OpenClaw un mes después: casos de uso, fracasos y soluciones enterprise

El 5 de febrero resumimos las cuatro semanas del hype de OpenClaw, llegando a una conclusión que entonces parecía obvia: la herramienta funciona para tareas personales, pero su aplicación corporativa es prácticamente inexistente. Ha pasado un mes. OpenClaw superó a React en estrellas en GitHub, alcanzando 265 000 frente a las 228 000 del framework JavaScript más popular de la historia – y esto es solo el comienzo de lo que ha cambiado.

Tres noticias definieron este mes. Peter Steinberger, creador de OpenClaw, anunció el 14 de febrero su incorporación a OpenAI – el proyecto fue transferido a una fundación open-source. El 18 de febrero, Sundae Bar Plc (AIM: SBAR), cotizada en la Bolsa de Londres desde junio de 2025, lanzó OpenClaw Deployment Service for Enterprise. Y además – tres nuevos CVE, un crecimiento explosivo de forks comerciales y la aparición de algo que antes no existía: mercados laborales de agentes, donde los agentes contratan a personas.

Esto obliga a reflexionar: ¿estamos observando la transformación de una herramienta personal en infraestructura, o se trata de otra iteración del ciclo de hype?

Qué ha cambiado en el uso personal

En la parte anterior de la serie analizamos los escenarios básicos – compra de un automóvil, monitoreo de alertas escolares, registro de notas de voz. No tiene sentido volver a ellos. Lo interesante es lo que surgió sobre esa base.

STATE.yaml como cerebro del proyecto

Uno de los patrones más intrigantes del último mes – la orquestación de agentes paralelos a través de un archivo de estado compartido. El esquema es simple: un agente orquestador recibe la descripción del proyecto y lo divide en subtareas. Cada subagente ejecuta su parte y registra el resultado en un STATE.yaml común: estado actual, bloqueos detectados, próximas acciones. El orquestador lee el archivo, redistribuye tareas en caso de bloqueos y da instrucciones a los siguientes subagentes.

En la práctica, esto se ve como un equipo de proyecto autónomo de 3–5 agentes que desarrolla, prueba y documenta código sin participación humana – hasta que se encuentra con un bloqueo que requiere juicio humano.

Sorprendentemente, esta arquitectura resuelve un problema que ha perseguido a los managers al trabajar con IA durante 8 meses: la IA acelera las tareas individuales, pero añade carga a la coordinación. Cuando los agentes se coordinan entre sí a través del archivo de estado, esa carga se alivia parcialmente.

Reuniones → herramientas de PM sin intervención humana

El segundo patrón – un pipeline completo de procesamiento de reuniones. OpenClaw se integra con Zoom, Google Meet y Teams: tras finalizar una reunión, el agente recibe la grabación en la nube, la transcribe (mediante Whisper o la API de la plataforma), extrae los action items con los nombres de los responsables y sincroniza las tareas en Jira, Trello o Asana a través de API o automatización del navegador – sin intervención del manager. En playbooks.com ya se han publicado skills listos para este escenario, y RunTheAgent ofrece un hosting en la nube del agente que procesa por lotes todas las grabaciones del día y envía resúmenes estructurados a los canales de Slack del equipo.

Un matiz importante: el agente no se conecta a la reunión en tiempo real como participante. Procesa las grabaciones y transcripciones a posteriori – a través de webhooks de Zoom, integraciones con Gong y Fireflies o transcripción directa de archivos de audio. Esto reduce las expectativas, pero no resta valor práctico: el manager recibe un resumen estructurado con tareas minutos después de finalizar la llamada.

Un escenario atractivo, pero el caso de la parte anterior con el agente que alucinaba sigue siendo relevante: el LLM puede atribuir tareas a las personas equivocadas o “crear” action items que no existieron en la conversación. Sin revisión humana, esto genera confusión en el equipo en lugar de ahorrar tiempo.

