OpenClaw è uno dei progetti che meglio raccontano il passaggio dall’AI che risponde all’AI che agisce. La versione 2026.8.1, ribattezzata OpenClaw 2.0, consolida una crescita eccezionalmente rapida e trasforma l’esperimento originario in una piattaforma più semplice, collaborativa e affidabile.
Questa evoluzione porta l’intelligenza artificiale a contatto diretto con posta, browser, file e comandi di sistema. L’accesso agli strumenti rende l’assistente realmente utile e gli attribuisce poteri che devono essere delimitati attraverso identità verificabili, permessi granulari, isolamento dell’esecuzione e protezione delle credenziali. La sicurezza diventa così una componente strutturale del prodotto, da progettare insieme alle sue capacità operative.
Il livello operativo dell’AI personale
OpenClaw è un’infrastruttura open source per agenti personali che collega i modelli linguistici alle conversazioni, alla memoria, agli strumenti, alle automazioni e ai dispositivi dell’utente. Il suo Gateway può essere eseguito su un computer o un server controllato dall’utente, mentre l’assistente rimane raggiungibile attraverso WhatsApp, Telegram, Signal, Slack, Discord, iMessage e numerosi altri canali.
Un messaggio inviato dal telefono può avviare un’attività sul computer di casa, su un dispositivo associato o su un worker remoto. La chat costituisce il punto d’ingresso a un agente che può cercare informazioni, modificare documenti, controllare il calendario, preparare una risposta, usare il terminale o coordinare altri agenti.
OpenClaw opera con modelli commerciali e locali e consente di assegnare modelli differenti ad agenti e compiti diversi. Workspace, configurazione e cronologia possono rimanere sulla macchina dell’utente, offrendo un’alternativa ai servizi centralizzati nei quali dati e attività risiedono interamente sulla piattaforma del fornitore.
Dal progetto personale al fenomeno open source
OpenClaw nasce nel novembre 2025 come esperimento del programmatore austriaco Peter Steinberger, fondatore di PSPDFKit, società specializzata in tecnologie per la gestione dei documenti PDF. L’idea iniziale consisteva nel rendere un agente AI raggiungibile attraverso le applicazioni di messaggistica già utilizzate ogni giorno, trasformandolo in una presenza persistente alla quale affidare attività.
Il progetto ha intercettato un’esigenza che le interfacce conversazionali tradizionali soddisfacevano solo in parte. Gli utenti cercavano un assistente capace di conservare il contesto, utilizzare il computer e continuare a lavorare oltre il singolo scambio di messaggi.
La crescita è stata straordinaria. Ad agosto 2026 OpenClaw aveva raccolto quasi 388.000 star su GitHub, un indicatore della visibilità raggiunta nella comunità degli sviluppatori, insieme a oltre 81.000 fork e più di 80.000 commit. Numeri che restituiscono la rapidità con cui l’esperimento di Steinberger si è trasformato in un fenomeno globale dello sviluppo open source.
Nel febbraio 2026 Steinberger è entrato in OpenAI per lavorare su Codex e sui sistemi agentici e multiagente, continuando a partecipare alla direzione di OpenClaw come progetto indipendente.
Dalla comunità alla OpenClaw Foundation
La crescita di OpenClaw ha reso necessario un modello capace di sostenerne lo sviluppo senza affidarne il controllo a una singola azienda. La OpenClaw Foundation è l’organizzazione non profit indipendente che gestisce il progetto, coordina il lavoro della comunità e firma le versioni ufficiali. OpenClaw rimane interamente open source, viene distribuito con licenza MIT e non prevede un’edizione aziendale proprietaria separata.
Il progetto è sostenuto economicamente da OpenAI, Microsoft, Nvidia, Offline Holdings e University of Michigan, oltre che da centinaia di donatori individuali. Il loro impegno comprende anche contributi tecnici che collocano OpenClaw al centro dell’evoluzione delle piattaforme agentiche.
Nvidia ha costruito NemoClaw, una distribuzione che combina OpenClaw con i modelli Nemotron e con OpenShell, un ambiente progettato per isolare l’esecuzione degli agenti. Il progetto affronta così uno dei problemi centrali dell’AI agentica: consentire a un assistente di operare sul computer riducendo il raggio dei possibili danni.
Microsoft utilizza OpenClaw come base per Scout e contribuisce con tecnologie legate all’identità, alla sicurezza aziendale e all’esecuzione protetta su Windows. Parte di questo lavoro viene integrata nel progetto open source, rendendo disponibili alla comunità miglioramenti sviluppati per scenari professionali e aziendali.
