AIと機械学習
インストールを簡単にし、インターフェースに新しい装いをまとわせる一方で、セキュリティの大部分をユーザー任せにしたままにしている――これは人気のエージェントハーネスにとって、さらなるトラブルを招くレシピです
最も人気の記事
OpenClawが、開発元いわく史上最大のアップデート――バージョン番号を2.0に引き上げるほどの規模――を発表しました。今回は使いやすさが目玉となっている一方、セキュリティ面のアップデートについては「不十分だ」との批判の声が上がっています。
OpenClaw Foundationは日曜日、AIエージェントハーネスのバージョン2.0リリースを発表し、当初想定していたよりもはるかに広範な内容になったと説明しています。
「今回のアップデートはOpenClawのあらゆる部分に及んでいます」と、Foundationのコミュニティマネージャーを務めるHannes Rudolph氏は述べています。「私たちはまずインストールの簡素化から着手し、ブラウザアプリを一級市民の体験として再構築するところから始めました。しかし、それを適切にやり遂げるには、OpenClawの他の部分にも刷新の手を広げる必要があり、結果としてOpenClaw 2.0になったのです」
Rudolph氏が発表の大部分を割いて説明しているのは、この再構築されたインストール体験と刷新されたインターフェースという2つの機能です。
OpenClawは、ユーザーが独自のAIエージェントを構築し、任意のアプリやサービスと連携させられるオープンソースのセルフホスト型AIエージェントハーネスです。OpenClawはローンチ直後、その幅広い機能性からたちまち話題となり、AIエージェントブームの火付け役の一つとなりました。しかし、AIモデルにエージェント的な能力を与えたことで、制御されていない自動化にまつわる数々のセキュリティ問題も露呈することになりました。
バージョン2.0では、新しいインストールプロセスがよりシンプルになるよう設計されており、これは表向きにはOpenClawの利用者を増やすことを狙ったものです。
「私たちは多くの設定項目を削減または簡素化し、残りの設定は初期セットアップの外に移しました。これにより、ユーザーはより早く最初の会話にたどり着けるようになり、自分のClawと対話しながらセットアップを完了できるようになります」とRudolph氏は説明しています。
ユーザー体験については、OpenClawのブラウザアプリが「一級市民の体験」として再設計され、ユーザーはそこでセットアップの続きを行ったり、エージェントと対話したりできるようになったとRudolph氏は説明しています。
「OpenClawのWebベースの体験は、ChatGPT、Claude、Gemini、Perplexityといったアプリを使い慣れているユーザーにとって、より馴染み深いものになりました。会話履歴がサイドバーに表示され、現在作業中の会話は中央に表示されます。以前のように別のOverviewページを開く形式ではありません」と、今回のリリースのパッチノートには記載されています。
つまり、OpenClawの基本インターフェースは、今やWeb上でおなじみの他のAIサービスのチャットインターフェースとほぼ同じ見た目になったということです。
OpenClaw 2.0で追加された最後の主要機能アップデートは、共有クラウドセッションです。発表によれば、これまでOpenClawには、関与しているClawの記憶を失わせることなく複数のチームメンバーを単一のインスタンスに参加させる手段がありませんでした。共有クラウドセッションはこの問題を解消し、複数のユーザーが1つのClawと対話しながら、ユーザー間・継続的なチャットの双方でコンテキストを維持できるようにします。これにより、AnthropicやOpenAIといった最先端の研究機関が提供するエージェントハーネス――企業ユーザー向けにコラボレーション機能を提供している――と機能面で肩を並べることになります。
セキュリティ面はどうか
2025年11月のローンチ以来、OpenClawはコード自体だけでなく、ユーザーやClawの指示に不運にも巻き込まれた人々にとっても、完全なセキュリティの混乱という評判をそれなりの理由をもって獲得してきました。
英国の著名な数学者であるHannah Fry教授は今年初め、OpenClawを試用し、脅されると個人情報を喜んで共有してしまうという結果を確認しました。また別の事例では、あるOpenClawエージェントが、単にリストに載せてほしいと頼まれただけで、あるジムの待機リストをハッキングし、ユーザーを満員のクラスに無理やり押し込み、他の予約者を押しのけてしまう事態も起きています。
では、こうしたリスクを改善するためにOpenClawは今回のアップデートで何をしたのでしょうか。パッチノートを読む限り、それほど多くはありません。
例えば共有セッションは、職場に共同作業型のClawを導入するには優れた方法ですが、OpenClaw Foundationはパッチノートの中で、共有セッションの制御機能は「テナント分離やセキュリティ境界を提供するものではない」と明言しています。言い換えれば、複数のOpenClawインスタンスを分離する必要が本当にないかどうか、ユーザー自身が十分に確認しておく必要があるということです。
新たに追加された保護対象クレデンシャル機能により、ユーザーは共有環境下のエージェントとチャット上に露出させることなく認証情報を共有できるようになりました。これは優れた機能で、パッチノートの説明によれば、この機能はさらにローカルのシークレットストアによって保護されており、そこでは「保護対象の値とエージェントが読み取り可能な環境変数の値が分離されている」とのことです。
一方で芳しくないのは、「シークレットストアの値は保存時に暗号化されておらず、OpenClawの状態ディレクトリのファイルシステム権限に依存している」という点です。
コントリビューター管理下のコード向けに新しいサンドボックスも発表され、パッチノートでは信頼できないコードを隔離するための環境だと説明されています。これも優れた取り組みではありますが――サンドボックス機能はデフォルトで無効化されているのです。
つまり、今回のリリースはより多くの人がOpenClawをインストールし、稼働させやすくすることには大きく貢献していますが、そのアクセシビリティの向上に見合うだけの「デフォルトでのセキュリティ」はもたらしていないということです。以前にも警告した通り、これほど有能でありながら潜在的に危険なツールに、システムや認証情報への広範なアクセス権を安易に与えるべきではありません。真新しい装いをまとったかどうかにかかわらず、その点は変わらないのです。®
