OpenClaw è un assistente AI personale open source (licenza MIT), sviluppato da Peter Steinberger e oggi gestito dalla OpenClaw Foundation, un'organizzazione no-profit statunitense finanziata da donatori del settore (tra cui OpenAI, Amazon, GitHub e NVIDIA) ma, secondo quanto dichiarato, non controllata da nessuno di essi. Gira localmente sul proprio computer ed è pensato per compiere azioni concrete per conto dell'utente: organizzare la posta, inviare email, gestire il calendario, prenotare voli. È un esempio concreto e ben documentato di una categoria di strumenti sempre più diffusa — gli agenti AI ad ampio accesso — ed è utile per ragionare sui rischi reali di questa categoria, non solo su quelli teorici.
Quanto è ampio l'accesso, in concreto
Secondo la documentazione ufficiale del progetto, OpenClaw può richiedere accesso a:
- Filesystem — lettura e scrittura di file sul proprio computer
- Shell — esecuzione di comandi di sistema
- Browser — navigazione web e compilazione di moduli online
- Rete — accesso a internet
- Account specifici — Gmail, GitHub, Obsidian, Twitter, Spotify, dispositivi smart home (Hue), selettivamente in base alle integrazioni attivate
È inoltre raggiungibile e comandabile tramite 29 canali di comunicazione diversi — WhatsApp, Telegram, Discord, Slack, Signal, iMessage e altri — un dettaglio che amplia significativamente la superficie da cui l'agente può ricevere istruzioni.
"Full access or sandboxed — your choice": cosa significa davvero
Il progetto stesso riconosce esplicitamente il compromesso, lasciando all'utente la scelta tra accesso completo o un ambiente più isolato (sandbox). Questa trasparenza è positiva — non tutti gli strumenti di questa categoria la offrono altrettanto chiaramente — ma sposta la responsabilità della sicurezza sull'utente, che deve capire correttamente le implicazioni di ciascuna scelta prima di attivarla, cosa non scontata per chi non ha un background tecnico.
I rischi concreti di questa categoria di strumenti (non solo di OpenClaw)
| Rischio | Perché è reale |
|---|---|
| Prompt injection | Un agente che legge email, pagine web o messaggi può ricevere istruzioni nascoste in quel contenuto (es. un'email malevola) ed eseguirle come se venissero dal proprio utente legittimo |
| Azioni irreversibili senza conferma | Con accesso shell/filesystem completo, un errore di interpretazione del compito può cancellare file, inviare email sbagliate, o eseguire comandi distruttivi prima che l'utente se ne accorga |
| Superficie di attacco ampliata | Più canali di comunicazione e più integrazioni attive significano più punti da cui un malintenzionato può tentare di raggiungere e manipolare l'agente |
| Memoria persistente | Un agente che ricorda conversazioni precedenti può conservare informazioni sensibili più a lungo di quanto l'utente si aspetti o desideri |
| Delega di giudizio | Più un'azione viene automatizzata senza conferma, meno l'utente esercita un controllo attivo su decisioni che restano comunque sue |
Non è un giudizio sullo strumento specifico, è un principio generale
Vale la pena essere precisi: nulla di quanto sopra implica che OpenClaw sia insicuro nella sua implementazione — è open source, verificabile, e offre esplicitamente la modalità sandbox proprio per mitigare questi rischi. Il punto è più ampio e vale per qualunque agente della stessa categoria (inclusi strumenti simili con nomi diversi): più permessi vengono concessi a un sistema autonomo, più cresce sia l'utilità pratica sia il danno potenziale di un errore o di una manipolazione, e questo scambio va valutato consapevolmente, non ignorato per comodità.
Come approcciare in modo responsabile questi strumenti
- Iniziare sempre dalla modalità più restrittiva (sandbox) disponibile, ampliando i permessi solo per compiti specifici dove servono davvero
- Non collegare account con accesso a dati finanziari o aziendali critici finché non si ha piena fiducia nel comportamento dello strumento su compiti a basso rischio
- Verificare periodicamente quali integrazioni sono attive e revocare quelle non più necessarie
- Essere consapevoli che qualunque contenuto esterno che l'agente legge (email, pagine web) è un potenziale vettore di istruzioni non volute
Un agente AI con accesso ampio alla propria vita digitale può far risparmiare tempo reale, ma è, a tutti gli effetti, un nuovo tipo di superficie di sicurezza da gestire con la stessa attenzione riservata a qualunque software con privilegi elevati — non di più, ma nemmeno di meno.