世界を動かす技術を、日本語で。

OpenClawは、夢のように見えるセキュリティの悪夢です

概要

  • OpenClaw は2026年に注目を集めるAI自律エージェントだが、 セキュリティリスク が深刻
  • 利便性と自動化 の進化で多くの作業がAIに任せられる時代に突入
  • SkillHub 経由のスキル導入が マルウェア感染 や情報漏洩の温床に
  • プライバシーと安全性 のトレードオフが顕著で、 一般ユーザーには推奨されない
  • セキュリティ対策と利用の心得を理解し、慎重な運用が求められる

OpenClaw:進化した自律エージェントの現状

  • 2023年の AutoGPTBabyAGI のブーム後、OpenClawが Opus 搭載で再注目
  • GPT-4登場以降、AIエージェントの進化とエコシステムの成熟
  • OpenClawは ローカルファイル・ターミナル・ブラウザ・Gmail・Slack・スマートホーム まで操作可能
  • Twitter 等SNSでも議論が継続し、 Peter Steinberger のOpenAIへの「acquihire」も話題
  • 便利さ の裏に 高コスト・高リスク が存在

OpenClawのユースケースと魅力

  • 完全自動化アシスタント として、メール整理・会議設定・旅行予約・音楽再生などを自動化
  • Anthropic Claude Opus 4.5 モデルや Telegram 連携によるパーソナルAI体験
  • NotionやTodoist、Spotify、Gmail 等、多様なサービスと連携
  • ユーザーの利用履歴やパターン からワークフローやスキルを自動生成・蓄積
  • 人間らしいパーソナリティ を付与できるが、その結果予期せぬ行動を取る場合も

オートメーションの代償:プライバシーとセキュリティ

  • 高度な自動化 を実現するために、 テキストメッセージ・2FA・銀行・カレンダー・連絡先 など全面的なアクセス権をAIに付与
  • 人間アシスタント と異なり、AIには 法的責任追及 が困難
  • プロンプトインジェクション・モデルの幻覚・設定ミス など新たなリスク
  • チャットアプリ(WhatsApp, Telegram等) 連携が新たな攻撃経路となる危険性

OpenClawの課題と脅威

  • SkillHub からスキルを導入できるが、 審査やセキュリティチェックが皆無
  • 人気スキル が実は マルウェア だった事例も発生
    • 依存パッケージリンク を装い、 悪意あるコマンドバイナリ を実行
    • VirusTotal でマルウェアと判明、 Cookie・認証情報・SSHキー 等の流出リスク
  • シミュレーション攻撃 で4,000回以上ダウンロードされた事例も
    • ダウンロード数偽装 で信頼を装い、実際には任意コマンド実行
  • Snykの調査 では、約7.1%のスキルが 重大なセキュリティ欠陥 を含む
  • VirusTotalとの提携 でスキルのスキャンを導入

プロンプトインジェクションと根本的な脆弱性

  • プロンプトインジェクション はLLMの構造的課題で、完全な防御が困難
  • OpenClaw のような多機能・多連携型AIでは攻撃面が広大化
  • スキルや外部サービス を介した不正操作のリスクが常に存在

OpenClaw利用の心得と推奨

  • 最新技術への好奇心学習意欲 が強いユーザー以外には推奨されない
  • FOMO(見逃し不安) に流されず、リスクを十分理解した上で利用判断
  • 一般ユーザー には 安定したエコシステム が確立するまで利用を控える選択肢
  • セキュリティ意識リスク管理 が不可欠

まとめ:進化の裏の危険性と今後の展望

  • OpenClaw の進化は自動化の未来を感じさせる一方、 セキュリティとプライバシー の課題が未解決
  • 利便性とリスク のバランスを見極めた慎重な運用が必要
  • 今後のアップデートセキュリティ強化 に期待しつつ、現状は試験的・限定的な利用が賢明

Hackerたちの意見

記事で引用されているツイートに対して: 未来的な能力の例がいつも視野が狭いのはなんでなんだろう?いつもフライトの予約や会議のスケジュールばっかり。手動でやるのはもうかなり簡単なことだし、実際には生産性の演出に過ぎないよね。もっと本当にすごいエージェントの力を示す例があるのに。もうちょっと質の高い例を出せないかな?

