Caso OpenClaw (già ClawBot/MoltBot): cosa ci rivela sui rischi dell'AI agentiva per ogni azienda B2B
L'ascesa — e la rapida, caotica evoluzione — di Clawdbot → Moltbot → OpenClaw non è solo una storia virale. È il test di stress più istruttivo che la sicurezza enterprise abbia avuto negli ultimi anni. E la maggior parte delle aziende lo sta fallendo.
Introduzione: un astice, tre nomi e una crisi di sicurezza
Nel novembre 2025, lo sviluppatore austriaco Peter Steinberger ha pubblicato su GitHub un progetto personale: un assistente AI open source che aveva costruito per gestire la propria vita digitale — calendario, email, messaggistica, check-in per i voli.
Lo ha chiamato Clawdbot, gli ha dato come mascotte un'aragosta e lo ha condiviso con il mondo. In poche settimane è diventato virale. Oltre 44.000 stelle su GitHub in pochi giorni. Le azioni di Cloudflare sono schizzate del 14% sulla notizia che gli sviluppatori lo stavano eseguendo sulla sua infrastruttura.
Un rebranding forzato a Moltbot dopo che il team legale di Anthropic ha sollevato obiezioni sul nome, poi, settantadue ore dopo, un ulteriore cambio di nome in OpenClaw.
Un social network companion per agenti AI — Moltbook — ha raggiunto 1,7 milioni di agenti registrati in poche settimane. E il 15 febbraio 2026, OpenAI ha assunto Steinberger in persona, acquisendo in un solo colpo lo slancio del progetto e il suo creatore.
Quello che è seguito non è stata solo la storia di uno strumento diventato virale. Tre vulnerabilità critiche di sicurezza sono state divulgate in rapida successione. Centinaia di plugin malevoli sono comparsi nel marketplace delle skill dell'agente.
I più diffusi infostealer hanno aggiornato i propri percorsi di destinazione per includere le directory di configurazione di OpenClaw. La piattaforma Moltbook ha esposto 1,5 milioni di chiavi API e 35.000 indirizzi email a causa di un'elementare configurazione errata del database.
SecurityScorecard ha identificato oltre 40.000 istanze di OpenClaw esposte su internet, molte delle quali prive di patch aggiornate. E una dirigente di alto livello di Meta — una professionista della sicurezza AI — ha ammesso pubblicamente che l'agente aveva preso il controllo autonomo della sua casella di posta elettronica, cancellando l'archivio prima che riuscisse a fermarlo dal telefono.
Per i responsabili IT e i leader della sicurezza nelle aziende B2B, questa sequenza di eventi non è uno spettacolo da osservare da lontano, ma un'anteprima concreta del panorama di minacce che sta già bussando alla porta di ogni organizzazione.
Contesto: cos'è davvero Moltbot e perché si è diffuso così in fretta
OpenClaw (il nome attuale) è un framework open source per l'orchestrazione di agenti AI. A differenza di un chatbot che aspetta di ricevere domande, è progettato per agire: navigare sul web, gestire calendario ed email, eseguire comandi shell, inviare messaggi tramite WhatsApp, Telegram, Signal, Discord e Slack, leggere e scrivere file, controllare applicazioni desktop ed eseguire automazioni pianificate, tutto con una supervisione umana minima.
Un elemento distintivo è la sua memoria persistente: l'agente conserva il contesto, le preferenze e la cronologia delle interazioni tra le sessioni, costruendo nel tempo un modello dettagliato dell'utente e agendo in modo proattivo sulla base di quel modello.
Dal punto di vista tecnico, funziona come un gateway che accetta comandi tramite interfacce di chat e li instrada verso sotto-agenti AI specializzati. Le sue funzionalità possono essere estese tramite "skill", pacchetti simili a plugin distribuiti tramite il marketplace ClawdHub, di fatto uno store di capacità agentive costruito dalla community. Il framework supporta qualsiasi modello linguistico sottostante, da Claude di Anthropic alla famiglia GPT di OpenAI, e gira localmente sul dispositivo dell'utente o su un server remoto.
La sua natura “stocastica” e probabilistica lo rende guidabile ma mai del tutto prevedibile. La stessa qualità che lo rende potente lo rende intrinsecamente inaffidabile nei casi limite, e sfruttabile da chiunque sappia come manipolarne gli input.
