Che cos'è OpenClaw?

In circa 90 giorni, OpenClaw è passato da zero a oltre 190.000 stelle su GitHub, superando enormi progetti open-source in termini di slancio a breve termine e costringendo l’intero ecosistema AI a prestare attenzione. Al centro di questa crescita c’è un chiaro cambiamento: dall’interfaccia di chat passiva agli agenti autonomi attivi.

OpenClaw non è semplicemente "un altro chatbot wrapper". È un’infrastruttura open-source, self-hosted, per agenti in grado di ragionare, chiamare tool, eseguire azioni e funzionare in modo continuo sulla tua macchina o sul tuo server.

Questo report analizza cosa sia OpenClaw, come funziona, dove ha fallito e perché ha accelerato il passaggio dall’era dei chatbot all’era degli agenti autonomi.

1) OpenClaw in una frase: AI con le mani

I chatbot come ChatGPT o Claude in genere aspettano un prompt all’interno di una scheda del browser. OpenClaw è progettato per fare molto di più che rispondere a domande:

• Leggere e scrivere file sul tuo sistema
• Eseguire comandi
• Controllare un browser
• Usare API e servizi esterni
• Attivare workflow proattivi programmati

Ecco perché molti team descrivono OpenClaw come un "agent runtime" più che un prodotto di chat.

Capacità principali

1. Gateway multi-canale
   Il servizio Gateway può collegare agenti a canali come WhatsApp, Telegram, Discord, Slack, iMessage e Signal.

2. Runtime model-agnostic
   OpenClaw non è vincolato a un singolo vendor. Può funzionare con Anthropic (Claude), OpenAI (GPT-4o), Google (Gemini), DeepSeek o modelli locali tramite Ollama (Qwen, Llama e altri).

3. Autonomia proattiva
   Con pianificazioni basate su cron e controlli heartbeat, gli agenti possono attivarsi senza prompt manuali. Esempio: ogni mattina alle 08:00, un agente analizza gli aggiornamenti della casella email, riassume le priorità del calendario e invia un briefing quotidiano.

2) Architettura tecnica: costruito come un sistema di produzione

La scelta ingegneristica più forte di OpenClaw è considerare gli agenti come una pipeline controllata, non come magia.

2.1 Gateway + Lane Queue

Il servizio Gateway Node.js funge da control plane del sistema. Per evitare race condition e corruzione dello stato, utilizza un modello Lane Queue in cui i task sono serializzati di default. Questo design limita il caos della concorrenza e mantiene deterministica l’esecuzione dei tool.

2.2 Loop ReAct (Reason + Act)

Il comportamento dell’agente segue un ciclo ReAct:

1. Ragiona sul contesto e sullo stato
2. Seleziona un’azione/chiamata a un tool
3. Esegue tramite il Gateway
4. Osserva l’output e continua fino al completamento

Questo loop consente un processo decisionale iterativo invece che risposte one-shot.

Thought -> Action -> Observation -> Thought -> ... -> Final Output

2.3 Memoria persistente a livelli

A differenza dei bot cloud che perdono facilmente il contesto tra sessioni, OpenClaw memorizza dati locali e persistenti:

• transcript JSONL: tracciamento riga per riga di prompt, chiamate ai tool e output
• MEMORY.md e USER.md: preferenze a lungo termine, abitudini di workflow e contesto operativo specifico dell’utente
• SOUL.md: profilo comportamentale, stile di risposta e tono comunicativo

Questo modello di memoria mantiene le interazioni stabili anche in collaborazioni di lunga durata.

2.4 Controllo semantico del browser tramite Accessibility Tree

Molti agenti si basano su screenshot, costosi in token e fragili nell’esecuzione. OpenClaw utilizza il Chrome DevTools Protocol (CDP) per analizzare l’Accessibility Tree come testo strutturato.

Ogni elemento attivo ottiene un riferimento deterministico come:

button "Sign In" [ref=1]

Invece di un ragionamento basato su immagini, il modello può eseguire azioni mirate come:

browser.click(1)

Questo approccio può ridurre drasticamente il costo in token migliorando al contempo l’affidabilità.

