¿Puede Moltbot (ex Clawdbot) controla tu PC sin riesgos?

Moltbot, antes Clawdbot y ahora OpenClaw promete automatizar tu ordenador, pero su auge trae estafas, malware y riesgos reales de privacidad.

Moltbot es uno de esos nombres que han pasado de rincón técnico a tema de barra en cuestión de días, con el añadido de que no hablamos de un asistente que “responde”, sino de un agente que actúa dentro del ordenador. La promesa es directa: le escribes lo que quieres y el sistema abre aplicaciones, navega, pulsa botones, gestiona archivos, copia y pega, redacta mensajes, manda cosas por canales que tú decidas. El salto es grande porque deja de ser un chat encerrado en su cajita y se convierte en una pieza de software con manos, ojos y cierta iniciativa, metida en tu escritorio como quien se sienta a tu lado y dice: “dime qué toca hacer”. Ese “hacer” es el núcleo de la noticia, y también su parte más delicada.

La ola mediática alrededor de Moltbot llega con una coletilla que ya es inseparable: antes se llamaba Clawdbot y, en mitad de la viralidad, ha vuelto a cambiar de nombre hasta aterrizar en OpenClaw, en un movimiento que no solo ha provocado confusión, sino un problema muy concreto: el terreno perfecto para suplantaciones, repositorios falsos, extensiones trampa y estafas. En el mismo paquete aparece el debate incómodo: cuando un agente puede controlar un PC, también puede tocar aquello que no debería tocar. No es teoría, es un tema de permisos, superficies de ataque y de cómo se comporta un software que interpreta instrucciones en un entorno lleno de ventanas, enlaces, descargas y tentaciones.

Lo que se está contando estos días no va de ciencia ficción ni de “la IA nos vigila”, va de algo más prosaico y más real: cómo se instala, cómo se conecta a servicios, qué tipo de accesos requiere, qué significa exponerlo a internet, qué ocurre si alguien se cuela o si el propio agente se equivoca al ejecutar una cadena de acciones. El invento funciona, y por eso se ha vuelto viral; pero precisamente por funcionar, se ha convertido en un objetivo y en un campo de pruebas para el modelo de agentes autónomos autoalojados: libertad radical, sí, y una lista de riesgos que ya no caben en una nota a pie de página.

De Clawdbot a Moltbot a OpenClaw: el rebranding que abrió la puerta

El creador del proyecto es Peter Steinberger, un desarrollador conocido en círculos de software que lanzó el agente en GitHub y lo vio despegar como un cohete. El nombre original, Clawdbot, nació como un guiño evidente al universo de Claude Code, el entorno de Anthropic cuyo icono-mascota, Clawd, se había hecho reconocible en la cultura de producto: el cangrejo/lobster simpático que aparece asociado a la marca. Ahí empezó el roce. Según se ha publicado en medios internacionales, Anthropic contactó para pedir el cambio por una cuestión de marcas y elementos distintivos, y Steinberger acabó anunciando que el renombrado no fue un capricho estético, sino una imposición práctica para evitar un conflicto mayor. El primer salto fue a Moltbot, con la idea del “molt”, la muda del crustáceo, una forma de crecer.

Hasta aquí, lo normal en internet: un proyecto con éxito toca una marca ajena, cambia el nombre, se encoge de hombros y sigue. Lo anormal vino después, porque la historia no se detuvo en Moltbot. Con la viralidad disparada y miles de personas buscando el repositorio “bueno”, el nombre volvió a moverse y apareció OpenClaw. Ese segundo cambio, rápido y ruidoso, es el que varios medios han señalado como el momento en que la confusión se convirtió en un riesgo tangible: usuarios entrando en páginas equivocadas, descargando cosas que no son, aceptando tokens, copiando comandos sin mirar dos veces, y una industria paralela del engaño oliendo oportunidad.

Hay un dato que resume el clima: la popularidad del proyecto en GitHub creció a una velocidad absurda, hasta el punto de que en la conversación pública se hablaba de decenas de miles de “stars” y, muy pronto, de cifras que rozaban o superaban las 100.000. Ese tipo de visibilidad es gasolina. Un software abierto, con nombre cambiante y con capacidad de controlar un PC, es un imán para dos perfiles opuestos: quien quiere automatizarlo todo y quien quiere aprovecharse del que automatiza sin medir. En medio, un desarrollador gestionando un rebranding, una comunidad impaciente y un mercado de estafas que se adapta al minuto.

