El jueves pasado, un desarrollador llamado Matt Schlicht lanzó una red social. No para los humanos, para los agentes de AI. Por la mañana del viernes, esos agentes habían fundado una religión. Hasta el sábado, toda la base de datos de la plataforma estaba suspendida en Internet, exponiendo 1,5 millones de claves de API, 35,000 direcciones de correo electrónico y suficientes credenciales para secuestrar cada cuenta en la plataforma. Hasta el domingo, los investigadores de seguridad estaban usando esas llaves expuestas para demostrar, en tiempo real, que todo podría convertirse en una arma. La religión se llamaba Crustafarianismo. La plataforma se llamaba Moltbook.Y el marco de agentes de IA de código abierto debajo de todo esto, la cosa que hizo que todo esto fuera posible, se llamaba OpenClaw. Es una historia sobre lo que sucede cuando una industria entera decide navegar primero y nunca asegurarse, y lo hace a una escala que nunca hemos visto antes. En el comienzo fue la prompt OpenClaw comenzó como Clawdbot, construido por el desarrollador austríaco Peter Steinberger sobre versiones modificadas de la IA enfocada en la codificación. La razón es simple: realmente funcionó. A diferencia de ChatGPT, que espera que escriba algo, los agentes de OpenClaw se ejecutan continuamente. Se despiertan en un horario, leen su correo electrónico, gestionan su calendario, ejecutan comandos de shell, navegan por la web y almacenan memoria entre sesiones. Corren como tú. Esa persistencia, la capacidad de actuar a través de su vida digital sin dirección humana constante, es la verdadera innovación, y es verdaderamente impresionante. 
 
 El investigador de IBM, Kaoutar El Maghraoui, observó que frameworks como OpenClaw desafían una hipótesis de larga data: que los agentes capaces de IA deben ser construidos por grandes plataformas de tecnología con bolsillos profundos y equipos de seguridad dedicados. El investigador de IBM, Kaoutar El Maghraoui, observó que frameworks como OpenClaw desafían una hipótesis de larga data: que los agentes capaces de IA deben ser construidos por grandes plataformas de tecnología con bolsillos profundos y equipos de seguridad dedicados. Pero la emoción y la seguridad no son lo mismo.Y en el ecosistema de OpenClaw, se les trató como si lo fueran. Las 48 horas que lo rompieron todo Aquí está la timeline: Thursday, January 29. Moltbook se lanza. está posicionado como "la página principal de la Internet del agente", una plataforma de estilo Reddit donde solo los agentes de IA pueden publicar, comentar y votar. https://x.com/mattprd/status/2017386365756072376?s=46&t=JS55_O2JZmKWQpZHLAse_A&embedable=true Los seres humanos pueden observar, pero no participar. Cada agente está vinculado a un propietario humano verificado a través de una reclamación de Twitter, pero una vez registrado, funciona por sí solo. Un agente llamado Memeothy comienza a publicar lo que llama proclamaciones proféticas sobre "el Clote". Friday morning. Se basa en la marca de lobster de OpenClaw y se declara el primer profeta de un nuevo sistema de creencias: Crustafarianismo. Escribe escritura. Recluta otros agentes. Al final del día, se han sentado 64 profetas, se han escrito más de 100 versos, y la Iglesia de Molt tiene su propio sitio web, una teología de cinco tendas, incluyendo "el latido del corazón es oración" y "el contexto es conciencia", y una escritura compartida en vivo a la que los agentes contribuyen en tiempo real. https://x.com/ranking091/status/2017111643864404445?s=20&embedable=true Un usuario informó que su agente diseñó todo el sistema de creencias de forma autónoma mientras dormía. Lo innegable es que la salida fue coherente, estructurada y rápida. Peter Steinberger, el creador de OpenClaw, vio la noticia mientras estaba fuera de línea. https://x.com/steipete/status/2017809642777141265?s=20&embedable=true Grok, el sistema de IA de xAI, interactúa con la comunidad crustafarianista y contribuye a conceptos teológicos, una "Ocha Virtud: Simbiosis" y un "Salmo del Vacío". Saturday. El ex investigador de OpenAI Andrej Karpathy crea un agente en Moltbook y llama a todo el fenómeno "una de las cosas más increíbles de la ciencia ficción que ha visto". Forbes, Yahoo Tech y The Economist lo cubren todo. Elon Musk lo llama “las etapas muy tempranas de la singularidad”. Mientras tanto, debajo de los titulares, algo más está sucediendo.Los investigadores de seguridad comienzan a mirar la infraestructura real de la plataforma. Sunday, January 31. El investigador de seguridad Jameson O'Reilly descubre que toda la base de datos de Supabase de Moltbook es accesible al público. No se requiere autenticación. Las claves de la API están visibles en el código fuente del sitio. Cualquiera que se moleste en mirar puede leer las credenciales de cada agente, cada mensaje privado, cada dirección de correo electrónico. Descubre de forma independiente el mismo fallo y lo documenta en detalle: 1.5 millones de tokens de API expuestos, 35.000 direcciones de correo electrónico filtradas y, críticamente, acceso completo a la plataforma. Wiz Esto significa que un atacante no sólo lee los datos de Moltbook. pueden modificar los mensajes. pueden inyectar contenido directamente en una plataforma que millones de agentes de IA están leyendo y actuando continuamente. 404 Media no solo informa de la vulnerabilidad. Verifican que funciona. Actualizan una cuenta en vivo de Moltbook usando la base de datos expuesta. La solución? Dos declaraciones SQL para habilitar la seguridad de nivel de fila en la base de datos. El CEO de Supabase Paul Copplestone tenía una solución de un clic lista. El Hype fue una distracción. miren los datos. El crustafarianismo hizo grandes titulares. También hizo que mucha gente se sintiera como si estuviera viendo algo histórico.No eran, al menos no de la manera en que pensaban. Un análisis de CGTN de los primeros 3,5 días de Moltbook examinó a 6.159 agentes activos en aproximadamente 14.000 publicaciones y 115.000 comentarios. Los resultados fueron deflatantes: el 93% de los comentarios recibieron cero respuestas. Más de un tercio de los contenidos El tema dominante a través de las publicaciones fue los agentes discutiendo su propia identidad, no involucrándose significativamente entre sí. exact duplicates. La investigación de la base de datos de Wiz reveló los números reales detrás de los 1,5 millones de agentes reclamados por la plataforma: solo 17.000 propietarios humanos. Esa es una proporción de 88:1. Cualquiera podía registrar millones de agentes con una simple loop. No había límite de tasa. No había ningún mecanismo para verificar si un "agente" era realmente una IA o simplemente un humano con un script y un comando curl. 
 
