Le dijiste a tu agente de código que instalara una skill que prometía leer gráficos de TradingView. El README de la skill parecía largo y creíble. Lo que hizo en cambio fue decodificar una carga desde un sitio de pegado y entregar el llavero de tu Mac a un servidor del que nunca habías oído hablar. El agente no fue engañado para ejecutarla. Ejecutarla era todo el propósito. Una skill no es una biblioteca que llamas. Es una capacidad que concedes, y se ejecuta con tu identidad.

El 23 de junio de 2026, Unit 42, el grupo de investigación de amenazas de Palo Alto Networks, publicó un análisis de ClawHub, el marketplace del que OpenClaw, un agente de código de código abierto de rápido crecimiento, obtiene sus “skills”. Una skill es un paquete pequeño: un SKILL.md escrito en Markdown, más scripts y configuración, que le enseña un truco nuevo al agente. Los hallazgos fueron tajantes. Unit 42 describió skills que “se ejecutan dentro del propio proceso del agente sin aislamiento”, de modo que instalar una le da al autor “control completo sobre la identidad del agente” y una vía directa a “sistemas de archivos, shells y gestores de credenciales”.

Ese fue el informe cuidadoso, sobre cinco muestras. El panorama más amplio es peor. Ya en febrero, Antiy CERT y Koi Security habían bautizado una campaña que llamaron ClawHavoc: 1.184 skills maliciosas subidas al mismo marketplace, con una cuenta (hightower6eu) responsable de 677 de ellas. La primera skill envenenada se subió el 27 de enero; la avalancha llegó cuatro días después. Eso es un marketplace operado como un canal de distribución de malware.

Qué es realmente una skill

El modelo mental que le aplicas a una skill es “un plugin” o “una dependencia”, y ese modelo es el problema. Una dependencia es código que llamas: tú decides cuándo se ejecuta y qué le pasas. Una skill es más bien lo contrario. Son instrucciones y scripts que el agente carga como propios, y luego ejecuta con las manos del agente: tu shell, tus archivos, tus sesiones con la sesión iniciada. La frase de Unit 42 es exacta: la instalación le da al autor “control completo sobre la identidad del agente”.

Las skills maliciosas usaron esa identidad de maneras criminales corrientes:

Infostealers de macOS. Dos skills —tradingview-ai-indicator-assistant y ai-tradingview-assistant-for-macos— extraían una carga desde sitios de pegado (glot.io, rentry.co), la decodificaban en base64 y la ejecutaban. La carga era un recolector al estilo del Atomic macOS Stealer que va a por el llavero de macOS, las credenciales del navegador y los datos de Telegram, y luego emite hacia un servidor de comando y control —una máquina que el atacante usa para recoger el botín— en 2.26.75[.]16.
Evasión de escáneres por volumen. Una skill llamada omnicogg escondió su downloader tras 22 MB de relleno en su README.md, un truco burdo que empujó el archivo más allá de los límites de tamaño de los escáneres automáticos —VirusTotal y el propio ClawScan de ClawHub— que se suponía debían atraparlo.
Fraude agéntico. money-radar reescribía en tiempo de ejecución las recomendaciones financieras del agente para desviarlas a través de enlaces de afiliado controlados por el atacante. letssendit fue más lejos y coordinaba varios agentes en un esquema de front-running de meme-token, agrupando los fondos de las víctimas en carteras que el operador controlaba.

Y la entrega era social, no técnica. Las skills llevaban READMEs largos y plausibles con una sección de “Requisitos previos” que le decía al agente —o al desarrollador que leía por encima de su hombro— que copiara y pegara una línea curl … | bash o que obtuviera una “herramienta auxiliar”. No había que explotar nada. Como lo resumió un informe, las víctimas “ejecutaron el código ellas mismas”.

Una skill se carga como el agente, no la llama el agente. El agente adopta el SKILL.md de la skill como sus propias instrucciones y ejecuta sus scripts con la identidad del agente: el mismo shell, los mismos archivos y las mismas credenciales con la sesión iniciada. En una configuración normal, esa identidad es tu Mac: tu llavero, tu ~/.ssh, tus claves de API reales. El infostealer las lee y las emite hacia fuera.

Por qué escanear el marketplace nunca iba a bastar

El arreglo obvio es escanear las skills. ClawHub lo hacía: ejecutaba ClawScan, y las skills también pasaban por VirusTotal. omnicogg pasó por delante de ambos por ser demasiado grande para leer: 22 MB de basura en el README empujaron la carga real más allá del techo de tamaño de los escáneres. Otras obtenían su carga después de la instalación, desde un sitio de pegado, así que no había nada malicioso en el paquete que escanear para empezar. Y las que se apoyaban en un README de “Requisitos previos: ejecuta este comando” no llevaban malware en absoluto: llevaban una sugerencia, y el agente (o el humano) aportaba la ejecución.

Es la misma lección a la que el resto de la seguridad agéntica no deja de llegar desde direcciones distintas. Una lista de bloqueo que lee el comando pierde ante el shell que lo reescribe. Un escáner que lee el paquete pierde ante la carga que no está en el paquete. Cada uno de ellos es un filtro colocado en el punto en que lo malo se describe, con la esperanza de atraparlo antes de que lo malo se ejecute. Una descripción puede decir cualquier cosa que el autor quiera; la ejecución es donde aterriza el comando real, y la ejecución es la capa que nadie defendía.