OpenAI sostiene l’infrastruttura di inferenza e l’indipendenza del progetto. La partecipazione di Steinberger allo sviluppo dei sistemi agentici di OpenAI crea inoltre un collegamento diretto tra OpenClaw e uno dei principali laboratori del settore, senza modificare la natura aperta della piattaforma.
La presenza di sostenitori di questo livello mostra quanto OpenClaw sia diventato strategico. Microsoft e Nvidia stanno investendo in un livello di infrastruttura attraverso il quale modelli, sistemi operativi, dispositivi e strumenti possono essere coordinati da agenti persistenti. La struttura non profit protegge questo livello dal controllo esclusivo di un singolo produttore di modelli o piattaforme, un aspetto particolarmente rilevante per un sistema che gestisce aggiornamenti, identità, permessi, plugin e credenziali.
Perché OpenClaw è stato importante
Il principale contributo di OpenClaw consiste nell’avere mostrato cosa accade quando un modello viene inserito in un sistema persistente, dotato di strumenti e collegato al mondo reale. Un agente può ricevere un obiettivo, scegliere gli strumenti, eseguire diversi passaggi, chiedere conferma e riprendere il lavoro in seguito.
L’attenzione si sposta quindi dal solo modello all’agent harness, l’insieme di runtime, memoria, strumenti, autorizzazioni, skill, canali e meccanismi di recupero che permette al modello di agire. Due assistenti basati sullo stesso modello possono avere capacità e livelli di sicurezza molto diversi a seconda di come è costruita questa infrastruttura.
OpenClaw ha anche contribuito a rendere concreta l’idea di un’AI personale: un sistema eseguito sui dispositivi dell’utente, compatibile con più modelli e capace di conservare nel tempo memoria e modalità di lavoro. Il rapporto con il software viene così invertito. Invece di aprire ogni applicazione e adattarsi alle sue procedure, l’utente assegna un obiettivo a un agente che si muove tra applicazioni e strumenti per raggiungerlo.
Questa evoluzione richiede criteri di sicurezza differenti da quelli applicati a un chatbot, perché un agente può trasformare un errore di interpretazione in un’azione concreta.
Il problema è che l’agente agisce davvero
Un chatbot che interpreta male un’istruzione può fornire un’informazione errata. Un agente può trasformare lo stesso errore in un’azione concreta: cancellare un file, inviare un messaggio, esporre una credenziale o eseguire un comando.
A seconda della configurazione, OpenClaw può eseguire comandi, leggere e modificare file, accedere alla rete e inviare messaggi. Questa capacità di agire sul sistema ne determina il valore e lo distingue radicalmente da un normale chatbot.
La natura open source e local-first offre all’utente maggiore controllo sui dati e sull’infrastruttura, ma colloca l’agente vicino alle credenziali, ai documenti e alle applicazioni personali. La sicurezza dipende quindi dagli strumenti assegnati, dalle directory accessibili, dalle persone autorizzate a inviare messaggi e dalle operazioni che richiedono un’approvazione umana.
Prompt injection: il rischio più difficile
Il problema più noto è la prompt injection. Un’istruzione malevola può essere nascosta in una pagina web, in un’email, in un documento o in un allegato. Quando l’agente legge quel contenuto, il modello potrebbe interpretare l’istruzione come parte del compito assegnato dall’utente.
L’attacco può avvenire anche quando una sola persona è autorizzata a scrivere al bot, perché i contenuti elaborati dall’agente possono provenire da fonti esterne. Un’email potrebbe contenere istruzioni invisibili o apparentemente innocue che invitano l’assistente a ignorare il compito originale, cercare dati nel computer e trasmetterli a un indirizzo esterno. La stessa tecnica può essere inserita in un sito, in un PDF o nel risultato restituito da uno strumento.
Le istruzioni di sistema e gli avvisi che contrassegnano un contenuto come non attendibile riducono il rischio, mentre le barriere più solide derivano dall’isolamento dei processi, dai limiti imposti agli strumenti e dal rifiuto delle operazioni non autorizzate. La prompt injection deve quindi essere contenuta riducendo ciò che può accadere quando il modello viene ingannato.
Identità, permessi e isolamento
La prima difesa consiste nello stabilire chi può attivare l’agente. Nelle installazioni ordinarie il Gateway rimane collegato all’interfaccia locale, mentre i mittenti sconosciuti sui principali canali ricevono una richiesta di associazione prima di poter impartire comandi. Gruppi e conversazioni possono utilizzare allowlist e richiedere una menzione esplicita.
