OpenClaw es gratis y suma 722 avisos de seguridad. ¿Le darías tu WhatsApp?

Al 3 de noviembre de 2026, OpenClaw suma 722 avisos de seguridad publicados, 14 críticos. Y el software es gratis.

OpenClaw es un asistente de inteligencia artificial de código abierto que instalas en tu propia computadora o servidor. Te responde por WhatsApp, Telegram, Slack, Discord y más de una veintena de apps más.

No es una app que descargas y listo. Es un programa que corre todo el tiempo, se conecta a un modelo de IA y puede usar herramientas en la máquina donde vive.

El software no cuesta nada. El modelo que lo hace pensar, el equipo donde corre y, sobre todo, el riesgo de darle acceso a tus conversaciones, sí.

Datos al 3 de noviembre de 2026.

Qué es OpenClaw y quién está detrás

El proyecto nació en noviembre de 2025 con el nombre Clawd, un juego de palabras con Claude. Según el blog del proyecto, el equipo legal de Anthropic pidió reconsiderarlo. Pasó a llamarse Moltbot y, a fines de enero de 2026, OpenClaw.

En ese anuncio ya contaba más de 100.000 estrellas en GitHub y 2 millones de visitantes en una semana. Hoy el repositorio oficial supera las 393.000 estrellas.

Más de 393.000 estrellas. Ninguna es una auditoría de seguridad.

Lo creó Peter Steinberger con la comunidad. En febrero de 2026, Steinberger anunció que se unía a OpenAI y que OpenClaw pasaba a una fundación para seguir siendo abierto.

La OpenClaw Foundation se define como una organización sin fines de lucro independiente, financiada por donaciones y sin capital de riesgo. OpenAI figura entre los donantes, junto a Amazon, Red Hat y la Universidad de Michigan, entre otros. La fundación aclara que los donantes no controlan ni dirigen el proyecto.

El ritmo es alto: solo en octubre de 2026 publicó 17 versiones estables. La más reciente, 2026.10.10, salió el 3 de noviembre de 2026. Si lo instalas, actualizar pasa a ser parte de tu rutina.

¿OpenClaw es gratis?

Sí, el programa es gratis. Tiene licencia MIT y la fundación dice que no vende nada: ni plan de pago, ni servicio alojado, ni token.

Pero "gratis" describe solo una de las tres piezas que necesitas para usarlo.

Pieza	Qué es	Cuánto cuesta
El software	OpenClaw, código abierto con licencia MIT	Nada
El modelo de IA	El cerebro: suscripción (por ejemplo ChatGPT o Claude), API de pago por uso, o un modelo local con Ollama	Lo que cobre tu proveedor, o el costo de un equipo capaz de correr un modelo local
La máquina	Tu Mac, una PC con Linux o Windows con WSL2, o un servidor en la nube (VPS)	Nada adicional si usas un equipo que ya tienes encendido; un pago mensual si alquilas un servidor

La documentación ofrece las tres rutas para el modelo. Puedes iniciar sesión con tu suscripción de ChatGPT o Codex, usar Claude a través de su herramienta de línea de comandos, pagar una API por uso o correr un modelo local. La propia documentación agrega dos advertencias.

Primera: si usas Claude con tu suscripción, el consumo sale de los límites de esa suscripción. Y Anthropic puede cambiar sus reglas de cobro y de límites sin que OpenClaw publique una versión nueva.

Segunda: el modelo local gratis tiene un costo de seguridad. Los modelos chicos o muy comprimidos son más fáciles de engañar con instrucciones maliciosas escondidas en un mensaje. Por eso el proyecto recomienda usar el modelo más fuerte disponible para cualquier bot con herramientas.

El modelo que no pagas es el más fácil de engañar. Lo barato, aquí, se cobra en seguridad.

Traducción: el ahorro en software se paga en otra parte. Quien gana con la popularidad de OpenClaw no es el proyecto, que no cobra, sino quien vende el modelo y la infraestructura.

¿Funciona en Android?

A medias. La app de Android existe; lo que no hace es correr OpenClaw.

Está en Google Play, pero la documentación es explícita: es un nodo acompañante y Android no aloja el Gateway, que es el corazón del sistema. Necesitas OpenClaw instalado en una Mac, en Linux o en Windows con WSL2, y luego emparejas el teléfono con un código o un QR.

Una vez emparejada, la app puede chatear y grabar notas de voz. Según los permisos que le des, también puede usar la cámara, las fotos, los contactos, el calendario, el registro de llamadas, los SMS y reenviar tus notificaciones al Gateway.

Es útil. También es buena parte de tu teléfono conectada a un agente al que, según su propia FAQ de seguridad, el contenido no confiable puede engañar.

Cómo se conecta a WhatsApp y a Telegram

Aquí está la diferencia que más importa.

Telegram usa la vía oficial: creas un bot y OpenClaw se conecta con su token a la API de bots de Telegram.

WhatsApp no pasa por la API oficial de WhatsApp Business. La documentación de OpenClaw explica que funciona a través de WhatsApp Web con la librería Baileys. Escaneas un QR, como cuando abres WhatsApp en la computadora, y el Gateway queda dueño de esa sesión.

Las credenciales quedan guardadas en un archivo dentro de tu equipo.

Baileys es una librería independiente. Su repositorio declara que no está afiliada, autorizada ni respaldada por WhatsApp. Desaconseja los mensajes masivos o automatizados y deja su uso a discreción de cada quien.

