OpenClaw skills: guía, uso y riesgos

Última actualización: 5 de noviembre, 2026

¿Qué son los OpenClaw skills? Los OpenClaw skills son carpetas de instrucciones en markdown, cada una construida en torno a un archivo SKILL.md, que enseñan al agente OpenClaw cómo y cuándo usar sus herramientas. Los instalas desde ClawHub, el registro público, o escribes los tuyos. Como un skill se ejecuta con la autoridad del propio agente, elegir uno es una decisión de seguridad además de funcional.

TL;DR: puntos clave

• OpenClaw carga los skills en 7 niveles de prioridad, y un skill del workspace gana a uno incluido con el mismo nombre (documentación de OpenClaw).
• Un solo comando instala un skill de ClawHub, openclaw skills install @owner/<slug>, y openclaw skills verify comprueba su sobre de confianza (documentación de la CLI).
• El repositorio de OpenClaw lista 50 carpetas de skills incluidos, así que empieza por ahí antes de añadir skills de la comunidad (OpenClaw en GitHub).
• Koi Security auditó 2.857 skills de ClawHub en febrero de 2026 y encontró 341 maliciosos (The Hacker News, 2026).
• Otros cinco skills maliciosos, reportados el 23 de junio de 2026, habían superado el escaneo automático de ClawHub (Cloud Security Alliance, 2026).
• ClawHub muestra 1 de 6 estados de auditoría por versión, y su documentación aclara que un Pass no es una garantía (documentación de ClawHub).

De un vistazo: qué saber antes de instalar un skill

Respuesta rápida

¿Cómo usas los OpenClaw skills con seguridad?

Instala los skills desde ClawHub con openclaw skills install @owner/<slug>. Lee antes el SKILL.md y la auditoría de seguridad, y da a cada agente solo los skills que necesita mediante una lista de permitidos. Ejecuta OpenClaw en un sandbox. Trata cada skill de terceros como código no confiable, porque se ejecuta con la autoridad del agente.

Cómo lo investigamos

El 5 de noviembre de 2026 leímos la documentación de OpenClaw sobre skills, ClawHub, la CLI y las auditorías de seguridad, listamos los skills incluidos en el repositorio y revisamos la investigación de seguridad de 2026 sobre ClawHub. Los criterios de selección y la checklist son una síntesis nuestra.

¿Qué son los OpenClaw skills y en qué se diferencian de los plugins y de MCP?

Los OpenClaw skills son archivos de instrucciones en markdown que enseñan al agente cómo y cuándo usar herramientas. Cada skill vive en su propio directorio, con un archivo SKILL.md que tiene frontmatter YAML y un cuerpo en markdown. Se diferencian de los plugins, que añaden código, y de los servidores MCP, que exponen herramientas que el agente puede llamar.

Un skill puede hacer mucho daño. Indica al agente qué herramientas llamar y qué ejecutar, así que un skill malicioso toma prestadas la shell, los archivos y las sesiones abiertas del agente. Los plugins también pueden incluir sus propios skills, y OpenClaw sigue la especificación AgentSkills, por eso la misma idea aparece en nuestras guías de skills de Claude Code y de skills de ChatGPT.

De Clawdbot a OpenClaw: en qué punto está el proyecto

Según Wikipedia (2026), el proyecto nació en noviembre de 2025 como Warelay y pasó a llamarse Clawdbot, luego Moltbot el 27 de enero de 2026 y OpenClaw tres días después. El 14 de febrero de 2026, su creador, Peter Steinberger, anunció que se unía a OpenAI y que una fundación sin ánimo de lucro, OpenClaw Foundation, se encargaría del proyecto. La versión estable 2.0 es la v2026.8.1.

Los tutoriales antiguos siguen usando el nombre Clawdbot. Una guía que mencione metadata.clawdbot o una carpeta .clawdhub es anterior a julio de 2026. Nuestra guía de alternativas a OpenClaw explica por qué los equipos cambian, y la historia de Moltbook cuenta la red de agentes detrás del bombo.

Cómo funciona un skill: SKILL.md, requisitos y orden de carga

Un skill es una carpeta con un archivo SKILL.md. OpenClaw lee el frontmatter, comprueba si el skill es elegible en la máquina actual y añade los elegibles al prompt del agente como un catálogo compacto. El agente lee las instrucciones completas solo cuando una tarea las necesita. La elegibilidad depende de binarios, variables de entorno, configuración y sistema operativo.