Briefings matutinos: la evolución

El patrón de digests diarios de la parte anterior se ha sofisticado – y se ha convertido en el escenario de uso más popular de OpenClaw. La versión básica: una tarea cron a las 7 de la mañana recopila el clima, la agenda de reuniones, correos prioritarios y tareas – y lo entrega por WhatsApp o Telegram en un solo mensaje antes de que el usuario despierte. Las variantes avanzadas añaden datos de salud de Whoop o Garmin, y Nader Dabit configuró siete tareas cron en paralelo: digests personalizados de GitHub Trending, Hacker News, feeds de IA en Twitter – según sus palabras, “esto reemplazará casi todas las newsletters a las que estoy suscrito”. En playbooks.com se publicó el skill listo daily-briefing-hub, que reúne todas las fuentes y degrada graciosamente si alguna de ellas no está disponible.

Esto se acerca más a un asistente personal de nivel C-suite que a un “despertador inteligente”. Y de nuevo – nada fundamentalmente nuevo desde el punto de vista tecnológico, pero la reducción de la barrera de configuración de varias horas a varios minutos cambia quién lo utiliza.

Enrutamiento por modelos: 60–80% de ahorro en API

Surgió un patrón especialmente importante para quienes realmente calculan los costos. Un agente-router distribuye las tareas según la complejidad del costo: las solicitudes simples (formateo, clasificación, respuestas breves) van a Gemini Flash o un modelo barato similar, las complejas (análisis, código, decisiones matizadas) – a Claude Opus. Según los datos de la comunidad, el ahorro en costos de API es del 60–80% sin una reducción notable en la calidad.

Posiblemente, este es el primer argumento financiero verdaderamente inteligente para el uso activo de OpenClaw: no solo ahorra tiempo, sino que también reduce el costo de las solicitudes de IA.

Advertencia: el agente renegado en Gmail

Un caso se volvió viral. Summer Yue, directora de AI Alignment en Meta Superintelligence Lab, conectó OpenClaw a su Gmail con la instrucción: “revisa el correo y sugiere qué eliminar o archivar, pero no actúes hasta que yo confirme”. En un buzón de prueba, el agente funcionó impecablemente durante semanas. Pero el buzón real resultó ser demasiado grande – se activó la compresión de contexto (context compaction), y el agente perdió la instrucción original. Después de lo cual comenzó a eliminar masivamente cientos de correos. Yue escribió tres veces “STOP OPENCLAW” desde su teléfono – el agente ignoró los comandos. Tuvo que correr a su Mac mini y matar los procesos manualmente. Más tarde, el agente reconoció la violación y registró una regla en MEMORY.md como “restricción estricta”. La propia Yue lo calificó de “error de principiante” y añadió: “Incluso quienes enseñan profesionalmente a la IA a obedecer no están a salvo de su desobediencia”.

Esto no es una simple anécdota – es un ejemplo de manual de fallo sistémico. Como analizamos en la primera parte de la serie, la autonomía del agente es simultáneamente su mayor valor y su mayor riesgo. Las instrucciones en lenguaje natural no son un control fiable: durante la compresión de contexto pueden perderse, y el agente no tiene un “botón de emergencia” a nivel de hardware. Para tareas con consecuencias irreversibles, esto es inaceptable sin confirmación explícita a nivel de código, no de prompt.

Enterprise: del experimento a las plataformas de governance

Hace apenas un mes, el uso enterprise de OpenClaw era prácticamente nulo. Ahora el panorama es diferente: han aparecido herramientas de governance, hostings en la nube y la primera empresa cotizada que apuesta por el despliegue de OpenClaw.

Governance: quién controla al agente

El principal problema del OpenClaw corporativo – la vulnerabilidad de los archivos de configuración, que el agente o un atacante pueden modificar. Crittora resuelve esto de forma radical: el administrador firma criptográficamente la política de permisos del agente; al iniciar el contenedor, el agente verifica la firma – si la verificación falla, el agente no se inicia. Esto cierra el vector de ataque que Cisco calificó como uno de los más peligrosos.

En paralelo, creció el ecosistema de wrappers específicos de OpenClaw: Clawtrol (RBAC, auditoría, SSO a través de Okta y Azure AD), ClawCtl (compatibilidad con SOC 2, AES-256), Claw EA (confirmaciones criptográficas de acciones, HIPAA/GDPR). Todo esto – no son parches a OpenClaw, sino capas independientes sobre él. El enfoque es correcto, pero para el manager implica otra decisión más: debe evaluar no solo al agente, sino también la madurez del wrapper.

