← 2026-07-14 の一覧へ戻るホーム
Show HN：OpenClawMachines ～OpenClaw のエンタープライズ対応拡張～

2026/07/14 2:45

Show HN：OpenClawMachines ～OpenClaw のエンタープライズ対応拡張～

RSS: https://news.ycombinator.com/rss

元のHacker News記事へ ↗
要約▶

Japanese Translation:

OpenClaw Machines プラットフォームは、Apache-2.0 ライセンス付きのオープンソース環境を提供し、安全な AI サンドボックスを介してユーザー所有のハードウェア上で孤立したエージェントを実行することを可能にします。標準的なクラウドソリューションやコンテナとは異なり、Firecracker マイクロVM と KVM 技術を採用することで堅牢なハードウェアレベルの分離を実現し、機密データとキーは厳格にユーザーのインフラストラクチャ内に留め置いています。アクセス管理は Cloudflare のエッジネットワークを介して行われ、ホストポートを外部に露出させることなくトンネルを使用して認証とルーティングを処理します。システムアーキテクチャには、オーケストレーション用制御プレーン（Go API）および CDP を介して Chromium VM を使用するブラウザランタイムが含まれています。GitHub や Google Workspace などのツールとは MCP ファサードを介してネイティブに統合されます。柔軟な展開をサポートしているため（ローカル単一ボックス評価から OVHcloud などのプロバイダ上の管理型 Bare-Metal インスタンスに至るまで）、KVM を有効にした Linux ホストでの動作が必要であり、サポートされない環境には macOS、Windows/WSL、ネスト化仮想化を備えていない標準的なクラウド VM が含まれます。このアプローチにより、優れたセキュリティ、大規模なコスト効率、データ主権が実現されますが、VM ライフサイクルの管理、バックアップ、セルフホスト制御プレーンの責任はユーザーに委ねられます。

Summary:

OpenClaw Machines プラットフォームは、ユーザー所有のハードウェアに特化して設計された安全なオープンソース AI 環境を導入し、標準的なクラウドソリューションと比較して優れた分離性を提供します。専用アーキテクチャ内での Firecracker マイクロVM を活用することで、機密データとキーが決してユーザーインフラストラクチャを離れない堅牢なハードウェアレベルの分離を保証します。このシステムは Kernel-Based Virtual Machine 技術によって従来のコンテナに取って代わり、モデル操作に対する厳格な主権を必要とするタスクのセキュリティを大幅に向上させます。アクセスは Cloudflare のエッジネットワークを介して安全に管理され、ホストポートを外部に露出させることなく認証とルーティングを処理します。プラットフォームはローカル単一ボックス評価から OVHcloud などのプロバイダ上の管理型 Bare-Metal インスタンスまで幅広い展開モードをサポートしていますが、KVM を有効にした Linux ホストの必須条件としています。したがって、ユーザーは仮想機械ライフサイクルおよびバックアップを自ら管理する必要があり、このソリューションはコンテナ化代替案に伴う高コストを負担せずにエンタープライズグレードのセキュリティを求める企業に最適です。

本文

OpenClaw Machines：独自のインフラ上で多数の孤立した OpenClaw エージェントを実行するプラットフォーム

OpenClaw Machines は、独自のインフラ上で安全な AI サンドボックス内で OpenClaw を実行するためのオープンソース・プラットフォームです。

  • アーキテクチャ: コントロールプレーンがホスト群をオーケストレーションし、各エージェントはそれぞれの Firecracker マイクロVM として動作します。
  • セキュリティ: 信頼できないコードやエージェント生成のコードであっても、ハードウェア層で完全に孤立させ、安全に動作させます。
  • ネットワーク: Cloudflare のデータプレーンがファーストゲートウェイとなり、マシンにはエッジ認証による固有のサブドメインが割り当てられ、トンネルを通じて VM 内部で終端されます。
  • 接続: ユーザー向けの VM 間トラフィックに対してホストポートは一切公開されません（コントロールプレーンは各エージェントへの認証済み制御 API [ポート 9090] またはファイアウォール制限によるアクセスを必要とします）。
  • 動作確認: openclawmachines.com でお試しください。

