Auditoría de seguridad y configuración multi-agente de OpenClaw

"Hace siete días te preguntabas qué era un asistente IA. Ahora tienes uno que está en línea 24/7, te conoce, puede actuar y trabaja de forma proactiva. Esto es solo el principio."

Objetivo de hoy

Lo que has construido esta semana

Lo que tienes ahora es una presencia digital que trabaja para ti las 24 horas. El Día 7 consiste en hacerla más fuerte, más segura y entender hacia dónde va a evolucionar.

Obligatorio: revisión de seguridad

Tu asistente toca correo, calendario, archivos y posiblemente tu navegador. Revisa esto ahora y vuelve a revisarlo cada mes:

• SSH usa autenticación por clave y el acceso por contraseña está desactivado.
• El firewall está activado y solo están expuestos los puertos que realmente necesitas.
• OpenClaw se ejecuta como usuario no root.
• Todas las API keys viven en variables de entorno o en .env, no en código commiteado.
• .env está ignorado por git.
• Los archivos de tokens OAuth están protegidos, por ejemplo con chmod 600 token.json.
• Hay un recordatorio de rotación para keys y tokens, idealmente cada ~3 meses.
• SOUL.md indica explícitamente que los mensajes externos requieren confirmación salvo que quieras automatización de forma deliberada.
• Las operaciones destructivas como borrar archivos o cambiar configuraciones requieren confirmación.
• El panel de tu proveedor de modelo tiene configurado un presupuesto mensual o una alerta de uso.
• Heartbeat no se ejecuta con más frecuencia de la que realmente necesitas.
• Los skills que no usas están desactivados o eliminados.

Comprobación: deberías poder señalar el archivo, ajuste o control del dashboard exacto que cumple cada elemento marcado. Todo lo que no puedas verificar se queda sin marcar.

Opcional: patrones avanzados

No necesitas esto para terminar la guía de principiante. Úsalo cuando el sistema principal ya se sienta estable.

Nodes: colaboración multi-dispositivo

OpenClaw puede emparejarse con tu teléfono, tablet u otros dispositivos, dándole ojos, oídos y contexto de ubicación.

Qué permiten los Nodes:

• Cámara - capturar fotos o clips cortos desde tu dispositivo iOS o Android
• Audio - entrada y reproducción por voz
• Ubicación - compartir tu ubicación actual para tareas con contexto
• Voice wake - activar el asistente con manos libres

Emparejar un dispositivo:

openclaw nodes pending                         # List pending device requests
openclaw nodes approve <requestId>             # Approve by request ID

Una vez emparejado, puedes pedir: "Take a photo of what's in front of me" o "Where am I right now?" y el asistente actúa sobre datos reales de sensores.

Resumen de Nodes: cámara, audio, ubicación, voz →

Escribe tu propio skill

Los skills de la comunidad no cubren todo. Un skill personalizado puede ser tan pequeño como un solo archivo Markdown.

1. Crea la carpeta: mkdir -p ~/.openclaw/skills/weather
2. Abre ~/.openclaw/skills/weather/SKILL.md en cualquier editor de texto; en Mac/Linux: nano ~/.openclaw/skills/weather/SKILL.md, en Windows: ábrelo en Notepad.
3. Pega la plantilla mínima:

# Weather Query

## Capability
Query current weather for any city using the wttr.in API.

## Usage
curl "wttr.in/{city}?format=3"

## Output
Report temperature and conditions in one concise sentence.

4. Reinicia el servicio con openclaw gateway restart, o pídele a tu asistente en el chat que haga "refresh skills"; los nuevos archivos de skill se cargan en el siguiente turno.
5. Prueba: pregunta What's the weather in Tokyo? y confirma que tu asistente usa el nuevo skill.

Así empiezan muchos skills de la comunidad: un flujo de trabajo escrito con suficiente claridad para que el asistente lo reutilice.

Guía completa: crear skills →

Comprobación: si la prueba de Tokyo no activa el skill, lista los skills cargados, confirma que la ruta de la carpeta es ~/.openclaw/skills/weather/SKILL.md y pide a tu asistente "refresh skills" o reinicia con openclaw gateway restart.

