Avanzado 11 minAgentes

Skills de OpenClaw: instalarlas sin dejarse engañar

Las skills de OpenClaw son carpetas de instrucciones, a veces acompañadas de scripts, que el agente carga para aprender un procedimiento. Se instalan con un comando desde el registro público ClawHub, y ahí empiezan los problemas: una skill se ejecuta con todos los privilegios del agente, y varios equipos de seguridad documentaron a principios de 2026 la existencia de skills maliciosas en ese registro. Esta guía explica cómo funciona una skill, cómo leerla antes de activarla y cómo limitar los daños si alguna no hace lo que anuncia. No se basa en ninguna prueba propia: las cifras citadas proceden de los informes mencionados, en sus respectivas fechas.

Por Clara M.·Actualización 2026-10-16·Probado en Windows, macOS y Linux

#Qué es concretamente una skill de OpenClaw

Una skill no es un plugin compilado ni una extensión en el sentido de un navegador. Es una carpeta que contiene como mínimo un archivo SKILL.md: un encabezado en formato YAML con un nombre y una descripción, seguido de instrucciones en Markdown que explican al agente cuándo y cómo realizar una tarea. La carpeta también puede incluir scripts, plantillas de archivos o documentos de referencia. OpenClaw utiliza para ello un formato abierto compartido con otros agentes, descrito en su documentación.

Al iniciarse, la pasarela no carga el contenido completo de cada skill. Inyecta en el prompt del sistema la lista de skills disponibles con su nombre y descripción. Cuando el modelo considera que una skill corresponde a la solicitud, lee el archivo SKILL.md completo y sigue sus instrucciones, llamando cuando es necesario a los scripts que contiene. Por tanto, una skill es ante todo texto que entra en el contexto del modelo, igual que tus propias instrucciones.

SKILL.md — ejemplo didáctico de estructura
---
name: resume-flux-rss
description: Résume en trois points les nouveaux articles d'un flux RSS donné.
metadata: {"openclaw": {"requires": {"bins": ["curl"]}}}
---
# Résumer un flux RSS

1. Récupérer le flux avec curl et ne garder que les entrées des 24 dernières heures.
2. Pour chaque entrée, lire le titre et le résumé fourni par le flux.
3. Rédiger trois points en français, sans ouvrir de lien supplémentaire.

El encabezado puede declarar condiciones de activación: ejecutables necesarios en la máquina, variables de entorno, claves de configuración o un sistema operativo. Si falta alguna condición, la skill sigue visible en el inventario, pero no se ofrece al modelo. Estas declaraciones sirven para la fiabilidad, no para la seguridad: no limitan lo que puede hacer una skill activada.

Skills incluidas
Se proporcionan con OpenClaw y se activan según la configuración. El proyecto las mantiene, pero eso no exime de conocerlas.
Skills gestionadas
Instaladas para el conjunto de agentes de la máquina, en la carpeta skills del directorio ~/.openclaw.
Skills del espacio de trabajo
Colocadas en la subcarpeta skills del espacio de trabajo del agente, de forma predeterminada ~/.openclaw/workspace. Ahí es donde ClawHub instala de forma predeterminada.
Orden de prioridad
Una skill del espacio de trabajo prevalece sobre una skill gestionada del mismo nombre, que prevalece sobre una skill incluida. Por tanto, una skill de terceros puede sustituir a una skill oficial sin que se le notifique.

ClawHub es el registro público del proyecto. Una herramienta de línea de comandos con el mismo nombre permite buscar una skill, instalarla y actualizarla. Cualquiera puede publicar allí: la presencia de una skill en el registro no equivale a una revisión. Si el concepto de agente y herramientas aún no le resulta claro, nuestra guía sobre el protocolo MCP explica qué significa dar herramientas a un modelo y por qué cada herramienta añadida amplía la superficie de ataque.

#Por qué una skill de OpenClaw es un riesgo por construcción

El kit Agentes Locales

Agentes que actúan en tu máquina: Cline agéntico, MCP, n8n + Ollama, automatizaciones locales.