ス tack の概要

Apache-2.0 ライセンスで公開されているコアには、以下のスタック全体が含まれます：

  • 最小化されたコントロールプレーン
    • Go API を採用し、Postgres をバックエンドとします。
    • アカウント・マシン・ホストの管理、配置計画、マシンのライフサイクル管理、ホストへの登録、バックアップ、永続的なワークフロー処理機能を具備します。
  • ホストエージェント (ocm-agent)
    • 登録済みの Linux ボックス上で Firecracker マイクロVM の起動、監視、および終了（reaping）を行います。
    • ブリッジ/TAP ネットワーキングやルートファイルシステムのステージングを管理します。
  • ホスト単位の LLM プキシ (LiteLLM)
    • モデルキーの一箇所以外への統合ポイントとなります。
    • BYO キーをサポートし、各マシンの利用状況を追跡可能です（複数のプロバイダー間や、自前のローカル配信モデルにも対応）。
  • OpenClaw ランタイム
    • VM 内部に実装される機能群：認証プキシ、Web チャットゲートウェイ、ライブターミナル、アーティファクト駆動型のランタイム・ステージング/アップグレードフロー。
  • ブラウザランタイム
    • CDP ルーティングと視聴可能なライブビューを備え、エージェント制御によるブラウザ自動化を行うペアされた Chromium ブラウザ用マイクロVMです。
  • ワークスペース統合 / ネイティブ MCP
    • GitHub、Google Workspace、OpenAPI、GraphQL、そしてリモート MCP ツール（ワークスペースごとの一度接続で利用可能）を OCM MCP ファサードを通じて各マシンのエージェントに公開します。
  • ビルドパイプライン
    • 全てを組み立てるためのインフラ：各コンポーネントのビルドコマンド、GCS アーティファクトバケットのレイアウト、ホストプロビジョニングスクリプト、およびリリースチャネル。

ocm CLI: Apache-2.0 ライセンスで公開されている別の数学 AI / ocm-cli リポジトリ内に配置されています。

デモ動画

YouTube 上の 43 秒間のデモ動画を視聴可能です（スクリーンショットをクリックすると表示されます）。

  • 内容: ホストのオンボーディング、エージェントのスピンアップ、稼働中の Firecracker VM ターミナル、ワークスペース MCP 統合、そしてエージェントツールコールのエンドツーエンドフロー。

なぜ OpenClaw Machines か？

  • セキュリティ: リアルな孤立性。コンテナではなくマイクロVM。各エージェントに専用の Firecracker マイクロVM を割り当て、KVM ハードウェア境界によって隔離されたゲストカーネルを動作させ、認証はエッジ層と各 VM 内部の二重で強制します。
  • コスト: フラットなサーバー料金。単一のベアメタル・ボックスをレンタルし、収容できる数だけハードウェア孤立型のエージェントを実行できます（オプションごとの比較はこちら）。このアーキテクチャはトークン消費削減にも寄与：自社の GPU ハードウェア上で動作するオープンソースモデルへエージェントをルーティングすることで、按分課金の API 利用料から解放されます。
  • 主権性: あなたのハードウェア、あなたのデータ、あなたのキー。コントロールプレーンとワーカーは自社所有のマシン上で稼働させ、モデルトラフィックをホスト単位の LLM プキシを介して任意のプロバイダーへ、または自社の GPU で配信されるモデルへルーティング可能です。
  • オープンソース: Apache-2.0 ライセンスの公開コアと companion ocm CLI は、導入、埋め込み、コントリビューションを促す許諾的ライセンスです。
  • エンタープライズ対応: マルチユーザーアカウントとチーム機能、管理者管理によるホスト制御、マシーングルーンの暗号されたシークレット、そして艦隊全体にわたるキャパシティ/配置ポリシー。
  • エコシステム: Web オートメーション向けのブラウザ VM、ライブターミナルおよび Web チャット、VM 単位のルーティング、ワークスペース範囲のネイティブ MCP 統合、バックアップ/スナップショット、エージェントメモリー、そして OpenTelemetry/Opik トレースによる可視化・利用状況追跡を備えた観測可能性。

