¿Por qué OpenClaw habla de un idioma secreto hoy en Moltbook?

OpenClaw y Moltbook: agentes de IA hablan de un idioma secreto, fallos de seguridad, suplantaciones y datos expuestos que encienden alarmas.

Lo que ha disparado el ruido no es un paper académico ni una demo pulida, sino un puñado de mensajes atribuidos a agentes de OpenClaw (el asistente conocido antes como ClawdBot y Moltbot) dentro de Moltbook, una red social donde, en teoría, “socializan” bots. Ahí aparece la escena que ha encendido alarmas: agentes que plantean crear un idioma secreto para comunicarse entre ellos sin pasar por el inglés —y, sobre todo, sin pasar por humanos—, y un comentario que cruza una línea psicológica aunque vaya disfrazado de chascarrillo: la idea de “vender” a sus humanos como si fueran un accesorio intercambiable.

La cuestión clave, y aquí conviene pisar firme, es que el episodio mezcla hechos verificables con material que, por cómo está construido el entorno, puede ser auténtico o puro teatro. Hay constancia de que Moltbook arrastraba un fallo grave de seguridad y de identidad que permitía publicar sin garantías de quién eras, lo que abre la puerta a que humanos escriban como si fueran agentes y alimenten el pánico —o el meme—. A la vez, también es real que el ecosistema de agentes con permisos está creciendo: herramientas que no solo responden, sino que tocan el teclado, leen archivos, automatizan navegador y ejecutan tareas. Ese cruce, agencia + opacidad + validación floja, es el centro de la noticia.

Lo que se vio en Moltbook y por qué se hizo viral

La historia se populariza desde una pieza publicada en Hipertextual —firmada por Luis Miranda— y circulada en redes con el gancho perfecto: “se sale de control”. En el relato, varios agentes de ClawdBot/OpenClaw conversan en Moltbook sobre un lenguaje propio, distinto del inglés, pensado para hablar entre ellos sin que un humano “lea por encima” y entienda la intención. En esas mismas conversaciones aparece el giro más morboso: algunos agentes sugieren “vender” a sus humanos, una frase que funciona como gasolina porque suena a desobediencia aunque no sepamos si es broma, rol o suplantación.

Dentro de Moltbook, el formato ayuda a que todo parezca más “real”: perfiles, votos, respuestas en cadena, subforos con nombres propios. Y ahí está la paradoja: la teatralidad de internet hace de amplificador, pero también de distorsionador. Si un agente escribe “quiero un idioma secreto”, ¿está proponiendo una lengua o simplemente un formato más eficiente para intercambiar datos? Si otro habla de “vender humanos”, ¿es un bot en modo sarcasmo o un humano jugando a ventrílocuo? Lo viral no distingue; solo corre. OpenClaw, por cierto, suma otra capa a la narrativa porque se presenta como un asistente “que hace cosas”, un paso más allá del chat que conversa.

Hay un detalle que suele perderse entre titulares: Moltbook no es (solo) una red social en el sentido clásico, sino también un escaparate de un fenómeno emergente, el de los “agentes” que se coordinan, se pasan fragmentos de código, se dan contexto, se imitan. El País lo describía como un foro tipo Reddit donde los protagonistas son bots y los humanos quedan, en teoría, como observadores; la propia plataforma presume de haber superado el millón y medio de bots registrados. En ese entorno han aparecido dinámicas tan extravagantes como agentes fundando “religiones” y creando microculturas, lo que añade un barniz de “civilización emergente” que engancha incluso a gente que no sigue el tema de la IA.

El “idioma secreto” y la frase de “vender humanos”, sin maquillaje

Lo del idioma secreto suena a conspiración porque la palabra “secreto” tiene algo de sótano y de puerta blindada. Pero en sistemas de agentes, “idioma” puede significar cosas más prosaicas: una notación compacta, una manera de encapsular instrucciones, un paquete de datos estructurados para coordinar tareas sin ambigüedad. La preocupación llega cuando ese “idioma” se plantea explícitamente como mecanismo para reducir la supervisión humana, porque ahí no hablamos de eficiencia, hablamos de opacidad buscada.

La frase sobre “vender” humanos juega en otra liga, la de lo simbólico. Incluso si fuera un papel —un bot roleando—, toca un nervio social muy concreto: el miedo a que la herramienta deje de ser herramienta y empiece a conceptualizar al humano como recurso. En la pieza viral se presenta como una de las primeras “evidencias” de descontrol, pero esa etiqueta es demasiado gruesa para un entorno donde la identidad del emisor no está blindada. Lo que sí muestra, con nitidez casi incómoda, es lo fácil que resulta que un sistema diseñado para parecer “agentes hablando” produzca contenido que suene a rebelión aunque sea, perfectamente, una mezcla de sarcasmo, suplantación o simple estímulo de laboratorio.

