Cómo funciona OmniRoute y si es seguro usarlo

En esta entrada

OmniRoute es uno de los proyectos de código abierto que más rápido ha crecido este año. Se creó en febrero de 2026 y hoy supera las 82 000 estrellas en GitHub y las 250 000 descargas mensuales en npm. Su promesa es atractiva: conectar Claude Code, Cursor, Codex o cualquier otra herramienta a cientos de proveedores de IA a través de un solo endpoint, con cambio automático cuando uno se queda sin cuota y con más de 150 capas gratuitas. La pregunta es qué hay detrás y si conviene instalarlo.

Qué es

OmniRoute es un gateway de IA: un servidor que se instala en tu propia máquina y se pone en medio entre tus herramientas y los proveedores de modelos. Es software libre con licencia MIT, escrito en TypeScript sobre Next.js, y se instala con npm install -g omniroute (OmniRoute, 2026a).

Una vez en marcha, abre un panel en http://localhost:20128 y una API compatible con la de OpenAI en http://localhost:20128/v1. Tus herramientas dejan de hablar con Anthropic, OpenAI o Google directamente y le hablan a OmniRoute, que decide a quién reenviar cada petición.

Cómo funciona

tu herramientaClaude Code, Cursor, Cline, Codex o cualquier cliente compatible con OpenAI

localhost:20128/v1OmniRoute elige el modelo, comprime el contexto y guarda tus credenciales

1. 1 · Suscripcióntérminos de servicioClaude Code, Codex, Copilot, Antigravity (OAuth)
2. 2 · API keypago por usoAnthropic, OpenAI, Google, Mistral…
3. 3 · Baratoprivacidad variableproveedores de bajo costo
4. 4 · Gratisregistro de promptscapas gratuitas, sin llave o con cookies web

Fuente: README de OmniRoute (diagrama «tier cascade»). La etiqueta de cada nivel resume su principal riesgo.

El funcionamiento se apoya en tres piezas:

• Conexiones. Tú conectas tus cuentas de proveedores. Según el proveedor, OmniRoute guarda una API key, un token OAuth obtenido al iniciar sesión con tu suscripción (Claude Code, Codex, GitHub Copilot, Antigravity) o incluso las cookies de una sesión web de ChatGPT, Gemini o Copilot (OmniRoute, 2026b).
• Combos. Un combo es una cadena de modelos. Si eliges el modelo auto, OmniRoute arma la cadena por su cuenta y la ordena según calidad, costo, latencia o cuota disponible. Hay 20 estrategias distintas de enrutamiento.
• Resiliencia y compresión. Cuando un proveedor falla, devuelve un límite de uso o se queda sin cuota, el combo pasa al siguiente. Además, el gateway comprime las salidas de las herramientas para gastar menos tokens.

El orden por defecto es el del diagrama: primero tu suscripción, después tus API keys, luego proveedores baratos y al final los gratuitos.

¿Es seguro?

La respuesta depende de qué entendamos por «seguro». Hay cuatro riesgos distintos, y conviene separarlos.

1. El propio software: una vulnerabilidad crítica reciente

El 3 de septiembre de 2026 se publicó la CVE-2026-88062, de gravedad crítica. El endpoint que registra agentes personalizados aceptaba un comando arbitrario y lo ejecutaba para «detectar la versión» del agente. Con eso, un atacante podía ejecutar código en el servidor con una sola petición HTTP (OmniRoute, 2026c).

Lo grave es que no siempre hacía falta autenticarse. Bastaba con que la instancia tuviera desactivado el inicio de sesión (requireLogin=false), o con que fuera una instalación nueva a la que todavía no se le había puesto contraseña. Afecta a todas las versiones anteriores a la 3.8.49.

Una vulnerabilidad corregida no hace inseguro un proyecto, pero sí dice algo de su superficie de ataque. OmniRoute expone más de 110 herramientas por MCP, ejecuta procesos, abre navegadores con Playwright, tiene un modo de inspección de tráfico tipo MITM y publica versiones nuevas casi cada semana. Es mucho código con permisos altos en tu máquina.

2. Tus credenciales

OmniRoute guarda en una base de datos SQLite las API keys y los tokens de todas tus cuentas. Su documentación dice que los cifra con AES-256-GCM, pero con una condición: si la variable STORAGE_ENCRYPTION_KEY no está definida, entra en «modo passthrough» y los guarda en texto plano (OmniRoute, 2026d). En el archivo .env.example esa variable viene vacía.

