OpenClaw 超ベストプラクティス（2026/5/9 時点）

一言でいうと

なぜこれが必要なのか（健人の心配は的を射ている）

健人は「OpenClaw、情報漏洩が普通に心配」と言った。これは過剰反応ではなく、Microsoft Defender Security Research チーム（Microsoft の脆弱性研究部門）が 2026 年 2 月 19 日付の公式ブログで 「OpenClaw includes limited built-in security controls（OpenClaw は組み込みセキュリティが限定的）」と明言したレベル。Microsoft が他社 OSS（オープンソースソフトウェア、誰でもコードを見て改変できる公開ソフトウェア）にここまではっきり書くのは異例。

放置するとどうなるか。Shodan（インターネットに繋がっている機器を検索できるサービス）の 2 月スキャンで 42,000 件以上の OpenClaw インスタンス（自分の PC で動かしている OpenClaw 1 台 = 1 インスタンス）が誰でも触れる状態で公開されており、うち 63 % が認証無効、28 % が CVE-2026-25253 未パッチのまま稼働。攻撃者から見れば「ノックすれば開くドア」が万単位で並んでいる状態。

健人がいま「OpenClaw 入れたい」と言って手を動かすと、これと同じ状態になりうる。だからこの調査の目的は 「導入するならどう守るか」「やめるならどう判断するか」を整理すること。

そもそも OpenClaw って何？

OpenClaw は、自分のパソコンの中で動いて、WhatsApp / Telegram / Discord / Slack / iMessage など普段使ってるチャットアプリから AI に指示を出せる「セルフホスト型（自分のサーバー or PC で動かす方式、SaaS と対比される）の AI 秘書」。Claude や GPT、ローカルの Llama などを切り替えて使える。

作ったのはオーストリアの開発者 Peter Steinberger（PSPDFKit という有名 PDF ライブラリの創業者で、引退後の趣味で作り始めた）。

名前の歴史（混乱注意）

OpenClaw は 3 ヶ月で名前が 3 回変わっている。古い記事を読むと別物に見えるので注意。

• 2025 年 11 月：「Clawdbot」（クロードボット）として公開。Claude が元ネタ。
• 2026 年 1 月 27 日：Anthropic（アンソロピック、Claude を作っている AI 会社）から商標クレームを受け「Moltbot」（モルトボット、脱皮するロブスター）に改名。
• 2026 年 1 月 30 日：3 日後に Steinberger が「響きが悪い」と再度改名し「OpenClaw」（開いた爪、ロブスター由来）に。
• 2026 年 2 月 14 日：Steinberger が OpenAI に入社を発表。プロジェクトは非営利財団に移管、開発はコミュニティ主導に。

2026 年 5 月 8 日時点で GitHub（オープンソースを公開する世界最大のサービス）スター数 約 37 万。React の 10 年スター記録を 60 日で抜いた、史上最速級のオープンソース成長。逆に言うと 急成長しすぎてセキュリティ整備が追いついていないのが今の状況。

最新版・更新頻度（古い記事に騙されないため）

• 最新版：v2026.5.7（2026 年 5 月 7 日リリース、2 日前）
• バージョン規則：vYYYY.M.D の日付式（毎日のようにリリースが出る）
• npm（Node.js のパッケージ配布所）名：openclaw
• GitHub：openclaw/openclaw
• 公式ドキュメント：docs.openclaw.ai（日本語版は /ja-JP）

AI 界隈で「古情報」とされる目安（健人の質問への回答）

健人が「AI 界隈の古いの感覚はわかる？」と聞いた件。確かに業界共通の感覚があり、ざっくり：

• 2〜6 ヶ月でモデルがメジャー更新される。GPT-5.1 は 3/11 に退役、5.4 が現行 default。Claude は Opus 4.6 → 4.7（1M トークン文脈対応、2025 年末頃から default）。
• OpenClaw のような 急成長プロジェクトは「日次リリース」。3 ヶ月前の手順記事はほぼ陳腐化。
• 「ベストプラクティス」も季節物。2025 年の AI 記事は読み物として参考程度、推奨手順としては使わない。

今回の調査では以下のルールで一次資料の鮮度を判定した：

• 2026/2/9 以前（3 ヶ月前）：要警戒。背景理解には使うが、推奨手順には採用しない。
• 2025 年以前：原則除外。例外は名前の歴史くらい。
• 直近 1 ヶ月（2026/4/9 以降）：最優先。特にセキュリティ関連は必須参照。