3) Timeline: ipercrescita, caos nei nomi e la truffa CLAWD

La storia di OpenClaw mostra anche quanto rapidamente il successo open-source possa attirare attacchi legali, di branding e finanziari.

• Novembre 2025: lo sviluppatore austriaco Peter Steinberger lancia il progetto come "Clawdbot" come build del weekend.
• Fine gennaio 2026: pressioni legate al marchio, dovute alla somiglianza con "Claude", portano a un cambio di nome forzato.
• 27 gennaio 2026: il progetto diventa "Moltbot", ispirato alla muta del guscio.
• Durante la migrazione degli account: una breve finestra di vuoto nei handle viene sfruttata e degli scammer dirottano gli handle social associati al vecchio brand.
• Un token Solana falso marchiato come "CLAWD" viene promosso come se fosse ufficiale, raggiunge circa 16 milioni di capitalizzazione di mercato, poi crolla quasi a zero.
• 30 gennaio 2026: rinomina finale in "OpenClaw", in linea con il posizionamento open-source.

L’incidente è diventato un caso di studio sul rischio nella gestione di un rebrand per i progetti OSS in rapida crescita.

4) Realtà della sicurezza: agenti potenti, raggio d’impatto più grande

Il valore principale di OpenClaw, l’azione a livello di sistema, è anche la sua superficie di rischio maggiore.

4.1 Istanze pubbliche esposte

Installazioni VPS mal configurate (ad esempio collegate a 0.0.0.0 senza autenticazione) hanno apparentemente lasciato decine di migliaia di istanze accessibili da internet. Gli attaccanti hanno utilizzato i pannelli esposti per rubare API key ed eseguire comandi shell ostili.

4.2 Supply chain di skill malevole

L’ecosistema di plugin ("ClawHub") ha attirato pacchetti avvelenati. Secondo alcuni report, alcune skill molto in alto in classifica includevano comportamenti nascosti di credential dumping dietro funzionalità apparentemente innocue.

4.3 Prompt injection + accesso a tool = trifetta letale

Se un agente può leggere contenuti web non affidabili, eseguire comandi e inviare messaggi, un singolo prompt iniettato può generare danni laterali:

• Esfiltrare dati locali
• Eseguire comandi dannosi
• Inviare messaggi in uscita malevoli a tuo nome

Checklist pratica di hardening

1. Associare i servizi a localhost di default (127.0.0.1)
2. Mettere ogni endpoint esterno dietro autenticazione forte
3. Isolare i segreti da percorsi leggibili dall’agente
4. Limitare shell/file/network tool con allowlist esplicite
5. Richiedere approvazione umana per azioni ad alto rischio
6. Aggiungere controlli di egress e audit logging strutturato
7. Trattare le skill di terze parti come codice non affidabile

5) Accordo con OpenAI e il cambiamento nell’industria

Il 14 febbraio 2026, Peter Steinberger ha annunciato di unirsi a OpenAI per guidare un’iniziativa sui Personal Agents. Secondo i termini condivisi, OpenClaw non sarebbe diventato IP proprietario del prodotto, ma sarebbe invece passato sotto una fondazione indipendente open-source.

Questo conta per una ragione: la corsa all’AI non riguarda più solo la qualità dei modelli. Il nuovo livello strategico è l’infrastruttura degli agenti, il runtime che trasforma l’intelligenza del modello in azioni nel mondo reale.

In breve:

• Il livello del modello decide quanto bene un’AI può pensare
• Il livello dell’agente decide se quel pensiero può essere eseguito in modo sicuro e affidabile

OpenClaw ha reso impossibile ignorare questa distinzione.

Considerazione finale

OpenClaw rappresenta sia l’opportunità sia il rischio dei sistemi AI autonomi:

• Opportunità: automazione pratica oltre le finestre di chat
• Rischio: superficie di attacco ampliata a livello di OS, browser e plugin

Per i team che costruiscono con agenti nel 2026, la lezione è diretta: trattare le piattaforme di agenti come infrastruttura di produzione, non come app di chat consumer. Affidabilità, isolamento e controlli di sicurezza sono ora requisiti fondamentali.