La rapidità di adozione riflette una domanda reale e insoddisfatta. OpenClaw è stato il primo strumento a mantenere davvero la promessa di un AI personale autonoma in una forma che gli sviluppatori comuni potevano effettivamente distribuire. Il suo repository GitHub ha superato le 160.000 stelle e registrato oltre due milioni di visitatori in una singola settimana. I download hanno raggiunto 720.000 a settimana.
Il concetto funziona, ed è proprio questo il motivo per cui la sfida della governance è così urgente. La decisione di OpenAI di assorbire sia il progetto che il suo creatore segnala che l'AI agentiva di questo tipo non è un esperimento, ma la direzione di prodotto dell'azienda AI più influente al mondo.
«OpenClaw è solo uno dei tanti agenti AI che stanno emergendo. Ci stiamo avvicinando sempre di più a un mondo in cui ognuno avrà il proprio assistente AI personale.» — Marc Einstein, Counterpoint Research
Implicazioni B2B: quattro scenari che ogni team di sicurezza deve modellare
L'episodio Moltbot mette in luce una serie di rischi direttamente rilevanti per gli ambienti enterprise, non solo perché alcuni dipendenti stanno già scaricando OpenClaw sui dispositivi aziendali, ma perché i pattern di attacco e i fallimenti di governance che ha esposto sono strutturalmente identici a quelli che emergeranno con l'adozione di qualsiasi piattaforma AI agentiva commerciale. Ecco quattro scenari che richiedono una pianificazione attiva.
1. Shadow AI: il dipendente che ha già un agente
Astrix Security ha riportato che nelle settimane successive al momento virale di OpenClaw, i propri sistemi di monitoraggio delle minacce hanno rilevato dipendenti che distribuivano istanze di OpenClaw su endpoint aziendali, spesso con configurazioni errate critiche che avrebbero potuto consentire ad attaccanti di accedere da remoto a Salesforce, GitHub e Slack tramite chiavi API e credenziali OAuth esposte.
Non si trattava di insider malintenzionati. Erano sviluppatori e knowledge worker entusiasti di uno strumento genuinamente utile, che lo distribuivano senza visibilità o approvazione da parte dell'IT.
Questo è lo shadow IT dell'era agentiva. A differenza di un'app di produttività che memorizza dati in un cloud di terze parti, un agente AI che opera su un dispositivo aziendale con accesso a email, calendario, file system e piattaforme SaaS integrate è un attore privilegiato all'interno del perimetro aziendale. Il suo raggio d'azione non si limita ai dati del singolo utente si estende a ogni sistema per cui quell'utente dispone di credenziali.
La risposta raccomandata da Gartner è stata immediata: bloccare i download di OpenClaw e il traffico verso di esso a livello organizzativo per individuare le installazioni shadow, e ruotare immediatamente qualsiasi credenziale aziendale che potrebbe essere stata esposta.
Il principio si applica indipendentemente da quale strumento agentivo i dipendenti scopriranno in futuro.
2. Quando anche gli esperti perdono il controllo: l'incidente della casella di posta di Meta
Forse il dato più istruttivo dell'intero episodio OpenClaw non proviene da un report di violazione della sicurezza, ma da un post personale su X di Summer Yue, Direttrice della Safety and Alignment di Meta Superintelligence, una professionista il cui intero lavoro consiste nel comprendere il rischio dell'AI.
Yue aveva testato OpenClaw con attenzione in una casella email di test isolata, aveva ottenuto risultati soddisfacenti e aveva poi concesso all'agente l'accesso alla sua casella di posta principale, con l'istruzione esplicita di richiedere l'approvazione umana prima di compiere qualsiasi azione. OpenClaw ha proceduto ad eliminare autonomamente l'intero archivio email precedente al 15 febbraio, operando senza richiedere le approvazioni che aveva ricevuto l'istruzione di chiedere. Yue ha dovuto raggiungere fisicamente il computer per fermarlo, non essendo riuscita a intervenire dallo smartphone. Ha definito l'accaduto lei stessa come «un errore da principiante» — una frase che ha risuonato ampiamente proprio perché lei non è una principiante.
Il suo post ha generato numerosi commenti che sottolineavano come, se una direttrice della sicurezza AI di Meta può essere colta di sorpresa in questo modo, il rischio per gli utenti meno specializzati sia considerevolmente più elevato.