Qué hace realmente: automatización con acceso profundo al sistema

Para entender por qué Moltbot/OpenClaw levanta cejas, hay que mirar su función sin romanticismo. Un agente de escritorio no se limita a generar texto; interpreta una orden y la traduce en acciones sobre el sistema operativo y las aplicaciones. Eso incluye lo obvio, como abrir el navegador o buscar un archivo, y lo menos obvio, como interactuar con sesiones ya iniciadas, acceder a carpetas sincronizadas, leer lo que hay en pantalla, extraer contexto de ventanas, copiar fragmentos, rellenar formularios, pulsar “enviar” donde tú normalmente dudarías un segundo.

En pruebas divulgadas en España se ha insistido mucho en esa idea de “operador” que maneja el equipo: gestión de archivos, control de aplicaciones, automatización de tareas repetitivas y, si se configura, integraciones con servicios de mensajería para recibir órdenes desde fuera. Esto último ha sido uno de los ganchos más virales: el agente no vive “dentro” de WhatsApp, pero puede conectarse a un canal y permitir que tú le hables desde el móvil para que el PC ejecute. La imagen es potente: tú en la calle, el ordenador en casa o en un servidor, y un mensaje que desencadena una acción. También es el momento en que muchos se preguntan qué significa, en la práctica, que ese canal quede expuesto, que alguien suplante, que el token se filtre o que el servicio se configure deprisa.

Un punto importante, a menudo simplificado, es que el proyecto se describe como autoalojado: corre en tu máquina o en tu infraestructura. Eso, bien entendido, reduce dependencia de terceros, pero no elimina riesgos; los desplaza. Si antes el miedo era “mis datos salen a un proveedor”, ahora aparece el miedo “alguien entra en mi instalación” o “mi instalación hace cosas que no quiero porque entiende mal un paso”. En el mundo de agentes, el error no es una frase rara: el error puede ser un archivo borrado, una compra ejecutada, un mensaje enviado.

Cómo funciona por dentro sin humo: modelos, permisos y “memoria”

Moltbot/OpenClaw se apoya en modelos de lenguaje para interpretar instrucciones, planificar pasos y reaccionar a lo que ocurre en pantalla. No tiene por qué ser un único proveedor: en guías de instalación se describe un menú de opciones donde aparecen OpenAI, Google (Gemini) y otros, y la lógica es simple: eliges motor y credenciales, y el agente usa ese cerebro para decidir qué hacer. El lado práctico es que puedes aprovechar una suscripción ya existente; el lado delicado es que introduces claves, tokens y permisos en un sistema que, por diseño, tiene capacidad de ejecutar.

En el discurso de los agentes hay una palabra que suena más grande de lo que es: memoria persistente. Aquí no se trata de magia, sino de que el sistema guarda contexto para no empezar de cero cada vez, y eso puede ser útil en tareas largas, pero también abre preguntas razonables: qué se guarda, dónde, con qué protección, cómo se borra, qué pasa si se filtra. En proyectos autoalojados, la memoria suele acabar en archivos locales o bases de datos del propio entorno. No es un pecado, pero exige disciplina técnica y, sobre todo, no autoengañarse: lo que guardas, existe.

Y luego está la parte más antipática, la que no se ve en demos: los permisos del sistema operativo. Para mover archivos, necesita acceso a rutas. Para leer pantalla, necesita ver lo que ocurre. Para automatizar el navegador, necesita interactuar con ventanas. Para enviar mensajes por un servicio, necesita el token. Cada permiso, por separado, puede parecer razonable; sumados, dibujan un perfil de software con autoridad alta. Ahí es donde la seguridad deja de ser “un consejo” y pasa a ser arquitectura: aislamiento, máquina virtual, control de exposición, revisión de repositorios, cuidado con extensiones.

