自分のチャットアプリからいつでも指示できて、しかも自分のパソコンの中で動くAIエージェント。オープンソースの「OpenClaw」は、前回の追跡記事で「AIが読むための説明書」をAI自身が採点するユニークな試みが話題になりました。その後も動きは止まっていません。今回は、最新版の登場と、それを追いかけるセキュリティ研究という2つの展開を見ていきます。
まず、なぜこれほど注目されるのか。公式ドキュメントによると、OpenClawは自分のマシンやサーバーで動かすセルフホスト型の「ゲートウェイ」です[2]。Gatewayプロセスが1つ常駐し、メッセージアプリと「いつでも応答できるAIアシスタント」を橋渡しします[2]。つなげるのはDiscord、Signal、Slack、Telegram、WhatsApp、iMessage、Microsoft Teamsなど。多数のチャットアプリをプラグイン経由で接続する仕組みです[2]。セットアップも手軽で、インストーラーがOSを判別し、必要ならNodeまで入れて案内を始めます[2]。データの管理を外部サービスに手放さずに済む点が魅力で、個人のノートPCからチーム共有まで、設定次第で使い分けられるとされています[2]。
実際の使い方も見てみましょう。案内に沿って初期設定を終えると、ブラウザのダッシュボードが開き、そこからすぐメッセージを送れます[2]。スマホから使うなら、つなぐのが最速とされるTelegramが便利です[2]。クイックスタートでは、検出したAIへの接続を実際の応答で確認してから、ダッシュボードへ進む流れになっています[2]。
前回記事の主役だったコードベース解説ドキュメントも、最新版に追従しました。解説リポジトリは、上流の安定版v2026.5.12へ検証済みスナップショットを同期しています[1]。このバージョンは2026年5月14日に公開されたものです[1]。取り込んだ変更は、v2026.5.7からv2026.5.12までの窓で6,844コミットに及びます[1]。目立つのは、Amazon BedrockやSlack、Anthropic Vertexなどの依存関係を外部化する変更です[1]。ほかにWebChatの自動スクロール設定の保存や、OpenAIのHTTPトークン上限への対応などが入りました[1]。トークン上限とは、AIに一度に処理させられる量の上限のこと。地味に見えて、日常使いの快適さに直結する部分です。なお、この解説リポジトリは「公開済みリリースのみを扱い、未公開の変更や推測は書かない」という方針も明示しています[1]。
しかし、ここで流れが変わります。便利さが広まるのと並行して、セキュリティ研究の視線がOpenClawに集まり始めたのです。学術側では、セキュリティ・プライバシー・倫理リスクを扱う論文が公開されました[3][3]。企業側では、IBMが「OpenClawがエージェントAIのセキュリティリスクについて明らかにするもの」と題する解説を出しています[3]。セキュリティ系ブログは、エージェントに能力を追加する「スキル」の悪用や、露出、攻撃例をテーマにしています[3]。学術・企業・実務の三方向から同時に取り上げられるのは、それだけ存在感が増した証拠と言えそうです。
なぜエージェントがセキュリティの的になるのか。OpenClawの構成を見ると見当がつきます。常駐するゲートウェイは複数のチャットアプリとセッションを張り、ブラウザのダッシュボードも同時に動かします[2]。外部からのメッセージをそのままAIの推論に渡し、結果をまたチャットへ返す。この経路が常時開いている状態です。自分のマシンで動き、データを外に出さない。この魅力は、裏返せば「自宅のPCがAIアシスタントの玄関になる」ことでもあります。ハッカーの視点に立てば、チャット経由でエージェントに命令を渡せる仕組みそのものが攻撃面になり得ます。素材からは論文の詳細な分析内容までは確認できませんが、セキュリティ・プライバシー・倫理という切り口が示す問題意識は共通しています[3]。
最後に、周辺の動きも押さえておきます。有志によるコミュニティドキュメントサイトも登場しました[3]。公式ドキュメント[2]とAI向けの解説リポジトリ[1]、そしてコミュニティ版と、OpenClawを取り巻く情報基盤は厚みを増しています。その一方で、学術と企業の両方からセキュリティ検証が入ってきたことは、単なる実験的な遊びではなく、実用の対象として真剣に見られ始めたことをうかがわせます。便利に動くエージェントを自分の環境で動かし続けるなら、説明書を読み込むのと同じ熱量で、「どこまで接続を許すか」を考える時期に来ているのかもしれません。
RECENT COMMENTS