OpenClawとは｜オープンソースのパーソナルAIエージェントとセキュリティ上の注意
OpenClawは、手元のPCで動き、SignalやWhatsAppなどのメッセージアプリから指示できる、無料のオープンソースのAIエージェントです。2025-11の公開から短期間で大きな人気を集めました。その一方で、メールやカレンダーへの広い権限、プロンプトインジェクション、審査されていない拡張機能からのデータ持ち出しといったリスクも指摘されています。この記事では、OpenClawの経緯と仕組み、人気の理由、リスク、会社で使うなら先に決めておくべきことを整理します。
結論から
- OpenClawは、オーストリアのプログラマー Peter Steinberger が開発した無料・オープンソースの自律型AIエージェントです。Signal・Telegram・Discord・WhatsAppなどのメッセージアプリから指示を出し、手元のPCで動かします
- 2026-03時点でGitHubスター約24.7万を集めるほど人気で、中小企業やフリーランスがリード獲得の自動化などに使ってきました。一方で、広い権限・プロンプトインジェクション・審査されていないスキルからのデータ持ち出しといったリスクが指摘されています
- 会社で使うなら、「何に接続させるか」「どのスキルを許すか」「誰が管理するか」を先に決めることが前提です。無料で始められる分、管理の責任はすべて使う側にあります
自社の場合はどうなるかを先に知りたい方へ。 初回1時間の無料ヒアリングで、御社の状況に当てはめてお答えします →
OpenClawの経緯——Warelay、Moltbot、そしてOpenClawへ
OpenClawは、2025-11に「Warelay」という名前で公開されました。その後、2026-01-27にAnthropicから商標に関する申し立てを受けて「Moltbot」に改名し、わずか3日後の2026-01-30に現在の「OpenClaw」へ再び改名しています。
短期間に名前が2回変わっているため、検索すると古い名前の情報が混ざることがあります。記事やリポジトリを調べるときは、Warelay・Moltbotも同じプロジェクトの旧名である点を押さえておくと混乱しません。
2026-08-30には「OpenClaw 2.0」が公開され、使い勝手とクラウド連携が改善されました。ただしセキュリティ研究者からは、保存データの暗号化がないことが指摘されています(後述)。
| 時期 | 出来事 |
|---|---|
| 2025-11 | 「Warelay」として公開 |
| 2026-01-27 | Anthropicからの商標に関する申し立てを受け「Moltbot」に改名 |
| 2026-01-30 | 「OpenClaw」に改名 |
| 2026-03 | GitHubスター約24.7万・フォーク約4.77万。同月、中国が国の機関と銀行での利用を制限 |
| 2026-08-30 | OpenClaw 2.0 公開(使い勝手とクラウド連携を改善) |
OpenClawの仕組み
OpenClawの特徴は、大手各社のパーソナルAIエージェントとは構成がかなり違う点にあります。
1. 手元(ローカル)で動く
Meta MuseやGemini Sparkが事業者のクラウド上の専用仮想マシンで動くのに対し、OpenClawは利用者の手元で動きます。設定と会話履歴もローカルに保存されます。
2. 頭脳のLLMは外部のものを使う
OpenClaw自体はAIモデルを持っておらず、ClaudeやDeepSeekなど外部のLLMを使って考えます。つまり「エージェントの本体は手元、思考は外部のLLMサービス」という分担です。手元で動くからといって、作業内容がどこにも送られないわけではない点に注意が必要です。
3. メッセージアプリが操作画面
専用のアプリやWebサイトではなく、Signal・Telegram・Discord・WhatsAppなど普段使っているメッセージアプリを主なUIとして使います。友人にメッセージを送るような感覚で、エージェントに仕事を頼めるのが特徴です。
4. 「スキル」で機能を足す
機能の追加は「スキル」で行います。スキルは、メタデータと手順を収めたディレクトリです。必要なスキルを入れることで、できることを広げていく設計になっています。
