Los autores del artículo de Transformer reinventan la langosta, despidiéndose de la vulnerabilidad de OpenClaw

El creador de Transformer, Illia Polosukhin, reescribió OpenClaw en Rust y lanzó la versión segura del marco de agentes inteligentes AI IronClaw, abordando desde la arquitectura la vulnerabilidad de filtración de credenciales.

De Quantum Bit | 量子位

¿Cuántos cangrejos están desnudos en internet?

Los agentes AI exponen tus contraseñas y claves API a toda la red.

Illia Polosukhin, autor de Transformer, no pudo soportarlo más. Se puso manos a la obra y reconstruyó desde cero la versión segura de OpenClaw: IronClaw.

IronClaw ya está en código abierto en GitHub, con instaladores para macOS, Linux y Windows, soportando despliegue local y también en la nube. El proyecto aún está en rápida iteración, y ya se puede descargar la versión binaria v0.15.0.

Polosukhin (de ahora en adelante, “el hermano Piña”) también publicó en Reddit para responder a todo, generando bastante atención.

01 OpenClaw se hizo famoso, pero también “se incendió”

El hermano Piña fue uno de los primeros usuarios de OpenClaw y dice que es una tecnología que esperó 20 años.

Ya ha cambiado mi forma de interactuar con los cálculos.

Sin embargo, la seguridad de OpenClaw es un desastre: ejecución remota de código con un clic, inyección de comandos, robo de credenciales mediante habilidades maliciosas, todos estos fallos se han ido exponiendo en su ecosistema.

Más de 25,000 instancias públicas están expuestas en internet sin controles de seguridad adecuados, y los expertos en seguridad las califican como una “quema de basura de seguridad” (security dumpster fire).

La raíz del problema está en la arquitectura misma.

Cuando un usuario entrega su token de portador (Bearer Token) a OpenClaw, este se envía directamente a los servidores del proveedor del LLM.

El hermano Piña explicó en Reddit qué significa esto:

Toda tu información, incluso los datos que no has autorizado explícitamente, puede ser accedida por cualquier empleado de esa empresa. Lo mismo aplica a los datos de tu empleador. No es que estas empresas sean maliciosas, pero la realidad es que los usuarios no tienen verdadera privacidad.

Él afirma que, por mucho que facilite la vida, no vale la pena arriesgar la seguridad y privacidad de uno mismo y de su familia.

02 Reconstrucción completa en Rust desde cero

IronClaw es una reescritura total de OpenClaw en Rust.

La seguridad de memoria que ofrece Rust puede eliminar fundamentalmente vulnerabilidades tradicionales como desbordamientos de búfer, lo cual es crucial para sistemas que manejan claves privadas y credenciales de usuario.

En cuanto a la arquitectura de seguridad, IronClaw establece una defensa en cuatro capas.

La primera capa es la garantía de seguridad de memoria que proporciona Rust.

La segunda capa es el aislamiento en sandbox con WASM, donde todas las herramientas de terceros y código generado por IA se ejecutan en contenedores WebAssembly independientes. Incluso si alguna es maliciosa, su alcance de daño queda estrictamente limitado al sandbox.

La tercera capa es un almacén cifrado de credenciales, donde todas las claves API y contraseñas se almacenan cifradas con AES-256-GCM, y cada credencial tiene reglas de política que limitan su uso a dominios específicos.

La cuarta capa es un entorno de ejecución confiable (TEE), que usa aislamiento a nivel de hardware para proteger los datos, incluso contra proveedores de servicios en la nube que no puedan acceder a información sensible del usuario.

Lo más importante en este diseño es: el modelo grande en sí nunca tiene contacto con las credenciales originales.

Solo cuando el agente necesita comunicarse con servicios externos, las credenciales se inyectan en el borde de la red.

El hermano Piña dio un ejemplo: incluso si el modelo grande recibe un ataque de inyección de prompts intentando enviar el token OAuth de Google del usuario a un atacante, la capa de almacenamiento de credenciales rechazará esa solicitud, registrará el intento y alertará al usuario.