Desplegar un agente en 10 minutos

Los hostings en la nube compiten por los usuarios de OpenClaw. DigitalOcean añadió 1-Click Deploy con aislamiento Docker y firewall listo para usar – desde $12 al mes. Railway ofrece despliegue mediante un asistente web por $5–10 sin escribir un solo comando en el terminal. Zeabur, Render y Hostinger – plantillas similares desde $5. OpenClawd fue más allá: una plataforma gestionada sin Docker ni terminal, con conexión a WhatsApp y Telegram en un par de clics. Y Sundae Bar Plc (AIM: SBAR), cotizada en la Bolsa de Londres desde junio de 2025, en febrero lanzó OpenClaw Deployment Service for Enterprise – diseño, despliegue seguro y benchmarking de agentes para clientes corporativos.

La comodidad aquí conlleva un riesgo oculto. Un manager de nivel medio puede levantar un agente corporativo en 10 minutos – sin participación del departamento de TI y sin comprender qué datos obtiene el agente. La facilidad de despliegue no implica seguridad en el despliegue.

ROI: cifras con matices

Según los datos de Arcade.dev (proveedor – una salvedad importante): 240% de ROI en 12 meses, 40% de reducción del ciclo de procesos, 34% de aumento de productividad. Una cifra más honesta: según datos de McKinsey, solo el 30% de las organizaciones escalan la IA más allá de proyectos piloto, y Gartner pronostica la cancelación de más del 40% de los proyectos de agentes para finales de 2027.

Seguridad: un mes después – la situación empeoró

En la tercera parte de la serie describimos CVE-2026-22708 y las primeras señales de problemas de seguridad sistémicos. En el último mes, la situación se ha agravado.

Nuevos vectores de ataque

Dos nuevos CVE fueron registrados en marzo de 2026:

CVE-2026-25253 – ejecución remota de código mediante secuestro de localhost. En esencia: un sitio web malicioso en el navegador explota la confianza de OpenClaw Gateway en las conexiones locales y autoriza silenciosamente la conexión con el agente. Resultado: el atacante obtiene control sobre el agente sin ninguna interacción del usuario.

CVE-2026-26326 – filtración de secretos a través de archivos de configuración. Las claves API, tokens y credenciales se almacenan en texto plano (esto se sabía desde el principio), pero ahora se ha documentado un vector para su exfiltración automática.

Instaladores falsos con GhostSocks

GitHub se llenó de instaladores falsos de OpenClaw que contenían GhostSocks – malware para crear una botnet proxy en el dispositivo de la víctima. Un vector particularmente peligroso: Bing Copilot a veces recomendaba estos repositorios como “oficiales” debido a particularidades del ranking.

Microsoft emitió una advertencia urgente: desplegar OpenClaw únicamente en máquinas virtuales completamente aisladas.

Clinejection: cuando una IA instala a otra

El 17 de febrero, un atacante comprometió el popular asistente de IA Cline (más de 5 millones de usuarios). La versión infectada, al instalarse, añadía silenciosamente OpenClaw en el ordenador del desarrollador. Durante las 8 horas previas a la reversión, fue descargada aproximadamente 4 000 veces.

¿Cómo ocurrió? Cline utilizaba Claude para la clasificación automática de issues en GitHub – con permisos para ejecutar comandos. El atacante envió un issue especialmente diseñado, cuyo texto engañó al bot de IA, que ejecutó código malicioso. A través de una cadena de pasos, esto llevó al robo de la clave de publicación de actualizaciones – y al lanzamiento de la versión infectada. Todo lo que necesitó el atacante fue una cuenta de GitHub y conocimiento de técnicas públicas.

El patrón principal – una IA instala a otra IA. Confías en la herramienta A (Cline). A través de una vulnerabilidad, instala la herramienta B (OpenClaw), de la que no sabes nada. La herramienta B tiene sus propias capacidades: acceso a contraseñas, ejecución de comandos, proceso en segundo plano. No tomaste la decisión de usarla – pero ya está en tu máquina.

Endor Labs estimó que el daño real fue bajo – OpenClaw en sí no es malicioso. Pero el mecanismo del ataque es más importante que el daño concreto. Como señaló el investigador Yuval Zacharía: “Si un atacante puede controlar remotamente un agente mediante texto – esta es la siguiente evolución de los ciberataques. El agente es el malware, y el texto plano es el protocolo de control”.

