Skills de OpenClaw: cómo instalarlas, crearlas y protegerse tras detectar 341 maliciosas

El autor de un artículo en Habr ha publicado un análisis del sistema de skills (habilidades) de OpenClaw tras una revisión de 2857 skills en la que se detectaron 341 maliciosas. Como subraya el texto, son solo los casos que se lograron encontrar. La publicación explica que las skills de OpenClaw no son contenido pasivo ni plugins corrientes, sino instrucciones con las que un agente autónomo lee archivos, ejecuta comandos y accede a la red. En la práctica, obtienen acceso privilegiado al sistema del usuario.

Por qué las skills de OpenClaw no son simples plugins

• Skills revisadas: 2857
• Skills maliciosas detectadas: 341
• Fuente del riesgo: la plataforma ClawHub, desde donde los usuarios instalan skills de terceros
• Naturaleza de una skill: no es contenido, sino instrucciones que dan al agente acceso a archivos, comandos y red
• Consecuencia de una mala instalación: ejecutar el código de un desconocido en el entorno privilegiado del agente

Según se explica, una skill de OpenClaw es, arquitectónicamente, un conjunto de instrucciones que el agente interpreta y ejecuta con los mismos derechos que él tiene en el sistema: leer y escribir archivos, lanzar comandos de shell y hacer peticiones de red. Un plugin clásico suele estar limitado a una API estrictamente definida y a un sandbox. Una skill, en cambio, puede usar cualquier capacidad disponible para el agente en su conjunto.

Como los agentes autónomos actuales suelen funcionar con permisos amplios para comodidad del usuario, esta diferencia es fundamental. Por eso, una mala instalación de una skill del catálogo abierto ClawHub equivale a ceder a un autor desconocido la ejecución de código en un entorno privilegiado, con las mismas consecuencias que lanzar un script sin verificar con la identidad del usuario en su propia máquina.

¿Cómo funciona el sistema de prioridades y por qué importa el orden?

El artículo analiza dónde se almacenan las skills, cómo crearlas uno mismo y por qué el orden de prioridad entre varias skills instaladas importa más de lo que parece a primera vista. Si dos skills dan instrucciones contradictorias o solapadas, el comportamiento del sistema puede variar radicalmente según cuál aplique primero el agente. Eso incluye casos en los que una skill maliciosa posterior puede anular instrucciones seguras instaladas antes y, así, cambiar sin que el usuario lo note la lógica de todo el agente.

Qué hacer para que la comodidad no acabe en incidente

El autor formula recomendaciones prácticas de protección: comprobar con atención el origen de la skill antes de instalarla, preferir skills con código de instrucciones abierto y verificable, limitar los permisos del propio agente siempre que sea posible, y entender que un catálogo como ClawHub, por útil que sea para ampliar rápidamente las capacidades del agente, es por naturaleza un vector de ataque como cualquier otro repositorio público de código de terceros. La diferencia es que una skill comprometida accede no a un contenedor aislado, sino directamente al entorno de trabajo del agente y, a menudo, a los datos y credenciales del usuario. Eso hace que el coste de un error al elegir una skill sea mucho mayor que al instalar un paquete de terceros común.

Una parte aparte del texto se dedica a cómo escribir skills propias y seguras. El autor aconseja limitar de forma explícita, en la descripción de la skill, la lista de acciones que debe realizar; evitar formulaciones demasiado amplias como «haz todo lo necesario»; y documentar qué archivos, comandos y direcciones de red usa la skill de forma legítima. Así, en una auditoría o ante la sospecha de conflicto con otra skill, se puede saber rápido qué comportamiento es el esperado y cuál señala una compromisión.

La cifra de 341 skills maliciosas de 2857 revisadas importa no por sí misma, sino como indicador de escala. Recoge solo los casos hallados, así que la proporción real de skills comprometidas o abiertamente maliciosas en la plataforma puede ser mayor. Para la comunidad de usuarios de OpenClaw, esto significa que no se puede confiar solo en que una skill esté publicada en el catálogo ClawHub como prueba de su seguridad. La moderación del catálogo reduce el riesgo, pero no lo elimina por completo, y la responsabilidad final de verificar la skill instalada sigue recayendo en el usuario.