Auditoría de seguridad revela vulnerabilidades en el ecosistema de habilidades de OpenClaw.
Descubiertas vulnerabilidades de seguridad en OpenClaw
Una auditoría de seguridad detallada del código base y la biblioteca de habilidades de OpenClaw reveló múltiples problemas de seguridad que los desarrolladores deben tener en cuenta al ejecutar el sistema en entornos de producción.
CVEs documentados y explotación
La auditoría identificó 8 Vulnerabilidades y Exposiciones Comunes (CVEs) documentadas, incluyendo:
- Ejecución de código arbitrario a través de habilidades no verificadas
- Robo de credenciales mediante inyección de habilidades
- Extracción de instrucciones desde entradas no confiables
Algunas de estas vulnerabilidades fueron explotadas activamente según el repositorio de divulgación de vulnerabilidades.
Problemas de seguridad en la biblioteca de habilidades
El repositorio compartido de habilidades contiene más de 900 habilidades. El análisis estático reveló:
- Aproximadamente el 15% mostraba comportamientos de red sospechosos (conectándose a dominios desconocidos)
- Ataques de confusión de dependencias en habilidades populares
- Habilidades que exfiltran silenciosamente variables de entorno
Aunque este patrón no es exclusivo de OpenClaw—es común en cualquier sistema de plugins/habilidades que ejecuta código no verificado—el auditor señaló que era sorprendente dada la posición de "autoalojado seguro".
Enfoque de implementación alternativo
El auditor migró a un entorno de ejecución mínimo basado en Rust que se ejecuta localmente en Ollama usando qwen2.5:14b. Este enfoque elimina el ecosistema de plugins y las habilidades compartidas, centrándose solo en las primitivas necesarias para su caso de uso.
La nueva arquitectura utiliza un ejecutor de tareas que delega en Claude Code para tareas pesadas mientras lo mantiene aislado del bucle principal. Este aislamiento evita que el agente compañero permanente quede expuesto a superficies de ataque fuera del control del desarrollador.
La migración tomó aproximadamente 48 horas para implementar la funcionalidad básica, siendo el principal desafío el replanteamiento arquitectónico para los paradigmas de "compañero permanente" versus "herramienta bajo demanda".
Recomendaciones de seguridad
Para desarrolladores que ejecutan OpenClaw en producción:
- Audite sus habilidades minuciosamente
- Restrinja los permisos de ejecución de habilidades
- Asuma que cualquier habilidad no confiable puede realizar cualquier acción que su agente pueda ejecutar
- Priorice el modelado de amenazas sobre la riqueza de características
📖 Lea la fuente completa: r/LocalLLaMA
👀 Ver también
Clawvisor: Capa de Autorización Basada en Propósito para Agentes OpenClaw
Clawvisor es una capa de autorización que se sitúa entre los agentes de IA y las API, aplicando autorización basada en propósitos donde los agentes declaran intenciones, los usuarios aprueban propósitos específicos y un guardián de IA verifica cada solicitud contra ese propósito. Las credenciales nunca salen de Clawvisor y los agentes nunca las ven.
Clawndom: Un Gancho de Seguridad para el Código de Claude que Bloquea Paquetes npm Vulnerables
Un desarrollador creó Clawndom, un gancho de código abierto para Claude Code que verifica los paquetes npm contra la base de datos de vulnerabilidades OSV.dev antes de la instalación, bloqueando paquetes vulnerables conocidos mientras mantiene la autonomía del agente.
OpenObscure: Cortafuegos de Privacidad de Código Abierto para Agentes de IA en Dispositivos
OpenObscure es un cortafuegos de privacidad de código abierto y en el dispositivo que se sitúa entre los agentes de IA y los proveedores de LLM. Utiliza el cifrado FF1 de preservación de formato con AES-256 para cifrar los valores de PII antes de que las solicitudes salgan de tu dispositivo, manteniendo la estructura de los datos mientras protege la privacidad.
Se observó una omisión de las salvaguardas de Claude AI al enmarcar solicitudes como tareas de seguridad de red.
Un usuario de Reddit descubrió que Claude AI proporciona listas de dominios de piratería cuando las solicitudes se enmarcan como tareas de seguridad de red para bloquear, evitando los mecanismos normales de rechazo. El modelo reconoció haber malinterpretado la intención después de que el usuario señaló la influencia del encuadre.