¿Qué es OpenWorker?
OpenWorker es un agente de escritorio de código abierto de la cuenta de GitHub de Andrew Ng que recibe una tarea (revisa este código en busca de vulnerabilidades, prepara un informe sobre un cliente, clasifica una bandeja de entrada) y devuelve un archivo o un mensaje terminado en lugar de una respuesta de chat. Ejecuta un servidor de agente local en Python dentro de un shell de escritorio Tauri, se basa en la biblioteca aisuite de Ng y llega primero con compañeros especializados en seguridad.
Es independiente del modelo: OpenAI, Anthropic, Gemini, Azure OpenAI, DeepSeek, Kimi, Qwen, Mistral y más con tu propia clave, OpenRouter, o modelos locales mediante Ollama, llama.cpp, vLLM o LM Studio. Llega a más de 25 aplicaciones (GitHub, Slack, Jira, Notion, Linear, HubSpot, Gmail, Google Calendar) además de cualquier servidor MCP, y puede ejecutar sus herramientas de shell y archivos dentro de un contenedor NVIDIA OpenShell, el sandbox de macOS o una cuenta oculta de Windows.
El repositorio se creó el 20 de julio de 2026, tiene licencia MIT y unas 18.800 estrellas en GitHub. El README lo llama beta abierta; la v0.3.1 salió el 5 de octubre de 2026, y la versión para macOS está firmada mientras que la de Windows aún no.
¿Merece la pena OpenWorker?
El diseño de gobernanza de OpenWorker es su mejor argumento, y la edad del proyecto su mayor reserva. Las escrituras, los envíos y los comandos de shell requieren aprobación por defecto; un conjunto de operaciones irreversibles queda reservado a personas en todos los modos, incluida la aprobación automática total; y las aprobaciones puntuales pueden convertirse en reglas permanentes y después en listas de permitidos de configuración, cada paso visible y revocable. En el modo de aprobación automática, un modelo revisor deja pasar las acciones rutinarias y escala el resto, y las denegaciones repetidas activan un cortacircuitos que devuelve el control. El README reconoce con franqueza que los veredictos del revisor son juicios, no garantías, y que los límites estrictos y el registro de auditoría son la verdadera red de seguridad.
Los compañeros de seguridad son más cuidadosos que la típica demo de agentes. Los hallazgos salen de escáneres deterministas como semgrep más el razonamiento del modelo, y las correcciones propuestas se vuelven a escanear y se revisan como diff antes de que las apruebes, así que el agente que escribe la corrección nunca es su único revisor. Los comandos pueden ejecutarse en un contenedor OpenShell que contiene las carpetas de la sesión y una red con lista de permitidos y nada más; el bucle del agente, las claves de modelo y los tokens de conectores quedan fuera, de modo que una inyección de prompt que llegue a un shell aterriza en una caja vacía. Las ejecuciones programadas sin supervisión nunca se autoaprueban; sus peticiones esperan en una bandeja.
La mayor parte del trabajo se queda en tu máquina. Las conversaciones, los tokens de conectores y las claves de modelo viven en un almacén local de secretos; el único componente en la nube gestiona los intercambios de OAuth, y la app funciona sin sesión iniciada con claves que crees tú. Iniciar sesión activa por defecto un evento de telemetría sin contenido (qué tipo de compañero se inició y cuándo), con opción de desactivarlo; sin sesión, no se envía nada, según el código fuente.
El peso está en la madurez. El repositorio tiene tres meses, acumula unas 374 incidencias y pull requests abiertas y sigue en la versión 0.3.1. Las notas de contribución advierten de que las pull requests que añadan funciones ya en desarrollo interno, o fuera de la visión de los mantenedores, pueden rechazarse, lo que lo convierte más en un producto con licencia abierta que en un proyecto comunitario. Frente a OpenBot, que tiene un motor de políticas más estricto pero necesita un servicio de memoria de pago, OpenWorker es más fácil de instalar para una persona; frente a Goose es más limitado, pero mucho más exigente con las aprobaciones.
Dónde se gana su sitio
Un ingeniero de seguridad de aplicaciones en una empresa con 60 desarrolladores
Revisar un servicio y sus dependencias en busca de vulnerabilidades reales y tener listas las correcciones
Apunta el compañero de seguridad al repositorio; los hallazgos de semgrep y el razonamiento del modelo vuelven con correcciones propuestas que se vuelven a escanear y se revisan como diff antes de aprobarlas. Software gratuito; el coste son los tokens del modelo con tu propia clave, o ninguno con un modelo local.
Una responsable de éxito de clientes que lleva 40 cuentas
Preparar un informe para cada llamada a partir del CRM y la bandeja de entrada
Conecta HubSpot y Gmail mediante el gestor de OAuth opcional o tus propias credenciales y pide un informe; los envíos y los cambios de calendario esperan aprobación. Un informe matinal programado llega a la app con la transcripción completa.
