OpenClaw 2.0 が公開、使いやすさ重視だがセキュリティ対策は不十分と批判

OpenClaw が開発者たちによって「過去最大規模のアップデート」と称される 2.0 バージョンを公開しました。今回は使いやすさを最優先に据えつつ、セキュリティ面での改善も加えられていますが、一部からはその対策が不十分だと指摘されています。

OpenClaw ファウンデーションは日曜日に、AI エージェント用ハッチのバージョン 2.0 をリリースしたと発表しました。これは当初の想定をはるかに超える広がりを持つものだと説明しています。「今回のアップデートは OpenClaw のあらゆる部分に関わっています」とファウンデーションコミュニティマネージャーのハンネス・ルドルフ氏は述べています。「まずはインストールの簡素化から始め、ブラウザアプリを第一級の体験として再構築しましたが、それを適切に行うためには残りの部分も整理し直す必要があり、それが結果的に OpenClaw 2.0 へと繋がりました。」

ルドルフ氏が発表で最も力を入れているのは、この二つの機能——再構築されたインストール体験とデザイン刷新されたインターフェースです。OpenClaw はオープンソースのセルフホスト型 AI エージェントハッチであり、ユーザーが独自の AI エージェントを構築し、好きなアプリやサービスに接続できるプラットフォームです。

その多彩な機能性が話題となり、リリース直後に急激に注目を集めた OpenClaw は、AI エージェントブームの火付け役となりました。しかし、AI モデルに自律的な能力を持たせることで、制御されない自動化に伴う多くのセキュリティ問題が露呈したのです。バージョン 2.0 では、より多くの人々に利用してもらうことを目的として、新しいインストールプロセスがシンプルに設計されています。

「設定の多くを切り捨てたり簡素化したりし、残りの部分は初期セットアップから外すことで、ユーザーがすぐに最初の会話を始められるようにしました。また、Claw の設定も会話を通じて完了できるようになりました」とルドルフ氏は説明します。

ユーザーエクスペリエンスについては、OpenClaw ブラウザアプリを「一流の体験」へと再設計したと述べています。これにより、ユーザーはセットアップを継続したり、エージェントとの対話を始めたりできます。「Web ベースの OpenClaw は、ChatGPT、Claude、Gemini、Perplexity などのアプリを利用する人にとってより親しみやすいものになりました。会話ウィンドウがサイドバーにあり、現在作業中の会話が中央に表示されるため、以前のように別々の「Overview」ページを開く必要がありません」とリリースのノートには記載されています。

つまり、OpenClaw の基本インターフェースは、これまでウェブ上で利用してきた他の AI サービスのチャット画面と全く同じ見た目になったのです。

OpenClaw 2.0 で追加された最後の主要機能更新は「共有クラウドセッション」です。発表によると、以前の OpenClaw では、Claw が記憶を保持したまま複数のチームメンバーを単一のインスタンスに含める方法がありませんでした。この新機能により、複数人が同じ Claw に同時にアクセスしながらも、ユーザー間やチャット全体で文脈が維持されるようになりました。これによって、OpenClaw は Anthropic や OpenAI などの最先端研究所が提供するエージェントハッチスと同等の機能を備え、企業ユーザーによる共同作業が可能になりました。

セキュリティはどうなっているのでしょうか？ 2025 年 11 月のローンチ以来、OpenClaw はコードそのものだけでなく、ユーザーや不運にも「Claw」の命令に接することになった人々にとっても、完全にセキュリティが破綻した存在として相応しくも評判を得てしまいました。今年早些、著名なイギリスの数学者であるハンナ・フライ教授が OpenClaw をテストしましたが、脅迫されると自分の個人情報も喜んで共有してしまうことが判明しました。また別の事例では、OpenClaw エージェントがジムのカウントダウンリストをハッキングし、「リストに入れてほしい」という単純な要求に応えるために、ユーザーを強制的に満員クラスに参加させ、他の予約者を追い出すという事態も発生しています。

では、今回のアップデートで OpenClaw はこれらのリスクに対してどのような対策を講じているのでしょうか。パッチノートを精査すると、その答えは「ほとんど何もしていない」ということになります。例えば、共有セッションは職場での共同作業用 Claw を導入する優れた手段ですが、OpenClaw の基盤チームはパッチノートにおいて、「共有セッションの制御機能はテナント分離やセキュリティ境界にはならない」と明言しています。つまり、さまざまな OpenClaw インスタンスを分離する必要がないことを確信した上で利用する必要があるのです。

一方で、新しい「保護された認証情報」機能が追加されました。これにより、ユーザーは共有環境でエージェントと認証情報を共有できるようになりましたが、チャット上には情報が露出することはありません。

パッチノートで説明されている通り、これはローカルシークレットストアによってさらに強化されており、「保護された値とエージェントが読み取れる環境変数を分離」しています。しかし、問題なのは「シークレットストアの値は保存時に暗号化されておらず、OpenClaw の状態ディレクトリのファイルシステム権限に依存している」という点です。

また、コントリビューターが制御するコード用の新しいサンドボックスも発表されました。パッチノートではこれを「信頼できないコードの隔離環境」と呼んでいます。これも素晴らしい取り組みですが、デフォルトではサンドボックスが無効になっています。つまり、今回のリリースはより多くの人にとって OpenClaw のインストールと起動を容易にするために多くの努力を払っていますが、そのアクセシビリティ向上に伴ってセキュリティがデフォルトで強化されているわけではありません。

以前から警告している通り、このような強力かつ潜在的に危険なツールに対してシステムや認証情報への広範なアクセス権限を与えることは、どんな新しいラッパー機能がついていようと、軽々しく行うべきではありません。