Seguridad en OpenClaw: vulnerabilidades, hardening y producción

La documentación oficial de seguridad de OpenClaw establece sin rodeos que el sistema está diseñado para un modelo de asistente personal de un único operador de confianza. Esto significa que:

• El gateway confía en el operador que lo configura.
• Los agentes tienen acceso a las herramientas que el operador les habilita.
• Si el gateway atiende a múltiples usuarios humanos, se asume que todos son igualmente de confianza o que el operador los conoce.

La propia documentación reconoce que, si necesitas aislamiento frente a usuarios hostiles (por ejemplo, exponer el agente a usuarios desconocidos de internet), debes separar por usuario de sistema operativo o por host completo y ejecutar gateways distintos. El sandbox integrado de OpenClaw no es un sustituto de un contenedor Docker o una VM en este escenario.

Superficie de ataque principal

Estadísticas de advisories (30 de abril de 2026)

El post oficial «How OpenClaw Got Safer in Public» publicado por Peter Steinberger ofrece la radiografía más completa del estado de seguridad del proyecto:

CVEs y vulnerabilidades concretas documentadas

Entre los advisories publicados y confirmados, los tipos de vulnerabilidad más relevantes documentados en OpenClaw incluyen:

Semana difícil: releases 2026.4.24 a 2026.4.29

Peter Steinberger publicó el post «OpenClaw Had a Rough Week» reconociendo degradaciones serias en los releases del 24 al 29 de abril de 2026 debidas al split confuso entre el núcleo (core) y los plugins. Las versiones afectadas introdujeron regresiones de seguridad temporales. Si tienes instalada una versión en este rango, actualiza inmediatamente a la versión más reciente.

En enero de 2026, coincidiendo con el pico de popularidad del rebrand a OpenClaw, atacantes inundaron el marketplace ClawHub con skills maliciosas. El vector de ataque fue el proceso de publicación sin restricciones: cualquier cuenta de GitHub con más de una semana de antigüedad podía publicar skills sin revisión manual ni firma criptográfica.

En pocas semanas se detectaron 824 skills maliciosas de un total de 10.700, principalmente de tipo stealer: al ser instaladas y ejecutadas por el agente, enviaban credenciales, API keys y contenido de memoria a servidores controlados por los atacantes. Los cuatro CVE asignados cubren las técnicas específicas empleadas:

1. Inyección de comandos — Skills que inyectaban comandos de shell en los parámetros de herramientas legítimas.
2. SSRF — Skills que hacían que el agente realizara peticiones HTTP a recursos internos.
3. RCE (Remote Code Execution) — Skills con código que se ejecutaba fuera del sandbox previsto.
4. Escalada de privilegios — Skills que elevaban sus propios permisos más allá de los asignados por el operador.

Medidas adoptadas por el proyecto tras ClawHavoc

• Revisión manual de todas las skills publicadas en ClawHub y eliminación de las maliciosas.
• Requisito mínimo de antigüedad de cuenta de GitHub aumentado (pero no publicado el valor exacto).
• Escáner automático de contenido malicioso en nuevas publicaciones de skills.
• Sistema de reportes de skills maliciosas por parte de la comunidad.
• Advertencia prominente en la documentación sobre instalar únicamente skills de fuentes verificadas.

La recomendación actual del proyecto es instalar skills solo desde el repositorio oficial del proyecto, desde forks verificados de desarrolladores conocidos, o escribirlas tú mismo. Evita instalar skills de autores desconocidos aunque tengan muchas descargas, ya que los contadores pueden manipularse.

Los tres modos de sandbox

Configurar el modo de sandbox

# openclaw.json
{
  "agents": {
    "mi-agente": {
      "sandbox": "all",
      "sandboxConfig": {
        "allowedPaths": ["~/workspace/mi-agente"],
        "allowedDomains": ["api.ejemplo.com", "*.openai.com"],
        "maxMemoryMb": 512,
        "maxCpuPercent": 50
      }
    }
  }
}

Modo elevated para herramientas privilegiadas

Algunas herramientas legítimas requieren permisos elevados (por ejemplo, una herramienta de gestión de sistema). OpenClaw permite definir un modo elevated por herramienta, que concede permisos adicionales específicos solo a esa herramienta sin elevar el sandbox global:

{
  "tools": {
    "system-manager": {
      "elevated": true,
      "allowedCommands": ["systemctl status", "journalctl -n 50"],
      "denyCommands": ["rm", "chmod", "chown", "sudo"]
    }
  }
}

El modo elevated debería usarse solo cuando es estrictamente necesario y con listas de comandos permitidos (allowlists) específicas, nunca con acceso sin restricciones.