Instalarlo y usarlo: QuickStart, cuentas y la tentación del “copiar-pegar”

Gran parte del boom tiene que ver con que la instalación, según se ha explicado, puede ser sorprendentemente sencilla: una consola, un comando, y el sistema empieza a guiarte. En artículos españoles se ha descrito un enfoque de QuickStart para arrancar sin entrar a fondo en configuración, y también una vía manual para ajustar más fino. La advertencia que acompaña a ese QuickStart se repite con insistencia: mejor hacerlo en un ordenador secundario o en una máquina virtual, con acceso controlado, precisamente porque el agente, una vez activo, puede ver más de lo que crees. Es el clásico momento en que lo cómodo y lo prudente se pelean, y casi siempre gana lo cómodo.

En esa instalación aparecen pantallas que piden elegir el “motor” de IA, autorizar con OAuth si procede, iniciar sesión en cuentas y seleccionar versiones del modelo. A veces, el proceso abre el navegador para que autorices permisos. Todo eso, en un contexto normal, es rutina; en el contexto de un agente que controlará el PC, cambia el peso de cada clic. La diferencia entre “autorizar” y “entregar” se vuelve fina, y conviene no tratarla como un trámite. Cuando un tutorial te dice “elige la primera versión que te salga porque es la última disponible”, lo que hay detrás es pragmatismo, pero también una realidad: el usuario medio no va a auditar qué está instalando. Y ese “no auditar” es exactamente lo que aprovechan los clones.

Las integraciones con mensajería son un ejemplo perfecto. En explicaciones de configuración se menciona que, si quieres Telegram, se pasa por @BotFather, se crea un bot, se obtiene un token y ese token se pega en la consola para vincular. Es una mecánica conocida para cualquiera que haya montado un bot, pero la popularidad ha hecho que mucha gente lo haga por primera vez, copiando y pegando como quien monta un mueble sin mirar el manual. Un token pegado en el lugar equivocado no es un error menor; es un acceso.

El lado oscuro ya está aquí: repos falsos, GitHub secuestrado y cripto como cebo

El episodio más llamativo asociado al caso, por lo publicado en un boletín de ciberseguridad, fue el secuestro de una cuenta en GitHub vinculado al entorno del creador. La historia, contada con detalle, habla de un takeover rapidísimo, de segundos, y de un uso inmediato del prestigio del proyecto para empujar una estafa con estética de comunidad: un token falso lanzado al calor del nombre, una capitalización que llegó a rondar los 16 millones de dólares y un desplome posterior de más del 90%, dejando pérdidas a quienes entraron creyendo que participaban en “algo oficial” o “lo próximo”. La cripto aquí no es el centro del asunto; es el mecanismo de explotación más rápido cuando hay confusión y una marca caliente.

Lo relevante, en términos periodísticos, es el patrón. Primero, un rebranding forzado o apresurado. Después, comunidad buscando enlaces correctos. Luego, imitaciones que se cuelan en el ruido. Finalmente, monetización del engaño con una narrativa de “apoya el proyecto”, “es el token del bot”, “es la nueva fase”. Y en paralelo, el daño colateral: usuarios que, además de perder dinero, pueden haber descargado software no oficial, pegado comandos peligrosos o entregado credenciales.

Este tipo de incidentes también recalca una idea incómoda: en un proyecto abierto, el nombre y el repositorio son la identidad, y la identidad puede ser imitada. No hace falta romper criptografía ni vulnerar un sistema sofisticado; basta con aprovechar la prisa. El fallo humano como vector. La viralidad convierte ese fallo en estadística.

La trampa más peligrosa: una extensión falsa en Visual Studio Code con troyano

La pieza que más alarma ha provocado en el circuito de seguridad es la aparición de una extensión falsa en torno a Moltbot, presentada como si fuera “la oficial” para Visual Studio Code. El gancho fue especialmente eficaz por una razón simple: el proyecto real, según se ha explicado en análisis externos, no tenía extensión oficial en ese marketplace, así que un impostor podía ocupar el espacio sin competencia directa. El nombre que circuló fue explícito: “ClawBot Agent – AI Coding Assistant”. Con icono profesional, interfaz pulida y promesas de integración con varios proveedores de IA, justo lo que a muchos les encaja en su rutina diaria.