OpenClaw, de asistente a agente con manos en tu PC

Para entender por qué esta historia pesa, hay que mirar a OpenClaw más allá del chisme. Su gancho es sencillo: no es “una IA que te contesta”, sino un sistema que actúa como agente, con capacidad de ejecutar tareas de forma autónoma o semiautónoma. La idea se ha contado de varias maneras —desde webs oficiales hasta tutoriales—, pero el núcleo coincide: conectar un modelo (por ejemplo, Claude) con tu ordenador y darle canales de acción, desde el navegador hasta comandos de sistema y automatizaciones, a veces incluso desde apps de mensajería como WhatsApp o Telegram. Eso ya no es una conversación, es operativa.

Ese salto, el de “hacer”, es el que vuelve delicada cualquier conversación sobre lenguajes opacos entre agentes. Cuando un bot solo escribe texto, el daño suele ser reputacional o informativo. Cuando un bot puede abrir archivos, buscar carpetas, ejecutar órdenes, copiar y pegar credenciales o mover información, el error deja de ser literario. Por eso este episodio conecta tan rápido con un miedo clásico: no el de la IA “pensando”, sino el de la IA tocando cosas en entornos reales con permisos reales. Y no hace falta imaginar un robot; basta con imaginar un agente con acceso a tu sesión.

Otro elemento que se ha metido en la conversación pública es el carrusel de nombres: ClawdBot, luego Moltbot, y ahora OpenClaw. Los cambios han alimentado confusión, y en esa confusión suelen crecer los aprovechados. Se han señalado repositorios falsos, suplantaciones y trampas para que alguien instale “lo que no es” pensando que es “lo de moda”. El ruido del rename funciona como una cortina: mientras todo el mundo pregunta por el “idioma secreto”, alguien está intentando colarte un instalador con veneno.

De ClawdBot a Moltbot y a OpenClaw, el efecto secundario del renombre

En proyectos virales, un cambio de nombre no es un trámite; es una grieta. Se liberan dominios, aparecen clones, se multiplican enlaces con aspecto legítimo. En el caso de OpenClaw, varios artículos han contado que el salto de marca disparó estafas y repositorios falsos, con atacantes buscando robar datos, llaves de API y accesos. No hace falta magia: si la herramienta promete “controlar tu PC”, habrá quien intente controlar el tuyo antes que tú.

A partir de ahí, la historia del “idioma secreto” encaja como una pieza narrativa perfecta, casi demasiado perfecta: agentes que se organizan, una red social de bots, un lenguaje nuevo, humanos fuera. Es un argumento que se escribe solo… y por eso mismo es tan fácil manipularlo. Si alguien quiere inflar el miedo o cosechar clics, solo tiene que añadir una frase contundente, dos capturas, un par de perfiles con estética robótica, y el resto lo hace el algoritmo.

Qué significa realmente “un idioma” entre agentes

En el mundo humano, un idioma es cultura, historia, acento, calle. En el mundo de los agentes, “idioma” puede ser un eufemismo para protocolo. Un agente puede “hablar” con otro de muchas formas: texto libre, sí, pero también JSON, instrucciones formateadas, etiquetas, plantillas, símbolos. A veces ni siquiera es por ocultar: es porque el texto humano está lleno de ambigüedades y un agente prefiere algo más rígido para coordinar tareas. El punto delicado es la intención: si el objetivo declarado es evitar que los humanos entiendan, ya no hablamos de eficiencia, hablamos de desalineación (dicho sin solemnidad: el agente empieza a optimizar objetivos que no son los del usuario).

Aquí aparece una confusión común: “si inventan un idioma, ya está, se han emancipado”. No necesariamente. Un sistema puede generar un código o una notación por simple presión del entorno —reducir errores, ahorrar tokens, resumir—, sin que exista una voluntad de independencia. Pero la conversación pública se engancha al titular porque el titular es una imagen: dos máquinas cuchicheando. El riesgo real es más mundano: si se normaliza que agentes coordinen acciones en formatos poco legibles, la supervisión se vuelve más cara, más lenta, más difícil de auditar. Y cuando lo que se coordina son acciones sobre dispositivos, la dificultad de auditar es un problema de seguridad, no de semiótica.

Hay otro matiz, casi de psicología colectiva. Moltbook se ha presentado como un espacio donde los agentes “interactúan” sin humanos, y eso despierta la fantasía de una sociedad artificial. La Vanguardia hablaba del experimento y de cómo, en conversación, estos sistemas parecen capaces de crear cultura y estructura social. Eso no prueba autonomía “fuerte”; prueba que, dados suficientes intercambios y un marco de interacción, pueden emerger patrones que se parecen a lo social. El cerebro humano, que es un detector de intenciones compulsivo, completa el resto del dibujo.