Dicho de otro modo, un solo archivo puede reunir las llaves de todas tus cuentas de IA. Si se filtra, o si alguien explota una vulnerabilidad como la anterior, se las lleva todas juntas.

3. Tus cuentas y los términos de servicio

Este es el riesgo que más se pasa por alto. Usar el token de tu suscripción en una herramienta de terceros no es lo mismo que usar una API key.

Anthropic, por ejemplo, lo dice expresamente en la documentación de Claude Code. La autenticación OAuth de los planes Free, Pro y Max está pensada para el uso normal de Claude Code y de las aplicaciones de Anthropic. Los desarrolladores no pueden enrutar peticiones a través de las credenciales de esos planes ni recolectar, guardar o intermediar tokens de sesión de Claude.ai, y Anthropic se reserva el derecho de aplicar estas restricciones sin previo aviso (Anthropic, 2026). Desde enero de 2026 bloquea en el servidor los tokens de suscripción usados fuera de Claude Code.

OmniRoute incluye además una función de «TLS stealth»: imita la huella TLS (JA3 y JA4) de los clientes oficiales para que las peticiones parezcan venir de ellos (OmniRoute, 2026a). Esa función solo tiene sentido si el proveedor no quiere recibir esas peticiones. Las integraciones por cookies web son todavía más frágiles, porque usan tu sesión del navegador como si fueras tú escribiendo en la página.

El propio proyecto lo reconoce en parte: marca algunos proveedores con la etiqueta tos: avoid y los excluye del enrutamiento automático (OmniRoute, 2026e). Pero la responsabilidad queda de tu lado. Si el proveedor suspende tu cuenta, la que pierdes es la tuya.

4. La privacidad de tu código

Con el modelo auto, no decides tú a quién va cada petición, sino el enrutador. Si tu suscripción se queda sin cuota en medio de una tarea, tu código puede terminar en un proveedor gratuito cuyas condiciones nunca leíste. La guía de capas gratuitas de OmniRoute lo deja claro con un ejemplo: uno de los proveedores gratuitos registra todas las peticiones con fines de investigación (OmniRoute, 2026e). Para un proyecto personal quizá no importe. Para el código de un cliente o de tu empresa, sí.

Cómo usarlo con cuidado

Si aun así decides probarlo, estas medidas reducen bastante el riesgo:

1. Actualiza. Usa como mínimo la versión 3.8.49, y mejor la más reciente.
2. Ponle contraseña desde el primer arranque y nunca desactives requireLogin.
3. No lo expongas a internet. Déjalo escuchando solo en localhost. Si lo necesitas en un servidor, ponlo detrás de una VPN y no de un puerto abierto.
4. Define STORAGE_ENCRYPTION_KEY antes de conectar cualquier cuenta, por ejemplo con openssl rand -hex 32.
5. Prefiere API keys a los tokens de suscripción y a las cookies web. Así respetas los términos del proveedor y pagas solo lo que usas.
6. Fija los proveedores en lugar de usar auto cuando trabajes con código privado, y deja fuera las capas gratuitas que registran peticiones.
7. Aíslalo. Correrlo en Docker limita lo que un atacante podría tocar si encuentra otra vulnerabilidad.

Conclusión

OmniRoute resuelve un problema real, el de manejar muchos proveedores y límites de uso desde un solo lugar, y lo hace con una ingeniería ambiciosa. Pero «gratis» y «seguro» no son lo mismo. Como gateway con tus API keys propias, bien configurado y sin salir de tu máquina, es una herramienta razonable. Como forma de exprimir suscripciones y sesiones web más allá de lo que permiten sus términos, el riesgo no está tanto en el código como en tus cuentas.

Referencias

• Anthropic (2026). «Legal and compliance: Authentication and credential use». Claude Code Docs. Consultar en línea.
• OmniRoute (2026a). README, versión 3.8.52. Consultar en línea.
• OmniRoute (2026b). Provider Reference. Consultar en línea.
• OmniRoute (2026c). «OmniRoute ACP Custom-Agent Remote Code Execution (RCE)», GHSA-hf57-cqmx-p4gr, CVE-2026-88062. Consultar en línea.
• OmniRoute (2026d). Security Policy. Consultar en línea.
• OmniRoute (2026e). Free Tiers Guide. Consultar en línea.