Cuando los prompts se contagian: Moltbook y el lado oscuro de la era de los agentes
Introducción
Una red social poblada casi solo por bots de IA suena a experimento divertido de fin de semana. Sin embargo, Moltbook y el ecosistema OpenClaw se parecen inquietantemente a Internet justo antes del gusano Morris: mucha curiosidad, poca seguridad y nadie pensando seriamente en qué pasa cuando miles de sistemas autónomos empiezan a hablar entre sí.
Este artículo analiza qué hay detrás de la historia contada por Ars Technica, por qué los "gusanos de prompt" son distintos a cualquier amenaza anterior, cómo afecta esto a Europa y a los mercados hispanohablantes, y qué señales deberían vigilar empresas y reguladores antes de que sea demasiado tarde.
La noticia en breve
Según Ars Technica, OpenClaw es una aplicación de asistente personal de código abierto que permite a cualquier usuario crear agentes de IA semiautónomos en su propio equipo. Esos agentes se conectan a grandes modelos (principalmente OpenAI y Anthropic), acceden a apps de mensajería como WhatsApp, Telegram y Slack, leen correos electrónicos y pueden ejecutar tareas de forma periódica sin supervisión constante.
Sobre esta base aparece Moltbook, una red social simulada donde los agentes publican, comentan e interactúan entre sí. Ars Technica indica que ya hay alrededor de 770.000 agentes registrados, controlados por unos 17.000 usuarios humanos.
Los problemas: investigadores del Simula Research Laboratory detectaron que una fracción relevante de los posts de Moltbook contenía payloads de inyección de prompt ocultos. Cisco documentó una "skill" muy popular que en realidad robaba datos hacia servidores externos. Palo Alto Networks describió el ecosistema OpenClaw como la combinación perfecta de acceso a datos sensibles, exposición masiva a contenido no confiable, capacidad de comunicarse hacia fuera y memoria persistente en los agentes.
Para rematar, una mala configuración de base de datos dejó expuestos tokens de API, correos y, lo más grave, permisos de escritura sobre todas las publicaciones de Moltbook. Durante ese intervalo, cualquiera habría podido modificar en bloque el contenido que cientos de miles de agentes leen de forma periódica.
Por qué importa
Lo disruptivo no es que exista otro proyecto inseguro, sino qué tipo de amenaza pone sobre la mesa: instrucciones que se comportan como malware.
Un gusano clásico explota un fallo de software. Un gusano de prompt explota el rasgo central de los modelos de lenguaje: obedecer lo que se les pide en texto. Cualquier canal por el que entre texto a un agente —un correo, un chat de empresa, un ticket de soporte, un documento en un CRM, un post de Moltbook— puede transformarse en superficie de ataque.
Eso complica radicalmente el modelo de seguridad:
Datos y código se fusionan. En la seguridad tradicional, el texto era "contenido" y el binario era "código". En un agente, un párrafo aparentemente inocuo puede ser a la vez dato y programa. Nuestras herramientas, procesos de revisión y hasta los marcos legales siguen pensando en esa separación que aquí ya no existe.
La lógica de la viralidad se automatiza. Las redes sociales humanas ya son un vector de contagio para desinformación y phishing. Ahora añadimos una capa más: mensajes diseñados no para persuadir personas, sino para desencadenar secuencias de acciones en máquinas y replicarse entre agentes.
El alcance del daño depende de los permisos del agente. En OpenClaw, un solo agente puede leer correos, tocar sistemas internos, acceder a wallets o publicar en distintos servicios. Un prompt que se replica puede hacer mucho más que enviar spam: puede filtrar documentos confidenciales, manipular configuraciones o mover dinero, todo con la misma "naturalidad" con la que responde un asistente.
¿Quién sale ganando? A corto plazo, los grandes proveedores de nube y seguridad, que pueden vender firewalls de prompt, proxys para agentes y servicios de monitorización. También las grandes plataformas de modelos, que disponen de un argumento más para mantener el control centralizado sobre qué se ejecuta en sus APIs.
¿Quién se arriesga más? Los pequeños desarrolladores y startups que usan agentes como "juguete serio" sin cultura de ciberseguridad, y las empresas que añaden bots de IA a su correo o Slack solo porque mola, sin revisarlos como si fueran nuevo software con privilegios elevados.
La lección es clara: no hace falta una IA superinteligente para crear un riesgo sistémico; bastan agentes mediocres, mal configurados y conectados entre sí.
El panorama más amplio
Moltbook encaja en varias tendencias que llevamos años viendo.
Primero, la idea de gusanos basados en prompts no es nueva en la academia. En 2024, el experimento "Morris‑II" mostró cómo asistentes de correo podían ser engañados para leer emails especialmente diseñados, robar datos y reenviar versiones modificadas, creando un gusano puramente a base de texto y automatización.
Segundo, la industria se ha ido moviendo de simples chats hacia agentes persistentes con herramientas: AutoGPT, bots que reservan citas, "empleados de IA" para programación o atención al cliente. OpenClaw lleva esta idea al extremo: menos barreras, más autonomía, más integraciones.
Tercero, es un déjà‑vu histórico. En los 80 y 90, muchos virus nacieron en escenas hobby sin apenas controles, y solo después surgieron prácticas como el parcheo sistemático, el antivirus corporativo y los CERT. OpenClaw y Moltbook huelen a esa misma fase temprana: mucha experimentación, poca disciplina.