L’autorizzazione del mittente e la visibilità del contesto costituiscono due controlli distinti. Messaggi citati, cronologia dei gruppi, allegati e pagine consultate possono influenzare il modello anche quando la persona che ha attivato l’agente è autorizzata. Controllare il mittente non basta, perché i contenuti elaborati possono provenire da fonti non attendibili.
La seconda difesa consiste nel limitare gli strumenti. Un agente incaricato di riassumere email non ha necessariamente bisogno del terminale, dell’accesso in scrittura ai file o del controllo completo del browser. A ogni agente dovrebbero essere assegnate soltanto le capacità indispensabili per il suo compito.
La terza difesa è il sandboxing. Gli strumenti possono essere eseguiti in un ambiente isolato, con accesso nullo, in sola lettura o in lettura e scrittura al workspace. Il sandbox riduce l’accesso dell’agente al filesystem e ai processi della macchina, contenendo le conseguenze di un errore o di un’istruzione malevola.
L’isolamento deve essere configurato in base al livello di rischio. Quando il sandbox è disabilitato, alcuni strumenti possono operare direttamente sulla macchina che esegue il Gateway, aumentando l’importanza di permessi granulari e approvazioni.
Un Gateway, un confine di fiducia
OpenClaw adotta un solo confine di fiducia per ogni Gateway. L’istanza può essere utilizzata da una persona oppure da un gruppo i cui membri si fidano reciprocamente; gli ambienti che devono separare utenti ostili richiedono Gateway distinti.
Chiunque possa dialogare con un agente dotato di strumenti condivide parte dell’autorità delegata a quell’agente. I ruoli introdotti per i gruppi di lavoro limitano l’accesso alle sessioni e agli agenti, ma svolgono una funzione di collaborazione e non sostituiscono una separazione multi-tenant. Organizzazioni o utenti che non condividono lo stesso rapporto di fiducia devono utilizzare istanze separate e, idealmente, account di sistema o macchine differenti.
Questo limite assume particolare importanza mentre OpenClaw evolve da assistente personale a piattaforma condivisa. Coinvolgere colleghi e trasferire sessioni conserva il contesto del lavoro, mentre l’isolamento di soggetti reciprocamente ostili richiede confini infrastrutturali distinti.
Il rischio dei plugin e delle skill
Plugin e skill ampliano le capacità di OpenClaw e hanno contribuito alla crescita del suo ecosistema, introducendo al tempo stesso un problema di supply chain. Un plugin può aggiungere codice, strumenti, integrazioni e accessi a servizi esterni; installarlo significa quindi introdurre nuovo software all’interno del perimetro dell’assistente.
ClawHub sottopone i pacchetti a controlli statici, analisi assistite da modelli e servizi come VirusTotal. OpenClaw 2.0 mostra inoltre provenienza, versione, capacità richieste e artefatto esatto prima dell’installazione o dell’attivazione. Se l’utente rifiuta un aggiornamento, la versione precedente rimane invariata.
Le sorgenti eseguibili arbitrarie richiedono una forzatura esplicita, mentre anche i plugin ufficiali devono ottenere il consenso per le capacità richieste. Il marketplace riduce il rischio attraverso controlli e informazioni sulla provenienza, lasciando all’utente la decisione finale sull’autorità da concedere al componente.
Come OpenClaw 2.0 protegge le credenziali
La gestione delle credenziali è uno degli interventi più importanti della nuova versione. OpenClaw 2.0 permette di richiedere una credenziale attraverso un campo mascherato, evitando che il suo valore venga inserito nella conversazione o nel contesto elaborato dal modello.
I segreti condivisi possono essere conservati come valori non rileggibili e sostituiti soltanto al momento dell’uscita verso una destinazione autorizzata. Una credenziale può essere vincolata a specifici host HTTPS, riducendo la possibilità che venga inviata a un dominio scelto attraverso una prompt injection.
Al termine dell’esecuzione, connessioni, richieste e tunnel associati alla credenziale vengono chiusi, impedendo a una nuova sessione di riutilizzare l’autorità della precedente. OpenClaw distingue inoltre tra valori leggibili dall’agente e segreti utilizzabili senza inserirne il contenuto nella conversazione. Quando uno strumento deve consegnare direttamente un valore al modello, quel valore rimane visibile durante la relativa esecuzione.
