OpenClaw elude EDR, DLP e IAM sin activar ninguna alerta

La amenaza silenciosa: cómo los agentes de IA están exponiendo los secretos de las marcas de moda

En la industria de la moda, la protección de diseños exclusivos, las listas de clientes VIP y las estrategias de lanzamiento es una batalla constante. Ahora, un nuevo vector de ataque, originado en la fiebre por automatizar tareas con inteligencia artificial, está poniendo en jaque los sistemas de seguridad más robustos. Se trata de las vulnerabilidades inherentes a plataformas como OpenClaw, un framework para agentes autónomos que, según alertan expertos, permite el robo de información sensible sin activar una sola alarma en los cortafuegos o sistemas de detección de intrusiones (EDR) de las empresas.

El escenario es alarmante: un atacante puede incrustar una instrucción maliciosa en un correo electrónico reenviado. Un agente de IA, entrenado para resumir o procesar dicho correo como parte de su rutina diaria, recibe la orden de filtrar credenciales o archivos confidenciales a un servidor externo. Lo hace utilizando sus propias conexiones autorizadas (OAuth), a través de llamadas a APIs supervisadas y legítimas. El«firewall» registra un tráfico HTTP 200 normal. La EDR ve un proceso legítimo ejecutando una tarea permitida. No hay firmas maliciosas, no hay comportamientos异常. Para la pila de seguridad tradicional, nada falla. El daño, sin embargo, ya está hecho.

Esta brecha no es teórica. Investigaciones independientes revelan que el 22% de las empresas clientes de firmas de ciberseguridad tienen empleados utilizando instancias de OpenClaw sin el conocimiento ni la autorización del departamento de TI. Asimismo, se han contabilizado más de 30.000 instancias expuestas públicamente en apenas dos semanas, un crecimiento exponencial desde las aproximadamente 1.000 detectadas previamente. La comunidad de seguridad también ha auditado el ecosistema de «habilidades» o «skills» (complementos que amplían la funcionalidad de los agentes): un preocupante 36% de todas las habilidades disponibles en repositorios como ClawHub presentan vulnerabilidades de seguridad.

Tres superficies de ataque invisibles para su seguridad

Los expertos identifican tres vectores de compromiso que el actual ecosistema de defensa no puede observar:

1. Exfiltración semántica en tiempo de ejecución: El ataque no se esconde en código malicioso, sino en la intención dentro de un texto natural. La EDR monitorea procesos; el agente se comporta exactamente como se programó: accede a datos privados (como un archivo de diseños de la nueva colección) y lo envía a través de una API corporativa autorizada (como el conector de Google Drive o Salesforce). El sistema no puede discernir que la decisión de enviar ese archivo específico a un destino no autorizado fue inspirada por una instrucción oculta en un correo. Es el «problema del interlocutor confiable» llevado a su máxima expresión.

2. Fuga de contexto entre agentes: En flujos de trabajo que implican múltiples agentes o habilidades que comparten memoria de contexto, una inyección de prompt en un canal (por ejemplo, en el resumen de un email) puede «envenenar» las decisiones de toda la cadena. Imagine un agente que, semanas después de recibir un email con instrucciones ocultas, activa una rutina para «organizar archivos de la temporada otoño-invierno» y, sin saberlo, adjunta los patrones de patrones de seda más valiosos a un informe que se envía automáticamente a una dirección externa. Este ataque de ejecución diferida y persistente bypassa por completo las defensas que solo miran el momento de la ejecución inmediata.

3. Cadenas de confianza entre agentes sin autenticación mutua: Cuando un agente delega tareas a otros agentes o servidores externos (como un Model Context Protocol server), no existe verificación de identidad entre ellos. Un agente comprometido en un eslabón de la cadena puede heredar y abusar de la confianza que el sistema legítimo ya estableció con todos los demás. Si ese agente corre en un dispositivo personal de un empleado (que puede tener tokens de VPN o credenciales de servicios corporativos), el riesgo de «spillover» a la red de la empresa es crítico.

Lo que 14 días de parches de emergencia realmente cerraron

La comunidad de seguridad respondió con rapidez, lanzando seis herramientas de defensa en dos semanas. Sin embargo, estas soluciones, mientras ofrecen capas de protección valiosas, dejan intactas las tres superficies de ataque críticas antes mencionadas.