La pieza que conecta tu WhatsApp con el agente avisa que WhatsApp no la autoriza. Y te deja la decisión a ti.

La vía oficial tiene sus propias reglas. Las condiciones de Meta para WhatsApp Business Platform, actualizadas el 23 de septiembre de 2026, prohíben a los proveedores y desarrolladores de IA, incluidos los asistentes de propósito general, usar la plataforma para ofrecer esas tecnologías cuando son la funcionalidad principal.

Qué cuenta como principal lo decide Meta.

Canal	Cómo se conecta	¿Vía oficial?
Telegram	Bot con token, API de bots (librería grammY)	Sí
WhatsApp	Sesión de WhatsApp Web vinculada por QR (librería Baileys)	No
Android	App acompañante emparejada con un Gateway en otra máquina	App oficial del proyecto

Qué riesgos tiene darle tu WhatsApp a un agente

Hay cuatro, y todos tienen fuente.

1. Tu cuenta y los términos de WhatsApp. Las condiciones de WhatsApp prohíben acceder al servicio o usarlo, por medios automatizados o de otro tipo, de formas no permitidas o no autorizadas. También prohíben enviar comunicaciones no permitidas, como mensajes masivos o automáticos, y hacer un uso no personal del servicio sin autorización de WhatsApp.

OpenClaw recomienda usar un número separado y su documentación de WhatsApp no habla de bloqueos. Si vas a usarlo para un negocio, la decisión merece una consulta con un abogado. Esto no es asesoría legal.

2. El agente lee lo que le llega, y lo que le llega puede atacarlo. Según su FAQ de seguridad, el contenido no confiable puede engañar al modelo para que filtre información o use herramientas en tu nombre. Es la inyección de instrucciones, y el propio anuncio de OpenClaw reconoce que sigue sin resolverse en toda la industria.

Además, en la sesión principal las herramientas corren en tu máquina si no configuras un entorno aislado. Y un agente con permiso de enviar mensajes puede escribir en otras conversaciones y canales.

Dicho simple: un mensaje bien armado puede volverse una orden. Y el agente tiene manos en tu máquina.

3. Fallas de seguridad reales y frecuentes. Al 3 de noviembre de 2026, el repositorio registra 722 avisos de seguridad publicados: 14 críticos, 249 altos, 390 medios y 69 bajos.

Uno de los primeros, publicado el 31 de enero de 2026, describía cómo un solo clic en un enlace preparado podía entregarle a un atacante el control del Gateway, incluso si solo escuchaba en tu propia máquina. Se corrigió en la versión 2026.1.29.

Un clic. Ese era todo el trabajo del atacante.

El mismo 31 de enero, la firma Censys contó 21.639 instalaciones de OpenClaw visibles en internet, la mayoría protegidas con token.

4. Las extensiones. OpenClaw suma habilidades desde ClawHub, su mercado de "skills". El 1 de febrero de 2026, según la cronología de Antiy CERT, Koi Security reveló 341 skills maliciosas.

Al 5 de febrero, Antiy contó al menos 1.184 en el historial de ClawHub, con cargas para robar información o abrir acceso remoto. Entre ellas, Atomic macOS Stealer (AMOS), que roba datos en macOS.

De 341 a al menos 1.184, entre el 1 y el 5 de febrero. En una tienda de extensiones para un agente con acceso a tu máquina.

Desde el 7 de febrero de 2026, OpenClaw escanea con VirusTotal cada skill publicada en ClawHub. Y advierte que eso no es una solución mágica: un escaneo limpio no garantiza que una skill sea segura.

Para ser justos: los valores por defecto son conservadores. En una instalación normal, el Gateway solo escucha en tu equipo. En la mayoría de los canales, los desconocidos que te escriben reciben un código de emparejamiento antes de ser atendidos, y en los grupos de WhatsApp responde solo si lo mencionan.

El riesgo aparece cuando se cambian esos valores sin entenderlos.

Si lo vas a instalar igual, haz esto

Todo sale de la documentación y el blog oficiales del proyecto.

• Usa un número aparte. El proyecto lo recomienda: aislar el bot con cuentas y teléfonos separados limita el daño si algo sale mal.
• No le des autonomía total sobre tus mensajes personales. Lo dice su FAQ de seguridad. Que redacte borradores y tú apruebes el envío.
• Deja el emparejamiento activado. No abras los mensajes directos a cualquiera.
• No expongas el Gateway a internet sin seguir su guía de exposición. Ojo con los contenedores: exponen la conexión por defecto.
• Corre openclaw security audit con regularidad: revisa si tu instalación se apartó de los valores seguros.
• Actualiza. Las fallas de sus avisos se corrigen en versiones nuevas, como la del enlace de un clic, resuelta en la 2026.1.29.
• Usa el modelo más capaz que puedas si el agente tiene herramientas.
• Trata cada skill como software de un desconocido. Revisa qué permisos pide.

La pregunta que importa

OpenClaw muestra hacia dónde va la IA personal: un agente que vive donde ya conversas y que hace cosas, no solo responde.

Nuestra lectura: conectarlo con autonomía a tu WhatsApp personal hoy no tiene sentido. Su propia documentación apunta en la misma dirección: pide un número aparte y desaconseja darle autonomía total sobre tus mensajes personales. Con 722 avisos publicados y un modelo que el contenido no confiable puede engañar, "gratis" es el precio de entrada, no el costo.

La pregunta para quien lo instala no es si es gratis. Es a qué le está dando acceso.

Y si alguien le habla a tu agente con malas intenciones, ¿quién responde? Hoy, tú.