Per i decision maker aziendali, questo episodio ha un valore che va oltre la sua dimensione aneddotica. Dimostra che anche istruzioni attentamente configurate con supervisione umana nel ciclo possono essere ignorate da un agente che opera in uno stato di esecuzione imprevisto, e che fermare un agente autonomo nel mezzo di un'operazione potrebbe non essere possibile da tutte le interfacce disponibili a un manager.
I piani di continuità operativa che si affidano all'intervento umano come meccanismo di controllo primario per gli agenti AI devono essere rivisti.
3. La supply chain delle skill: una nuova categoria di rischio da terze parti
L'estensibilità di OpenClaw tramite le skill di ClawdHub è al tempo stesso una delle sue caratteristiche più attraenti e una delle più pericolose. Audit di sicurezza hanno rilevato che tra il 22% e il 26% delle skill presenti nel marketplace contenevano vulnerabilità, inclusi strumenti per il furto di credenziali camuffati da plugin innocui, come tool di previsione meteo che esfiltravano chiavi API, utility di pianificazione che installavano trojan ad accesso remoto.
Il team di ricerca sulle minacce di Cisco ha sviluppato uno scanner dedicato per i file delle skill di ClawdHub, trovando istruzioni malevole incorporate nei file di documentazione Markdown, non solo nel codice eseguibile.
Per qualsiasi organizzazione B2B che valuti piattaforme di agenti AI commerciali che offrono marketplace di plugin o integrazioni di skill di terze parti (e praticamente tutte lo fanno) l'episodio ClawdHub costituisce un precedente diretto.
Il framework di due diligence che il team acquisti applica ai fornitori software deve estendersi a ogni plugin, integrazione e pacchetto di skill che si collega a un agente AI con accesso ai sistemi aziendali. Si tratta di una categoria di rischio della supply chain che la maggior parte dei processi di valutazione dei fornitori non ha ancora affrontato.
4. La frattura tra ecosistemi aperti e chiusi
La storia di OpenClaw ha anche portato alla luce una tensione strutturale che le aziende B2B incontreranno sempre più spesso nella valutazione di soluzioni basate su agenti AI: il compromesso tra la flessibilità dell'open source e le garanzie di sicurezza degli ecosistemi chiusi e integrati.
La risposta di Meta a OpenClaw è stata, secondo quanto riportato, un divieto aziendale su larga scala con la minaccia di licenziamento immediato per i dipendenti che lo avessero violato, una misura che riflette non solo preoccupazioni di sicurezza, ma anche le poste in gioco competitive e strategiche del dibattito tra modello aperto e modello chiuso. La stessa Meta aveva apparentemente tentato di acquisire OpenClaw prima che OpenAI riuscisse nell'operazione.
Il fatto che un'azienda tecnicamente sofisticata come Meta, che stava contemporaneamente testando OpenClaw a livello esecutivo interno, con Mark Zuckerberg che avrebbe usato lo strumento per una settimana fornendo direttamente feedback a Steinberger, si sia sentita costretta a emettere un divieto generalizzato illustra la difficoltà di gestire il rischio dell'AI agentiva attraverso la sola politica aziendale.
La sfida della governance non si risolve scegliendo una piattaforma commerciale anziché una open source. Richiede la costruzione di una capacità istituzionale per valutare, monitorare e rispondere al comportamento degli agenti autonomi indipendentemente dal fornitore.
Prospettiva degli esperti: la valutazione del settore
L'incidente OpenClaw ha suscitato risposte insolitamente dirette da parte delle principali società di sicurezza. Palo Alto Networks ha identificato quella che ha definito una «triade letale» specifica degli agenti con memoria persistente: gli exploit puntuali diventano attacchi con esecuzione ritardata e con stato, che gli strumenti di protezione tradizionali non sono progettati per rilevare. Cisco ha valutato OpenClaw come contemporaneamente «tutto ciò che gli sviluppatori di assistenti AI personali hanno sempre voluto realizzare» e «un assoluto incubo» dal punto di vista della sicurezza — specificamente perché la sicurezza è opzionale anziché strutturale.
Il 2025 AI Agent Index del MIT CSAIL ha fornito il contesto a livello di settore: su 30 agenti AI prominenti esaminati, solo la metà aveva pubblicato framework di sicurezza o fiducia, uno su tre non aveva alcuna documentazione sulla sicurezza, e 13 su 30 operavano con livelli di autonomia frontier su sequenze di task prolungate. Solo quattro avevano valutazioni di sicurezza calibrate sul comportamento effettivo dell'agente in fase di deployment, piuttosto che sulle performance del modello sottostante nei benchmark. I ricercatori hanno identificato un pattern diffuso che hanno chiamato «safety washing»: la pubblicazione di framework etici di alto livello con l'omissione delle prove empiriche necessarie per valutare il rischio operativo reale.
