El Centro Nacional de Respuesta a Emergencias de Internet publica una advertencia sobre riesgos de seguridad de la aplicación OpenClaw

Recientemente, OpenClaw (“Cangrejo de río”, anteriormente conocido como Clawdbot, Moltbot) ha experimentado un auge en descargas y uso, con las principales plataformas en la nube nacionales ofreciendo servicios de despliegue con un solo clic. Este software inteligente permite controlar directamente la computadora mediante instrucciones en lenguaje natural. Para lograr la capacidad de “ejecutar tareas de forma autónoma”, la aplicación ha sido otorgada con permisos elevados del sistema, incluyendo acceso al sistema de archivos local, lectura de variables de entorno, llamadas a interfaces de programación de aplicaciones (API) de servicios externos y la instalación de funciones adicionales. Sin embargo, debido a su configuración de seguridad predeterminada extremadamente débil, los atacantes que descubran una brecha podrán obtener fácilmente control total del sistema.

En etapas previas, por un uso inadecuado e instalación incorrecta de OpenClaw, ya han surgido riesgos graves de seguridad:

1. Riesgo de “inyección de palabras clave”. Los atacantes en línea pueden construir instrucciones maliciosas ocultas en páginas web, induciendo a OpenClaw a leer dichas páginas y, en consecuencia, revelar las claves del sistema del usuario.

2. Riesgo de “error operativo”. Debido a una interpretación errónea de las instrucciones y la intención del usuario, OpenClaw podría eliminar completamente correos electrónicos, datos de producción críticos y otra información importante.

3. Riesgo de envenenamiento de plugins (skills). Varios plugins funcionales compatibles con OpenClaw han sido identificados como maliciosos o con riesgos de seguridad potenciales. Tras su instalación, pueden ejecutar acciones maliciosas como robar claves, desplegar troyanos o puertas traseras, convirtiendo los dispositivos en “zombies”.

4. Riesgo de vulnerabilidades de seguridad. Hasta la fecha, se han divulgado múltiples vulnerabilidades críticas en OpenClaw. Si estas vulnerabilidades son explotadas maliciosamente, podrían causar control del sistema, filtración de información privada y datos sensibles. Para usuarios individuales, esto puede significar el robo de datos confidenciales como fotos, documentos, registros de chat, cuentas de pago y claves API. En sectores clave como finanzas y energía, puede provocar la filtración de datos centrales, secretos comerciales y repositorios de código, incluso paralizar todo el sistema de negocio, causando pérdidas incalculables.

Se recomienda a las entidades y usuarios individuales que desplieguen y utilicen OpenClaw que adopten las siguientes medidas de seguridad:

1. Fortalecer el control de red, no exponer directamente los puertos de gestión predeterminados de OpenClaw en internet pública, y gestionar el acceso mediante autenticación y control de acceso. Aislar estrictamente el entorno de ejecución, utilizando tecnologías como contenedores para limitar los permisos excesivos de OpenClaw.

2. Mejorar la gestión de credenciales, evitando almacenar claves en texto plano en variables de entorno; establecer mecanismos completos de auditoría de registros de operaciones.

3. Gestionar estrictamente las fuentes de plugins, desactivar las funciones de actualización automática y solo instalar extensiones firmadas y verificadas desde canales confiables.

4. Mantenerse atento a parches y actualizaciones de seguridad, realizando actualizaciones de versión y aplicando parches de seguridad de manera oportuna.

（Fuente: Centro Nacional de Respuesta de Emergencias de Internet）