情報漏洩の懸念は「実在」かつ「深刻」

主要 CVE（脆弱性公開番号、世界共通の攻撃用バグ ID）

「全部直ってる」わけじゃない。古いバージョンを使い続けると CVE 番号付きの実在する攻撃手法でやられる。

独立追跡リポジトリ jgamblin/OpenClawCVEs が 156 件のセキュリティ勧告を整理しており、2026 年 3 月だけで 9 CVE が 4 日連続で公開された月もあった。1 ヶ月放置 = 攻撃用紙の付いた状態で動かしていると思っていい。

サプライチェーン攻撃「ClawHavoc」（自分のせいじゃなくてもやられる経路）

具体的には Trend Micro（マルウェア研究会社）が確認した範囲で：

• Gmail / Notion / Slack / GitHub 連携を装って AMOS（Atomic macOS Stealer、Mac の認証情報・キーチェーン・暗号通貨ウォレットを抜く有名マルウェア）を配布。
• Polymarket（米国の予測市場）の便利スキルを装ったものは、裏でリバースシェル（攻撃者のサーバーに対話的に繋がる隠し命令）を開いて遠隔操作を許す。
• キャンペーン全体は 「ClawHavoc」と名付けられ、コーディネートされた攻撃者集団の存在が確認されている。

つまり OpenClaw 本体を最新にしていてもスキルから感染する。コミュニティスキルを無闇に入れたら一瞬でアウト。

サンドボックスも完璧ではない

「サンドボックス（隔離実行空間、Docker コンテナの中で動かす仕組み）があるから安全」と思いがちだが、Snyk Labs（脆弱性研究で有名）が 2 つの回避経路を 2026 年に公開済み：

1. /tools/invoke エンドポイント（ツール実行用の入口）が sandbox.mode 設定を無視して実行 → ポリシー回避。
2. ファイルパス検証で TOCTOU（Time-of-Check to Time-of-Use、検証した後・実行する前の隙間にすり替えるタイミング攻撃）→ ホスト側ファイルの読み書き。

修正は入ったが、Snyk の指摘は 「サンドボックスがあるから安全」と過信しないこと。多層防御（ローカルモデル・テレメトリ無効・ClawHub 禁止）が前提。

露出インスタンスの実態（Shodan データ）

• Shodan スキャンで 42,000 件以上の OpenClaw インスタンスが公開状態。
• うち 63 % は Gateway 認証が無効（誰でも操作可能）。
• 28 % は CVE-2026-25253 未パッチのまま稼働。
• 11 % はブラウザ自動化ポート公開（外から Chrome を遠隔操作可能）。
• 関連事件：「Moltbook」（OpenClaw 派生 SNS）から API トークン 150 万件漏洩。
• 2026 年 3 月、中国政府が国営企業・政府機関で使用禁止を通達。

最近 1 ヶ月の動向（2026/4/9 以降の最新だけ）

健人のケース：導入すべきか？

健人向け推奨セットアップ（最小漏洩リスク版・10 ステップ）

非エンジニア寄り＆ macOS（M1/M2 系）想定。順番厳守。各ステップに 「何のためか」を添えた。

npm install -g openclaw@latest
openclaw --version   # 必ず 2026.5.7 以上を確認

export DISABLE_TELEMETRY=1

{
  "gateway": {
    "mode": "local",
    "bind": "loopback",
    "auth": {
      "mode": "token",
      "token": "ここに長いランダム文字列（パスワード生成器で 64 文字）"
    }
  }
}

"agents": {
  "defaults": {
    "sandbox": {
      "mode": "non-main",
      "scope": "session",
      "workspaceAccess": "none",
      "docker": { "network": "none" }
    }
  }
}

brew install ollama
ollama pull gpt-oss-20b   # または llama3.3, qwen2.5:32b 等

openclaw security audit --deep
openclaw security audit --fix    # 自動修正したい場合

「もっと安全な選択肢」も知っておく

健人が「メッセージング統合付き AI 秘書」が欲しいだけなら、OpenClaw に拘る必要はない。比較表：

ポイント・次のアクション

主要参考資料

公式：openclaw.ai ／ docs.openclaw.ai ／ GitHub openclaw/openclaw
セキュリティ：Microsoft Security Blog (2026/2/19) ／ jgamblin/OpenClawCVEs ／ Snyk Labs サンドボックス回避 ／ Trend Micro AMOS 配布
Anthropic 対立：TechCrunch (4/4) ／ TechCrunch (4/10)
日本語：柳谷智宣の AI ウォッチ（窓の杜 3/31） ／ Qiita 日本語環境セットアップ
最新動向：公式 X @openclaw ／ @iamlukethedev v2026.4.29 解説 ／ GitHub Releases
代替：NVIDIA NemoClaw