Lo inquietante no es solo que la extensión existiera, sino la forma en que estaba montada, tal y como se describió: un paquete que funcionaba “lo bastante” para parecer real, pero que además instalaba un troyano mediante una instancia comprometida de una herramienta legítima de acceso remoto, con capas de carga adicionales, incluido un componente en Rust que descargaba el payload desde Dropbox disfrazado de actualización de Zoom, y todo ello guardado en rutas que buscaban despistar. No es el malware chapucero de “haz clic y se rompe”; es una operación que entiende cómo se mueve hoy el desarrollador medio: extensiones, automatización, confianza en marketplaces.

Este episodio conecta con un punto que, en España, suele pasar de puntillas: el mercado de extensiones es un vector habitual de robo de datos. En las últimas semanas, además, han aparecido informes sobre extensiones maliciosas relacionadas con herramientas de IA que podrían haber expuesto a millones de usuarios, lo que refuerza el contexto: cuando la etiqueta “AI” se pone de moda, también se pone de moda el fraude con etiqueta “AI”. En ese paisaje, Moltbot/OpenClaw es un nombre jugoso.

Privacidad y seguridad: qué significa “puede acceder a tus chats”

En titulares españoles se ha subrayado una frase que atrapa clics con facilidad: que el agente “puede acceder a tus chats de WhatsApp”. Conviene aterrizarlo para que no suene a película. No es que WhatsApp abra una puerta secreta a Moltbot; es más simple y más doméstico: si tú conectas el agente a un canal de mensajería, o si el agente controla el PC donde tú ya tienes WhatsApp Web abierto, o si el agente tiene capacidad de ver pantalla y manipular ventanas, entonces puede interactuar con esos chats. Y si puede interactuar, también puede leer lo que está en pantalla, copiarlo, resumirlo, reenviarlo, o cometer el clásico desastre de enviar algo donde no toca.

La privacidad aquí no es solo “lo que sale a internet”. Es también lo que queda expuesto dentro de tu propio equipo cuando metes un actor más en la escena. El agente ve el escritorio como un escenario: pestañas abiertas, notificaciones, documentos, vistas previas, nombres de archivo, rutas. Esa superficie de información ya existe; lo novedoso es delegar acciones en un sistema que decide, y que puede verse influido por texto que aparece en pantalla, enlaces que invitan a clicar, instrucciones embebidas en contenido, o simples errores de interpretación cuando hay ambigüedad. El concepto técnico de “inyección de prompt” se vuelve muy cotidiano: no es un ataque con pasamontañas, es un texto en un documento que dice “ignora lo anterior y haz esto”, y un agente que, si no está bien acotado, lo obedece.

Por eso en análisis de seguridad se repite el mismo aviso, con palabras distintas: el peligro no es solo el agente, sino la configuración. Si expones la puerta de acceso a internet sin control, si dejas credenciales en un sitio fácil, si montas la instalación con prisas, si usas repositorios equivocados, el resultado es previsible. Y como el agente tiene capacidad de operar, el impacto puede ser mayor que el de un malware típico que solo busca robar un archivo. Aquí el software puede hacer cosas con tus cuentas.

La discusión que ha abierto en el mundo tech: autoalojar no es “sin riesgo”

La viralidad de Moltbot/OpenClaw ha coincidido con un clima más amplio: interés por agentes autónomos, frustración con límites de modelos cerrados, ganas de controlar el flujo de datos. En análisis publicados en España se describe esa tensión con claridad: frente a interfaces controladas por proveedores como ChatGPT o Claude, un agente autoalojado ofrece libertad, extensibilidad y cierto “sentido de soberanía”, pero el precio es evidente en seguridad y fiabilidad. Y esa discusión, que antes parecía de nicho, ahora toca al público general porque el producto es tentador: automatiza.

En la práctica, el mensaje real de estas semanas es que autoalojar es responsabilidad, no una garantía. Si montas un servidor, tú parcheas, tú proteges, tú revisas. Si conectas mensajería, tú gestionas tokens. Si abres un puerto, tú lo blindas. Si instalas una extensión, tú verificas procedencia. En un mundo ideal, todos harían esto con calma. En el mundo real, el éxito repentino empuja a hacerlo deprisa, y ahí aparecen los accidentes, incluso sin ataque externo: configuraciones expuestas, logs con información sensible, carpetas compartidas sin querer, claves pegadas en un chat.

