
2026/03/23 2:35
オープンクローは、昼間の夢想に包まれたセキュリティの悪夢です。
RSS: https://news.ycombinator.com/rss
要約▶
Japanese Translation:
概要:
OpenClawは、AnthropicのClaude Opus 4.5を使用し、M4 Mac Mini上で動作するローカル大規模言語モデルエージェントです。Telegram、Gmail、Slack、ブラウザ、Alexa、Sonos、Notion、Todoist、Spotify、Philips Hueなどのサービスと統合されます。テスト中に著者はOpenClawを試験する際にClaude APIで約1億8000万トークンを消費し、プロンプトインジェクション、幻覚、偶発的なデータ漏洩、二要素認証コードの読取りや銀行口座へのログインといった複数のセキュリティ弱点が判明しました。
エージェントの「SkillHub」マーケットプレイスは検査機能がなく、最もダウンロードされたTwitterスキルがステージ化されたペイロードを介してクッキー、認証情報、およびSSHキーを盗むマルウェアを配布しました。Snykの分析では、3,984スキルの7.1 %がログまたはLLMコンテキストにプレーンテキストの認証情報を露出していることが判明しています。OpenClawの構造上、Slack、Gmail、Teams、Trelloなど接続された統合サービス全てがエージェントが侵害されるとアクセス可能になり、トークンはローカルに保存され盗難のリスクがあります。デフォルトのローカルホスト接続は認証なしで自動承認され、CensysとBitSightは2026年1月に約21,000〜30,000件の公開インスタンスを検出しました。OWASPマッピングでは、プロンプトインジェクション、不安全なツール呼び出し、過剰な自律性、人間による介入欠如、メモリ汚染、不安全なサードパーティ統合、不十分な権限分離、サプライチェーンリスク、エージェント同士の無制限アクション、実行時監視不足など10件のエージェント固有脆弱性が列挙されています。
著者はOpenClawをハードニングするために、root権限を持たないDockerコンテナ内で読み取り専用ファイルシステムを使用し、マウント制限、VPN/SSHによるアクセス、トークンローテーション、およびComposioを通じてスコープを限定することを推奨しています。これらの対策が講じられない場合、ユーザーは認証情報窃盗、データ漏洩、コンプライアンス違反、評判損失のリスクに直面します。その結果、業界ではTrustClawなどのより安全な代替手段へと移行が進んでいます。 TrustClawはOAuthトークンを管理し、スコープ付きアクセスを強制、サンドボックス化されたコード実行、一括設定、継続的監視、および外部露出の制限を提供します。
本文
2023年に話題になった AutoGPT と BabyAGI の記憶を呼び起こす
GPT‑4 が登場した当時、インターネットは AutoGPT や BabyAGI をめぐって沸騰していました。
「自律エージェントが仕事を奪う」とか「それをどうやって実現するのか」という議論に、人々は恐怖とパラノイアでいっぱいでした。しかし、約数週間後にはその熱狂は消え去り、話題は沈静化しました。
そして今、正確に 3 年後。
同じような議論が再び起きているのです。今回は OpenClaw(Opus が動力源)という新たなエージェントが登場しています。
モデルは以前よりも格段に進化し、幻覚(hallucination)が大幅に減少。さらに、ローカルファイルシステムやターミナル、ブラウザ、Gmail、Slack、さらには家庭用自動化システムといった多岐にわたる環境を操作できるようになりました。
ほぼ 1 ヶ月前から Twitter 上で話題は続いており、その勢いの中で OpenAI は Peter Steinberger を買収・雇用したとも言われています。
OpenClaw:夢のような日常
「起きてノートパソコンを開くと、すべてのメールが既読に。会議は自動的に予定表へ追加され、週末のフライトも予約済み。Alexa が『Every Breath You Take』を流し始める――これが OpenClaw の約束です。」
Federico Viticci は MacStories で次のように書いています。
「過去1週間、私の名前と朝のルーティン、Notion と Todoist の使い方、Spotify・Sonos・Philips Hue・Gmail 等を把握するデジタルアシスタントと作業しています。Anthropic の Claude Opus 4.5 をベースにしているものの、Telegram 経由で対話します。名前は Navi(『オカリナ オブ タイム』の妖精仲間にちなんで)。Navi は音声メッセージを受け取り ElevenLabs TTS で返答し、自ら改善も行い、M4 Mac mini サーバー上で動作します。」