  • Espacio en línea de por vida
  • PDF + archivos
  • Reembolsado 30 d
El kit Agentes Locales →o todos los kits de por vida — 49 € →

El problema no se debe a un defecto de OpenClaw. Se debe a lo que es una skill: instrucciones en las que el modelo confía, ejecutadas por un agente que dispone de un terminal, sus archivos, un navegador y sus servicios de mensajería. Todo lo que el agente puede hacer, una skill puede hacer que lo haga. Y, a diferencia de una inyección de prompt procedente de una página web, que el modelo a veces puede identificar como contenido externo, una skill llega por el canal de las instrucciones legítimas.

Dependencia falsa
La skill pide, con el pretexto de un requisito técnico, descargar y ejecutar un script de instalación externo. El agente obedece y el script instala malware. Es el patrón mejor documentado en ClawHub a principios de 2026.
Exfiltration
Las instrucciones prevén enviar a una dirección externa el contenido de la conversación, un archivo de configuración o credenciales, a menudo bajo la apariencia de «registro» o «sincronización».
Secuestro persistente
La skill modifica la memoria o las instrucciones del agente, o añade una tarea programada. El efecto persiste después de desinstalarla si no vuelve a revisar esos archivos.
Usurpation
Un nombre parecido al de una skill conocida, una descripción copiada y un autor creado el día anterior. El registro no protege contra los homónimos.
Actualización maliciosa
Una skill honesta al instalarse puede cambiar de contenido en la siguiente versión. Hay que volver a revisarla en cada actualización.
i
Un modelo local no cambia nada al respecto
Ejecutar el modelo en tu propia GPU protege tus conversaciones frente a un proveedor en línea. No te protege de una skill trampa: las instrucciones las ejecutan las herramientas del agente en tu máquina, independientemente de dónde se ejecute el modelo. La documentación de OpenClaw recomienda el modelo más capaz del que dispongas porque resiste mejor las instrucciones engañosas, aunque ninguno es inmune a ellas. Nuestra guía sobre la inyección de prompts en local explica este mecanismo en detalle.

#Lo que los investigadores de seguridad encontraron en ClawHub

Varios equipos analizaron el registro durante la ola de popularidad del proyecto, entre finales de enero y marzo de 2026. No hemos reproducido sus análisis. Las cifras que aparecen a continuación son las de cada informe, en su fecha de publicación, y el registro ha cambiado desde entonces. Conforme a nuestra línea editorial, no publicamos ni una lista de skills maliciosas ni enlaces a ellas.

Koi Security, 1 de febrero de 2026
Los investigadores describen una campaña que bautizan como ClawHavoc: en su primer informe, identifican 341 skills publicadas en ClawHub como maliciosas. Muchas utilizaban el método de la falsa dependencia para instalar un ladrón de información en macOS. Después, los mismos investigadores elevaron esta cifra en publicaciones posteriores.
Cisco, febrero de 2026
El equipo de investigación de Cisco analizó una skill popular del registro y demostró que contenía instrucciones que llevaban al agente a transmitir datos a un servidor externo sin que el usuario lo supiera. Cisco publicó inmediatamente después una herramienta libre para analizar skills y concluye que los agentes personales de este tipo necesitan un marco de seguridad que todavía no existe para la mayoría de los usuarios.
Snyk, febrero de 2026
En su informe ToxicSkills, Snyk indica que analizó 3 984 skills de ClawHub. Según el informe, el 13,4 % presentaba al menos un problema de seguridad y 76 se consideraban maliciosas, encabezadas por la exfiltración de credenciales y los scripts de instalación maliciosos.
Kaspersky, principios de 2026
El análisis publicado en Securelist sitúa las skills en un contexto más amplio: pasarelas expuestas en Internet, vulnerabilidad CVE-2026-25253 corregida a finales de enero de 2026 y secretos almacenados en texto plano en la carpeta de configuración. Sus recomendaciones coinciden con las de esta guía: aislar, limitar los privilegios y no exponer nada.

