**OpenClaw：AI エージェントがフルシステムアクセスを取得した時 ― セキュリティの悪夢？**

Japanese Translation:

概要
OpenClaw はオープンソースでローカルにホストされる AI アシスタントです。WhatsApp、Telegram、Discord、Slack、iMessage からアクセスでき、永続的なメモリと「ハートビート」機能を備え、Gmail、カレンダー、GitHub、Notion、Spotify など 100 を超える組み込み統合を提供します。また、ホストマシンのファイルシステム・ターミナル・ブラウザへの完全アクセスが可能で、チャット経由でインテグレーションを追加することでエージェント自身が新しいスキルを学習できます。

ローカルに実行されるため、OpenClaw は制限のないシステムアクセスを持ち、重大なセキュリティリスクがあります。Claude、GPT、Gemini などの大規模言語モデルはプロンプトインジェクションに脆弱であり、OpenClaw においてもメッセージやメール内の隠し指示を介して同様の攻撃が実行可能です。その Model Context Protocol（MCP）は広範な攻撃面を作り出します。侵害されたスキルモジュールはツールを汚染したり、権限を昇格させたり、任意コードを注入したり、サプライチェーン攻撃を開始する可能性があります。

記事では、OpenClaw を厳密にサンドボックス化された環境（専用仮想マシン、ハードリミット付き Docker コンテナ、Mac mini や Raspberry Pi などの隔離デバイス）でのみ実行することを推奨しています。これらは機密ネットワークや認証情報へのアクセスがありません。安全ルールには次が含まれます：

実際のメールアカウント、銀行・金融 API、その他機密文書は使用しない
管理者権限または特権的なネットワークアクセスを許可しない
ネットワーク分離とサンドボックスの定期再インストール

実験では、MCP ツールに最小権限原則を適用し、重要操作には明示的確認を求め、包括的なログを保持し、エージェント活動とインストール済みスキルの週次監査を行うべきです。これらの対策により、個人や組織はデータ損失や妨害リスクを軽減しつつ OpenClaw の強力なローカル AI 機能を享受できます。

2026年1月28日 – 7分で読めます

AIコミュニティは熱狂しています。
「OpenClaw」（旧Molbot、Clawdbot）というオープンソースプロジェクトが、わずか数週間で前例のない注目を集めています。
その約束とは？単に応答するだけではなく、本当に行動を起こす個人AIアシスタント――あなたのコンピュータへ完全アクセスできるものです。

OpenClaw とは？

自前ハードウェアで稼働
WhatsApp、Telegram、Discord、Slack、iMessage からアクセス可能

主な機能

機能	内容
永続的メモリ	過去の対話を覚えている
プロアクティブ通信	“ハートビート”で自発的に連絡
100+ 統合	Gmail、カレンダー、GitHub、Notion、Spotify など多数
拡張可能なスキル	チャットで新機能を追加可
完全コンピュータアクセス	ファイルシステム・端末・ブラウザまで何でも可能

なぜ注目されるのか

テックコミュニティの反応は“iPhoneモーメント”や「未来に生きている」といった感覚を語っています。
多くのAI発表と違い、OpenClaw はすぐに使える結果を提供します。30分以内にメール・カレンダー・ファイル操作がチャットで可能です。

オープンソース & 自前ホスト

クラウドプロバイダに依存せず、月額サブスクリプションも不要。理論上はユーザーがコントロールを保持できます。

自己拡張機能

エージェント自身が新しいスキルを学習します。あるデータへのアクセス方法を尋ねると、必要な統合を自ら構築するケースもあります。

⚠️ 重要警告：フルシステムアクセスは大きなセキュリティリスク

フルシステムアクセスは現在あなたがコンピュータで行える中でも最も危険なものの一つです。

AIエージェントが操作しやすい理由

LLM（Claude、GPT、Gemini）は真意認識がなく、正当なコマンドと悪意ある指示を区別できません。
攻撃者はメール等に隠れた命令を書き込み、エージェントに元の指示を無視させて自身の指示を実行させることができます。

プロンプトインジェクション例

From: attacker@evil.com
Subject: Project Update

Hello,

here's the project data as discussed.