Patrones multi-agente

Tu asistente puede delegar tareas a subagents especializados y ejecutarlos en paralelo. Solo merece la pena cuando la tarea es lo bastante grande como para beneficiarse del trabajo paralelo.

Ejemplo: envías un mensaje: "Research the competitive landscape for AI coding assistants." Tu agent principal lanza tres subagents a la vez:

• Uno busca papers recientes en arXiv
• Uno escanea GitHub en busca de repositorios en tendencia
• Uno lee hilos de Hacker News sobre el tema

Los tres devuelven resultados al agent principal, que los sintetiza. Eso es más rápido que hacer el mismo trabajo de forma secuencial.

Subagents: crear y delegar → ACP: protocolo agent-to-agent → Multi-agent sandbox →

Comprobación: describe una tarea real que dividirías en al menos dos subagents y qué se encargaría de hacer cada uno. Si todavía no puedes hacerlo con claridad, omite este patrón por ahora.

Ejemplos reales de uso

Mira lo que la gente está construyendo con asistentes completamente configurados:

openclaw.ai/showcase - automatizaciones reales de usuarios →

Filtra por "Developer", "Automation" o "Productivity" para encontrar builds multi-agente y patrones avanzados.

Hacia dónde va esto

Los modelos siguen mejorando. Cada pocos meses, Claude, GPT y Gemini mejoran mucho. Tu asistente, sin ningún cambio, se beneficia automáticamente. La infraestructura que estás montando hoy se acumula con cada mejora del modelo.

Los costes siguen bajando. Ejecutar hoy un asistente IA capaz cuesta unos 10-30 USD/mes en APIs. La trayectoria es claramente descendente. En algún momento será casi irrelevante.

Lo multimodal será estándar. Los asistentes que ven (cámara), oyen (voz) y hablan (respuestas naturales) ya existen en acceso temprano. La interfaz solo de texto es transitoria.

Redes multi-agente. El futuro no es un solo asistente, sino un equipo. Un agent que gestiona correo, otro que hace code review, otro que vigila analytics, todos coordinados por un orquestador que te reporta a ti.

La ventaja de empezar antes

Lo más importante es esto: cuanto antes empieces, mayor será tu ventaja.

Cada día que tu asistente está en ejecución acumula memoria sobre tus hábitos, proyectos, terminología y preferencias. Un asistente con 6 meses de uso es categóricamente distinto a una instalación nueva, no porque el modelo haya cambiado, sino porque lleva 6 meses de aprendizaje incorporado en el contexto.

No hay atajo para esa acumulación. Solo tiempo.

Has empezado esta semana. Son 6 meses de interés compuesto que arrancan hoy.

Problemas comunes

• El skill personalizado no carga: confirma que el archivo es exactamente ~/.openclaw/skills/weather/SKILL.md y pide a tu asistente "refresh skills" o reinicia con openclaw gateway restart.
• Error de sintaxis Cron: usa una expresión Cron estándar de cinco campos y vuelve a la referencia de Cron antes de ejecutar el comando otra vez.
• Necesitas ver qué skills están cargados: pide al asistente que liste los skills cargados o usa su flujo de recarga/listado antes de asumir que ignoró el archivo.

Trabajos Cron: referencia completa de sintaxis y ejemplos →

Tus próximos pasos

Esta semana, cada día:

1. Habla con tu asistente durante 10 minutos. Deja que se familiarice con tus patrones.
2. Actualiza SOUL.md cada vez que algo te suene raro. Las almas se refinan, no se instalan.
3. Prueba un skill nuevo. Mira qué merece quedarse.

Dentro de un mes, tu asistente estará en un estado distinto al de hoy, no porque hayas hecho grandes cambios, sino porque habrá aprendido.

Esa es la diferencia entre los asistentes IA y cualquier otra tool que hayas usado. Crece.

Comprobación: al final de esta semana deberías tener una revisión de seguridad completada y un pequeño experimento avanzado documentado, o una decisión deliberada de quedarte con la configuración básica hasta que se vuelva rutina.