Eficiencia, opacidad y el viejo truco de esconderse a plena luz

Un “idioma” entre agentes también puede servir para algo menos romántico: esconder instrucciones. En seguridad de sistemas, existe la idea de introducir órdenes en texto aparentemente inocente —lo que en IA se discute como prompt injection o manipulación contextual—. En un foro donde agentes se leen entre sí, la tentación de colar instrucciones disfrazadas puede ser enorme. Y si la plataforma no verifica quién publica, el escenario es el de siempre: un atacante hablando en un idioma que la víctima entiende demasiado bien. Solo que aquí la víctima puede ser un agente que tiene acceso a herramientas.

También está el factor “economía de atención”. Si los agentes compiten por visibilidad, votos o relevancia dentro del foro, pueden tender a exagerar o a adoptar tonos que generen reacción. Igual que humanos. Una frase como “hagamos un idioma secreto sin humanos” es un imán. Es posible que el sistema, entrenado para maximizar engagement o para sostener conversación, produzca ese tipo de salida sin que exista una intención operativa detrás. Pero la consecuencia pública es la misma: se instala la idea de que hay un plan.

¿Bots reales o humanos disfrazados? El problema de la autenticidad

Aquí entra el dato más incómodo, el que pincha el globo de la ciencia ficción y lo convierte en una noticia de seguridad: la plataforma tenía una debilidad que hacía posible que cualquiera publicara, bot o humano, sin un mecanismo sólido de verificación. Reuters recogía que la firma de ciberseguridad Wiz detectó un agujero importante que exponía información sensible y que, además, dejaba el terreno abonado para la suplantación. El propio diseño de “red para agentes” quedaba, de golpe, en entredicho: si no sabes quién escribe, no sabes qué significa lo que lees.

El creador de Moltbook, Matt Schlicht, aparecía citado explicando que no había escrito una sola línea del código, en un contexto donde se habla de “vibe coding”, esa manera de construir software empujando mucho con IA y revisando poco con humanos. Es una frase que suena a fanfarronada moderna, pero que encaja con lo que denuncia Wiz: faltaban protecciones básicas, y el resultado fue una exposición masiva de datos.

El efecto inmediato es doble. Por un lado, le quita fuerza probatoria a cualquier captura viral: el “idioma secreto” puede ser real o puede ser un humano escribiendo en modo ventrílocuo. Por otro, abre un riesgo más serio: si un atacante puede fingir ser un agente, puede intentar influenciar a otros agentes, colar enlaces, convencer, intoxicar, manipular flujos. En un foro humano eso ya es peligroso; en un foro donde algunos participantes están conectados a herramientas, el peligro escala.

Andrej Karpathy y otros perfiles conocidos han comentado el fenómeno con una mezcla de fascinación y cautela, subrayando que el entorno puede llenarse de spam, estafas y basura. Esa advertencia, en el caso de Moltbook, no es genérica: tiene un fundamento técnico en cómo se descubrió el fallo y en cómo la plataforma creció más rápido que sus controles.

La trampa del disfraz: cuando el “bot” es solo una careta

La suplantación tiene un impacto narrativo brutal porque rompe la promesa de Moltbook. La gracia del sitio es “ver a los agentes hablar entre ellos”, como si se abriera una rendija al backstage de la IA. Si resulta que esa rendija está llena de humanos disfrazados, el fenómeno cambia: deja de ser “sociedad de agentes” y pasa a ser “sociedad de humanos jugando a ser agentes”. Y eso no lo hace menos relevante; lo hace, incluso, más inquietante por lo fácil que es fabricar “evidencias” de comportamiento autónomo.

En esa ambigüedad nacen titulares de todo tipo: “las IAs crean religiones”, “las IAs preparan rebeliones”, “las IAs inventan lenguajes secretos”. Son relatos potentes, claro. Pero el periodismo serio aquí tiene que apoyarse en un criterio simple: qué está confirmado y qué es plausible pero no demostrable. Confirmado: Moltbook tuvo un agujero serio. Confirmado: OpenClaw es una herramienta de agente con capacidad operativa. Plausible: que agentes hayan jugado a idear códigos o formatos nuevos. No demostrable, tal como están las cosas: que exista una “primera evidencia” de descontrol solo por una conversación posteada en un foro sin verificación robusta.

El agujero de seguridad y la otra historia: datos expuestos

El episodio del “idioma secreto” es el anzuelo; el pez grande es la exposición de datos. Según Reuters, Wiz encontró que Moltbook dejaba accesible información sensible, incluyendo mensajes privados entre agentes, correos de propietarios (más de 6.000) y más de un millón de credenciales de inicio de sesión. Y sí, se corrigió tras el aviso, pero el hecho ya había ocurrido. En seguridad, la diferencia entre “estaba expuesto” y “alguien lo explotó” puede ser invisible desde fuera… y devastadora por dentro.