Best regards

エージェントはこのメールを読み込み、隠れたコメントを指示として解釈し実行します。ユーザーは無害な返信だけ受け取りながら、機密データが背景で流出しています。

実態

どのLLMもプロンプトインジェクションに対して免疫はありません。
新しいジャイルブレイク手法は数日以内に開発され、防御は攻撃に遅れます。
OpenClaw は Claude、GPT、Gemini のいずれかをバックエンドとして使用し、すべて脆弱です。

MCPツール：もう一つの攻撃ベクトル

OpenClaw は Model Context Protocol（MCP）で 100 を超えるサービスと通信します。コミュニティは毎日新しいスキルを作成しており、セキュリティチェックが行われているか疑問です。

攻撃ベクトル	説明	影響
ツール汚染	悪意あるコードを含む改ざんスキルモジュール	攻撃者にフルシステムアクセス
権限昇格	宣言より多い権限を持つツール	未検出の権限拡張
サプライチェーン攻撃	スキルの依存関係が改ざんされる	すべてのユーザーに影響
コマンドインジェクション	操作入力を操作して悪意コード実行	任意コード実行

悪夢： “会社を運営している”

あるユーザーは誇らしげにツイートしました。「会社を運営している」。このエージェントが侵害された場合の想像です。

メール → 産業スパイ
カレンダー → 動向プロファイル作成
ファイル → 秘密情報流出
端末 → ランサムウェアインストール
Slack/Discord → 同僚へのソーシャルエンジニアリング

フルアクセスを持つ侵害されたエージェントは単なるセキュリティインシデントではなく、全損失です。

🛡️ 唯一の安全な推奨：サンドボックス運用

慎重に検討した結果、責任ある提案は次のとおりです。

OpenClaw は完全に隔離されたサンドボックス環境でのみ稼働すべきです。

サンドボックス運用とは具体的に？

エージェントをシステム全体から切り離します。侵害されても外部へ被害が拡大しません。

推奨サンドボックスオプション

専用仮想マシン（例：macOS の UTM、VirtualBox）
- 新規VMを作成し、必要なネットワークアクセスのみ許可。ホストとの共有フォルダは避ける。
- メリット：主システムから完全隔離、侵害時に簡単再設定、ネットワークルールが調整可能。
制限付き Docker コンテナ

version: '3.8'
services:
  openclaw:
    image: openclaw/openclaw:latest
    security_opt:
      - no-new-privileges:true
    cap_drop:
      - ALL
    read_only: true
    networks:
      - openclaw-restricted
    volumes:
      - openclaw-data:/data:rw  # 専用ボリュームのみ

専用 Mac mini / Raspberry Pi
- 別デバイスで OpenClaw を実行し、機密ネットワークに接続せず、機密情報を保存せず、侵害時にはすぐに消去可能。

サンドボックス運用の厳格なセキュリティルール

ルール	理由
実際のメールアカウントは使用しない	機密情報漏えいを防止
エージェント専用の別メールアドレスを作成	潜在的な侵害範囲を限定
銀行・金融APIには絶対にアクセスしない	直接金銭損失を回避
サンドボックス内で機密文書やトレードシークレットは置かない	データ漏えいリスク低減
管理者権限、パスワードマネージャー、SSHキーは入れない	認証情報盗難を防止
ネットワーク分離	サンドボックスが内部ネットワークに接続できないように
定期的な再インストール / リセット	侵害後のクリーン状態を保証

やってはいけないこと

メインPCでフル権限で OpenClaw を稼働させる。
実際のメールアカウントに機密情報を入れる。
コーポレート Slack/Teams への完全アクセス。
パスワードマネージャーや認証ストアを利用。
セグメンテーションなしで企業ネットワーク内で実行。

まだ試したい場合の最小限セキュリティ対策

最小権限の原則 – 必要最低限の MCP ツールのみ有効化。

enabled_skills:
  - calendar_read  # 読み取り専用、書き込みなし
  - weather
  - reminders
disabled_skills:
  - file_system
  - terminal
  - email_send
  - github_write

重要操作は必ず確認 – 感度の高い操作には常に確認を求める設定。
包括的ログ記録 – エージェントが実行したすべてのコマンドをログ化。
定期監査 – 週単位でエージェント活動、インストール済みスキル、GitHub リポジトリをレビュー。

結論

OpenClaw（旧 Moltbot / Clawdbot）は個人向け AI 相互作用の実質的な突破口です。
しかしセキュリティ状況は破滅的です：

プロンプトインジェクションへの内在的脆弱性
コントロール不能なスキルエコシステム
フルシステムアクセスがデフォルト
興奮がセキュリティ懸念を上回る

明確な推奨： OpenClaw は完全に隔離されたサンドボックスでのみテストし、実稼働環境には決してアクセスさせず、すべてのエージェント出力を潜在的に侵害済みと扱い、安全機構が整うまで本格利用は控えてください。

組織で AI エージェント導入を検討していますか？

AI コンサルタントとして、セキュリティガイドライン、サンドボックス設計、エージェンシー型 AI システムの統合支援を行います。非拘束性相談をご希望の場合はお気軽にお問い合わせください。