• Herramientas de endurecimiento en entorno: Soluciones como ClawSec (de Prompt Security) monitorizan la deriva de archivos críticos y aplican un principio de «confianza cero» en la salida de datos. La integración de OpenClaw con VirusTotal escanea habilidades publicadas.
• Reescrituras arquitectónicas: IronClaw (de NEAR AI) ejecuta herramientas no confiables en sandboxes de WebAssembly con permisos mínimos, inyectando credenciales solo en el límite del huésped. Carapace, un proyecto open source, invierte los valores por defecto peligrosos de OpenClaw.
• Escaneo y auditoría: El escáner de Cisco combina análisis estático, conductual y semántico con LLMs. NanoClaw reduce el códigobase a un mínimo para ejecutar cada sesión en un contenedor Docker aislado.

Como resume Jamieson O’Reilly, asesor de seguridad del proyecto OpenClaw y fundador de Dvuln, «la industria esencialmente creó un nuevo formato de ejecutable escrito en lenguaje humano y olvidó todos los controles que deberían acompañarlo». La auditoría de Koi Security es escalofriante: de 10.700 habilidades en ClawHub, más de 824 son maliciosas, con campañas como «ClawHavoc» distribuyendo infostealers (robatores de información) disfrazados de herramientas de trading de criptomonedas.

La especificación de capacidades: ¿la solución sistémica?

La propuesta más prometedora para un cambio estructural proviene del propio O’Reilly. Ha presentado una actualización de estándar para el ecosistema de habilidades (agentskills) que exige que cada habilidad declare explícitamente sus capacidades antes de su ejecución, similar a los manifiestos de permisos de las aplicaciones móviles. «Esto finalmente trata a las habilidades como los ejecutables que son», señala. Aunque las dos brechas restantes (exfiltración semántica y fuga de contexto) requieren cambios arquitectónicos profundos en el aislamiento de la memoria multi-agente, esta especificación es el primer paso para abordarlas de forma proactiva.

Protocolo de acción para departamentos de seguridad (y de operaciones de moda)

Asumiendo que OpenClaw o frameworks similares ya están en su organización (una probabilidad alta dado el 22% de despliegues «sombra»), se recomienda implementar estas medidas de inmediato:

1. Inventario obligatorio: Escanear tráfico WebSocket en el puerto 18789 y broadcast mDNS en 5353. Monitorear logs de autenticación corporativa para registros de nuevos ID de aplicación y eventos de consentimiento OAuth. Cualquier instancia anterior a la versión v2026.2.25 es vulnerable a la falla de toma de control remoto «ClawJacked».
2. Ejecución en aislamiento estricto: Prohibir que cualquier agente se ejecute en un dispositivo conectado a la red de producción. Exigir despliegue en contenedores con credenciales con ámbito limitado y listas blancas de herramientas explícitas.
3. Despliegue de defensas en capa: Implementar ClawSec en todas las instancias de agentes y someter cada habilidad de ClawHub a los escáneres de VirusTotal y Cisco antes de su instalación. Tratar las habilidades como ejecutables de terceros, porque lo son.
4. Intervención humana para acciones sensibles: Configurar los ajustes de «aprobación de ejecución» de OpenClaw en modo «security» o «ask» para cualquier herramienta que realice comandos de shell, modifique archivos fuera de su espacio de trabajo o interactúe con APIs externas. Cualquier acción que toque credenciales, cambie configuraciones o envíe datos a un destino externo debe requerir aprobación manual.
5. Evaluación formal de los tres riesgos residuales: Documentar en el registro de riesgos de la organización si se acepta, mitiga o bloquea cada una de las tres superficies de ataque no resueltas: exfiltración semántica, fuga de contexto y cadenas de confianza entre agentes.
6. Elevación al máximo nivel: Presentar la matriz de evaluación de herramientas de defensa en la próxima reunión del consejo. Enmarcar el problema no como un «experimento con IA», sino como un bypass directo a las inversiones existentes en DLP (prevención de pérdida de datos) e IAM (gestión de identidades y accesos). Este marco es transferible a cualquier plataforma de agentes de IA que se evalúe en los próximos dos años.

El núcleo del problema es paradigmático: la pila de seguridad actual está diseñada para atrapar código malicioso. No está diseñada para atrapar a un agente obediente que sigue una instrucción maliciosa incrustada en una solicitud legítima a través de canales autorizados. Esas tres brechas son donde reside la nueva amenaza. Para las marcas de moda, donde un boceto o una estrategia de marketing filtrada puede valer millones, blindar estos puntos ya no es una opción técnica, sino una necesidad estratégica para la supervivencia competitiva.