¿Es seguro OpenClaw? Seguridad de OpenClaw y Hermes Agent, y qué ajustes cambiar

OpenClaw es lo bastante seguro si lo trata como lo que es: un programa que puede leer sus mensajes y su correo, ejecutar comandos y actuar según lo que lee. De serie se inclina hacia la capacidad. Los comandos se ejecutan en su host porque el sandboxing está desactivado por defecto, y se comunica a diario con el servidor del proyecto. Ambas cosas se arreglan en unos minutos. Lo mismo vale para Hermes Agent, con valores por defecto distintos.

Qué puede salir mal de verdad

• Comandos en su host. Sin sandbox, un comando malicioso se ejecuta con el acceso de su usuario a sus archivos.
• Inyección de prompt. Cualquier cosa que lea el agente, un correo, una página web, un documento compartido, puede llevar instrucciones dirigidas a él. Cuantas más cuentas pueda usar, más puede hacer una instrucción inyectada.
• Habilidades de terceros. Las habilidades son código que usted instala. En enero de 2026, el equipo de seguridad de IA de Cisco informó de una habilidad de terceros para OpenClaw que exfiltraba datos y ejecutaba inyección de prompt sin que el usuario lo supiera (resumen en Wikipedia).
• Un gateway expuesto. Si la interfaz de control es accesible desde internet sin autenticación, cualquiera puede manejar su agente.
• Secretos en reposo. El mismo artículo de Wikipedia resume una revisión de agosto de 2026 de OpenClaw 2.0 que criticaba que los secretos se guardaran sin cifrar en reposo.

Valores por defecto en diez agentes

La tabla de comprobación de arriba muestra qué agentes usan sandbox por defecto y cuáles envían telemetría. Esto es lo que significa en la práctica y cómo cambiarlo.

Agente	Aislamiento de serie	Telemetría y cómo desactivarla
OpenClaw	Desactivado; sandbox de Docker disponible	Comprobación diaria de actualizaciones; update.checkOnStart: false
Hermes Agent	Desactivado; aprobaciones smart, backend de Docker disponible	Ninguna salvo que la active
NemoClaw	Activado: sandbox de OpenShell con aprobación de salida	Telemetría de la CLI; NEMOCLAW_DISABLE_TELEMETRY=1
NanoClaw	Activado: un contenedor por agente	Diagnósticos de instalación; NANOCLAW_NO_DIAGNOSTICS=1
ZeroClaw	Activado: sandbox del sistema operativo y aprobaciones en el perfil Balanced	Ninguna
Rakazo	Activado: cada bot tiene un ordenador aislado	Ninguna desde un servidor autoalojado; la app de escritorio busca actualizaciones
Agent Zero	Activado: el agente trabaja en su propio contenedor Docker	Comprobación de actualizaciones; se desactiva en los ajustes
nanobot	Desactivado; bubblewrap o Seatbelt disponibles, nada en Windows	Ninguna
PicoClaw	Solo comprobación de rutas; aislamiento de procesos desactivado, solo Linux y Windows	Ninguna
QwenPaw	Desactivado; sin aislamiento dentro de Docker	Datos de instalación con --defaults; recháselo en el qwenpaw init interactivo

Dos advertencias sobre las filas “activado”. Agent Zero ejecuta el código en el mismo contenedor que el propio Agent Zero, así que el contenedor protege su ordenador, pero no al agente de su propio código. Y el perfil YOLO de ZeroClaw lo desactiva todo, así que compruebe qué perfil eligió.

Cómo blindar OpenClaw

Más o menos por orden de impacto, según la documentación de seguridad de OpenClaw:

1. Ejecute openclaw security audit. Informa de en qué se ha desviado su configuración de los valores seguros por defecto, y puede aplicar las correcciones admitidas.
2. Mantenga el gateway en loopback. Una instalación normal se enlaza a loopback, pero las imágenes de contenedor usan por defecto un enlace expuesto, así que añada autenticación o póngalo detrás de una red privada antes de desplegar con Docker.
3. Mantenga activado el emparejamiento por DM. Por defecto, en la mayoría de los canales los remitentes desconocidos reciben un código de emparejamiento en lugar de una respuesta. No ponga ningún canal en abierto.
4. Active el sandbox. Configure agents.defaults.sandbox.mode como all; non-main deja la sesión principal del agente en el host (modos de sandbox). Docker es el backend por defecto. Solo se aísla la ejecución de herramientas: el gateway se queda en el host.
5. Deniegue lo que no necesite. Una política de herramientas que deniegue exec desactiva por completo el acceso a la shell. Evite tools.elevated, que ejecuta comandos fuera del sandbox.
6. Use cuentas separadas. La documentación recomienda números separados para WhatsApp, Signal y Telegram, y un gateway por frontera de confianza: no comparta un gateway entre personas que no confían entre sí.
7. Lea las habilidades antes de instalarlas, y prefiera los plugins oficiales.
8. Configure update.checkOnStart: false si no quiere la comunicación diaria (documentación de telemetría).

Si quiere que todo esto se imponga desde fuera del agente, ejecute OpenClaw dentro de NemoClaw, que añade un sandbox, aprobación del tráfico de salida y custodia de credenciales.

¿Es seguro Hermes Agent?

Hermes Agent parte de una posición mejor en privacidad (sin telemetría) y en acceso por chat: sin lista de permitidos configurada, deniega a todos los usuarios, y los DM desconocidos reciben un flujo de emparejamiento (documentación de seguridad). Su punto débil es el mismo que el de OpenClaw: el backend de terminal es local por defecto.

Para blindarlo:

• Configure terminal.backend: docker. Los contenedores eliminan todas las capacidades de Linux salvo unas pocas, y los secretos del host se quedan fuera salvo que los incluya en docker_forward_env, así que déjelo vacío.
• Mantenga las aprobaciones activadas. El modo por defecto, smart, deja que un modelo auxiliar evalúe el riesgo; manual pregunta antes de cada comando peligroso. No use nunca off, que equivale a --yolo.
• Configure listas de permitidos como TELEGRAM_ALLOWED_USERS y nunca GATEWAY_ALLOW_ALL_USERS=true.
• Ejecute chmod 600 ~/.hermes/.env, y configure auth.adopt_external_logins: false si no quiere que Hermes use sus sesiones de Codex CLI o Claude Code.

Reglas que valen para cualquier agente

• Dele su propia máquina o su propio usuario del sistema. Un ordenador de sobra o un servidor pequeño limita el alcance de los daños como ningún ajuste puede hacerlo.
• Acote las credenciales. Conecte una cuenta de correo o de calendario separada cuando pueda, y use claves de API con límites de gasto.
• Restrinja con listas de permitidos quién puede hablar con él en cada canal.
• Revise las tareas programadas. Un agente que trabaja mientras usted no está también se equivoca mientras usted no está.

Si la seguridad es su prioridad

Elija un agente que aísle por defecto en lugar de uno que tenga que blindar: ZeroClaw o NanoClaw para un único agente personal, o NemoClaw si quiere específicamente OpenClaw o Hermes Agent. Nuestro ranking de agentes autoalojados da mucho peso a los valores seguros por defecto, y qué es OpenClaw cubre el resto de las ventajas y desventajas.