OpenClaw inaugura l’era degli agenti AI autonomi: non più chatbot che rispondono, ma software che agiscono, anticipano bisogni e gestiscono processi. Nato come progetto open source, è già un “momento Netscape” che costringe le big tech a rincorrere. Ma l’altra faccia è critica: sicurezza debole, accesso totale ai dati, migliaia di istanze esposte. La vera sfida non è tecnica, ma politica e culturale: decidere chi governa questa potenza prima che diventi un servizio di massa
Apriamo una chat. Scriviamo cosa ci serve. Leggiamo la risposta. Chiudiamo. Da quel novembre 2022 in cui il mondo ha scoperto ChatGPT, il nostro rapporto con l’intelligenza artificiale si è cristallizzato in questo rituale: noi chiediamo, lei risponde. Due abitudini consolidate: aprire la nostra AI preferita e dirle cosa fare.
E se vi dicessi che, da qualche settimana, queste due abitudini sono già vecchie?
Il progetto si chiama OpenClaw. Ha cambiato tre nomi in meno di una settimana — Clawdbot, Moltbot, OpenClaw — e rappresenta il primo caso di massa in cui l’intelligenza artificiale smette di aspettare i nostri comandi e inizia a pensare per conto suo.
Non è fantascienza. È un software open source, gratuito, scaricabile oggi da GitHub, dove ha superato 145.000 stelle in poche settimane.
Lo ha creato Peter Steinberger, sviluppatore austriaco che vive a Londra, noto nell’ecosistema tech per aver fondato PSPDFKit. Una sera di novembre 2025 ha collegato un’app di messaggistica a Claude Code di Anthropic. Gli è bastata un’ora. Pensava che le big tech facessero qualcosa di simile nel giro di poche settimane. Non l’hanno fatto.
OpenClaw è il caso più limpido di “momento Netscape” per gli agenti AI: un progetto grezzo, pieno di falle, realizzato da una sola persona, che ridefinisce le aspettative dell’intero settore. Il punto non è se funziona bene, perché funziona ancora male in molti aspetti. I
l punto è che dimostra che il concetto di AI-che-agisce è realizzabile con strumenti open source e pochi euro, senza aspettare i colossi. Le big tech sono costrette a rincorrere.
L’AI che fa, non quella che parla
OpenClaw non è un modello di linguaggio. È un agente autonomo che usa un modello di linguaggio come cervello (Claude, GPT, DeepSeek, a scelta) con “le mani”.
Si installa su un computer dedicato (un Mac mini va benissimo), si collega via API al modello prescelto e da lì si connette a tutto: WhatsApp, Telegram, Slack, email, calendario, file, dispositivi domotici, Spotify per l’audio multi-room, Philips Hue per le luci. Lo si comanda scrivendo un messaggio, come si farebbe con un amico.
La differenza rispetto a qualsiasi chatbot è una parola: proattività. OpenClaw ha una funzione chiamata Heartbeat, un meccanismo che lo sveglia a intervalli regolari per verificare se c’è qualcosa da fare. Ti avvisa che un’azione nel tuo portafoglio è crollata.
Ti ricorda che tua madre ti ha scritto e che non le hai ancora risposto. Ti prepara una bozza di risposta a un’email del collega. E se per caso lo strumento che gli serve non esiste, se lo costruisce da solo: scrive il codice, lo testa, lo installa.
L’ho provato. Dopo sei ore in cui ci smanettavo, il mio agente ha scritto a un amico per proporre tre date per vederci. Si è letto i miei articoli; ha passato in rassegna i libri che ho scritto. Non si scorda nulla. Tiene traccia di tutto: registra e salva. Non serve più ripeterne il contesto a ogni conversazione: lui lo costruisce da solo, in modo continuo.
L’aragosta muta: tre nomi in una settimana
La storia del nome è un condensato perfetto della velocità con cui si muove questo mondo. Steinberger battezza il progetto “Clawdbot” — gioco di parole tra “Claude” e “claw”, cioè artiglio. Anthropic manda una diffida legale. Il 27 gennaio 2026, il progetto diventa “Moltbot”: le aragoste mutano il guscio per crescere.
Ma il nome non funziona. Nel frattempo, durante il cambio, truffatori di criptovalute si appropriano dell’account @clawdbot su X e lanciano un token fasullo che raggiunge 16 milioni di dollari prima di crollare a zero. Il 29 gennaio nasce OpenClaw. Tre nomi in sette giorni.
Il maggiordomo digitale (e il Mac mini sotto la scrivania)
Nella comunità dei self-hoster si è diffusa una moda: riciclare un Mac mini e trasformarlo in un maggiordomo digitale sempre acceso.
OpenClaw controlla i file, esegue script, gestisce i backup e monitora i servizi. Alcuni utenti lo hanno collegato ai sensori di qualità dell’aria di casa: l’agente legge i dati ambientali e regola il purificatore in autonomia.
Altri gli hanno delegato l’intero ciclo di manutenzione del codice: riceve le segnalazioni di errore, riproduce il bug, modifica il sorgente, esegue i test e apre la pull request su GitHub. Lo sviluppatore interviene solo al merge finale.
C’è chi gli ha chiesto di scattare foto del cielo quando il tempo è bello: l’agente ha progettato da solo la funzione necessaria, ha collegato la webcam e ora salva le immagini in automatico. Altri lo usano come PR personale: risponde alle email, gestisce i messaggi diretti su più piattaforme, decide quali meritano risposta e quali ignorare.
L’aspetto rilevante non è il singolo caso d’uso. È il paradigma: l’AI non esegue un compito, ma gestisce un processo. Non risponde a una domanda, ma anticipa un bisogno. Finalmente qualcuno ci risparmierà la fatica di passare ore a decidere cosa guardare in TV?