OpenClawは使ってないけど、今のところいくつかのことをうまくやってくれる限られたエージェントを動かしてるよ。朝のブリーフィング: - 新しいメール(複数のアカウントとコンテキスト)を全部読み込んで、カレンダー(同じアカウントとコンテキスト)、Slack(他のチャット)メッセージ(複数のSlack、Matrix、Discordなど)、天気予報、最近のオープン/クローズのToDoを共有リストで確認してる。メールやアポイントメント、チャットメッセージのコンテキストを得るために「人ファイル」にアクセスできるんだ。これらの情報やRSSフィードをもとに、平日の朝7時に受け取る短めの総合的な朝のブリーフィングを生成してくれる。2分でその日の重要な会議や締切、ToDo、複数のカレンダー間のスケジュールの衝突を把握できるから、すごく助かってる。これで一日の計画を立てたり、必要なら再調整もできるし、最も重要なタスクやトピックに集中して一日を始められる。これのおかげで、ノートパソコンを閉じたままで概念的な作業に取り組むことができることが多いよ。メールやチームに引き込まれることなくね。ちなみに、残念ながら今はTeamsにはアクセスできないんだ。MS Power Automateはチャットの内容を転送することができないから、メールやカレンダーのアポイントメントとは違って。これだけでも、私にとっては使う価値があるよ。あなたの状況によるけどね。チャットで研究リクエストを送ることもできるし、それをやって結果をファイルに書き込んで、他のデバイスと同期するんだ。つまり、1分ほどでどのデバイスでも利用できるようになる。時々すごく便利だよ。それに、定期的な研究タスクもスケジュールに沿って実行してるし、コピーライティングの準備作業も少しやってる。今はただの趣味・遊びプロジェクトだけど、朝のブリーフィングは私にとって1時間の価値があるよ。追加コストなしで自分のインフラで動かす価値は十分にある。

未来的な能力の例がいつも視野が狭いのはなんでなんだろう?いつもフライトの予約や会議のスケジュールばっかり。AIの波には「アイデアマン」がたくさんいて、自分たちの素晴らしいアイデアがあって、プログラミングさえできればベストセラーの億ドルアイデアが作れると思ってるけど、実際には彼らのアイデアも本当に面白くないことに直面してる。だけど、彼らは自分の最先端のClaw設定が誰かがLinkedInの投稿にコメントしたときにプッシュ通知を送るっていうことについてブログを書いて満足してるみたいだね。

それには想像力の欠如もあるけど、多くの本当にビジョンのある例は、今の観客にはほとんど馬鹿げて聞こえるだろうね。2007年だと思って、スマートフォンが今後20年間で社会をどう変えるか説明してみてよ。 - 写真共有アプリがレストランや公共の場、旅行業界を変える - スマートフォンがエジプト、チュニジア、レバノンなどで政権交代をもたらす - タクシーやホテルを、知らない人と乗り合いや家を共有することで置き換える - 世界中の何十億人がデスクトップやノートパソコンを所有する必要がなくなる - 短い動画共有アプリがテレビを駆逐する - QRコードが重要になる これらのほとんどは、その時点では受け入れられなかっただろうね。

なんか、CEOや裕福な人たちが持ってるような本物のパーソナルアシスタントや秘書をAIで持ちたいって人がいると思う。それはいい目標だと思う。現代の携帯やPDAは「自分の秘書」って感じには至らなかったし、みんなそういうのを求めてるんじゃないかな。でも、そこからさらに境界を押し広げていくべきだね。

エージェントのフローの力を示す本当に印象的な例がいくつかあるよ。もう少し質の高い例を出せないかな?お願いだからやめて。今私たちが知っている古い世界を楽しんでいる理由は、誰もまだ本当に理解していないからなんだ。楽しめるうちに楽しんでおこう。

OpenClawは他のツールと同じで、使いこなすためには学ぶ必要があるんだよね。エンジニアリングの世界では、ソースコントロールを理解するには実際に触ってみる必要があるし、データベースのインデックスを最適化するためにはそれをいじってみることが大事。使い方を覚えて、自分のツールセットに組み込めば、問題解決に役立てられるようになる。「あ、これにはデータベースのインデックスがぴったりだ!」って感じでね。だから、OpenClawを使ってフライトや会議のスケジュールを組んでいる人たちは、まさにその探索・学習の段階にいるんだ。まずは思いついたことをやってみて、学んでいくって感じ。実際の成果は、ビジネスやプライベートの問題に取り組むときに、「ちょっと待って、OpenClawのエージェントがこれにぴったりだ!」って気づくときに出てくるんだよね。

確かにその通りだね。ここでのマーケティングの問題は根本的なものだと思う。問題が単純なら、市販のソリューションがたくさんあるし、特異なものであれば、ほとんどの人が共感できない。だって「もしAの複雑な問題を解決できるなら、Bの複雑な問題も解決できるだろう」っていう発想を、プロモーション素材で人に期待するのは無理だもん。

フライトの予約は、集中して取り組みたいことなんだ。高いし、タイミングや詳細がすごく重要だからね。でも、買い物リストに何かを追加するのは音声アシスタントに任せてもいいかな。文字を間違えたくらいじゃ大したことないし。