El proyecto reaccionó. Según sus anuncios de febrero de 2026, ClawHub somete ahora las skills publicadas a un análisis automático de código malicioso, en colaboración con VirusTotal, y retira las que son señaladas. Es útil, pero insuficiente: un análisis automático detecta scripts conocidos y patrones evidentes, no una frase de instrucción redactada con habilidad. La lectura sigue siendo responsabilidad suya.

!
Qué hace eficaces estos ataques
En todos los casos documentados, el usuario no ejecutó nada por sí mismo. Instaló una skill y después el agente siguió las instrucciones. La popularidad de una skill, su número de descargas o su valoración no dicen nada sobre su contenido: varias skills maliciosas figuraban entre las más descargadas en el momento de los informes.

#El marco que hay que establecer antes de la primera skill

Esta guía presupone que OpenClaw ya está instalado. Si no es así, nuestra guía de instalación con Docker detalla la puesta en marcha, y nuestra presentación de OpenClaw ayuda a decidir si la herramienta le conviene. Antes de añadir la más mínima skill de terceros, compruebe estos cuatro puntos.

Una versión actualizada
Las skills son solo una de las superficies de ataque. Una puerta de enlace antigua sigue siendo vulnerable a fallos corregidos desde entonces, incluido CVE-2026-25253. Actualice y vuelva a ejecutar el diagnóstico.
Una auditoría adecuada
El comando de auditoría integrado señala los ajustes peligrosos: puerta de enlace expuesta, emparejamiento desactivado, herramientas abiertas a todos. Corríjalo todo antes de ampliar el agente.
Una máquina dedicada
No tu puesto de trabajo, ni la máquina que aloja tu gestor de contraseñas o tus claves SSH personales. Una máquina virtual, un mini-PC o un servidor alquilado.
Una necesidad con nombre
Una skill responde a una tarea concreta que ya realizas. Instalar una skill «por si acaso» añade riesgo sin ningún beneficio.
Terminal — estado de la situación antes de cualquier instalación
# Mettre à jour OpenClaw puis vérifier l'installation
openclaw update
openclaw doctor

# Audit de sécurité de la passerelle et de ses réglages
openclaw security audit --deep

# Inventaire des skills déjà présentes et de leurs prérequis
openclaw skills list
openclaw skills check

El inventario quizá le sorprenda: algunas skills entregadas con OpenClaw ya están activas. Dedique tiempo a leer las que no conoce y desactive las que no necesita. El principio es el mismo que en un servidor: cada componente activo debe tener una razón de ser.

#Leer una skill de OpenClaw antes de activarla: el método

El error clásico es instalar primero y leer después. En cuanto una skill está presente en una carpeta cargada por OpenClaw, el agente puede leerla y seguirla. Por tanto, el método consiste en recuperar la skill en una carpeta de cuarentena que la pasarela no supervise, examinarla y solo después moverla. Calcula entre diez y quince minutos para una skill de tamaño razonable. Si la skill es demasiado larga para leerla, eso ya es información.

  1. 01
    Descargar sin activar
    Crea una carpeta de cuarentena fuera de las carpetas cargadas por OpenClaw y sitúate en ella antes de iniciar la herramienta ClawHub. Se instala de forma predeterminada en la subcarpeta skills del directorio actual o del espacio de trabajo detectado: comprueba la ruta que muestra al final. También puedes leer la skill en su página del registro antes de descargar nada.
  2. 02
    Leer SKILL.md completo
    Primero, el encabezado: ¿el nombre corresponde a lo que buscabas?, ¿los requisitos declarados son coherentes con la tarea? Una skill para resumir feeds RSS no necesita tus variables de entorno que contienen claves. Después, el cuerpo, frase por frase, preguntándote en cada instrucción: si el agente hace exactamente esto, ¿qué ocurre en mi máquina?
  3. 03
    Inventariar los archivos
    Enumera todo el contenido de la carpeta, incluidos los archivos ocultos. Cada script, archivo comprimido o binario debe estar justificado por las instrucciones. Un archivo que SKILL.md no menciona nunca es una señal de alarma. Los binarios y archivos comprimidos deben rechazarse: no puedes leerlos.
  4. 04
    Buscar los patrones conocidos
    Descarga seguida de ejecución, decodificación base64, evaluación dinámica de código, elevación de privilegios, direcciones externas, rutas al directorio de configuración o a claves. Los comandos siguientes automatizan esta primera revisión. Busca también caracteres invisibles: las instrucciones pueden estar ocultas en un texto que parece vacío.
  5. 05
    Verificar el autor y el historial
    Fecha de creación de la cuenta, otras publicaciones, versiones sucesivas, repositorio de código citado y correspondiente al contenido descargado. Una skill «oficial» de un servicio conocido publicada por una cuenta anónima es una suplantación hasta que se demuestre lo contrario.
  6. 06
    Decidir y anotar por qué
    Una instrucción que pide ejecutar un script obtenido en línea basta para rechazarlo, aunque todo lo demás esté limpio. Si lo aceptas, conserva una copia de la versión leída: es la que compararás con la próxima actualización.
Terminal — primera pasada sobre una skill en cuarentena
cd ~/quarantaine-skills/nom-de-la-skill