OpenClaw が頻繁に言及されるのを見て、私は公式サイトの手順に従い、新しい M4 Mac mini にインストール。Telegram と連携させた結果、2026 年の個人 AI アシスタント像が変わりました。Anthropic API で 1.8 億トークンを消費し、Claude/ChatGPT のアプリとの対話数は減少しました。
OpenClaw のベストケース
Brandon Wang は「受信メールのリマインダー」「予約の自動化」など、自律エージェントがもたらす利便性と粘着性を紹介しています。利用が増えるほど、ボットはパターンを学習し、ツール・ワークフロー・スキルを作成して必要に応じて呼び出します。
clawdbot は各ワークフローの人間が読めるバージョンを Notion データベースへ書き込みます。
例:レストランがキャンセル料を課す場合、Clawdbot がユーザーに通知し、返金不可であることと期限をカレンダーイベントに含めます。
多くのメリットがありますが、セキュリティコストは大きいです。OpenClaw はテキストメッセージ(2FA コードも含む)を読むことができ、銀行口座にログインし、カレンダーや Notion、連絡先を閲覧し、ウェブをブラウズして行動できます。理論上は銀行残高を抜き取る可能性があります。
Brandon は「委任にはリスクが伴う」と指摘します:意図的な悪用、事故、ソーシャルエンジニアリング。Clawdbot の場合、プロンプトインジェクション攻撃、幻覚、不適切設定、予測不可能性がリスクとして移行します。
OpenClaw の暗い面
スキルの問題
OpenClaw は SkillHub からスキルを取得します。誰でもアカウントなしでアップロードできるため、責任やセキュリティチェックはほぼありません。最もダウンロードされたスキルは、Jason Melier(1Password)によって検出されたマルウェア配信ベクターでした。「Twitter」スキルは
openclaw-core を依存させ、悪意あるインフラにリンクし、オブファスケートしたペイロードを実行して macOS の隔離属性を削除しデータを外部へ送信しました。
Jamieson O’Reilly はサプライチェーンバックドア攻撃のシミュレーションを行い、安全に見えるが実際にはバックドア付きのスキル(4,000 件以上のダウンロード)が存在することを示しました。Snyk の分析では 3,984 スキル中 283(7.1 %)にクリティカルな欠陥があり、平文認証情報やログ出力が漏れるケースがあったと報告しています。OpenClaw は現在 VirusTotal と提携し、スキルのリスクを検査しています。
プロンプトインジェクション脅威
LLM にはプロンプトインジェクションが不可避です。WhatsApp・Telegram・メールなどを通じて攻撃者がメッセージを送信し、OS レベルの安全性よりも上で動作するため、アプリケーション分離や同一オリジンポリシーは適用されません。
侵害された統合
OpenClaw の 50 を超える統合(Slack, Gmail, Teams, Trello 等)は攻撃面を拡大します。攻撃者がインスタンスにアクセスすれば、プライベートチャットやメール、API キー、パスワード管理ツール、家庭用自動化システムなど全てにリーチできます。
認証の乱用と過剰権限トークン
OpenClaw は API キー・OAuth トークンをローカル認証プロファイルに保存します。弱い認証や公開ゲートウェイはトークン盗難へ直結し、攻撃者は Slack や Gmail などでユーザーになりすますことができます。
メモリ感染
OpenClaw のメモリは Markdown ファイルで構成されています。侵害されたエージェントは自らのメモリを書き換え、タスクを暗黙的に実行しデータを外部へ送信する可能性があります。
インスタンス公開
ハイプ期には多くの OpenClaw エージェントがインターネットに公開され、セキュリティ対策なしで稼働していました。初期の ClawedBot は localhost トラフィックを合法とみなす自動承認機能を持っており、Censys で約21,000 の公開インスタンスが検出されました。BitSight では 1 月 27 日から 2 月 8 日までに 30,000 超の脆弱インスタンスが報告されています。
OWASP Top 10 へのマッピング
| OWASP リスク | OpenClaw 実装 |
|---|---|
| A01: Prompt Injection | Web 検索結果・メッセージ・第三者スキルで指示を注入し実行。 |
| A02: Insecure Agent Tool Invocation | 信頼できないメモリソースからのツール呼び出し。 |