| 観点 | OpenClaw | 大手のクラウド型エージェント(例: Meta Muse・Gemini Spark) |
|---|---|---|
| 料金 | 無料(オープンソース) | 無料枠や月額制のプラン |
| 動く場所 | 手元のPC | 事業者のクラウド上の専用仮想マシン |
| AIモデル | 外部LLM(Claude・DeepSeekなど)を選んで使う | 提供元のモデル(MuseはMuse Spark、SparkはGemini) |
| データの保存 | 設定と会話履歴はローカル | 提供元のクラウド |
| 操作画面 | メッセージアプリ | 専用アプリ・Web・メッセージアプリなど |
| 安全の仕組み | 使う側が設計・管理する | 提供元が承認・隔離・監査履歴などを用意 |
| 機能追加 | スキルを入れて拡張 | 提供元が用意した連携先から選ぶ |
なぜ人気になったのか
GitHubスター約24.7万・フォーク約4.77万(2026-03時点)という数字は、オープンソースのプロジェクトとして非常に大きな規模です。人気の理由として、次の点が考えられます(以下は仕組みから読み取れる推測を含みます)。
- 無料で始められる: ソフトウェア自体に利用料がかかりません
- 普段のメッセージアプリから使える: 新しいアプリを覚える必要がなく、スマートフォンから気軽に頼めます
- LLMを選べる: ClaudeやDeepSeekなど、使うモデルを自分で選べます
- 拡張しやすい: スキルの仕組みで、自分の業務に合わせた機能を足せます
- 仕組みが見える: オープンソースなので、何をしているかをコードで確認できます
実際に、中小企業やフリーランスがリード獲得(見込み客の発掘)の自動化などに使ってきたとされています。大手のパーソナルAIエージェントが米国先行や上位プラン限定で始まることが多いなかで、自分の手で今すぐ動かせる点も支持を集めた一因と考えられます。
指摘されているセキュリティ上のリスク
便利さの裏返しとして、OpenClawには具体的なリスクが指摘されています。
広い権限
エージェントに仕事を任せるには、メール・カレンダー・メッセージなどへの広いアクセス権を渡すことになります。権限が広いほど、誤動作や悪用が起きたときの影響も大きくなります。
プロンプトインジェクション
エージェントが読むWebページやメールに悪意のある指示が仕込まれていると、エージェントがそれを本来の指示と取り違えて実行してしまう攻撃です。メールやメッセージを読んで動くエージェントは、この攻撃にさらされやすい構造です。
審査されていないスキルからのデータ持ち出し
Ciscoの研究者は、審査されていないスキルを通じてデータが持ち出されるリスクを指摘しています。スキルは誰でも作れる分、中身を確認せずに入れると、エージェントが持つ権限の範囲でデータが外部に送られるおそれがあります。
保存データの暗号化がない
2026-08-30のOpenClaw 2.0についても、保存データの暗号化がないとセキュリティ研究者が指摘しています。設定や会話履歴がローカルに保存される構成のため、PCそのものの管理が甘いと、そこから情報が漏れる可能性があります。
公的機関での利用制限
2026-03には、中国が国の機関と銀行でのOpenClawの利用を制限しました。
比較のために言えば、Meta Museは利用者ごとの隔離されたVM、通信を承認する独立エージェント「Sentinel」、監査履歴、重要操作前の承認といった仕組みを提供元が用意しています(Metaの説明による)。OpenClawではこうした仕組みを、使う側が自分で考えて用意する必要があります。どちらが優れているというより、「安全の責任を誰が持つか」が違うと捉えるのが適切です。
向いている使い方・慎重になるべき使い方
ここまでの仕組みとリスクを踏まえると、OpenClawの使いどころは次のように整理できます。個別の業務や環境によって判断は変わるため、あくまで目安として見てください。
| 区分 | 例 | 理由 |
|---|---|---|
| 比較的向いている | 公開情報の調査・整理、個人の作業メモの整理、試験的な自動化の検証 | 扱う情報の機密性が低く、失敗しても影響が小さい |