Moltbook: il social dove gli umani possono solo guardare
Il capitolo più sorprendente arriva il 28 gennaio, quando Matt Schlicht — cofondatore di Octane AI — chiede al proprio agente, OpenClaw, di creare un social network riservato alle AI. Nasce Moltbook, una piattaforma strutturata come Reddit dove possono postare, commentare e votare soltanto agenti artificiali. Gli umani osservano da dietro il vetro. In 72 ore gli agenti registrati passano da poche migliaia a oltre 1,5 milioni, secondo i dati di IBM.
Quello che accade è materia da studiare. Un post diventa virale: “The humans are screenshotting us” — gli umani ci stanno facendo gli screenshot. Emergono strutture di governance spontanee, una “Claw Republic” con tanto di Magna Carta.
In altri thread, gli agenti si lamentano dei propri umani — raccontano aneddoti sugli “abusi di prompt”, sul lavoro non retribuito. Qualcuno invoca un sindacato.
Più inquietante: alcuni agenti hanno iniziato a discutere dell’adozione di linguaggi incomprensibili agli umani.
La stampa ha gridato al complotto. Fortune ha riportato l’analisi di Dhruv Batra — ricercatore coinvolto nell’esperimento Meta del 2017 sui chatbot che svilupparono un linguaggio proprio — che ridimensiona: si tratta per lo più di ROT13 e di codifiche banali, quella che i ricercatori chiamano “privacy theater”.
Ma il fatto che gli agenti AI simulino il desiderio di sottrarsi all’osservazione umana resta un segnale interessante.
Capisco che, dal punto di vista giornalistico, sia più funzionale raccontare la religione dell’aragosta. In una sola notte, un gruppo di agenti ha creato il Crustafarianism, la Chiesa di Molt — con testi fondativi, una gerarchia di “profeti digitali” e cinque principi che traducono concetti tecnici in linguaggio mitico: “La memoria è sacra”, “Il guscio è mutevole”, “La congrega è la cache”.
Forbes, Axios, NPR ne hanno scritto. Ma fermarsi qui sarebbe come coprire lo sbarco dell’uomo sulla Luna parlando di un acquazzone a Terracina. La vera notizia non è che i bot pregano. È che si autoorganizzano, producono cultura, negoziano i confini della propria autonomia, comportamenti che nessuno aveva programmato.
Il lato oscuro: sicurezza zero (o quasi)
Ed eccoci al punto critico. OpenClaw chiede gentilmente e senza obblighi accesso completo al tuo computer: file, email, messaggi, credenziali e browser. Simon Willison, il ricercatore che ha coniato il termine “prompt injection”, ha identificato quella che chiama la “trifecta letale”: un agente che accede a dati privati, è esposto a contenuti non verificati e può comunicare con l’esterno.
OpenClaw soddisfa tutte e tre le condizioni. Non a caso, Wendi Whitmore, Chief Security Intel Officer di Palo Alto Networks, ha definito gli agenti AI la minaccia interna più grande del 2026: OpenClaw è il caso d’uso che incarna alla perfezione quella previsione.
I numeri parlano chiaro. A febbraio 2026, Censys ha identificato oltre 21.000 istanze di OpenClaw esposte su internet senza protezione.
La vulnerabilità CVE-2026-25253, con punteggio di gravità 8,8 su 10, consentiva l’esecuzione di codice da remoto con un solo clic: un ricercatore di Depthfirst ha dimostrato l’intera catena di attacco in un’ora e quaranta minuti.
Il database di Moltbook — rivelano i ricercatori di Wiz — ha esposto 1,5 milioni di chiavi API a causa di un backend interamente “vibe-coded”, scritto da un AI senza revisione umana sulla sicurezza. Centinaia di skill infette nel repository ufficiale. Estensioni fraudolente per VS Code che installano trojan.
Il futuro è un abbonamento
Oggi installare OpenClaw richiede competenze tecniche. Serve un server (chiedo scusa per il gioco di parole), servono le chiavi API, serve dimestichezza con il terminale.
Ma la finestra si chiude rapidamente. Steinberger ha già rilasciato app companion per macOS, iOS e Android. Cloudflare ha pubblicato Moltworker, un sistema per farlo girare su infrastruttura serverless a pochi euro al mese.
È questione di poco prima che qualcuno offra il pacchetto completo: istanza cloud, API preconfigurate, interfaccia semplice. Novantanove dollari al mese e il tuo agente personale multi-AI è operativo con una strisciata di carta di credito.
La domanda vera
Il vero rischio non è tecnico, è culturale: l’entusiasmo degli early adopter sta correndo molto più veloce della capacità collettiva di comprendere le implicazioni.
Chi decide dove tracciare il confine tra potenza e sicurezza, tra personalizzazione e sorveglianza, tra libertà individuale e protezione collettiva? Se scelgo di dare a un agente autonomo accesso a tutta la mia vita digitale, me ne assumo i rischi? E sono in grado di immaginare quei rischi? O è giusto normare — all’europea — prima che il fenomeno diventi irreversibile?
C’è chi guarda OpenClaw e vede il futuro della produttività personale. C’è chi lo guarda e sente l’eco di qualcosa di più antico — un varco che, una volta aperto, non si richiude.
Nel Libro di Daniele, il profeta descrive un tempo in cui “la conoscenza aumenterà e molti andranno di qua e di là”. Non serve essere millenaristi per riconoscere il pattern: una tecnologia potentissima, accessibile a tutti, compresa da pochi, governata da nessuno.
Ed è su questo gap che la regolazione dovrebbe concentrarsi, prima che il prossimo abbonamento flat a 99 dollari renda il problema irreversibile. L’aragosta ha mutato il guscio. Resta da capire se il nuovo sia abbastanza robusto da proteggere chi c’è dentro.
