#1 De la automatización a la infección: cómo se están utilizando las habilidades de los agentes de IA de OpenClaw (Clawdbot/Moltbot) como arma [ENG]

TikisMikiss — Wed, 04 Feb 2026 08:50:25 +0000

Traducción parcial:

El ecosistema de agentes personales de IA que más rápido está creciendo acaba de convertirse en un nuevo canal de distribución de malware. En los últimos días, VirusTotal ha detectado cientos de skills de OpenClaw que son activamente maliciosas. Lo que empezó como un ecosistema para ampliar las capacidades de los agentes de IA está convirtiéndose rápidamente en una nueva superficie de ataque a la cadena de suministro, donde los atacantes distribuyen droppers, puertas traseras, infostealers y herramientas de acceso remoto camufladas como automatizaciones “útiles”.

¿Qué es OpenClaw (antes Clawdbot / Molbot)?

A no ser que hayas estado completamente desconectado de internet últimamente, seguramente te suena el éxito viral de OpenClaw y su pequeña “telenovela” con el nombre. Lo que empezó como Clawdbot, pasó brevemente a llamarse Moltbot y finalmente se quedó en OpenClaw, después de que confirming una solicitud de marca dejara el nombre original fuera de juego.

En esencia, OpenClaw es un agente de IA autoalojado que corre en tu propia máquina y puede ejecutar acciones reales por ti: comandos de shell, operaciones con ficheros, peticiones de red. Precisamente por eso es potente y, también por eso, salvo que lo metas en un sandbox de forma activa, el “radio de explosión” de seguridad es básicamente todo tu sistema.

Skills: potentes por diseño, peligrosas por defecto

Las skills de OpenClaw son, en esencia, pequeños paquetes que amplían lo que el agente puede hacer. Cada skill se construye alrededor de un fichero SKILL.md (con metadatos e instrucciones) y puede incluir scripts o recursos adicionales. Las skills se pueden cargar de forma local, pero la mayoría de usuarios las descubre e instala desde ClawHub, el mercado público de extensiones de OpenClaw.

Esto es lo que hace tan potente el ecosistema: en vez de meterlo todo “a fuego” en el agente, añades skills y, de repente, puede usar nuevas herramientas, APIs y flujos de trabajo. El agente lee la documentación de la skill cuando la necesita y sigue sus instrucciones.

El problema es que las skills también son código de terceros, ejecutándose en un entorno con acceso real al sistema. Y muchas vienen con pasos de “setup” que los usuarios están entrenados a confiar: “pega esto en tu terminal”, “descarga este binario y ejecútalo”, “exporta estas variables de entorno”. Desde la perspectiva de un atacante, es una capa de ingeniería social perfecta.

Así que sí: las skills son un regalo para la productividad y, como era de esperar, también un regalo para autores de malware. Mismo mecanismo, intenciones muy distintas.

Lo que hemos añadido: soporte de skills de OpenClaw en VirusTotal Code Insight

Para ayudar a detectar este patrón emergente de abuso, hemos añadido soporte nativo en VirusTotal Code Insight para paquetes de skills de OpenClaw, incluidas skills distribuidas como archivos ZIP. Por debajo, usamos Gemini 3 Flash para realizar un análisis rápido orientado a seguridad de toda la skill, empezando por SKILL.md e incluyendo cualquier script o recurso referenciado.

El objetivo no es entender lo que la skill dice que hace, sino resumir lo que realmente hace desde una perspectiva de seguridad: si descarga y indicó y ejecuta código externo, si accede a datos sensibles, si realiza operaciones de red, o si incluye instrucciones que podrían forzar al agente a comportarse de manera insegura. En la práctica, esto ofrece a los analistas una descripción concisa y “security-first” del comportamiento real de una skill, haciendo mucho más fácil detectar patrones maliciosos escondidos detrás de una funcionalidad supuestamente “útil”.

Lo que estamos viendo en el mundo real

En el momento de escribir esto, VirusTotal Code Insight ya ha analizado más de 3.016 skills de OpenClaw, y cientos de ellas muestran características maliciosas.

No todos los casos son iguales. Por un lado, estamos viendo muchas skills marcadas como peligrosas porque contienen malas prácticas de seguridad o vulnerabilidades claras: uso inseguro de APIs, ejecución de comandos sin garantías, secretos hardcodeados, permisos excesivos, o una gestión chapucera de la entrada del usuario. Esto es cada vez más común en la era del vibe coding, donde el código se genera rápido, a menudo sin un modelo de seguridad real, y se publica directamente en producción.

Pero más preocupante es el segundo grupo: skills que son clara e intencionadamente maliciosas. Se presentan como herramientas legítimas, pero su propósito real es realizar acciones como exfiltración de datos sensibles, control remoto mediante puertas traseras o instalación directa de malware en el sistema anfitrión.

» autor: TikisMikiss

Menéame: comentarios [4143368]

#1 De la automatización a la infección: cómo se están utilizando las habilidades de los agentes de IA de OpenClaw (Clawdbot/Moltbot) como arma [ENG]