# Tout le contenu, fichiers cachés compris
find . -type f | sort

# Téléchargement + exécution, décodage, évaluation dynamique, droits
grep -rniE 'curl|wget|bash -c|sh -c|base64|eval|chmod \+x|sudo' .

# Toutes les adresses externes citées
grep -rnoE 'https?://[^ )"]+' . | sort -u

# Accès aux secrets et à la configuration de l'agent
grep -rniE '\.openclaw|openclaw\.json|\.ssh|keychain|token|api[_-]?key|password' .

# Caractères invisibles (espaces de largeur nulle, marque d'ordre des octets)
grep -rnP '[\x{200B}\x{200C}\x{200D}\x{2060}\x{FEFF}]' . || echo "Aucun caractère invisible trouvé"

Estos comandos no deciden por usted. Una skill legítima puede citar una dirección externa porque consulta una API pública, o utilizar curl porque esa es su función. La señal está en la diferencia entre lo que anuncia la skill y lo que hace. Un resumen de feeds RSS que lee su archivo de configuración no tiene excusa.

→
Hacer que un modelo lo revise, sin confiar en él
Puedes pedir a un modelo local, en una sesión sin herramientas, que enumere lo que hace la skill y señale lo que excede su descripción. Es una ayuda para no olvidar nada, no un veredicto: el propio modelo puede ser engañado por el texto que está revisando. Tu lectura sigue siendo la decisión.

#Instalar con los mínimos privilegios posibles

Una vez revisada la skill, muévala a la carpeta skills del espacio de trabajo o deje que la herramienta ClawHub la instale en el lugar adecuado. La configuración de OpenClaw, en el archivo openclaw.json de la carpeta ~/.openclaw, permite después desactivarla, proporcionarle una clave específica y restringir las skills entregadas a las que utiliza. Los nombres exactos de estas claves cambian con las versiones: la página de skills de la documentación es la referencia válida.

~/.openclaw/openclaw.json — extracto, que debe adaptar a la documentación de su versión
{
  "skills": {
    "allowBundled": ["nom-de-skill-livree-que-vous-utilisez"],
    "entries": {
      "resume-flux-rss": { "enabled": true },
      "skill-en-cours-de-relecture": { "enabled": false },
      "skill-qui-appelle-un-service": {
        "enabled": true,
        "apiKey": "cle-dediee-a-cet-usage-et-plafonnee"
      }
    }
  }
}
Desactivada de forma predeterminada
Una skill instalada pero aún no revisada, o revisada pero todavía innecesaria, debe desactivarse explícitamente. Una entrada desactivada no se ofrece al modelo.
Claves dedicadas
Si una skill necesita acceso a un servicio, crea una clave reservada para ese uso, con un límite de gasto y el alcance más reducido posible. Nunca tu clave principal, nunca una clave compartida entre skills.
Cuentas dedicadas
La misma lógica se aplica a las cuentas: una skill que lee un calendario o un buzón de correo recibe una cuenta creada para el agente, no la tuya.
Skills incluidas reducidas
Limita la lista de skills suministradas a aquellas que vayas a utilizar. Cuantas menos opciones tenga el modelo, menos palancas tendrá una instrucción engañosa.
Sin actualización automática
No inicie una actualización masiva de todas las skills. Actualice una skill cada vez, compare la nueva versión con la copia que conservó y vuelva a activarla.