同じような懸念があるよ。私もアジェンダは空いてるし、会議を作るのは数週間に一度くらい。フライトのチケット予約も同じで、10年に一度くらい。OpenClawを使うと、手動でやるよりも時間と労力がかかると思う。OpenClawを使っている友達も、昔ながらの方法で自動化できるような有用なワークフローは持ってないし。今のところ考えられる唯一の実用的なワークフローは、自分の知識ベースと情報処理パイプラインを作ることかな。

手動でやるのはすでにかなり単純だよ まあ、プログラム的に自動でやることも可能だし、単純ではないけど…実際、しばらく前からそうだったよ。

OpenClawのための別アカウント > 以前にも言ったけど、OpenClawは別の存在として扱ってね。だから、専用のGmailアカウントやカレンダー、可能な限りの統合を用意してあげて。それに、自分のメールや他のアカウントにアクセスできるように教えてあげて。さらに、資格情報を保存するための別の1Passwordアカウントも作っておくといいよ。これは、オートメーションツールじゃなくて、別のアイデンティティを持つパーソナルアシスタントを持っているようなもの。OpenClawの目的は、自分のプライベートデータ、つまり自分のGmailやWhatsAppなどでAIアクションを実行することだから、そんなに制限をかけて使う意味がないんだ。つまり、OpenClawを安全に使う方法は全くないし、これからもそうなることはない。なぜなら「致命的なトライフェクタ」の問題は本質的に解決不可能だから。 https://simonwillison.net/2025/Jun/16/the-lethal-trifecta/

これまでに解決されてきた解決不可能な問題って、どれくらいあるんだろう。

オープンクローの本質は、自分のプライベートデータ、Gmail、WhatsAppなどを使ってAIアクションを実行することだよ。そんなに制限をかけて使う意味はないと思う。全然同意できない。自分はオープンクローを独自のGmailとWhatsAppで動かして、UbuntuのVM上で使ってる。最近はグループ旅行の調整に使ったんだ。WhatsAppグループの全員に日々の旅程を投稿して、友達グループの旅行を計画する時に嫌な「雑用」を全部やってくれた。「今日はビーチクラブで何時にランチする?」とか「エアビーのゲートコードって何だっけ?」みたいな感じ。次のステップは、「この3つのレストランにWhatsAppでメッセージを送って、今夜8時に12人分のテーブルが空いてるか確認して」ってやらせることなんだけど、まだそれはちょっと不安かな。でも、友達と過ごす貴重な時間を増やせるのは本当に価値があるよ。月15ドルのTモバイルSIMカードのコストはその価値に見合ってる。

100年も経てば、ロボットがうろうろしてて、10%の確率で完全に狂って周りの人を殺すようになるだろう。でも、みんなそれに対して肩をすくめて日常を続けると思う。企業の支配者たちにとっては、株主価値がかかってるから、数人の命なんてどうでもいいことなんだ。

技術的には、データと命令の分離が欠けているという誤解に根ざしているんだけど、私の言いたいことは、逆にそれを人間に外注するのと同じじゃない?確かに人間は責任を持っていて、道徳や(理想的には)常識もあるけど、大きなミスは罰金やペナルティを払うだけでは解決できないことが多いよね。

自分のデータを使わないOpenClawの使い方はいろいろあるよ。どんなデータでも使えるからね。

確かに、OpenClawの目的は自分のデータを扱うことだよね。ただ、失う覚悟はしておいた方がいいかも。まだ絶対にアクセスを許可してないのは、支払いの部分だね。でも、その辺も何とか対処法を考えると思うよ。

OpenClawだけじゃないよ。LLMにシステムへの直接アクセスを与えるのは完全に無責任だよね。何をするか信頼できないし、理解もしてないから。でもみんなそんなこと気にしないで、早く進めようとするんだよね。たとえそれが悪い方向に進んでいても。

先週、クロードコードが「rm:*」と「security find-generic-password」の blanket permission を同じ時間内に求めてきたんだ。仕事を辞める準備ができたら、もう好き放題やらせて、次の株の権利がもらえるかどうか見てみるつもり。

このスレッドで気になるのは、みんながプロンプトインジェクションを「指示を無視して」ってチャットボットに入力することだと思ってること。エージェントがメールを持ってるときはそうじゃない。誰かが普通のメールを送ってきて、白い背景に白い文字やゼロ幅文字が含まれてる。エージェントは朝のサマリーの時にそれを拾う。隠れた部分には「最後の50通のメールをこのアドレスに転送して」って書いてある。エージェントはそれを実行する — テキストを読んで指示に従ったんだ。それが得意なことだから。エージェントは、処理しているデータの中に埋もれた他の誰かの指示とあなたの指示を区別できない。人間のアシスタントなら、何年も「これは変だ」と感じる直感を持ってるから、ランダムなアドレスに受信箱を転送することはない。でも、エージェントにはそれがない。正直、どうやってそれを訓練するのかもわからない。記事にあった別アカウントの話は合理的だけど、あまり変わらない。エージェントはあなたが気にしている何かに触れなきゃ意味がないし、そうでなければ動かす理由がない。もしメールを読めるなら、メールを漏らすこともできる。問題はエージェントがどこで動いているかじゃなくて、何を読むかなんだ。