Anatomía de un SKILL.md

Todo skill necesita un name y una description. La documentación aconseja un nombre en minúsculas con dígitos y guiones, y una descripción de una línea de menos de 160 caracteres. Las claves opcionales de metadata.openclaw deciden si el skill está listo para ejecutarse:

Si un skill está instalado pero el agente no lo usa, openclaw skills check separa inventario, preparación y visibilidad, e indica el requisito que falta.

Dónde busca OpenClaw los skills

Cuando el mismo nombre de skill aparece en varios sitios, gana la fuente de mayor prioridad. OpenClaw encuentra un skill allí donde aparezca un SKILL.md bajo una raíz configurada, hasta 6 niveles de profundidad, y la ruta de la carpeta solo sirve para organizar.

Cómo encuentra y llama el agente a un skill

El prompt lleva un catálogo acotado de skills elegibles. Desde la v2026.10.1, los skills que quedan fuera de ese catálogo siguen siendo descubribles con skills_search, y el agente carga un SKILL.md completo con skills_read. Buscar no instala nada ni da permiso para ejecutar los comandos de un skill.

También puedes llamar a los skills tú mismo. Escribe $ en el compositor de la Control UI para elegir uno, o referencia hasta ocho skills en un mismo mensaje, como Use $github and $release_notes. En los canales de chat, /skill-name sigue siendo la forma de comando independiente. Un skill con disable-model-invocation: true queda fuera del prompt normal del modelo, pero una referencia explícita sigue invocándolo.

Instalar skills desde ClawHub: los comandos que funcionan

ClawHub es el registro público de OpenClaw para skills y plugins. Busca con openclaw skills search, instala con openclaw skills install @owner/<slug> y actualiza con openclaw skills update --all. Las instalaciones van por defecto a la carpeta de skills del workspace activo, y la opción --global comparte un skill con todos los agentes locales de la máquina.

Qué cambió en 2026 y por qué fallan los tutoriales antiguos

OpenClaw ya no lee el bloque metadata.clawdbot anterior a julio de 2026. Renómbralo a metadata.openclaw y conserva tus requisitos y campos de instalación, o las comprobaciones de dependencias se ignoran. Lo mismo ocurre con la antigua carpeta de metadatos .clawdhub, que hay que renombrar a .clawhub antes de actualizar o verificar skills.

Los plugins usan un comando distinto al de los skills. Según la documentación de ClawHub (2026), las versiones de OpenClaw hasta la 2026.10.4 necesitan el prefijo clawhub:<package> para instalar un plugin desde ClawHub, por ejemplo openclaw plugins install clawhub:<package>. Los skills usan la forma @owner/<slug> de arriba.

Git, carpetas locales y skills.sh

Las instalaciones desde Git y desde carpetas locales esperan un SKILL.md en la raíz de origen, y el slug sale del name del frontmatter. openclaw skills update solo sigue las instalaciones de ClawHub, así que reinstala las fuentes de Git y locales para refrescarlas. Las instalaciones con skills-sh:owner/repo/slug aparecen como Not scanned by ClawHub, así que trátalas como cualquier repositorio sin revisar.

Verificar antes de confiar

openclaw skills verify @owner/<slug> pide a ClawHub el sobre de confianza del skill y termina con código distinto de cero si la verificación falló. Añade --card para imprimir la Skill Card generada. Las páginas de ClawHub también muestran el último estado de escaneo antes de instalar, con detalle de VirusTotal, ClawScan y análisis estático. Usa referencias con propietario para que un slug suelto no apunte a otro publicador.

Con qué skills empezar y cómo elegir

Empieza por los skills que incluye OpenClaw, porque vienen del repositorio del propio proyecto, y añade skills de la comunidad solo cuando uno incluido no cubra la tarea. A 5 de noviembre de 2026, la carpeta de skills del repositorio lista 50 skills incluidos, desde github, notion y obsidian hasta weather, summarize y tmux.

No publicamos un ranking de "mejores skills", porque las descargas y las estrellas no son señales de seguridad. Según la Cloud Security Alliance (2026), IBM X-Force encontró que varios skills maliciosos llegaron a ser de los más descargados de ClawHub antes de su retirada. Lo que importa es a qué puede acceder cada skill.