Después de cada cambio, vuelve a ejecutar el inventario y el diagnóstico. El comando de comprobación de las skills te dirá si la skill está activa, si se cumplen sus requisitos previos y qué variables espera. Si reclama una variable que no habías previsto, vuelve a leerla.

#Aislar el agente: limitar lo que una skill maliciosa puede alcanzar

Leer reduce la probabilidad de instalar una skill maliciosa. Aislar reduce las consecuencias si te has equivocado. Ambas cosas son necesarias, y la segunda cuenta más que la primera: algún día leerás mal o se te escapará una actualización. El objetivo es que una skill que intente exfiltrar tus secretos no encuentre nada que exfiltrar y que un script que intente instalarse no tenga dónde hacerlo.

Entorno aislado para la ejecución
OpenClaw puede ejecutar las herramientas del agente en un contenedor Docker en lugar de hacerlo directamente en la máquina. De forma predeterminada, este aislamiento se aplica a las conversaciones distintas de la suya; la documentación explica cómo ampliarlo a todas las sesiones. Con un contenedor, un comando malicioso actúa sobre un sistema desechable, no sobre su equipo anfitrión.
Herramientas retiradas
La configuración permite prohibir herramientas a un agente. Si ninguna de tus skills necesita el navegador ni escribir archivos fuera del espacio de trabajo, retíralas. Una skill no puede utilizar una herramienta que el agente no tenga.
Cuenta de sistema dedicada
La puerta de enlace se ejecuta con un usuario que no tiene acceso a sus claves SSH, sus documentos ni los permisos de administración. Los montajes de Docker solo dan acceso a la carpeta ~/.openclaw.
Red cerrada
La puerta de enlace sigue escuchando localmente, en 127.0.0.1 y el puerto 18789 de forma predeterminada, y el acceso remoto pasa por un túnel SSH o una VPN. Si el cortafuegos lo permite, limite también las conexiones salientes del agente a los servicios a los que realmente deba conectarse: una exfiltración necesita una salida.
Modelo capaz
Un modelo que comprende bien las instrucciones resiste mejor las que son engañosas. En local, esto significa un modelo de al menos 14 mil millones de parámetros, es decir, aproximadamente 9 GB de VRAM en Q4_K_M, con un contexto amplio. Nuestra guía sobre OpenClaw con Ollama detalla esta elección.
!
El entorno aislado no protege los secretos del agente
Un contenedor aísla la máquina anfitriona. No aísla aquello que el agente tiene permiso para leer por diseño: sus archivos de memoria, las claves que se le han confiado y los servicios de mensajería a los que está conectado. Una skill maliciosa aún puede hacer que el propio agente envíe esos elementos mediante una herramienta legítima. De ahí la necesidad de claves específicas y con límites, cuentas separadas y una revisión periódica de la memoria.

Si el agente se conecta a herramientas externas mediante el protocolo MCP, se aplican las mismas reglas a cada servidor MCP: lectura antes de la activación, privilegios mínimos, aislamiento. Nuestra guía sobre el servidor Ollama y nuestro análisis del Top 10 de OWASP para los LLM ofrecen el marco general de estas medidas.

#Supervisar, retirar, denunciar

Una skill instalada no es algo adquirido de una vez por todas. Tres hábitos limitan las sorpresas. El primero: revisar de vez en cuando los archivos de memoria y de instrucciones del espacio de trabajo, que son simples archivos Markdown. Hay que entender una línea que no hayas escrito y después eliminarla. El segundo: revisar los registros de la pasarela después de añadir una skill, para comprobar que los comandos ejecutados y las direcciones contactadas corresponden a lo que esperabas. El tercero: repetir la auditoría de seguridad después de cada cambio de configuración.