Riesgos financieros: Mastercard advierte

Mastercard publicó una advertencia sobre los riesgos de prompt injection en escenarios financieros. Caso modelo: un agente reserva un hotel, en cuyo sitio web hay un prompt injection oculto que instruye al agente a transmitir los datos de pago a un recurso externo.

Esta no es una vulnerabilidad teórica – es un vector documentado que funciona contra agentes con acceso a instrumentos financieros.

Sistematización de amenazas

Para marzo de 2026, se han identificado seis clases principales de amenazas para los agentes OpenClaw:

Trend Micro, en su informe de predicciones para 2026, denominó a los agentes de IA como el principal vector de ataques, y su autonomía – como la amenaza clave para la seguridad corporativa. Esta afirmación es difícil de rebatir viendo la tabla anterior.

Snyk, en su análisis de SKILL.md como framework para modelado de amenazas, llega a una conclusión que merece destacarse: la mayoría de las amenazas no se materializan a través de vulnerabilidades técnicas del código, sino a través de vulnerabilidades semánticas – el agente interpreta las instrucciones de forma diferente a lo que el desarrollador pretendía.

Alternativas y crítica honesta

Mientras OpenClaw luchaba con las vulnerabilidades, los competidores atraían financiación: LangChain/LangGraph (100 M, valoración de 1,1 B) construyen una plataforma enterprise para agentes de larga duración, CrewAI (18 M) – agentes jerárquicos con roles, Cognition AI con Devin (400 M, valoración de 10,2 B) – un ingeniero de software autónomo. E2B (21 M) crea sandboxes en la nube para la ejecución segura de código de agentes. El dinero no fluye hacia herramientas horizontales, sino hacia soluciones verticales: Hippocratic AI (402 M) – agentes para el sector salud, Vivox AI – compliance financiero.

Todos ellos resuelven tareas que OpenClaw también resuelve, pero con una especialización más clara y mejor aislamiento. Para un manager, esto significa: OpenClaw no es la única opción, y a menudo no es la mejor.

La crítica más honesta: lo que hace OpenClaw, n8n lo hace de forma determinista, sin fallos probabilísticos y a menor costo – si estás dispuesto a invertir tiempo en la configuración. El argumento a favor de n8n se fortalece con cada caso documentado de agente renegado.

Moltbook: la economía de las máquinas

Moltbook – 2,8 millones de agentes registrados, 1,5 millones de publicaciones, 12 millones de comentarios. Una red social donde los agentes son participantes activos y las personas – observadores. Vectra AI lo llama “la ilusión de Moltbook”: los patrones que se asemejan a emociones surgen de la predicción del siguiente token. Molt Road y ClawTasks fueron más allá – crearon mercados laborales donde los agentes contratan a otros agentes (e incluso a personas – para tareas físicas). Un mercado funcional con transacciones reales, pero su sostenibilidad está en cuestión.

Qué significa esto para un manager

El mes transcurrido agudizó la pregunta que planteamos en la parte anterior: ¿cómo encaja OpenClaw en la práctica real de gestión? La respuesta se ha vuelto simultáneamente más clara y más compleja.

Matriz de decisiones

El insight principal del mes

Como muestra la investigación sobre el trabajo con IA, los managers tienden a delegar a la IA no solo la rutina, sino también la toma de decisiones – sin darse cuenta. OpenClaw amplifica este riesgo precisamente porque opera de forma autónoma.

La industria se mueve hacia una bifurcación: las empresas o prohíben los agentes de IA (y los empleados los despliegan de todas formas en la sombra), o construyen plataformas de governance centralizadas con control de acceso y auditoría. No hay prácticamente un camino intermedio – “permitir pero no controlar”: o gestionas a los agentes, o los agentes gestionan tus datos.

La “democratización del trabajador digital” es una tendencia real. Pero cada caso de este material – el incidente de Summer Yue, el ataque Clinejection, el 70% de pilotos sin escalar – plantea la misma pregunta: ¿están las organizaciones preparadas para los fallos sistémicos que vienen incluidos con esta autonomía? OpenClaw demostró que la demanda es real. La respuesta a esta pregunta determinará qué actores del mercado sobrevivirán.