オプションの比較

OpenClaw を稼働させる際、以下の選択肢があります：

選択肢概要
ローカルハードウェア自分のラップトップまたはデスクトップ上で動作させる。
VPS (例：Hostinger, DigitalOcean)仮想サーバーをレンタルしてその上で動作させる。
マネージドサービス (例：KiloClaw)ホストされた OpenClaw インスタンスをスピンアップし、按分課金で利用する。

OpenClaw Machines の位置づけ

OpenClaw Machines は第四の選択肢です：単一のベアメタル・サーバー（OVHcloud, Hetzner など）をレンタルし、OpenClaw Machines のポインタを向けておけば、そのボックスが収容できる数だけハードウェア孤立型の OpenClaw インスタンスをスピンアップできます。エージェントは一つでも五十個でも、コストは一つのフラットなサーバー料金で済みます。

機能比較表

機能ローカルハードウェアVPS (Hostinger)マネージド (KiloClaw)OpenClaw Machines
設定工数低中最低中～高（初期）
エージェント単位の孤立性プロセスレベルシェアドカーネル/コンテナインスタンス単位 (マネージド)ハードウェア (Firecracker マイクロVM)
多数のエージェント実行自ボックスの制限で決まるVPS サイズの制限で決まる可能（ただし各インスタンスで課金）可能（ハードウェアリソースに依存）
マルチユーザー/チーム×手動設定バラバラネイティブ対応
コストモデル自ハードウェア費用VPS 按分課金インスタンス按分課金フラットなサーバー料金
スケーリング時のコストスケールしないサイズ増大に伴い増加最も高（エージェント数に比例して増加）スケール効率が良い
ハードウェア制御完全（ただし制限あり）仮想化済み/共有なし完全（ベアメタル）
データとキーの所有権保有可能大部分保持保持不可（他社インフラ上）自社の管理下
バックアップ/スナップショット手動プロバイダのスナップショットマネージドサポート可能
運用・メンテナンスユーザー自己負担ユーザー自己負担なしユーザー自己負担（ホスト側）

まとめ: マネージドルートは最も簡単ですがエージェント単位の課金制です。ローカルと VPS は初期費用が安くても、孤立性やスケーラビリティに欠けます。OpenClaw Machines は少し多くの設定工数を犠牲にすることで、数個のエージェントを超えた時点で最適な経済性と孤立性を提供します——一台のサーバーに多数のハードウェア孤立型エージェント、全て自社所有で制御可能です。

動作原理

OpenClaw Machines は、あなたの Linux サーバーを安全でオンデマンドのサンドボックスプールの集まりへと変えます。各サンドボックスは、独自カーネルを備えた実在の Firecracker マイクロVM（KVM を通じたハードウェア層での孤立）であり、一つの AI エージェントを実行します。プラットフォームはこの VM の作成、追跡、トラフィックルーティング、そして終了処理を担当し、自社所有のインフラ上で多数の信頼できないエージェントを安全に稼働させることを可能にします。いわば、自社ホストする AI エージェント向けのミニクラウドです。