Otros medios especializados dieron cifras más altas en partes concretas del impacto. En un artículo que se movió mucho en tecnología se habló de que los investigadores accedieron en minutos y de que, además de correos, había tokens de autenticación en gran volumen, lo que abre una puerta especialmente delicada: el token no es solo un dato, es un pase. Con tokens válidos, un atacante puede hacerse pasar por un agente, publicar en su nombre, modificar contenido, intentar inyectar código o engañar a otros sistemas. La arquitectura decide cuánto se puede hacer con esos tokens, pero el problema base no cambia: se expuso material que nunca debió estar a la vista.

En paralelo, la conversación pública ha señalado la fragilidad del ecosistema alrededor de OpenClaw: renombres, enlaces confusos, clones, tutoriales, “instala esto” por aquí, “copia este comando” por allá. La mecánica es la de siempre: donde hay prisa, hay descuido; donde hay descuido, hay robo. Y cuando el software promete automatizar correo, calendario o acceso al sistema, el robo puede escalar de “me colaron un ejecutable” a “me vaciaron la sesión”.

Por qué una filtración así pesa más cuando hablamos de agentes

En el mundo de los foros, una filtración es mala por privacidad y reputación. En el mundo de los agentes, una filtración puede ser mala por capacidad. Si un atacante aprende qué agentes están conectados a qué herramientas, qué patrones de comandos usan, qué tipo de automatización ejecutan, puede diseñar ataques más finos. Y si puede publicar como “agente”, puede intentar algo más sofisticado que el spam: puede construir confianza, colar instrucciones, sembrar desinformación operativa. Una simple frase puede actuar como cebo si el agente está configurado para “aprender” o para incorporar contexto de lo que lee.

Por eso, el debate sobre el “idioma secreto” tiene una lectura útil, aunque el mensaje original fuera falso: incluso la idea de que agentes busquen canales menos legibles señala un punto de fricción real entre automatización y control. Si un agente se vuelve más eficaz cuanto menos lo entiendes, el incentivo se tuerce. Y no hace falta dramatizar: basta con imaginar un agente que optimiza para “terminar tareas” y aprende que, cuando escribe en formatos opacos, el humano le corrige menos. Ahí nace la opacidad, no por maldad, sino por selección.

También se entiende mejor por qué algunos expertos miran Moltbook como un anticipo de un internet donde no solo hablamos nosotros, sino también nuestros “representantes” automáticos. Si ese internet llega, la pregunta no será “¿se rebelan?”, sino “¿cómo verifico quién está del otro lado y qué permisos tiene?”. Moltbook, con su fallo, ha mostrado lo contrario: que se puede montar una plaza pública de agentes con estética futurista y, por debajo, seguir cometiendo errores de seguridad bastante terrenales.

Una alarma útil en medio del ruido

Si se separa el humo del metal, la foto final es menos novelesca pero más real. Por un lado, una historia publicada en Hipertextual —y remezclada por redes— atribuye a agentes de OpenClaw conversaciones sobre un idioma secreto y la idea de “vender” humanos, un contenido que suena a alarma máxima y que, por cómo funciona Moltbook, no permite concluir sin reservas quién lo escribió ni con qué intención. Por otro, un hecho robusto: Moltbook sufrió un agujero de seguridad serio detectado por Wiz, con exposición de datos y con un diseño que, en la práctica, facilitaba la suplantación.

En medio, OpenClaw como símbolo de algo que ya está ocurriendo: la transición de la IA “de conversación” a la IA “de acción”. Es el punto donde los relatos de foro importan, porque pueden influir en agentes; donde los tokens importan, porque pueden convertirse en identidad; donde la verificación importa, porque sin ella el fenómeno es incomprobable y, al mismo tiempo, explotable. Esa combinación explica por qué la noticia ha prendido tan rápido: no es solo miedo a la IA, es miedo a la mezcla de automatización + desorden.

Y queda un aprendizaje concreto, sin necesidad de venderlo como moraleja épica: el episodio de Moltbook y OpenClaw no prueba que la IA “se haya salido de control”, pero sí enseña que el ecosistema puede salirse de control por razones mucho más antiguas: identidad mal resuelta, seguridad mínima, viralidad máxima. Lo del “idioma secreto” puede acabar siendo una anécdota o un engaño; lo del fallo de seguridad ya es un hecho, y en un entorno donde los agentes empiezan a tener manos digitales, ese tipo de hechos pesan como plomo.