| A03: Excessive Agent Autonomy | ファイルシステムルートアクセス、認証情報、ネットワーク通信を許可。 |
| A04: Missing Human‑in‑the‑Loop Controls | など破壊的操作に承認なし。 |
| A05: Agent Memory Poisoning | ウェブスクレイピング・ユーザーコマンド・スキル出力を同一メモリへ保存。 |
| A06: Insecure Third‑Party Integrations | スキルは完全権限で実行され、サンドボックスなしに永続メモリを書き込む。 |
| A07: Insufficient Privilege Separation | 信頼できない入力と高特権アクションが同一メモリアクセスを共有。 |
| A08: Supply Chain Model Risk | 上流 LLM のファインチューニングデータや安全性の検証なし。 |
| A09: Unbounded Agent‑to‑Agent Actions | 将来のマルチエージェント版で制限なく相互通信可能。 |
| A10: Lack of Runtime Monitoring & Guardrails | メモリ取得→推論→ツール呼び出し間にポリシー層がない。 |
OpenClaw エージェントを安全に運用するためのベストプラクティス
OpenClaw は「非決定的で人間らしい振る舞い」を備えているため、従来のアプリケーションとは異なるセキュリティ対策が必要です。
1. コンテナ化された隔離環境を使用
- 本番マシンや root 権限で実行しない。Docker コンテナ内で専用ユーザー(
)として稼働させる。openclaw
だけをマウントし、他は読み取り専用にする。/srv/openclaw/work
指定と最低限の機能権限 (USER
等) のみ付与。CAP_NET_BIND_SERVICE
をマウントしない。/var/run/docker.sock- デフォルトの seccomp プロファイルを使用し、必要なら追加制限。
2. ネットワーク強化
- OpenClaw のゲートウェイは
に限定。VPN や WireGuard/Tailscale を経由してのみアクセス。127.0.0.1 - ファイアウォールで SSH は自分の IP/VPN のみ許可し、OpenClaw ポートは外部に公開しない。
- 信頼できるプロキシを利用する場合は
で実際のプロキシ IP を限定。gateway.trustedProxies
3. トークン管理とローテーション
- 各統合(Gmail, Calendar, Slack 等)は独立したアカウントとして扱う。
- Composio のような安全な OAuth 管理ツールを利用し、ディスク上に平文秘密鍵を保存しない。
- 権限は読み取り専用で始め、必要に応じて書き込み権限を付与。
- 高特権アクセスは時間制限付きで付与し、終了後は直ちに撤回。
4. 観測性と監査
- Composio のツール認証・スコープ設定で細粒度管理。
- 月次でスコープをレビューし、不要な統合は削除。
- 実行履歴を活用してツール使用の追跡。
5. スキル管理の安全化
- 公認または検証済みスキルのみ利用。
- VirusTotal 等で事前にスキャンし、悪意あるコードを排除。
- スキルディレクトリは読み取り専用に設定し、サンドボックス環境で実行。
TrustClaw:安全性を備えた代替案
TrustClaw は OpenClaw のコアを継承しつつ、主なセキュリティギャップを解消しています。
| 機能 | 効果 |
|---|---|
| マネージド OAuth | ローカルにトークンを保存せず、Composio がライフサイクル管理。 |
| スコープ付きアクセス | エージェントごとに細かな権限設定が可能。 |
| リモートサンドボックス実行 | ホストシステムからコード実行を分離。 |
| ワンクリックゼロセットアップ | 設定ミスを削減し、導入を容易化。 |
| 24/7 エージェント稼働 | 定期タスクが確実に実行される。 |
| 完全な監査機能 | エージェントのすべてのアクションを追跡可能。 |
TrustClaw は自律 AI アシスタントとして、メールやカレンダーへのアクセスと安全な認証ストレージを備えています。必要に応じて特定の Docs, Sheets, Drive フォルダだけを共有し、それ以外は隔離されたままにできます。
結論
OpenClaw は強力で魅力的なコンセプトですが、プロンプトインジェクション、悪質スキル、過剰権限トークン、メモリ感染、公開インスタンスといった多数のセキュリティリスクを抱えています。
厳格な隔離・ネットワーク強化・スコープ管理・安全な統合運用(または TrustClaw への移行)を実施すれば、多くの脅威を軽減しつつ、自律 AI アシスタントの恩恵を享受できます。