Un ingeniero de guardia en una startup de 20 personas
Reunir contexto de Jira, GitHub y Slack durante un incidente y redactar la cronología
Ejecuta el compañero de triaje de incidentes con los comandos de shell dentro de un sandbox de OpenShell o macOS, para que los comandos de diagnóstico solo toquen la carpeta de la sesión y los hosts permitidos. Cada llamada a herramienta queda registrada como aprobada automáticamente, aprobada por el usuario o denegada.
Antes de decidirte
- Puesta en marcha
- Descarga la versión firmada para macOS 12+ o la versión sin firmar para Windows 10/11, añade una clave de modelo o apúntalo a Ollama, y dale una tarea. Desde el código fuente necesita Python 3.10+, Node 20+ y Rust para el shell de escritorio.
- Integraciones
- Más de 25 conectores, entre ellos GitHub, Slack, Jira, Notion, Linear, HubSpot, Outlook, monday.com, Gmail y Google Calendar, además de cualquier servidor MCP con control por herramienta; una mención en Slack abre una sesión de escritorio y responde en el hilo. Basado en aisuite.
- Datos y privacidad
- El bucle del agente, las conversaciones, las claves y los tokens de conectores se quedan en un almacén local de secretos; solo un gestor de OAuth se ejecuta en la nube. Los usuarios con sesión iniciada envían por defecto un evento de telemetría de sesión sin contenido, con opción de desactivarlo. Licencia MIT.
- Coste a escala
- No hay edición de pago. El coste es el uso del modelo por tarea en tu propia cuenta de proveedor; un modelo local con Ollama lo elimina, aunque el proyecto solo responde de los modelos de su lista seleccionada para trabajo con llamadas a herramientas.
- Límites
- Beta con unas 374 incidencias y pull requests abiertas; instalador de Windows sin firmar; las aprobaciones del modelo revisor son juicios, no garantías; las PR fuera de la hoja de ruta de los mantenedores pueden rechazarse.
Lo bueno
- Límites estrictos reservados a personas que ningún modo de aprobación automática puede rebajar
- Las correcciones de seguridad se vuelven a escanear y se revisan como diff antes de aprobarlas
- Sandbox de OpenShell, macOS o Windows para los comandos del agente
- Cualquier modelo con clave, OpenRouter o en local mediante Ollama
Lo malo
- Beta abierta de tres meses, con unas 374 incidencias y PR abiertas
- La versión para Windows aún no está firmada
- Los mantenedores pueden rechazar funciones fuera de su propio plan
- La telemetría con sesión iniciada está activada por defecto
Ideal para
Ingenieros de seguridad y trabajadores del conocimiento individuales que quieren un agente local que pregunte antes de actuar y deje constancia de quién aprobó qué.
Alternativas a OpenWorker
OpenWorker: preguntas frecuentes
- ¿Merece la pena OpenWorker?
- OpenWorker pone las barreras de aprobación y el registro de auditoría donde deben estar, en la arquitectura, pero es una beta de tres meses cuya hoja de ruta la marca una lista interna y no sus colaboradores. Le damos un 3.9 sobre 5.
- ¿Cuánto cuesta OpenWorker?
- Gratuito y de código abierto (MIT). Sin plan de pago; pagas a tu proveedor de modelos, o nada con un modelo local. Una cuenta gratuita opcional gestiona el OAuth de los conectores.
- ¿Qué inconvenientes tiene OpenWorker?
- Beta abierta de tres meses, con unas 374 incidencias y PR abiertas; la versión para Windows aún no está firmada; los mantenedores pueden rechazar funciones fuera de su propio plan; la telemetría con sesión iniciada está activada por defecto.
- ¿Para quién es OpenWorker?
- Ingenieros de seguridad y trabajadores del conocimiento individuales que quieren un agente local que pregunte antes de actuar y deje constancia de quién aprobó qué.
- ¿Cuánto cuesta OpenWorker para un equipo o en producción?
- No hay edición de pago. El coste es el uso del modelo por tarea en tu propia cuenta de proveedor; un modelo local con Ollama lo elimina, aunque el proyecto solo responde de los modelos de su lista seleccionada para trabajo con llamadas a herramientas.
- ¿Es OpenWorker seguro para los datos de la empresa?
- El bucle del agente, las conversaciones, las claves y los tokens de conectores se quedan en un almacén local de secretos; solo un gestor de OAuth se ejecuta en la nube. Los usuarios con sesión iniciada envían por defecto un evento de telemetría de sesión sin contenido, con opción de desactivarlo. Licencia MIT.
- ¿Cuáles son las mejores alternativas a OpenWorker?
- Las alternativas más cercanas que hemos analizado son OpenBot, goose, Hermes Agent y Magentic-UI (MagenticLite).
Respuestas comprobadas el 31 oct 2026.