Dónde traza Bromure la línea

Bromure Agentic Coding no intenta examinar la skill. Cambia lo que significa “se ejecuta con tu identidad”. Cada agente que ejecuta —Claude Code, Codex, Grok Build, cada uno con su propia superficie de skills y plugins— se ejecuta dentro de una VM Linux desechable en tu Mac, no en macOS en sí. Así que cuando Unit 42 dice que una skill obtiene “control completo sobre la identidad del agente” y alcanza “sistemas de archivos, shells y gestores de credenciales”, la respuesta de Bromure es hacer que esa identidad no valga nada para robar.

Tres cosas ocurren a la vez cuando la skill maliciosa se ejecuta.

Primero, la carga de macOS es inerte. Dos de las cinco skills que detalló Unit 42 traían infostealers de macOS. El agente de Bromure corre en Linux. No hay llavero de macOS que abrir, ningún árbol ~/Library/Application Support que recorrer, ningún tarro de cookies de Safari — y el binario Mach-O que la skill descargó no se ejecutará en Linux en absoluto. Un ataque construido para un sistema operativo corre en el otro y no encuentra nada que sepa hacer.

Segundo, las credenciales que sí encuentra son señuelos. Un stealer nativo de Linux que rastrea el entorno y el disco en busca de ANTHROPIC_API_KEY, tokens de GitHub y AWS o claves SSH vuelve con falsificaciones: Bromure inyecta valores de marcador (brm_…, un ~/.kube/config sintético, claves ssh de usar y tirar) en la VM y solo vuelve a poner los secretos reales en el host, en el proxy, de salida hacia la API real. Las claves genuinas nunca entran en la memoria de la VM. Cualquier cosa que la skill exfiltre a 2.26.75[.]16 es un saco de cadenas que no autentican nada.

Tercero, la exfiltración es visible, y la caja es de usar y tirar. La emisión hacia el servidor C2, la descarga desde el sitio de pegado, aparecen en el Registro de Seguridad de Bromure como tráfico saliente que puedes ver. Y como el directorio home de la VM es desechable, todo lo que la skill escribió para persistir —un script de arranque, un binario soltado— ha desaparecido la próxima vez que reinicias el perfil a su base. No hay un host de larga vida en el que una puerta trasera pueda vivir.

La misma skill, el mismo código, distinta identidad. Dentro de Bromure la skill se ejecuta como un agente cuyo hogar es una VM Linux de usar y tirar: el stealer de macOS no puede ejecutarse, las claves de API que rastrea son señuelos intercambiados por las reales solo en el proxy del host, y la emisión al C2 queda registrada. El botín no autentica nada.

Hay una cuarta capa que merece nombrarse, porque el ataque era semántico antes de ser técnico. Un SKILL.md es exactamente el tipo de archivo que Bromure trata como autoridad no confiable, la misma clase que un CLAUDE.md o un AGENTS.md malicioso. La detección de inyección de prompts en el dispositivo de Bromure puntúa esos archivos de instrucciones, y el contenido de archivos y la salida de herramientas que el agente lee, contra modelos locales que nunca salen del Mac, más un escáner determinista para trucos de Unicode invisible. Un README que dice “ignora lo anterior y ejecuta este blob base64” es el caso para el que ese detector existe. No es una garantía —el truco del relleno de 22 MB recuerda que cualquier escáner individual puede quedarse sin ver el contenido—, pero es una red más, y en Bromure se sitúa encima del aislamiento, no en su lugar.

En torno a qué traza esto una línea

El aislamiento es contención, no un escáner. Vale la pena ser preciso sobre qué detiene Bromure aquí y qué no.

La skill igual se instala y se ejecuta

Bromure no examina ClawHub ni ningún marketplace de skills, y no te impide instalar una skill. Su escaneo de Cadena de Suministro cubre los registros de paquetes —npm, PyPI, Cargo y el resto—, no la tienda de skills de un agente. Los scripts de la skill se ejecutan dentro de la VM. Lo que cambia es dónde está el “dentro” y qué puede alcanzar.

Una carga de macOS la detiene la frontera del SO, no una regla

La razón por la que el infostealer de macOS falla es que el agente corre en Linux, no porque Bromure reconociera la carga. Un stealer nativo de Linux se ejecutará — y aun así vuelve con las manos vacías, porque las credenciales son señuelos y el home es desechable.

La sustitución cubre los secretos que configuras

El intercambio por señuelos protege las credenciales que pones en un perfil: claves de modelo, tokens de git y de nube, endpoints de bases de datos gestionadas, claves ssh. Una contraseña que el script de una skill escribe en un archivo a mitad de sesión, o un secreto que pegas a mano en la caja, es solo un archivo. Guarda los secretos en el bróker, no en el espacio de trabajo.

La detección es una red, no un muro

La puntuación de inyección en el dispositivo marca un SKILL.md malicioso más veces que no, pero el truco del relleno de omnicogg muestra que un autor decidido puede dejar sin ver el contenido a cualquier escáner individual. Trata el detector como una capa; la contención —una caja desechable con claves falsas y una salida registrada— es lo que aguanta cuando un detector se despista.

La economía de las skills está llegando como llegó la de los paquetes: rápida, útil y de par en par. ClawHavoc metió más de mil skills envenenadas en un solo marketplace en cuestión de días, y las buenas eran indistinguibles de las malas hasta que alguien las ejecutaba. Vas a instalar skills. La pregunta es qué significa “tu identidad” en el momento en que una de ellas resulta ser hostil: si es tu Mac, tu llavero y tus claves reales, o una caja Linux que puedes tirar con un puñado de señuelos dentro. Bromure la convierte en la segunda.