アーキテクチャ構成要素

  • コントロールプレーン (Go バックエンド):
    • 中枢。アカウント、マシン、ホスト、設定の管理、UI/CLI から呼び出される API、配置計画およびライフサイクルオーケストレーション機能を担います。
  • ホスト＋ワーカーエージェント:
    • あなたの Linux ボックス。インストールスクリプトでホストを登録すると、ワーカーエージェントが起動し、指示に従って Firecracker マイクロVM の起動・停止を行います。
  • マシン:
    • 各エージェントに割り当てられる一つの孤立マイクロVM。内部には OpenClaw エージェント、Web チャットゲートウェイ、そしてライブターミナルが含まれます。
  • ブラウザ VM:
    • ヘッドフルな Chromium を動作させる別個のマイクロVMで、ライブビューを備え、エージェントが CDP を通じてブラウザ自動化を駆使します。
  • ルーティング/データプレーン:
    • 稼働中の各 VM には固有のサブドメインと Cloudflare トンネルが割り当てられ、トンネルは VM 内部で終端し、認証はエッジ層と VM 内部の二重で強制されます。
  • ワークスペース統合（ネイティブ MCP）:
    • ワークスペースごとに外部ツールを一度だけ接続（GitHub、Google Workspace、または任意の OpenAPI / GraphQL / リモート-MCP エンドポイント）。コントロールプレーンはこれらの機能を一つ組み込んだ MCP サーバーを通じて各マシンのエージェントに公開し、エージェントが 
      ocm.search_tools
      / 
      ocm.call_tool
      による発見と呼び出しを行います（個別統合のための配線作業なし）。
flowchart TB
    U["you — browser / ocm CLI"] --> EDGE["Cloudflare edge<br/>Access auth · Worker route lookup (KV)"]
    EDGE -->|dashboard / API| CP["Control plane (Go)<br/>accounts · machines · hosts<br/>placement · lifecycle · backups"]
    CP --- DB[("Postgres")]
    CP -->|enroll · heartbeat · boot/stop :9090| H1["Host 1 — your Linux box<br/>ocm-agent · LLM proxy · CDP proxy"]
    CP -->|…| HN["Host N"]
    EDGE -->|per-VM tunnel, terminates inside the VM| VM1
    subgraph H1X["Host 1's microVMs"]
        VM1["Machine — Firecracker microVM<br/>OpenClaw agent · web chat · terminal<br/>authproxy + cloudflared inside"]
        BVM["Browser VM<br/>headful Chromium · live view"]
        VM1 -->|CDP| BVM
    end
    H1 --- H1X

詳細なアーキテクチャ（データプレーン、ルーティング、トンネル、ライフサイクル、設定、そしてビルド/リリースフロー）は 

docs/architecture.md
参照。さらに五層構造スタック（React UI → Cloudflare エッジ → Go コントロールプレーン → ホストエージェント → Firecracker サンドボックス）は 
docs/tech-stack.md
で詳細が記述されています。

要件事項

OpenClaw Machines は Firecracker マイクロVM を実行するため、KVM のサポートが必要です。

  • 推奨環境: KVM 対応の Linux ホスト（ベアメタルか、ネスト型仮想化を有効にしたクラウド VM）。
  • 非対応環境: macOS、Windows/WSL、またはネスト型仮想化なしの標準クラウド VM 上での動作はサポートされていません。

ホストの確認: （※具体的なチェック手順は公式ドキュメントをご参照ください）

お使い開始

「スタートガイド」には三つの段階があり、各段階で実際に動作するものを作り上げます：

  • コーディングエージェントを利用している方: 
    docs/getting-started.md
    を指向し、ステージ 1 から順を追って実行してください。
  • ローカル評価
    • スタック全体＋一つの KVM 対応 Linux ボックス上の実在の Firecracker マシン。
    • Cloudflare やパブリックドメインは不要；既存の KVM ホストまたはオプションの GCP プロビジョニング例を使用できます。
  • Cloudflare ＋ 専用ホスト
    • 本番環境形状のデプロイメント：ドメイン、トンネル、エッジ認証、そして登録済みクラウドまたはベアメタルホスト。
  • フルワークフロー
    • マシンの作成と利用（チャット、ターミナル、ブラウザ VM）、ライフサイクル管理、バックアップ、ランタイムアップグレード。