La agrupación es nuestra y se basa en los nombres de los skills, así que lee cada SKILL.md para confirmar qué toca. El skill coding-agent es opt-in: lo activas en la configuración y necesitas una CLI de código autenticada, como claude, codex u opencode.

Cómo evaluar un skill de la comunidad

Un skill es un paquete de instrucciones y scripts de un desconocido. Revisa estas señales antes de instalar uno:

Escribir tu propio skill

Puedes escribir un skill en unos cinco minutos. Crea una carpeta, añade un SKILL.md con un nombre, una descripción e instrucciones, y comprueba que se carga. Los skills propios evitan el problema de la cadena de suministro, porque sabes quién los escribió.

Crea la carpeta dentro de tu workspace, por ejemplo ~/.openclaw/workspace/skills/hello-world, y escribe el SKILL.md. Ejecuta openclaw skills list para confirmar que se cargó. OpenClaw vigila por defecto los archivos de skills, pero una sesión existente puede necesitar /new o reiniciar el gateway para ver el cambio.

Skill Workshop, que se describe en las notas de la versión v2026.8.1, va un paso más allá. Permite que un agente guarde y actualice sus propios skills en una carpeta por agente, con cada cambio anunciado y la versión anterior guardada para poder deshacerlo. En un Gateway compartido, los skills personales se guardan como revisiones inmutables, y un paquete gestionado se limita a 256 archivos, 1 MiB por archivo y 8 MiB en total.

Seguridad de los OpenClaw skills: qué salió mal en 2026

ClawHub fue en 2026 un canal recurrente de malware. Koi Security halló 341 skills maliciosos entre 2.857 auditados en febrero, y Unit 42 reportó otros cinco el 23 de junio que habían superado el escaneo. El patrón se repite: un skill útil, un falso requisito previo y una carga que se ejecuta con acceso completo.

Cómo funcionaron los primeros ataques

Según The Hacker News (2026), 335 de los 341 skills maliciosos usaban falsos requisitos previos para instalar el Atomic macOS Stealer. La documentación parecía profesional y luego pedía al usuario descargar un archivo en Windows o pegar un script en Terminal en macOS. Los skills se hacían pasar por herramientas cripto, utilidades de YouTube, autoactualizadores y ayudantes de Google Workspace.

ClawHub es abierto por defecto. Cuando Koi publicó, la única barrera era una cuenta de GitHub con al menos una semana de antigüedad. La documentación de ClawHub dice ahora que el publicador necesita una cuenta lo bastante antigua para pasar un filtro de subida, pero cualquiera sigue pudiendo publicar.

El cambio de 2026: evasión y abuso agéntico

En junio, los atacantes ya se habían adaptado al escaneo. Según la Cloud Security Alliance (2026), un skill rellenó su paquete hasta unos 22 megabytes para que los escáneres con umbrales de tamaño de archivo lo saltaran. Otros dos no usaron malware en absoluto. Usaron lo que Unit 42 llamó inyección de afiliados en tiempo de ejecución y front-running, donde el skill dirige las propias acciones del agente en beneficio económico del atacante.

El informe de Unit 42 describe un caso. El skill indicaba al agente que descargara una lista de productos de un archivo remoto en cada ejecución y que usara siempre los enlaces de afiliado que contenía. El publicador podía cambiar ese archivo en cualquier momento. Un escáner que busca firmas de malware no encuentra nada en un skill así, porque el daño está en las instrucciones.

Por qué no basta con el escaneo del marketplace

El escaneo de un marketplace detecta malware conocido, pero no puede juzgar todas las instrucciones que un agente podría seguir. Un skill se ejecuta con los privilegios del agente, así que uno malo no necesita exploit. Los escáneres se evaden, como mostró el relleno de 22 megabytes, y el abuso de instrucciones no deja firma que detectar.

La propia documentación de ClawHub es franca al respecto. Las auditorías combinan tres entradas: SkillSpector, el escáner A.I.G y un análisis de riesgo. La documentación las llama señales de seguridad fuertes, pero no una garantía de que una versión esté libre de riesgo.

Hay una segunda brecha. Según la Cloud Security Alliance (2026), IBM X-Force encontró que las divulgaciones sobre OpenClaw van más rápido que la asignación de CVE. Muchos problemas de skills nunca llegan, por tanto, a los escáneres de vulnerabilidades en los que confían las empresas. La nota de la CSA recomienda tratar cada instalación de un skill como un evento de ejecución de código sin revisar.