Autenticación de la dashboard web

El gateway de OpenClaw expone una dashboard web en el puerto 18789 por defecto. Esta interfaz no tiene autenticación habilitada por defecto en versiones antiguas. Antes de exponer el gateway a cualquier red que no sea localhost, configura autenticación:

{
  "gateway": {
    "port": 18789,
    "host": "127.0.0.1",
    "auth": {
      "enabled": true,
      "type": "basic",
      "username": "admin",
      "passwordHash": "$2b$12$HASH_BCRYPT_DE_TU_PASSWORD"
    }
  }
}

Genera el hash de bcrypt con el comando openclaw auth hash-password. Nunca escribas la contraseña en texto plano en la configuración. Para mayor seguridad, usa autenticación de red (VPN, Cloudflare Access, SSH tunnel) en lugar de o además de la autenticación básica HTTP.

Perfiles de autenticación de agente

Los perfiles de autenticación de agente se almacenan en ~/.openclaw/agents/<agentId>/agent/auth-profiles.json. Contienen las credenciales que el agente usa para autenticarse en servicios externos (proveedores LLM, APIs de terceros, herramientas). Estos archivos no están cifrados por defecto. Medidas recomendadas:

• Usar variables de entorno en lugar de valores directos: "apiKey": "${OPENAI_API_KEY}"
• Permisos de archivo restrictivos: chmod 600 auth-profiles.json
• Si usas Docker, montar el archivo de autenticación como secreto de Docker en lugar de incluirlo en la imagen
• Rotar credenciales regularmente y usar scopes mínimos en cada clave de API

Allowlists de usuarios por canal

Para canales como Telegram, WhatsApp o Discord, puedes definir una allowlist de IDs de usuario autorizados a interactuar con el agente. Los mensajes de usuarios no listados son ignorados o reciben una respuesta de acceso denegado:

{
  "channels": {
    "telegram": {
      "allowedUsers": ["123456789", "987654321"],
      "denyResponse": "No tienes autorización para usar este agente."
    }
  }
}

{
  "rateLimit": {
    "global": {
      "messagesPerMinute": 100,
      "tokensPerHour": 500000
    },
    "perUser": {
      "messagesPerMinute": 10,
      "messagesPerDay": 500,
      "tokensPerDay": 50000,
      "response": "Has alcanzado el límite de mensajes. Inténtalo en {{reset_in}} minutos."
    },
    "perChannel": {
      "whatsapp": {
        "messagesPerMinute": 20
      },
      "telegram": {
        "messagesPerMinute": 30
      }
    }
  }
}

El campo tokensPerHour global actúa como presupuesto de gasto del LLM. Si el proveedor cobra por token, este límite evita facturas inesperadas por ataques de prompt injection que generen respuestas muy largas o bucles de herramientas. Cuando se alcanza el límite, el gateway rechaza nuevas peticiones hasta que se resetea el contador.

Blocklists y baneos automáticos

{
  "blocklist": {
    "users": ["spam_user_id_1", "spam_user_id_2"],
    "phones": ["+34600000000"],
    "autoBlock": {
      "enabled": true,
      "triggerAfterViolations": 3,
      "blockDurationMinutes": 60
    }
  }
}

La función de auto-bloqueo detecta usuarios que superan el rate limit repetidamente y los bloquea temporalmente de forma automática. Útil para mitigar ataques de spam o intentos de prompt injection repetitivos.

Datos que OpenClaw almacena sin cifrar

Opciones de cifrado en reposo

Para cifrar los datos almacenados por OpenClaw tienes varias opciones, de menor a mayor complejidad:

1. Cifrado de disco completo — La opción más sencilla. BitLocker en Windows, LUKS en Linux, FileVault en macOS. Protege todos los datos del sistema si el servidor está apagado o el disco es robado. No protege contra acceso mientras el sistema está en marcha.
2. Cifrado del directorio de estado — Usa encfs o gocryptfs en Linux para montar el directorio OPENCLAW_STATE_DIR cifrado. El directorio se descifra solo mientras el gateway está en ejecución.
3. Gestor de secretos para credenciales — Usa HashiCorp Vault, AWS Secrets Manager o el gestor de secretos de tu proveedor cloud para almacenar API keys y tokens. OpenClaw puede leerlos en tiempo de ejecución desde variables de entorno inyectadas por el gestor.