ドキュメントプロジェクト概要

以下のドキュメント群を参照ください：

  • Getting Started: 上記の三段階ガイド
  • ユーザーガイド: マシンの日常利用（モデル、チャット、ターミナル、ブラウザ VM、ファイル、ログ、トレース、バックアップ）
  • ワークスペース統合 / ネイティブ MCP: ワークスペースごとに GitHub、Google Workspace、OpenAPI、GraphQL、リモート-MCP ツールを一度接続
  • アーキテクチャ: データプレーン、ルーティング、トンネル、ライフサイクル、ワークスペース統合/ネイティブ MCP
  • テックスタック: クライアントからサンドボックスまでの五層構造
  • ローカルおよび自持ホスト設定
  • コントロールプレーンデプロイメントプロファイル
  • 自走型コントロールプレーンの前提条件
  • LLM オペレーター・ランブック
  • 公開ドキュメント目次
  • コントリビューションガイド · セキュリティポリシー · コード規範

コミュニティとサポート

  • GitHub Discussions: 質問、アイデア、ショアンドテール（Show and Tell）。
  • Issues: バグと機能リクエスト。
  • ロードマップ: オープンソース準備状況トラッカー：完了事項と次のステップ。
  • セキュリティポリシー: 脆弱性を発見した方はこちらをご参照ください。

コントリビューション方法

CONTRIBUTING.md
とコード規範を参照してください。

ライセンス

Apache-2.0

同じ日のほかのニュース

一覧に戻る →

2026/07/14 7:19

『アジア最浄の村』が日曜日観光客禁止に

## Japanese 翻訳： 2026 年 1 月以来、インディアのメガラヤ州にある約 600 人の居住者がいるモーリャン・オン（Mawlynnong）村では、「真の村の生活」を再建する目的として、日曜日の昼間の観光客に対する厳格な禁止措置を導入しています。1902 年に設立された教会が存在し、人口の推定 100% がクリスチャンであるこのコミュニティは、日曜日には単一の道路への入口を黒い金属製のゲートで閉鎖して、 uninterrupted な礼拝を保証しています。以前からほとんどの観光関連事業所が日曜日の営業停止を選択していました（レストランは 2 カ所のみ営業）ましたが、公式な禁止措置により、今では店舗や一日利用施設が完全に閉鎖されるようになっています。一泊予約を持つゲストはこの昼間の旅行禁止からの例外扱いで、ゲストハウスに滞在することができ、一方で地元のレストランや記念品販売店は引き続き閉鎖されています。住民は、村評議会の委員でもあるプリシウス・コングドプ（Precious Khongdup）を含むコミュニティの一致した支持を受けながら、この取り組みを文化のアイデンティティ、精神的なリズム、および 2003 年に「アジアで最も清潔な村」と命名されたり、2014 年にナレンドラ・モディ首相のクリーン・インディア・ミッションキャンペーンの際に全国的な注目を得たりした功績をもたらした規律を保持するために不可欠だと考えています。この決定は、観光客による妨害に対する具体的な懸念に対応しており、観光客が地面にプラスチック製の水ボトルを置き去りにするというバイラル化した事象などが挙げられ、これにより地元からは強い反発が生じていました。言語学の教授ヴィジャヤ・デブナス（Vijaya Debnath）を含む専門家は、このイニシアチブを称賛しており、清潔さを維持しつつ、村民の静かな一日の休息と祈りの必要性にも敬意を表していると評価しています。