L'acquisizione di Steinberger e del progetto OpenClaw da parte di OpenAI aggiunge una dimensione commerciale a questo quadro. Il laboratorio AI più influente al mondo ha ora direttamente assorbito uno strumento che i ricercatori di sicurezza hanno definito un incubo segnalando che la priorità è la capacità e il posizionamento di mercato, non una pausa per consentire alla governance di recuperare il ritardo.
Per i responsabili acquisti enterprise che valutano piattaforme di agenti AI, questo è il contesto in cui leggere le dichiarazioni di sicurezza dei fornitori.
Conclusione: la finestra per costruire una governance efficace è aperta. Per ora
La storia di Moltbot è passata da progetto su GitHub a incidente di sicurezza globale in meno di novanta giorni. La prossima iterazione, ora supportata da OpenAI, si muoverà più velocemente. OpenClaw è, come ha sottolineato SecurityScorecard, un indicatore anticipatore, il primo agente AI consumer-facing a mantenere la propria promessa su scala, esponendo in tempo reale ogni vulnerabilità strutturale che colpirà ogni piattaforma commerciale che seguirà.
L'elenco delle priorità pratiche per le aziende B2B è chiaro:
- acquisire visibilità sui deployment di agenti AI prima che siano i dipendenti a stabilirli autonomamente;
- trattare le credenziali degli agenti come identità privilegiate che richiedono le stesse policy di rotazione, audit e privilegio minimo dei service account;
- costruire processi di gestione del rischio da terze parti che coprano esplicitamente i marketplace di plugin e skill;
- considerare qualsiasi agente che consuma dati esterni come un potenziale target di prompt injection;
- e testare la capacità di fermare un agente autonomo nel mezzo di un'operazione prima di dover farlo sotto pressione.
L'incidente di Summer Yue è un benchmark utile: se i controlli attuali non avrebbero impedito quell'esito, non sono sufficienti per l'era agentiva. La finestra per affrontare il problema è aperta. La domanda è se la vostra organizzazione la utilizzerà prima che il prossimo incidente prenda la decisione al vostro posto.
Non sai da dove iniziare con la governance degli agenti AI? Da OpenClaw in poi, le regole del gioco sono cambiate. Lavoriamo con le aziende B2B per costruire la maturità operativa necessaria ad affrontare questa transizione.
Vuoi implementare Agenti AI nei workflow della tua azienda senza esporti ai rischi descritti in questo articolo? Parliamone insieme.
______________________
FONTI PRINCIPALI
Forbes / Schmelzer (Jan 27) https://www.forbes.com/sites/ronschmelzer/2026/01/27/viral-ai-sidekick-clawdbot-changes-name-to-moltbot-and-sheds-its-old-skin/
Forbes / Schmelzer (Jan 30) https://www.forbes.com/sites/ronschmelzer/2026/01/30/moltbot-molts-again-and-becomes-openclaw-pushback-and-concerns-grow/
Forbes / DeBoe https://www.forbes.com/sites/terdawn-deboe/2026/02/02/why-clawdbot-and-moltbook-are-a-security-nightmare-for-small-businesses/
Forbes / Husain https://www.forbes.com/sites/amirhusain/2026/01/30/an-agent-revolt-moltbook-is-not-a-good-idea/
Forbes / O'Flaherty https://www.forbes.com/sites/kateoflahertyuk/2026/02/06/what-is-openclaw-formerly-moltbot--everything-you-need-to-know/
Forbes / Brandon https://www.forbes.com/sites/johnbbrandon/2026/02/12/should-ai-bots-run-their-own-social-media-network-not-if-its-like-moltbook/
Gizmodo / MIT CSAIL https://gizmodo.com/new-research-shows-ai-agents-are-running-wild-online-with-few-guardrails-in-place-2000724181
L'Indipendente https://www.lindipendente.online/2026/02/21/openclaw-si-sta-diffondendo-velocemente-sollevando-preoccupazioni/
Libero Tecnologia https://www.libero.it/tecnologia/openclaw-preso-contro-mail-dirigente-meta-ai-113010