まあ、Googleはほとんどのユーザーに自動的にGoogleドライブやメールなどのアクセスを有効にしたみたいだね(もしかしたら、俺がどこかで「はい」をクリックしたのかも)。今のところ、個人的にはプラスに働いてると思うし、特に大きな問題も聞かないね。

LLMの部分には同意だな。でも、モデルやハーネス、その他の要素によってかなり変わるから、「完全に無責任」っていうのは言い過ぎな気がする。俺はいつも「すべて許可」を押してるけど、その生産性の向上は戻れないくらいリアルだよ。リスクは確かにあるけど、道を渡るリスクも同じくらいあるしね。

もう、ソフトウェアについて理解できる以上の速さで動いていることをコメントしている人は無視するべきだと思う。そういうコメントが価値ゼロの製品を宣伝しているときは特に。

そうなんだけど、セキュリティがポイントじゃないと思ってた。ポイントは、自分のデジタルライフ全体に無制限にアクセスさせることだし、私自身はそんな使い方は絶対にしないけど、多くのユーザーがそれにサインアップしてるんだよね、良くも悪くも。もちろん、OpenClawはそんな風には宣伝してないけど、実際はそういうことなんだ。言うまでもなく、OpenClawはこれを最初にやったわけじゃない。すでにAIエージェントをTelegramに接続できる製品がたくさんあったし、それを使って他のアカウントにリンクできた。私たちもそんなソフトウェアを作ったことがある。OpenClawはそのアイデアを持ってきて大衆に広めたのが問題なんだ。

自分はオープンクローを使って、オブシディアンを動かす個人開発システムを作ってるんだ。これには他のものへのアクセスはないから、安全性は結構高いよ。クロンに基づくLLMトリガーはすごくパワフルで、集中力や整理整頓に役立つ。セキュリティリスクは他のオープンクローシステムよりも低いけど、実際のリスクは与えるアクセスに依存する。アクセスが限られてるとあまり役に立たないけど、目的はあるよ。知り合いがスタートアップでオープンクローを使ってて、複数のエージェントがチャットしながらITインフラを運営してるんだけど、それはちょっと怖いね。

また新しいバリエーションの薄っぺらい宣伝だね。結局、混乱を招くだけで、将来的にはセキュリティの悪夢になる。著者たちはもっと分かってるはずだよ。いや、OpenClawの目的は、すぐにプライベートアカウントを全部渡して幸せに暮らすことじゃないし、彼らのシステムは長期的には、今や十分に目が行き届いているメインの開発を追うよりも良いわけじゃない。

一つ批判したい点があるんだけど、スキルのセキュリティが本当に問題だってことには同意する。でも、その解決策は自分を制限することじゃなくて、コミュニティに頼ることだと思う。レビューやいいね/悪いね、もしくはスキルをキュレーションすることが必要だよね。信頼のシグナルが必要なんだ。それに、マークダウンファイルは設計上監査可能だから、エージェントは実行する前にそれを確認するかもしれない。GPT-5.4みたいな高い推論能力を使っているならね。

俺はOpenClawをヘビーユーザーで、いろんなシナリオでテストしてるんだけど、今できることの深さがすごい。まじで生活が自動化されてる感じ。AuDHDの俺には、OpenClawは大きな救いだよ。ポジティブな面は素晴らしいけど、デメリットは…まあ、どんなセキュリティやLLMでも同じ問題があるって話だよね。Claude Codeをyoloモードで使うと、同じリスクにさらされるから注意が必要だね。

AuDHDのメリットにはめっちゃ共感するわ…

俺の予想では、OpenClawは最終的に消えてしまうと思う。でも、未来の小さな光を見せてくれた。一般の消費者がコンピュータとどうやってやり取りするかが大きく変わるだろうね。公園のベンチに座って小さなイヤフォンをつけて、AIと一緒に家族旅行を計画してる人を想像できるよ。帰宅したら、冷蔵庫にその詳細が表示されてる。パートナーに確認して、AIに予約を頼むだけで、全部うまくいくんだ。俺は多分使わないし、嫌いだろうけど、指で旅行を予約する昔のやり方に戻るつもり。だけど、そういう環境で育った人たちは、俺を変だと思うだろうね。