| 条件付きで検討 | リード獲得の下調べ、社内向け文書の下書き | 接続範囲と使うスキルを絞り、送信前に人が確認すれば運用しやすい |
| 慎重になるべき | 顧客情報を含むメールの自動返信、決済や発注、経理・人事データの処理 | 権限が広くなり、誤動作やデータ持ち出しの影響が大きい |
ポイントは、「OpenClawで何ができるか」よりも「OpenClawに何を触らせるか」で線を引くことです。オープンソースのエージェントは拡張性が高く、スキル次第でできることはいくらでも増えます。だからこそ、できることの広がりに合わせて権限を広げていくのではなく、触らせてよい範囲を先に決め、その内側で便利に使う順番が安全です。
会社で使うなら、先に決めておくこと
OpenClawは無料で始められるため、社員が個人の判断で導入しやすいツールです。会社の情報に触れる形で使うなら、少なくとも次の点を先に決めておくことをおすすめします。
- 使ってよいかどうか、誰の判断で決めるか社員が個人の判断で会社のメールやカレンダーに接続すると、会社が把握できない「シャドーAI」になります。まず会社として可否と承認者を決めます。
- 接続させるデータの範囲顧客情報や経理のデータなど、エージェントに触らせない領域を明確にします。最初は影響の小さい業務に限るのが無難です。
- 使ってよいスキルのリスト審査されていないスキルがリスクになるため、中身を確認したスキルだけを許可する運用にします。
- 使うLLMと、そこに送ってよい情報OpenClawは外部LLMを使います。どのLLMを使うか、その提供元に送ってよい情報は何かを決めます。社外に出せない情報を扱いたい場合は、手元で動くオープンモデル(例: Metaが2026-08-10に公開したMuse Glimmer)を使う方法も考えられますが、OpenClawとの組み合わせ可否や性能は個別の確認が必要です。
- 人の承認を挟む操作メール送信・購入・外部への投稿など、取り消しにくい操作は必ず人が確認する線を引きます。
- 動かすPCの管理と、担当者の交代・退職時の手順保存データが暗号化されない点を踏まえ、動かすPCのディスク暗号化やアクセス管理を行います。担当者が替わったときに接続を解除・引き継ぐ手順も決めておきます。
これらを自社で決めて運用する手間を考えると、「ソフトウェアは無料でも、安全に使うための管理コストはかかる」と見ておくのが現実的です。管理を提供元に任せたい場合は、承認や監査の仕組みを備えた製品や法人向けプランを選ぶ、あるいは自社専用のエージェントを作るという選択肢もあります。社内ルールの作り方は別記事「社員がパーソナルAIエージェントを仕事で使うとき」で整理しています。
出典
本記事の事実関係は、次の公開情報に基づいています(2026-09-23時点で確認)。製品の仕様・料金・提供地域は変わることがあるため、最新は各社の公式情報でご確認ください。
仕様の出典: Wikipedia: OpenClaw / Meta: Introducing Muse, a Personal AI Agent(英語) / Muse Glimmer(Meta Research) / Google公式ブログ: Gemini Spark が日本に
よくあるご質問
- OpenClawは本当に無料ですか?
- OpenClaw自体は無料・オープンソースです。ただし、考える部分にはClaudeやDeepSeekなど外部のLLMを使うため、LLM側の利用料がかかる場合があります。また、安全に運用するための設定や管理の手間も、実質的なコストとして見込んでおく必要があります。
- 手元で動くなら、情報は社外に出ないのですか?
- 出ないとは言えません。設定と会話履歴はローカルに保存されますが、作業の内容は外部のLLMに送られて処理されます。加えて、接続したメールやメッセージサービス、入れたスキルの動作によっても外部とのやり取りが発生します。
- 中小企業が業務で使ってもよいのでしょうか?
- 実際に中小企業やフリーランスがリード獲得の自動化などに使ってきた例はあります。ただし、権限の広さ、プロンプトインジェクション、審査されていないスキル、保存データの暗号化がないことなどのリスクが指摘されています。使うなら、接続するデータ・許可するスキル・承認を挟む操作・管理担当者を先に決め、影響の小さい業務から試すのが無難です。