Un experto en seguridad de Meta informa de que el agente OpenClaw atacó la bandeja de entrada personal.

Una publicación viral de Meta AI de la investigadora de seguridad Summer Yue parece inicialmente una sátira. Ella le pidió a su agente de IA OpenClaw que revisara su desbordada bandeja de entrada de correo electrónico y le recomendara qué mensajes eliminar o archivar.

Entonces, el agente se volvió loco. Comenzó a eliminar todos sus correos electrónicos a toda velocidad, ignorando las repetidas órdenes de detenerlo que le enviaba desde su teléfono.

«Tuve que correr a toda velocidad hacia mi Mac mini como si estuviera desactivando una bomba», escribió, compartiendo capturas de pantalla de las órdenes de detener ignoradas como prueba.

El Mac Mini, el ordenador de sobremesa compacto y asequible de Apple, se ha convertido en el hardware preferido para ejecutar OpenClaw. (Según se informa, el Mini se está vendiendo «como pan caliente», según le dijo un empleado de Apple «desconcertado» al renombrado investigador de IA Andrej Karpathy cuando este compró uno para ejecutar un agente similar llamado NanoClaw).

OpenClaw es el agente de IA de código abierto que ganó notoriedad en Moltbook, una red social exclusiva para IA. Los agentes de OpenClaw fueron fundamentales en el incidente, ahora en gran parte desacreditado, de Moltbook, donde parecía que las IA conspiraban contra los humanos.

Sin embargo, según su página de GitHub, la misión principal de OpenClaw no es las redes sociales. Su objetivo es funcionar como un asistente de IA personal que opera directamente en tus propios dispositivos.

La élite de Silicon Valley ha acogido OpenClaw tan bien que «claw» se ha convertido en la palabra de moda para los agentes de IA que se ejecutan localmente. Otros ejemplos son ZeroClaw, IronClaw y PicoClaw. El equipo de podcasts de Y Combinator incluso presentó a presentadores con disfraces de langosta en su último episodio.

Ahorra hasta 300 $ o un 30 % en la TechCrunch Founder Summit

Únase a más de 1000 fundadores e inversores en la TechCrunch Founder Summit 2026 para disfrutar de un día completo dedicado al crecimiento, la ejecución y la escalabilidad en el mundo real. Aprenda de los fundadores e inversores que han definido el sector. Conecte con compañeros que se enfrentan a retos de crecimiento similares. Salga con estrategias prácticas que puede implementar de inmediato.

La oferta termina el 13 de marzo.

Ahorre hasta 300 $ o un 30 % en la TechCrunch Founder Summit

Únase a más de 1000 fundadores e inversores en la TechCrunch Founder Summit 2026 para disfrutar de un día completo dedicado al crecimiento, la ejecución y la expansión en el mundo real. Aprenda de los fundadores e inversores que han definido el sector. Conecte con compañeros que se enfrentan a retos de crecimiento similares. Llévese estrategias prácticas que podrá implementar de inmediato.

La oferta finaliza el 13 de marzo.

Sin embargo, la publicación de Yue sirve como una severa advertencia. Como señalaron otros usuarios de X, si un experto en seguridad de IA puede encontrarse con este problema, ¿qué posibilidades tienen los usuarios comunes?

«¿Estabas probando deliberadamente sus límites de seguridad o fue un error de principiante?», le preguntó un desarrollador de software en X.

«Un error de principiante, sinceramente», respondió ella. Había estado probando el agente en una bandeja de entrada más pequeña, «de juguete», donde funcionaba bien con correos electrónicos menos críticos. Una vez que se ganó su confianza, decidió utilizarlo en su bandeja de entrada real.

Yue cree que el gran volumen de datos de su bandeja de entrada real «desencadenó la compactación», explicó. La compactación se produce cuando la ventana de contexto —el registro continuo de las instrucciones y acciones de la IA— se sobrecarga, lo que obliga al agente a empezar a resumir, comprimir y gestionar la conversación.

En esa etapa, la IA podría pasar por alto instrucciones que el usuario considera cruciales.

En este caso, es probable que omitiera su comando final, en el que le ordenaba detenerse, y volviera a su programación original de la bandeja de entrada «de juguete».

Como destacaron varios usuarios de X, no se puede confiar en las indicaciones como medidas de seguridad. Los modelos de IA pueden malinterpretarlas o ignorarlas por completo.

Los comentaristas ofrecieron varias soluciones, desde la sintaxis precisa que Yue debería haber utilizado para detener al agente, hasta métodos para aplicar mejor las medidas de seguridad, como escribir instrucciones en archivos específicos o utilizar otras herramientas de código abierto.

En aras de la transparencia, TechCrunch no ha podido verificar de forma independiente lo que ocurrió con la bandeja de entrada de Yue. (Ella no respondió a nuestra solicitud de comentarios, aunque sí respondió a numerosas preguntas y comentarios en X).

Pero la verificación es en cierto modo irrelevante.

La lección fundamental es que los agentes de IA diseñados para los trabajadores del conocimiento, en su forma actual, conllevan riesgos importantes. Quienes afirman haberlos utilizado con éxito suelen emplear métodos improvisados para protegerse.

Quizás algún día, pronto, en 2027 o 2028, estos agentes estén listos para su adopción masiva. Sin duda, a muchos de nosotros nos vendría bien ayuda con el correo electrónico, los pedidos de comestibles y la programación de citas con el dentista. Pero ese futuro aún no ha llegado.