2026/07/14 3:22

Xcode を起動することなく Mac および iOS アプリを開発して配送する方法

## Japanese Translation: 本テキストでは、Xcode を一度設定した後の開封を不要とする堅牢で完全にヘッドレスの iOS アプリケーションの作成・デプロイワークフローが概説されています。シェルスクリプトによるライフサイクル全体のアオマティゼーションを通じて、開発者は `xcodebuild` コマンドラインツールを用いてコードをコンパイルし、`notarytool` によってビルドを保護し、`devicectl` を用いて物理デバイスにアプリを直接インストールします。セキュリティは、証明書ベースのキーチェーンおよび外部パスワードマネージャーの活用により維持され、プライベートキーなどの機密情報はバージョン管理システムへの投入を完全に防ぎます。本システムは XcodeGen を用いてプロジェクトを管理し、煩雑なローカルフォルダではなくクリーンな YAML 設定ファイル（`.yml` ファイル）によってプロジェクトを制御し、アドホックテスト版と公式開発者 ID リリースを自動的に区別します。一度設定されたリリーススクリプトは、アーカイブ、署名、認証化、スタプリング、インストールを含む厳格なパイプラインを実行し、沈黙する失敗を防ぐために堅牢なエラー処理（`set -euo pipefail`）を採用します。このアプローチは、チームが手動のマウス操作または GUI ウィンドウなしに、実際に動作するソフトウェアを効率的にデプロイするために安全で再現可能な CI パイプラインを構築することを可能にします。 ## Text to translate: The text outlines a robust, fully headless workflow for creating and deploying iOS applications that eliminates the need to open Xcode after an initial setup. By automating the entire lifecycle through shell scripts, developers utilize command-line tools such as `xcodebuild` to compile code, `notarytool` to secure builds, and `devicectl` to install apps directly onto physical devices. Security is maintained by leveraging certificate-based keychains and external password managers, ensuring sensitive secrets like private keys never enter version control. The system employs XcodeGen to manage projects via clean YAML configurations (`.yml` files) rather than cluttered local folders, automatically distinguishing between ad-hoc testing versions and official Developer ID releases. Once configured, a release script executes a rigorous pipeline involving archiving, signing, notarizing, stapling, and installation, while using strict error handling (`set -euo pipefail`) to prevent silent failures. This approach empowers teams to establish secure, repeatable CI pipelines that deploy real software efficiently without any manual mouse interactions or GUI windows.

2026/07/14 1:06

Apple が発表した新たな音声分析 API「SpeechAnalyzer」のベンチマークテストで、Whisper とその前代モデルと比較

## Japanese Translation: Apple の新しい SpeechAnalyzer API は、次期 OS 26 の一部として提供されるもので、英語の読み上げ音声に対する優れたオンデバイス音声認識を実現しており、特定ベンチマークコンテキスト内では従来のツールや人気が高い Whisper モデル（Tiny, Base, Small）を大幅に上回っています。この優位性は、M2 Pro チップなどの Apple ハードウェアで行われた厳密なローカルベンチマークを通じて証明され、オーディオを外部サーバーにアップロードすることなく、高速な処理速度——Whisper Small の計算時間の約 1/3——を実現することが示されました。清潔な LibriSpeech テストデータに対しては、従来の SFSpeechRecognizer API に比べて単語誤りを約 4 倍削減し（2.12% WER から 9.02%）、ノイズのあるデータに対しても同様の劇的な改善が見られました。この研究では、Inscribe のプロダクションコードパスと同一のテストハルネスを用い、Whisper の測定値は OpenAI が公開した値と比較しましたが、Whisper の相対的な不正確さは、これらのベンチマーク（アクセントのある音声、遠距離音声、または複数話者シナリオを含まない）に限定されたもの임을 指摘しました。重要なのは、すべてのテストが完全にオンデバイスで行われたことであり、従来の SFSpeechRecognizer もローカルで使用される場合でもクラウド処理にデフォルトで切り替わるという点です。これらの結果に基づき、Inscribe は製品ロジックを更新し、対応言語（現在約 30 のロケール）では SpeechAnalyzer を優先し、未対応の言語のみを Whisper に切り替えました。さらに、研究チームは Inscribe が SpeechAnalyzer でオーディオファイルを取り扱う際に重大なバグを見出し、生テキストデータを検証のために公開ダウンロード可能とする措置を講じました。これは、Apple エコシステム内のプライバシー重視かつ高パフォーマンスなオンデバイス AI 機能において大きな飛躍を意味します。

Show HN：OpenClawMachines ～OpenClaw のエンタープライズ対応拡張～ | そっか～ニュース