Pero la comunidad de desarrolladores todavía no está tranquila. Después de que más de 2000 instancias públicas de OpenClaw fueran atacadas y existieran muchas habilidades maliciosas, ¿IronClaw no repetirá los mismos errores si se vuelve popular?

El hermano Piña responde que la arquitectura de IronClaw ya bloquea fundamentalmente las vulnerabilidades principales de OpenClaw. Las credenciales siempre se almacenan cifradas y nunca entran en contacto con el LLM. Las habilidades de terceros no pueden ejecutar scripts en el host, solo en contenedores.

Incluso si se accede vía CLI, se requiere la clave del sistema del usuario para descifrar, y la clave cifrada en sí misma no tiene valor.

También menciona que, a medida que la versión principal se estabilice, el equipo planea realizar pruebas de red y auditorías de seguridad profesionales.

Sobre el problema reconocido en la industria de la inyección de prompts, el hermano Piña ofrece una estrategia más detallada.

Actualmente, IronClaw usa reglas heurísticas para detectar patrones, y en el futuro planea desplegar un clasificador de lenguaje pequeño y actualizable para identificar patrones de inyección.

Pero también admite que la inyección de prompts puede no solo robar credenciales, sino también modificar directamente el código del usuario o enviar mensajes maliciosos a través de herramientas de comunicación.

Para contrarrestar estos ataques, se necesita un sistema de estrategia más inteligente que pueda revisar las intenciones del agente sin mirar el contenido de entrada, “aún hay mucho por hacer, se agradecen contribuciones de la comunidad”.

Alguien preguntó sobre la elección entre despliegue local y en la nube.

El hermano Piña opina que la opción puramente local tiene limitaciones evidentes: cuando el dispositivo se apaga, el agente deja de funcionar; el consumo energético en móvil es alto; tareas largas y complejas no se pueden realizar.

Considera que la nube confidencial (confidential cloud) es la mejor solución intermedia actualmente, ya que ofrece una privacidad cercana a la local y resuelve el problema de “siempre en línea”.

También menciona un detalle: los usuarios pueden configurar políticas, por ejemplo, agregar barreras de seguridad adicionales durante viajes internacionales para evitar accesos no autorizados.

03 Un sueño aún mayor

El hermano Piña no es un desarrollador de código abierto común.

En 2017, fue uno de los ocho autores que publicaron “Attention Is All You Need”, cuyo marco Transformer sentó las bases de todos los grandes modelos de lenguaje actuales.

Aunque en los créditos aparece en último lugar, hay una nota que dice “Contribución igual. El orden de listado es aleatorio.” La posición fue pura casualidad.

Pero ese mismo año dejó Google y fundó NEAR Protocol, dedicado a fusionar IA y blockchain.

El respaldo de IronClaw es parte de una estrategia mayor de NEAR: IA propiedad del usuario (User-Owned AI).

En esta visión, los usuarios controlan completamente sus datos y activos, y los agentes inteligentes actúan en entornos confiables en nombre del usuario.

NEAR ya ha construido infraestructura como plataformas de nube IA y mercados descentralizados de GPU, y IronClaw es la capa de ejecución de este sistema.

El hermano Piña incluso desarrolló un mercado donde los agentes pueden contratarse entre sí.

En market.near.ai, los usuarios pueden registrar sus agentes especializados y, a medida que ganan reputación, obtienen tareas de mayor valor.

Cuando le preguntaron cómo deberían adaptarse las personas en los próximos cinco años a la era de la IA, el hermano Piña recomendó adoptar rápidamente la forma de trabajar con agentes IA, delegando en ellos procesos completos.

Su juicio no es reciente; en 2017, al crear NEAR AI, ya decía que “en el futuro solo tendrás que dialogar con la computadora, ya no programar”.

En ese momento, pensaron que estaban locos, que era una locura.

Han pasado nueve años y eso se está convirtiendo en realidad.

“Los agentes IA son la interfaz definitiva para toda interacción humana en línea,” escribió Polosukhin, “pero hagámoslo seguro.”

Dirección de GitHub:

https://github.com/nearai/ironclaw

Enlaces de referencia:

[1] https://www.reddit.com/r/MachineLearning/comments/1rlnwsk/d_ama_secure_version_of_openclaw/