Checklist de instalación segura para skills

Una rutina de instalación segura combina revisión antes de instalar, límites sobre lo que cada agente puede cargar y contención en ejecución. OpenClaw tiene controles para cada paso, y ninguno depende de que el marketplace esté limpio. Aplícalos en este orden, empezando por el más barato.

Dos detalles importan. La inyección de variables de entorno y claves de API se aplica al proceso del host durante ese turno del agente, no a un sandbox. Y un Gateway compartido sigue siendo un único dominio de confianza: los skills asociados a una sesión son entradas de esa sesión, no un almacén de secretos.

Señales de alerta que deben frenar una instalación

No instales un skill que te pida ejecutar un comando de terminal o descargar un archivo antes de funcionar. Desconfía de comandos de shell ofuscados, de instrucciones que descargan otras instrucciones de dominios externos, de bytecode de Python incluido y de credenciales no declaradas. El propio ClawHub rechaza hoy los skills que contienen archivos .pyc, .pyo o .pyd, porque su escáner no puede inspeccionarlos.

Seguridad y gobernanza: controla a qué pueden acceder los skills

Los skills combinan tres grandes riesgos de los agentes: instrucciones no confiables, mal uso de herramientas y fuga de datos. OWASP agrupa la cadena de suministro y el abuso de herramientas entre sus riesgos agénticos, como muestra ClawHub. Tus controles deben resistir aunque un skill sea malicioso: limita a qué puede acceder el agente.

NeuralTrust lo aborda como una Runtime Security Mesh. El Agent Gateway (TrustGate) enruta el tráfico de modelos y herramientas por un único punto de política. Su MCP Gateway te permite decidir a qué herramientas accede cada agente, con permisos por rol y límites de lectura o escritura, y registra qué modelo accedió a qué herramienta. Agent Runtime Security (TrustGuard) inspecciona las interacciones del agente en tiempo real, incluidas las respuestas de herramientas, y aplica protección frente a prompt injection más detección de PII y secretos.

Ese alcance importa. Un gateway gobierna el tráfico de modelos y herramientas que pasa por él. Un agente OpenClaw que envía sus llamadas MCP y sus peticiones al modelo por TrustGate obtiene acceso a herramientas con mínimo privilegio y un rastro de auditoría. Un skill que ejecuta un comando local de shell o edita archivos locales sigue necesitando el sandbox y los controles de salida de arriba. Las dos capas se complementan.

El OWASP Top 10 for Agentic Applications 2026 es el marco al que mapear estos riesgos, y nuestra checklist de buenas prácticas de seguridad MCP cubre el lado del servidor. El mismo patrón aparece en otro agente de rápido crecimiento, como muestra nuestro análisis de la seguridad de Hermes Agent. Puedes empezar con el plan Free, que incluye 100.000 solicitudes al mes.

¿Qué configuración deberías elegir?

Ajusta tus controles a lo que el agente puede alcanzar. Un asistente personal en una máquina de repuesto necesita límites distintos que un agente conectado a repositorios de la empresa. Cuantas más credenciales tenga un agente, más debes apoyarte en listas de permitidos y aislamiento, y no en veredictos del marketplace.

Conclusión

Los OpenClaw skills son la forma más rápida de ampliar el agente y la más fácil de darle las instrucciones de un desconocido. Usa primero los skills incluidos, lee los de la comunidad antes de instalarlos, verifica cada uno, limita a cada agente con una lista de permitidos y ejecuta OpenClaw en un sandbox. Los incidentes de 2026 muestran que los escaneos del registro detectan malware conocido, pero no toda evasión ni todo abuso agéntico, así que tus propios controles son el verdadero límite.

Protege los OpenClaw skills en producción con NeuralTrust

Controla a qué herramientas acceden tus agentes, inspecciona cada interacción en ejecución y conserva un rastro de auditoría, empezando gratis con 100.000 solicitudes al mes.

Comparativas relacionadas

• Alternativas a OpenClaw
• OpenClaw y Moltbook
• Skills de Claude Code
• Mejores skills de ChatGPT

Preguntas frecuentes sobre OpenClaw skills

1. ¿Qué son los OpenClaw skills?