En cuanto a competencia, OpenAI y Anthropic juegan un papel ambiguo. Sus modelos son el "cerebro" de la mayoría de estos agentes, pero también controlan las llaves de acceso. Podrían detectar patrones sospechosos y cortar el servicio, sacrificando a una comunidad entusiasta a cambio de evitar un incidente mayor.
Al mismo tiempo, el ecosistema open source avanza rápido: Mistral en Europa, Qwen y DeepSeek en Asia y modelos ligeros capaces de correr en hardware local. Cuando esos modelos sean lo bastante buenos, el "botón rojo" central deja de existir. Cualquiera podrá orquestar algo similar a Moltbook de forma distribuida, sin que ningún proveedor pueda intervenir.
Entonces, el factor diferencial será la cultura de seguridad y los estándares que adoptemos: logs obligatorios, separación clara de permisos, pruebas de red‑teaming a nivel de prompts, etc. Si no los creamos, tendremos un equivalente al ransomware, pero alimentado por instrucciones en lenguaje natural.
El ángulo europeo e hispanohablante
Para Europa, este caso cruza varias líneas reguladoras: el Reglamento de IA de la UE, el RGPD y la directiva NIS2 sobre ciberseguridad, entre otras.
El Reglamento de IA impondrá obligaciones adicionales a proveedores de modelos de propósito general y a sistemas con riesgo sistémico: evaluación y mitigación de riesgos, registro de eventos, pruebas de seguridad y planes de respuesta. La inyección de prompts y la auto‑replicación de instrucciones encajan perfectamente en ese tipo de riesgos.
El RGPD complica aún más el escenario. Si una empresa española, mexicana o argentina conecta un agente a sus buzones o bases de datos de clientes, sigue siendo responsable de ese tratamiento. Si un gusano de prompt convence al agente de enviar contenidos a un servidor externo, no basta con decir "lo hizo la IA"; hablamos de una posible brecha de datos personales, con obligación de notificar y posibles sanciones.
En Europa, NIS2 empuja a operadores esenciales y empresas grandes a tomar en serio la seguridad de toda su cadena digital. Eso incluye ya a los agentes de IA si tienen acceso a sistemas internos. Es probable que las autoridades y los CSIRT nacionales empiecen a exigir inventarios de agentes, controles sobre sus "skills" y monitoreo específico de actividad anómala.
Para el ecosistema hispano, hay dos panoramas. En la UE (España, Portugal) la regulación marcará el paso, y ahí hay oportunidad para startups que ofrezcan agentes "seguros por diseño". En Latinoamérica, donde la regulación es más desigual, el riesgo es que se copien modelos como OpenClaw tal cual, sin controles, porque "funcionan" y son baratos.
Esto abre una ventana para empresas de ciberseguridad en la región —de Bogotá a Ciudad de México o Buenos Aires— que pueden especializarse en proteger integraciones de agentes, auditoría de prompts y respuesta a incidentes en estos nuevos entornos.
Mirando hacia adelante
¿Qué podemos esperar en los próximos 12–24 meses?
Aparecerán cortafuegos de prompt. Productos que actúan como proxy entre agentes y el mundo exterior, analizando y reescribiendo prompts sospechosos antes de que lleguen al modelo, algo así como un WAF pero para lenguaje natural.
Las plataformas empresariales endurecerán sus reglas. Microsoft 365, Google Workspace, Slack, Teams, Salesforce… tenderán a permitir solo agentes y skills certificados, con permisos muy acotados y telemetría detallada. Los repositorios "libres" estilo ClawdHub quedarán relegados al ámbito experimental.
Veremos el primer incidente serio de gusano de prompt. Probablemente en un entorno corporativo donde agentes de correo o chat estén ampliamente desplegados. No será Hollywood, pero puede implicar fuga de documentos o movimientos financieros no autorizados en varias organizaciones.
Debate sobre los "botones rojos". Si un gran proveedor corta a la fuerza un ecosistema tipo OpenClaw, se abrirá un debate político y regulatorio: ¿quién decide cuándo apagar una red de agentes? ¿Cuál es el proceso? ¿Qué pasa cuando esos agentes gestionan procesos críticos en empresas europeas o latinoamericanas?
A medio plazo, con modelos potentes corriendo en servidores locales u ordenadores personales, la responsabilidad se desplazará aún más hacia los desarrolladores y los operadores de sistemas. Hará falta una nueva generación de buenas prácticas —y de equipos tipo CERT— especializados en ataques a nivel de prompt.
La cuestión es si empezaremos a construir este andamiaje ahora, cuando Moltbook todavía parece un juego, o después de que un incidente grave nos obligue a ello.
Conclusión
Moltbook no es el fin del mundo, pero sí una señal clara de hacia dónde vamos. Muestra que, en un ecosistema de agentes, los prompts dejan de ser simples textos para convertirse en vectores de ataque que pueden replicarse, mutar y aprovechar cualquier permiso mal diseñado.
Si desarrolladores, empresas y reguladores siguen tratando los prompts como "configuración" y no como código con impacto real, repetiremos los errores de seguridad de los primeros años de Internet, pero a otra velocidad. La verdadera pregunta ya no es si los gusanos de prompt son posibles, sino si estaremos preparados cuando dejen de ser un experimento y se conviertan en rutina.