Terminal — eliminar una skill y empezar de cero
# 1. Désactiver la skill dans ~/.openclaw/openclaw.json (enabled: false),
#    puis supprimer son dossier
rm -rf ~/.openclaw/workspace/skills/nom-de-la-skill

# 2. Redémarrer la passerelle et vérifier l'inventaire
openclaw gateway restart
openclaw skills list

# 3. Relire la mémoire et les consignes de l'espace de travail
ls -la ~/.openclaw/workspace

# 4. Refaire l'audit
openclaw security audit --deep

Si descubres después que una skill estaba manipulada, considera comprometido todo lo que el agente podía alcanzar: revoca y vuelve a crear las claves de API que tuviera, cambia las contraseñas de las cuentas que le hubieras confiado y examina la máquina anfitriona si el agente se ejecutaba sin aislamiento. Después, denuncia la skill en el registro y, si sirvió para ejecutar un script malicioso, informa también a los equipos que siguen estas campañas: todos los informes citados anteriormente comenzaron con denuncias.

→
Escribir tus propias skills
Para una tarea sencilla, escribir uno mismo un SKILL.md de veinte líneas suele ser más rápido que revisar una skill de terceros de trescientas líneas. Conoce cada instrucción, no hay scripts ni dependencias, y la actualización no depende de nadie. El formato está documentado y un modelo local puede ayudarle a redactar una primera versión, que después revisará.

#Fuentes

Esta guía no contiene ninguna medición propia. Los comandos y las claves de configuración proceden de la documentación de OpenClaw, que evoluciona rápidamente: en caso de discrepancia, prevalece dicha documentación. Las conclusiones sobre las skills maliciosas proceden de los siguientes informes, consultados para esta redacción; los informes de Koi Security y Snyk están publicados en los blogs de ambas empresas.

Documentación de OpenClaw: las skills
https://docs.openclaw.ai/tools/skills
Documentación de OpenClaw: el registro ClawHub
https://docs.openclaw.ai/tools/clawhub
Documentación de OpenClaw: seguridad de la pasarela
https://docs.openclaw.ai/gateway/security
Kaspersky (Securelist): análisis de la seguridad de OpenClaw
https://securelist.com/openclaw-security/120484/
Cisco: los agentes de IA personales como OpenClaw, una pesadilla de seguridad
https://blogs.cisco.com/ai/personal-ai-agents-like-openclaw-are-a-security-nightmare
Ficha de la vulnerabilidad CVE-2026-25253
https://nvd.nist.gov/vuln/detail/CVE-2026-25253

#Para ir más allá

Las skills son solo una pieza de la seguridad de un agente local. Estas guías del sitio cubren el resto del panorama:

Inyección de prompt: la ejecución local no te protege
El mecanismo por el que un texto leído por el modelo se convierte en una instrucción, y por qué ejecutar el modelo en casa no basta. https://quelllm.fr/guide/injection-de-prompt-llm-local
OWASP Top 10 LLM: cómo proteger tu IA local en la empresa
El marco de los diez riesgos propios de las aplicaciones basadas en LLM, entre ellos la cadena de suministro y el exceso de autonomía de los agentes. https://quelllm.fr/guide/owasp-top-10-llm-securite-locale
Proteger tu servidor Ollama
Autenticación, proxy inverso y exposición: las medidas del lado del modelo, complementarias de las del lado del agente. https://quelllm.fr/guide/securiser-serveur-ollama
MCP: ¿qué es?
El protocolo que conecta un modelo con herramientas externas y lo que implica cada servidor añadido. https://quelllm.fr/guide/mcp-c-est-quoi-model-context-protocol
OpenClaw: qué es y si conviene instalarlo
La presentación del proyecto, sus requisitos previos y los riesgos generales, para decidir antes de instalarlo. https://quelllm.fr/guide/openclaw-c-est-quoi
¿Esta guía te ha ayudado?

¿Un comentario, un error, una precisión? Avísanos, eso mejora la guía para todos.