Approvazioni più precise
Le approvazioni devono trovare un equilibrio tra sicurezza e continuità operativa. Una richiesta di conferma per ogni passaggio rende poco pratiche le automazioni, mentre un’autorizzazione generica amplia eccessivamente il raggio d’azione dell’agente.
OpenClaw 2.0 consente di autorizzare una precisa operazione ricorrente. Il permesso può essere controllato e revocato e non si estende automaticamente ad attività differenti. Quando cambia il lavoro o l’operazione, viene richiesta una nuova approvazione.
La versione introduce anche modalità esplicite per i permessi delle sessioni, mantenendo l’accesso ai file ancorato al workspace registrato. Nei gruppi è possibile assegnare ruoli che limitano agenti, sessioni e funzioni amministrative, oltre a imporre l’esecuzione in sandbox per le nuove attività. La supervisione umana viene così concentrata sulle operazioni che possono produrre conseguenze rilevanti.
Sicurezza significa anche non perdere i dati
La sicurezza comprende anche l’integrità delle sessioni, dei workspace e della memoria. OpenClaw 2.0 introduce backup pianificabili, snapshot versionati e procedure di ripristino verificate. Diverse correzioni proteggono i database SQLite da stati incompatibili, accessi concorrenti e problemi di journaling sui filesystem condivisi.
La nuova versione impedisce inoltre che il contenuto di prompt privati venga copiato nelle risposte finali o nei flussi parziali. Le decisioni di quarantena relative a database danneggiati vengono conservate separatamente, affinché la corruzione del database non cancelli anche l’informazione necessaria al suo recupero. Sono interventi poco appariscenti, ma indicano il passaggio da un esperimento a un sistema destinato a conservare attività e informazioni reali.
La più grande versione di OpenClaw
Il team aveva iniziato il lavoro con l’obiettivo di semplificare l’installazione e ricostruire l’applicazione web. L’intervento si è progressivamente esteso a gran parte del progetto, fino a giustificare il passaggio a OpenClaw 2.0.
Prima di questo aggiornamento OpenClaw aveva pubblicato 106 versioni in 230 giorni. La pausa di quasi sette settimane che ha preceduto la 2.0 ha consentito di consolidare una base tecnica cresciuta a una velocità difficile da sostenere.
OpenClaw 2.0 è stato realizzato da 933 collaboratori, 569 dei quali al primo contributo, attraverso più di 16.000 pull request. La release raccoglie circa la metà di tutte le modifiche integrate nella storia del progetto.
Le novità più visibili includono un primo avvio più semplice, un’applicazione web costruita intorno alla conversazione, la ricerca nella cronologia e schede persistenti per seguire il lavoro degli agenti. Le sessioni possono spostarsi dal Gateway locale a dispositivi associati o worker cloud insieme al proprio workspace, mentre le sessioni condivise consentono di coinvolgere altre persone o trasferire un’attività conservando il contesto. Widget, dashboard e Workboard trasformano inoltre la chat in uno spazio dal quale seguire risultati, obiettivi e automazioni.
Gli interventi su credenziali, permessi, plugin, backup e isolamento indicano però la direzione più importante. OpenClaw deve rendere prevedibile il modo in cui l’agente opera, oltre ad ampliare il numero delle attività che può svolgere.
OpenClaw 2.0 è sicuro?
OpenClaw 2.0 può essere configurato in modo prudente per l’uso personale e per gruppi che condividono lo stesso confine di fiducia. La versione migliora concretamente isolamento, credenziali, approvazioni, provenienza dei plugin e protezione dei dati, mentre la sicurezza complessiva continua a dipendere dalla configurazione dell’intero sistema.
Le domande fondamentali riguardano chi può parlare con l’agente, quali contenuti può leggere, quali strumenti possiede, quali file può raggiungere e quali operazioni richiedono conferma. Sandboxing, credenziali vincolate a destinazioni precise e approvazioni granulari servono a mantenere limitate le conseguenze di un errore o di una prompt injection.
OpenClaw rende visibile una realtà centrale dell’AI agentica: l’evoluzione del settore dipende dalla capacità di costruire barriere affidabili quanto dalla potenza dei modelli. La versione 2.0 segna il momento in cui uno dei più importanti esperimenti degli agenti personali prova a diventare un’infrastruttura matura, nella quale il valore di un assistente si misura attraverso ciò che riesce a fare e attraverso i limiti che continua a rispettare.