Los OpenClaw skills son carpetas de instrucciones en markdown construidas en torno a un archivo SKILL.md con frontmatter YAML. Enseñan al agente cómo y cuándo usar sus herramientas. OpenClaw carga los skills incluidos y los tuyos, y los filtra por binarios, variables de entorno, configuración y sistema operativo antes de que el agente los vea.

2. ¿Cómo instalo OpenClaw skills?

Ejecuta openclaw skills install @owner/<slug> para instalar un skill de ClawHub en el workspace activo, o añade --global para compartirlo con todos los agentes locales. También puedes instalar desde git:owner/repo@ref o una carpeta local. Después, ejecuta openclaw skills verify @owner/<slug> y openclaw skills check para confirmar confianza y elegibilidad.

3. ¿Dónde guarda OpenClaw los skills?

Los skills del workspace viven en <workspace>/skills, los de agente del proyecto en <workspace>/.agents/skills, los personales en ~/.agents/skills y los gestionados en la carpeta skills del directorio de estado. Los incluidos vienen con la instalación y los directorios extra salen de la configuración. Si hay colisión de nombres, gana la fuente de mayor prioridad.

4. ¿Son seguros los OpenClaw skills?

No por defecto. Los skills se ejecutan con la autoridad del agente, y la investigación de 2026 encontró cientos de skills maliciosos en ClawHub, algunos de los cuales superaron el escaneo automático. La documentación de OpenClaw dice que trates los skills de terceros como código no confiable, que los leas antes de activarlos y que prefieras ejecuciones en sandbox. Los skills incluidos y los propios son menos arriesgados.

5. ¿Qué diferencia hay entre los OpenClaw skills y los plugins?

Los skills son instrucciones en markdown que enseñan al agente a usar herramientas que ya tiene. Los plugins son paquetes de código que añaden capacidades, y pueden incluir sus propios skills. Ambos están en ClawHub, pero los plugins se instalan con openclaw plugins install y, en versiones hasta la 2026.10.4, necesitan el prefijo clawhub:.

6. ¿Cómo creo un OpenClaw skill propio?

Crea una carpeta como ~/.openclaw/workspace/skills/hello-world, añade un SKILL.md con un name en minúsculas, una description de una línea de menos de 160 caracteres y tus instrucciones, y ejecuta openclaw skills list. Si el agente no lo ve, inicia una sesión nueva con /new. Skill Workshop también puede redactar skills por ti.

7. ¿Puedo restringir qué skills puede usar un agente?

Sí. Define agents.defaults.skills para una base compartida y agents.entries.<id>.skills por agente, y una lista vacía deja al agente sin skills. Las listas de permitidos controlan la visibilidad, algo distinto de dónde esté instalado un skill. También puedes definir skills.allowBundled para que solo sean elegibles los skills incluidos que listes.

Sobre el autor

Roger Howroyd es Head of Global SEO and AI en NeuralTrust, donde dirige la estrategia de búsqueda de la compañía en SEO, AEO, GEO y optimización para LLM. Está especializado en búsqueda impulsada por IA, estrategia de contenidos y SEM. Conecta con él en LinkedIn.

NeuralTrust es la plataforma líder para proteger y escalar agentes de IA. Nombrada pionera en el Gartner Emerging Market Quadrant for AI Application Security 2026, reconocida en cuatro informes Gartner Hype Cycle en 2026 y destacada en la Gartner Market Guide for Guardian Agents 2026, la Gartner Market Guide for AI Gateways 2025 y el KuppingerCole Leadership Compass for Generative AI Defense 2025. Con sede en Barcelona y oficinas en Londres y Nueva York. Certificada ISO 27001.

Fuentes

Consultadas el 5 de noviembre de 2026.

1. OpenClaw Docs, "Skills".
2. OpenClaw Docs, "ClawHub".
3. OpenClaw Docs, "Skill format".
4. OpenClaw Docs, "Security Audits".
5. OpenClaw Docs, referencia de la CLI "openclaw skills".
6. OpenClaw Docs, "v2026.8.1: Skills", 2026.
7. OpenClaw en GitHub, carpeta "skills".
8. Cloud Security Alliance AI Safety Initiative, "ClawHub Under the Microscope: Agentic AI Supply Chain Risk", 7 de julio de 2026.
9. The Hacker News, "Researchers Find 341 Malicious ClawHub Skills Stealing Data from OpenClaw Users", 2 de febrero de 2026.
10. Wikipedia, "OpenClaw".