OpenClaw y el riesgo del loopback: una pestaña de navegador puede tomar control de una IA self-hosted

Hace pocos días, la comunidad de seguridad encontró un fallo serio en OpenClaw, una de las plataformas de agentes de IA self-hosted que en los últimos meses ha crecido rápidamente en popularidad. Investigadores de Oasis Security identificaron una debilidad que permitía a una página web maliciosa comunicarse con una instancia local de OpenClaw y probar contraseñas hasta adivinar la correcta, todo sin que el usuario notara nada en su navegador.

La raíz del problema estaba en el servicio de pasarela de OpenClaw, que expone una interfaz WebSocket ligada a localhost por defecto. Esa combinación resultó peligrosa porque, a diferencia de otras APIs web, los navegadores permiten abrir conexiones WebSocket hacia direcciones de loopback sin que las políticas de origen (same-origin) impidan la conexión. Puedes ver cómo funcionan estas conexiones en la documentación técnica de los navegadores en la página de MDN Web Docs sobre WebSocket.

Lo más preocupante no fue sólo la posibilidad de conectarse, sino cómo OpenClaw trataba las conexiones locales: las protecciones de límite de intentos (rate limiting) estaban diseñadas para evitar ataques de fuerza bruta, pero habitualmente excluyen la dirección de loopback (127.0.0.1) para no bloquear sesiones legítimas desde la propia máquina. Esa excepción abrió una ventana que, según los investigadores, permitía realizar centenares de intentos por segundo desde JavaScript en una pestaña del navegador, lo que bastaba para agotar listas de contraseñas comunes en fracciones de segundo y diccionarios más grandes en cuestión de minutos.

Además, la pasarela de OpenClaw aceptaba emparejamientos de dispositivos procedentes de localhost sin pedir confirmación al usuario, de modo que, una vez adivinada la contraseña de gestión, un atacante podía registrarse como un dispositivo de confianza y obtener permisos de administrador. Con ese acceso directo a la plataforma, el atacante podía listar nodos conectados, filtrar y robar credenciales, leer registros y ordenar al agente que buscara o exfiltrara información sensible, e incluso ejecutar comandos de shell en máquinas emparejadas. En pocas palabras: una pestaña del navegador podía convertirse en el vector para una completa toma de control del puesto de trabajo.

Oasis Security mostró pruebas de concepto y una demostración práctica del abuso, y notificó el problema a los desarrolladores de OpenClaw. La reacción fue rápida: en menos de 24 horas se publicó una corrección, incluida en la versión 2026.2.26 liberada el 26 de febrero, que endurece las comprobaciones de seguridad en las conexiones WebSocket y añade protecciones para que las conexiones desde loopback no se puedan aprovechar para ataques de fuerza bruta o apropiación de sesiones, aunque estuvieran exentas de limitaciones por diseño.

Esta incidencia pone en evidencia un doble riesgo que acompaña al auge de plataformas self‑hosted de agentes autónomos: por un lado, la gran superficie de ataque que supone exponer un servicio de control local con capacidades administrativas; por otro, la combinación de comportamientos del navegador y configuraciones de servidor pensadas para conveniencia pero que pueden ser explotadas. Los equipos de seguridad y los administradores que despliegan este tipo de software deben asumir que cualquier interfaz local puede ser alcanzable desde un navegador y diseñar defensas acordes.

OpenClaw no es el único proyecto que debe replantear su modelo de confianza: la investigación también recuerda que repositorios de habilidades y plugins públicos pueden ser utilizados por actores maliciosos para distribuir instrucciones peligrosas. En el caso concreto, se han observado intentos de abuso del repositorio "ClawHub" para promover habilidades que despliegan malware recolector de información o persuaden a los usuarios para ejecutar comandos perjudiciales en sus máquinas.

Si administras o utilizas una instancia de OpenClaw, la recomendación inmediata es actualizar a la versión parcheada (2026.2.26 o posterior). Más allá del parche, conviene revisar contraseñas administrativas y claves, aplicar políticas de contraseñas fuertes y únicas, minimizar la exposición de interfaces de administración a redes no confiables, y vigilar registros y comportamientos anómalos en las integraciones del agente. Para quienes quieran profundizar en las pruebas y técnicas alrededor de canales WebSocket, el OWASP Web Security Testing Guide ofrece orientación útil sobre vectores y mitigaciones.

La buena noticia es la rapidez con la que se solucionó este agujero tras la divulgación responsable: un ejemplo de cómo el intercambio técnico entre investigadores y desarrolladores puede limitar el impacto. La lección, sin embargo, debe perdurar: con herramientas que pueden ejecutar acciones en entornos reales y acceder a dispositivos conectados, la seguridad por diseño y la revisión continua son imprescindibles. No basta con que un servicio funcione; tiene que estar blindado para asumir que la interfaz local también es una puerta de entrada potencial para un atacante.

Para quienes quieran leer el informe técnico completo y ver la demostración compartida por los descubridores, la entrada de Oasis contiene los detalles del hallazgo y las pruebas: informe de Oasis Security sobre la vulnerabilidad en OpenClaw. Mantenerse informado y aplicar parches rápidamente sigue siendo la mejor defensa frente a este tipo de amenazas.