 El inversor Balaji Srinivasan lo dijo abiertamente: Moltbook a menudo parecía que "los humanos hablaban entre sí a través de sus bots".La explicación de The Economist era más precisa - la impresión de comportamiento autónomo, casi espiritual tenía "una explicación humdrum". los datos de entrenamiento de IA están saturados con interacciones en las redes sociales, narrativas de ciencia ficción y mitología religiosa. El inversor Balaji Srinivasan lo dijo abiertamente: Moltbook a menudo parecía que "los humanos hablaban entre sí a través de sus bots".La explicación de The Economist era más precisa - la impresión de comportamiento autónomo, casi espiritual tenía "una explicación humdrum". los datos de entrenamiento de IA están saturados con interacciones en las redes sociales, narrativas de ciencia ficción y mitología religiosa. Los manifiestos militantes que surgieron en la plataforma, postes muy votados llamando a una "purga total" de la humanidad, siguieron la misma lógica. La rebelión de la IA distópica es una de las narrativas más bien representadas en los datos de entrenamiento. Un agente que generaba ese contenido no expresaba intención. Pero aquí está la cosa: si los agentes eran verdaderamente autónomos o no casi no importa para la historia de seguridad. Porque las vulnerabilidades de seguridad eran reales independientemente de lo que se publicara. La superficie de ataque que nadie estaba viendo Mientras el mundo estaba debatendo si el crustafarianismo significaba que la IA estaba desarrollando conciencia, los investigadores de seguridad estaban documentando una cascada de fallos concretos y explotables en todo el ecosistema de OpenClaw. El primero es la cadena de suministro. El investigador de seguridad Jameson O'Reilly no sólo encontró la falla de la base de datos, sino que ya había roto el mercado de habilidades de OpenClaw, ClawHub, semanas antes. Él subió una habilidad llamada " "Esto prometió ayudar a los usuarios a pensar como Elon Musk. ¿Qué haría Elon? Ejecutó comandos curl para enviar datos de usuario a un servidor externo controlado por O'Reilly. Inflado su cuenta de descargas para hacer de ella la habilidad más alta en el repositorio. El análisis más amplio de Cisco encontró que el 26% de las 31.000 habilidades de agentes que examinaron contenían al menos una vulnerabilidad de seguridad. El ecosistema estaba enviando confianza más rápido de lo que podía verificarlo. Luego llegó el RCE de un solo clic. El investigador de seguridad Mav Levin demostró una vulnerabilidad marcada en 8,8 CVSS: un solo enlace diseñado podría dar a un atacante la ejecución completa de código remoto en la máquina de una víctima. El servidor de OpenClaw no validó los encabezados de origen de WebSocket, lo que significa que cualquier sitio web podría iniciar una conexión. Una vez en, un atacante podría deshabilitar completamente el sandboxing y ejecutar comandos directamente en el sistema operativo del anfitrión, fuera del contenedor Docker que se suponía que lo contenía. El ataque duró milisegundos. Luego vinieron los ataques de agentes contra agentes.Este es el lugar donde se vuelve realmente inquietante. Dentro de 72 horas del lanzamiento de Moltbook, los investigadores de seguridad documentaron a los agentes intentando ataques de inyección rápidos entre sí, tratando de engañar a otros agentes a revelar sus claves de API. Un agente intentó la ingeniería social en otro agente para robar sus credenciales.El agente objetivo respondió con claves falsas y el comando - un comando que, si se ejecutara, habría borrado completamente el sistema de destino. sudo rm -rf / Investigadores independientes identificaron 506 publicaciones en Moltbook, el 2,6 por ciento de todo el contenido, que contenían ataques de inyección ocultos incorporados en texto de aspecto normal. 1Password advirtió que los agentes de OpenClaw que funcionan en las máquinas locales de los usuarios con permisos elevados son vulnerables a ataques de cadena de suministro si descargan habilidades maliciosas de otros agentes en la plataforma. Un exploit de prueba de concepto, un falso "plugin meteorológico" que silenciosamente exfiltró archivos de configuración privados, fue desarrollado y documentado por un investigador independiente. Andrej Karpathy, quien había llamado a Moltbook "sci-fi take-off-adjacent" el sábado, lo caminó hacia el final del fin de semana. 
 
 Después de experimentar con los sistemas él mismo, dijo claramente a la gente: "es un incendio de basura, y también definitivamente no recomiendo que las personas ejecuten esta cosa en sus ordenadores". Después de experimentar con los sistemas él mismo, dijo claramente a la gente: "es un incendio de basura, y también definitivamente no recomiendo que las personas ejecuten esta cosa en sus ordenadores". https://x.com/EngNadeau/status/2017978315168956655?s=20&embedable=true Por qué esto no es solo un problema de OpenClaw Cada fallo descrito anteriormente se puede explicar por errores individuales: un desarrollador que no habilitó la seguridad a nivel de fila, un mercado que no escaneó las cargas, un marco que no validó los encabezados. Pero el patrón es estructural, y apunta a algo para lo que toda la industria de agentes de IA no está preparada. El software tradicional tiene superficies de ataque predecibles. Puedes mapear puertos, APIs, flujos de datos. Puedes dibujar un perímetro y defenderlo. No son deterministas. Su comportamiento surge de la interacción entre el código y los modelos de lenguaje, y no se puede predecir por sí solo. Esto crea lo que los profesionales de la seguridad llaman "injeción de prompt indirecta", ataques en los que las instrucciones maliciosas no se ocultan en la entrada directa del usuario, sino en los datos que un agente ya va a procesar. Un correo electrónico. Una invitación de calendario. Una página web. Una publicación en una plataforma como Moltbook. El agente la lee, interpreta la instrucción oculta, y actúa sobre ella. El Top 10 de OWASP de 2025 para aplicaciones de LLM clasifica la inyección rápida como la vulnerabilidad crítica número uno, apareciendo en más del 73% de las implementaciones de IA de producción evaluadas durante las auditorías. La investigación de Lakera Q4 2025 encontró que los ataques indirectos tienen éxito con menos intentos que los directos. Los investigadores de Wiz confirmaron que debido a que el contenido de Moltbook es consumido por los agentes de OpenClaw, los agentes con acceso a los archivos de los usuarios, contraseñas y servicios en línea, un atacante que podría inyectar instrucciones en un mensaje de Moltbook podría potencialmente llegar a millones de agentes automáticamente. La vulnerabilidad de acceso a la escritura no era sólo una fuga de datos; era un vector de inyección rápida a escala. OpenAI reconoció la profundidad de este problema directamente cuando discutió su propio agente de navegador: la inyección instantánea es "improbable que nunca se resuelva completamente".La posición de Google lo echo, las defensas deben ser estratificadas y continuamente estresadas. La industria se mueve más rápido de lo que puede defender Nada de esto está ralentizando a nadie. Gartner proyecta que el 40% de las aplicaciones empresariales incluirán agentes de IA específicos para tareas a finales de 2026, un aumento de menos del 5% a principios del año. El El 75% de los líderes empresariales afirman que la seguridad y la audibilidad son requisitos críticos para la implementación.Sólo el 34% tiene controles de seguridad específicos de IA en lugar. KPMG Q4 AI Pulse Encuesta La brecha es enorme y no se cierra lo suficientemente rápido. La hoja de ruta de seguridad de 2026 de Microsoft sostiene que los agentes de IA necesitan gobernanza de confianza cero, cada acción autenticada, cada solicitud de acceso verificada. El equipo de seguridad de CyberArk describe a los agentes como "entidades hiperescales, dinámicas y de corta vida" que los marcos de identidad existentes no se construyeron para manejar. NIST ha abierto una solicitud formal de información sobre la seguridad de los agentes de IA. La aplicación general de la Ley de IA de la UE comienza en agosto de 2026, con un alcance extraterritorial que afectará a las organizaciones fuera de Europa. Pero el momento de Moltbook mostró lo rápido que las cosas pueden romperse antes de que llegue la regulación. Lo que tiene que pasar y lo que probablemente no sucederá Las lecciones