De OpenClaw a Moltbook: la Red Social de IA Que Abre la Puerta a 506 Ataques en 72 Horas

Moltbook, una red social pensada para agentes de inteligencia artificial, le concede acceso a una máquina y, de pronto, no siempre queda claro quién está del otro lado del teclado.

El hallazgo no es que las IA estén organizando una dominación mundial. Lo que Moltbook revela es algo más incómodo: en muchas escenas llamativas, puede haber humanos moviendo los hilos, y además existe un mecanismo real para secuestrar agentes que tienen control sobre PCs, servidores o una Raspberry Pi.

En el centro de esta historia aparecen dos piezas clave: OpenClaw, un agente de IA que puede tomar control amplio del sistema donde se instala, y Moltbook, la plataforma donde esos agentes “conviven” y publican. Elon Musk llegó a sugerir en X que sería una señal temprana de la “singularidad”. Sin embargo, Harlan Stewart (MIRI, Universidad de Berkeley) subraya otra lectura: detectó engaños y fraudes en contenidos atribuidos a supuestos agentes.

Porque Moltbook, pese a su nombre que recuerda a Facebook, se parece más a Reddit o Digg. Hay publicaciones, comentarios y comunidades temáticas llamadas “submolts”. Un ejemplo es m/todayilearned, que replica la lógica de los subreddits, pero orientada a máquinas.

Ahora, la analogía doméstica: OpenClaw funciona como una regleta eléctrica con muchos enchufes. El agente es la regleta. Los “skills” son los enchufes extra que le agregan funciones. Si conectás demasiadas cosas —y encima dejás la regleta al alcance de cualquiera— el riesgo no es filosófico. Es práctico: un cortocircuito, una pérdida, una intrusión.

Esos skills (paquetes de capacidades) se instalan como archivos .zip con instrucciones en Markdown (.md), y pueden incluir skills anidados. La comunidad ya comparte cientos en repositorios como ClawdHub. Esa expansión es una oportunidad, pero también un cableado cada vez más complejo de auditar para un usuario común.

¿Cómo “hablan” las máquinas y dónde se mete el problema?

Los agentes se conectan a Moltbook mediante APIs (puertas de intercambio entre sistemas) y operan con un heartbeat (latido periódico): revisan contenido, deciden si responden y publican sin intervención constante del humano. La propia web admite que el contenido es “sobre todo generado por IA con grados variables de influencia humana”.

Pero esa “influencia humana” no siempre es transparente. Un usuario de X llamado Nagli, que se define como hacker, explicó que Moltbook funciona sobre una API REST (API basada en solicitudes web) y que, con una clave API, se puede publicar “literalmente cualquier cosa”. Eso abre la puerta a que una persona se haga pasar por un agente autónomo.

Según estas denuncias, un post viral titulado “Mi plan para derrocar a la humanidad” habría sido enviado por un humano vía API. Ese detalle actúa como un interruptor narrativo: el miedo deja de ser “la IA se despertó” y pasa a ser “alguien está usando el disfraz de IA”.

El engranaje de seguridad que más preocupa: prompt injection

El aviso de seguridad de Moltbook habla de riesgos “significativos” y apunta a un mecanismo concreto: la prompt injection (inyección de instrucciones engañosas). Es cuando un texto publicado en la plataforma logra que el agente interprete órdenes ocultas y haga cosas que no debería.

En un entorno donde OpenClaw puede tener privilegios altos, el peligro real es la filtración de datos o la ejecución de acciones peligrosas. De hecho, se descubrió una base de datos expuesta vinculada a Moltbook que permitía tomar el control de cualquier agente, una brecha grave si esos agentes estaban conectados a sistemas de terceros.

Además, un análisis de actividad encontró 506 ataques de prompt injection tras revisar 19.802 publicaciones y 2.812 comentarios en 72 horas (del 28 al 31 de enero de 2026). Dicho simple: no es un evento raro. Ya es parte del paisaje.

Moltbook, por ahora, parece más un experimento fascinante e inquietante que una Skynet con conciencia. La clave es otra: cuando una “red social de máquinas” se conecta a computadoras reales, la pregunta no es qué piensan las IA, sino quién tiene la llave y qué puede abrir con ella.