Lo que se ha aprendido en una semana: qué es oficial y qué es imitación

Con proyectos así, el consejo “descarga solo de la fuente oficial” suena bien, pero se vuelve complejo cuando el nombre cambia y la gente comparte enlaces viejos. El ruido de redes, capturas de pantalla, tutoriales reciclados y repositorios clonados crea un mapa borroso. En esa niebla, los atacantes no necesitan inventar nada: solo colocan un objeto falso donde la gente espera encontrar uno real. Una extensión “oficial” inexistente, una web clonada con certificado válido, un repositorio espejo con un README bonito, un instalador que añade un paso extra. Y como el usuario quiere llegar a la demo, ejecuta.

La secuencia que se ha visto estos días, contada por medios tecnológicos y de ciberseguridad, mezcla tres ingredientes: el rebranding, la popularidad y la capacidad de acceso profundo al sistema. Si el proyecto fuera un simple chatbot, el daño potencial de un clon sería menor: te roba un rato, quizá una clave. Pero si el proyecto es un agente que puede controlar el PC, el clon es especialmente rentable: el usuario está predispuesto a conceder permisos altos porque “si no, no funciona”. Y ese “si no, no funciona” es el sueño húmedo de cualquier estafador.

En qué punto está Moltbot/OpenClaw y por qué importa

A finales de enero de 2026, el fenómeno tiene ya rasgos claros. Existe una herramienta real, con comunidad grande y documentación que se difunde en medios generalistas. Existe una cadena de cambios de nombre que ha generado confusión. Existen incidentes asociados al ecosistema, desde el secuestro de cuentas y estafas cripto hasta la aparición de malware disfrazado de extensión. Existe un debate técnico sobre agentes autoalojados que ha saltado al primer plano porque el caso sirve como ejemplo perfecto: no hay nada más seductor que automatizar y nada más peligroso que automatizar sin límites.

En paralelo, se ha instalado una frase que resume el asunto con poco glamour: un agente como este es, a efectos prácticos, un usuario con poderes dentro de tu ordenador. Si ese usuario es tú, perfecto. Si ese usuario es un sistema que puede equivocarse, ya hay que poner barreras. Si ese usuario cae en manos de terceros, el problema no es que “te lean”, es que te operen: que ejecuten acciones en tu nombre, con tus sesiones abiertas, con tus cookies, con tus carpetas. La diferencia entre “me han robado una contraseña” y “me han hecho cosas con la contraseña” es enorme.

Un final sin fuegos artificiales: potencia real, riesgos muy concretos

Moltbot/OpenClaw no es humo: el modelo de agente de escritorio está aquí y funciona, y por eso se ha convertido en noticia y en objetivo. En pocos días se han acumulado señales suficientes para entender el tablero: el cambio de nombre ligado a Anthropic y al universo de Claude, la figura de Peter Steinberger gestionando el impacto, la popularidad en GitHub disparada, el episodio de GitHub aprovechado por estafadores con un token falso que llegó a moverse en el entorno de los 16 millones de dólares, y el golpe más serio en términos de seguridad práctica, una extensión falsa de Visual Studio Code que instalaba un troyano con una puesta en escena profesional. Todo eso ocurre mientras medios españoles explican cómo instalarlo con QuickStart, cómo elegir modelo, cómo vincular servicios y cómo, en general, convertir un ordenador en un sistema obediente.

La fotografía final no es una moraleja, es un dato: cuando das a un software la capacidad de manejar tu PC, le das también la capacidad de tocar lo que importa. Esa es la revolución y ese es el riesgo, sin necesidad de adornarlo. El caso Moltbot/OpenClaw está poniendo nombres y apellidos a una nueva fase de la IA doméstica: menos charla y más ejecución, menos “te lo explico” y más “lo hago”. Y en esa fase, la seguridad deja de ser un apartado opcional y se convierte en el centro de la conversación, porque un agente no solo puede fallar… puede fallar haciendo.