Una vulnerabilidad de cero clics en un popular marco de agente de IA es la advertencia que nadie en el comercio quiere escuchar, pero todos necesitan hacerlo.
Estaba de pie en la gloriosa y caótica fila en Bay Cities Italian Deli en Santa Mónica, sujetando mi ticket de papel. El sistema de números allí es un hermoso anacronismo. Alguien detrás de una montaña de prosciutto grita un número, tú gritas tu pedido de un sándwich Godmother, y una cadena de agentes humanos de la vida real entra en acción. No hay UI (interfaz de usuario), no hay aplicación, solo un proceso endurecido y auditable que ha sobrevivido décadas. Cada paso es observable. El tipo que corta el capicola no está accediendo en silencio a tu cuenta bancaria. El sistema es legible, comprobable y seguro en su hermosa simplicidad analógica.
Entonces mi teléfono zumbó con una alerta sobre una vulnerabilidad de alta gravedad llamada "ClawJacked" [2]. Es un fallo en OpenClaw, un popular marco de código abierto que los desarrolladores están utilizando para construir los mismos agentes de IA autónomos que las marcas se apresuran a implementar. En resumen, ClawJacked permite a cualquier sitio web malicioso secuestrar a tu agente de IA local, otorgándole el poder de robar datos, abusar de las API y realizar acciones en tu nombre, todo sin que hagas clic en una sola cosa [11].
Mirando mi número, aún a unos 40 puestos de distancia, me di cuenta de que toda la industria del comercio está a punto de cambiar el sistema probado, aunque torpe, de Bay Cities por una red opaca e interconectada de agentes construidos sobre marcos que no entendemos completamente y no podemos asegurar adecuadamente. Estamos tan obsesionados con el potencial del comercio agentic (agentic commerce) que estamos construyendo nuestro futuro sobre arena, y la marea está subiendo.
¿Qué es OpenClaw y por qué debería importarle a una marca?
Para la mayoría de los ejecutivos de marketing y comercio, un nombre como "OpenClaw" suena a jerga arcaica de desarrolladores. Es un detalle que el equipo de ingeniería debe manejar. Esta es una suposición catastróficamente errónea. Para comprender el riesgo, debes entender qué son estas herramientas y cómo forman la capa fundamental del futuro agentic (agentic future) sobre el que todos están tan entusiasmados.
OpenClaw es un marco de código abierto que actúa como un sistema nervioso para los agentes de IA. Su función principal es conectar un Large Language Model (LLM) —el "cerebro"— a un conjunto de herramientas e Internet en vivo. Estas herramientas se llaman "habilidades" (skills), y son paquetes de código discretos que permiten al agente realizar acciones específicas: verificar inventario, procesar un reembolso, reservar un vuelo o, de manera más ominosa, leer tus archivos privados [13]. Piénsalo como un sistema operativo de smartphone que permite instalar cualquier aplicación (una habilidad) para darle nuevas capacidades al teléfono.
Los desarrolladores están acudiendo en masa a marcos como OpenClaw porque resuelven un gran problema: los LLM son solo procesadores de lenguaje. No pueden hacer nada por sí solos. Marcos como este proporcionan la infraestructura —las API, los controladores del navegador, los entornos de ejecución— que convierten un modelo generador de texto en un agente que toma acciones. Un boletín reciente de HackerNoon mencionó que los desarrolladores están uniendo ansiosamente agentes con una mezcla de herramientas que incluyen Kafka, Flink y protocolos como MCP, lo que ilustra la explosión cámbrica de sistemas complejos e interconectados que se están construyendo en este momento [8].
Y en el corazón de la arquitectura de OpenClaw hay un componente llamado "gateway" (puerta de enlace) [2, 10]. Esta puerta de enlace es un servidor que se ejecuta localmente en la máquina de un desarrollador o, potencialmente, en la infraestructura de una marca. Gestiona la comunicación entre el LLM y sus habilidades, a menudo utilizando WebSockets para mantener una conexión persistente y bidireccional. Esto es lo que permite la sensación receptiva y en tiempo real de un agente sofisticado. Es también precisamente lo que hizo que la vulnerabilidad ClawJacked fuera tan devastadora.
La razón por la que tú, como líder de marca, debes preocuparte es que la preparación de tu futura tienda agentic (agentic storefront readiness) depende de la seguridad de esta capa fundamental. El conserje de IA que estás planeando, la función de compra asistida por agente (agent-assisted shopping), la IA de prueba virtual, todos se construirán utilizando marcos como OpenClaw. Si el propio marco está comprometido, toda tu arquitectura de IA de comercio (commerce AI architecture) está construida sobre un defecto fatal.
La anatomía de un secuestro: Cómo tu agente es ClawJacked
Seamos un poco técnicos, porque los detalles del ataque ClawJacked son una ilustración perfecta de las nuevas superficies de ataque creadas por los sistemas agentic. Esto no fue un simple ataque de phishing; fue un exploit sofisticado de CERO CLICKS que se aprovechó de la misma arquitectura diseñada para la conveniencia [12].
La vulnerabilidad, parcheada en la versión 2026.2.26, residía en el componente de puerta de enlace de OpenClaw. Aquí está la cadena de fallos:
- Configuración Insegura Predeterminada: La puerta de enlace, por defecto, estaba configurada para ser accesible desde cualquier origen. Esto significa que cualquier sitio web, incluido uno malicioso, podía intentar comunicarse con ella.
- Conexión WebSocket Persistente: La puerta de enlace utiliza WebSockets para comunicarse con el frontend basado en navegador. Esto crea un canal "siempre activo". Cuando un usuario que ejecuta una instancia local de OpenClaw visitaba una página web maliciosa, esa página podía abrir una conexión WebSocket de vuelta a la puerta de enlace en su máquina.
- Inyección de Comandos: El sitio malicioso podía entonces enviar comandos a través de este WebSocket secuestrado. Debido a que la puerta de enlace fue diseñada para intermediar el acceso a las "habilidades" del agente, el sitio web ahora podía instruir al agente para que ejecutara cualquier habilidad que tuviera instalada.
Imagina que eres un desarrollador en una importante marca de moda, utilizando una instancia de OpenClaw para construir un agente que pueda consultar tu base de datos de productos. Le has dado una habilidad con claves API para acceder a inventory.yourbrand.com. Luego, en otra pestaña del navegador, visitas un sitio web comprometido, digamos, un blog sobre estadísticas de baloncesto. Ese sitio, sin que hagas clic en nada, ahora puede enviar un comando a tu agente local indicándole que use la habilidad de inventario, exfiltre todos los datos y los envíe al servidor del atacante. Esta es la esencia del ataque ClawJacked [2, 11].
El flujo del ataque se ve algo así: