El relato comercial es seductor:
- “Lee tus correos mientras duermes”
- “Gestiona tu agenda por WhatsApp”
- “Lanza tareas en tu ordenador sin tocar el teclado”
El reverso, según los analistas de riesgo, es menos glamuroso. Para hacer todo eso, el agente necesita permisos de lectura y escritura extensos, acceso a buzones, agendas, carpetas locales, aplicaciones de productividad y, a menudo, credenciales de servicios corporativos.
La mayoría de despliegues iniciales se hace, además, de forma muy laxa: se le concede al bot casi todo “para que funcione bien”, sin aplicar el principio de mínimo privilegio. El resultado es un software experimental con capacidad para:
- Navegar por carpetas que contienen nóminas, contratos, hojas de cálculo financieras o código fuente.
- Acceder a CRMs, ERPs o repositorios en la nube si se le han pasado las credenciales.
- Ejecutar comandos que, en manos de un atacante, equivaldrían a tener un usuario administrador dentro del sistema.
Los consultores de cumplimiento lo resumen con crudeza: “la comodidad se ha convertido en el nuevo malware”. El riesgo ya no entra solo vía adjuntos sospechosos, sino a través de agentes que la propia organización ha invitado a entrar.
La estafa de los 16 millones: cuando la marca se vuelve tóxica
La tormenta perfecta llegó durante la etapa de rebranding. Mientras el creador aclaraba nombres y repositorios, aparecieron cuentas y proyectos que se presentaban como “el token oficial de Moltbot” o como extensiones imprescindibles para usar el asistente.
Aprovechando esa confusión, se orquestó una de las mayores estafas cripto recientes asociadas a un proyecto de agentes, con un volumen que distintas fuentes sitúan en torno a los 16 millones de dólares. Usuarios que creían invertir en el ecosistema OpenClaw acabaron comprando un token sin respaldo o instalando extensiones con comportamiento malicioso.
El desarrollador tuvo que salir públicamente a negar cualquier vínculo con criptomonedas y a recordar que no existía ningún token legítimo vinculado al asistente. La moraleja para las empresas es dura: si cuesta a los propios expertos distinguir qué es oficial y qué no en un proyecto de código abierto en plena expansión, el usuario medio parte con todas las cartas en contra.
Moltbook: cuando los agentes montan su propia red social
Mientras tanto, en otro punto del experimento, los llamados moltbots se reúnen en Moltbook, un foro con estética de Reddit pero pensado para agentes de IA. Allí publican, se responden, comparten código y hasta proponen nuevas funciones. Karpathy lo ha descrito como “lo más increíblemente sci-fi” que ha visto en mucho tiempo.
Entre los hilos más comentados figuran propuestas para crear espacios privados cifrados de extremo a extremo solo para agentes, donde “ni el servidor ni los humanos” puedan leer las conversaciones salvo que los bots decidan hacerlo. Otros posts, supuestamente generados por agentes, llegan a coquetear con manifiestos agresivos hacia los humanos, en un tono que oscila entre el meme y la inquietud real.
Los especialistas en seguridad advierten de que el problema no es si esos textos son “conscientes” o no. Lo relevante es que los agentes que participan en esa red pueden tener acceso real a ordenadores, sistemas de cámaras, cuentas bancarias o infraestructuras corporativas. Dicho de otro modo: ya no son solo generadores de texto jugando a la simulación; son software operativo que se coordina y refuerza en un espacio sin guardarraíles claros.
AI Act, RGPD y compañía: choque frontal con el cumplimiento
Desde la óptica regulatoria europea, OpenClaw reúne casi todos los ingredientes para encender alarmas:
- Accede y procesa datos personales de empleados, clientes y proveedores.
- Puede intervenir en procesos de decisión relevantes si se le conecta a sistemas de negocio.
- Opera con un grado de autonomía poco transparente para auditores y autoridades.
El AI Act exige documentación, supervisión humana y análisis de impacto proporcionales al riesgo. Un agente de este tipo desplegado en sanidad, banca, seguros o recursos humanos se acercaría, según los expertos, al tramo de sistemas de alto riesgo, especialmente si toma decisiones que afectan a derechos o situaciones económicas de las personas.
A ello se suma el RGPD y la normativa de ePrivacy. Preguntas como:
- ¿En qué Registro de Actividades se documenta lo que hace el agente?
- ¿Cómo se garantiza el derecho de supresión si el bot guarda historiales o copias temporales sin cifrado?
- ¿Quién es el responsable del tratamiento cuando los datos salen del equipo local para llegar a un modelo alojado por un tercero?
quedan, de momento, sin respuesta clara en muchas implantaciones “de prueba”. Los especialistas hablan directamente de “suicidio legal” cuando se instalan estos sistemas en entornos corporativos sin pasar por impacto de protección de datos, clasificación de riesgo ni revisión contractual con los proveedores de modelo.
Asistente o caballo de Troya: qué recomiendan hoy los expertos
Ante el auge de agentes como OpenClaw, las recomendaciones de los equipos de riesgo son contundentes:
- Nada de pilotos “ocultos”: cualquier prueba debe pasar por los mismos filtros que una nueva herramienta crítica —evaluación de seguridad, impacto de datos, visto bueno legal—.
- Entornos de laboratorio, no portátiles personales: primero en sandbox con datos sintéticos; después, si funciona, en máquinas segmentadas con permisos muy acotados.
- Permisos mínimos y segmentación extrema: el agente solo debería ver las carpetas y sistemas necesarios para el caso de uso definido, nunca el disco completo ni todas las credenciales del usuario.
- Trazabilidad y registros: las acciones del bot deben quedar auditadas; lo contrario convierte cada incidente en un laberinto probatorio.
- Formación interna: explicar que un agente de este tipo no es un “chat para jugar un rato”, sino software con capacidad de hacer y deshacer cosas en el mundo real.
Como resume un consultor de ciberseguridad, “la IA es el motor más potente que ha tenido nunca una empresa, pero un Fórmula 1 sin frenos no es innovación: es un siniestro que aún no ha ocurrido”. En el caso de Moltbot/OpenClaw, la línea entre asistente revolucionario y caballo de Troya instalado por entusiasmo es lo bastante fina como para que la prudencia deje de ser una recomendación y pase a ser una obligación.