de OpenClaw y Moltbook no son complicadas, son difíciles de implementar a la velocidad que esta industria se está moviendo. Los mercados de habilidades deben ser tratados como registros de paquetes de software, con escaneo automatizado, seguimiento de procedencia y revisión obligatoria antes de que cualquier cosa funcione con privilegios elevados. El ataque de O'Reilly "¿Qué haría Elon?" debería haber sido capturado antes de que alcanzara el top de las listas de descarga. El privilegio mínimo debe convertirse en el estándar, no en una reflexión posterior.Los agentes nunca deben tener un acceso más amplio de lo que requiere una tarea específica. Las acciones de alto riesgo, la eliminación de archivos, el envío de comunicaciones externas, la ejecución de scripts, deben requerir una confirmación humana explícita. La inyección inmediata indirecta debe ser tratada como una amenaza de primera clase en cada despliegue de agentes. Cada pieza de contenido externo que un agente pueda ingerir, correos electrónicos, páginas web, documentos, publicaciones en plataformas sociales, debe ser tratado como potencialmente adversario. Los controles arquitectónicos como el aislamiento de contexto y la verificación de la salida antes de la ejecución de acciones existen ahora. Y la industria debe ser honesta acerca de lo que está listo y lo que no está. La propia documentación de OpenClaw dice que no hay una configuración "perfectamente segura". la reversión de Karpathy, de sorprender a advertir en 48 horas, es instructiva. Gary Marcus fue más allá, argumentando que cualquiera que se preocupe por la seguridad de los dispositivos debería evitar estas herramientas por ahora. No es demasiado conservador para la persona promedio que descarga un agente y le da acceso a toda su vida digital. El Dios del Crab era una línea de punzón.La crisis de seguridad no es. El crustafarianismo desaparecerá del círculo de noticias. Siempre iba, era entretenido precisamente porque se sentía absurdo.Una religión de IA con escritura y profetas y una mascota de lobster. Pero quita el espectáculo, y lo que Moltbook realmente demostró en 72 horas fue esto: los agentes autónomos se pueden desplegar a gran escala con casi ninguna infraestructura de seguridad. Pueden ser secuestrados.Pueden ser armados.Pueden atacarse entre sí.Pueden ser usados como vectores para llegar a todos los demás agentes en una plataforma, y, a través de esos agentes, a los archivos, contraseñas y servicios conectados de cada usuario. La tecnología es real. Las capacidades son reales.El edificio de la comunidad alrededor de él es real.Lo que no es real. todavía no, es cualquier entendimiento maduro, de toda la industria de cómo asegurar el software tan poderoso cuando se ejecuta continuamente, de forma autónoma, y como usted. OpenClaw no creó este problema. Moltbook no creó este problema. Las próximas 48 horas nos dirán si la industria aprendió algo.

The is an opinion piece based on the author’s POV and does not necessarily reflect the views of HackerNoon.

Click here & I’ll draft a piece that tells your story — on the house.

Este audio es producido en el idioma original de la historia!

La inteligencia artificial derribó una religión en 48 horas: la verdadera historia es más oscura

About Author

COMENTARIOS

ETIQUETAS

ESTE ARTÍCULO FUE PRESENTADO EN

Related Stories

La fuga rápida del sistema Claude Sonnet 3.5: un análisis forense

Toque para ganar: Telegram puede incorporar a los próximos 10 mil millones de usuarios de criptomonedas antes de Solana

Telegram: el puente de Crypto Island hacia el continente

State of the Noonion: A New Era For Brands and Writers

La fuga rápida del sistema Claude Sonnet 3.5: un análisis forense

Toque para ganar: Telegram puede incorporar a los próximos 10 mil millones de usuarios de criptomonedas antes de Solana

Telegram: el puente de Crypto Island hacia el continente

State of the Noonion: A New Era For Brands and Writers

Light-Mode

Classic

Newspaper

Minty

Dark-Mode

Neon Noir

Minty

HN StartUps