OpenClawとは、自分のPC・サーバー上で動く自己ホスト型のAIエージェントで、GitHub上の公式リポジトリ（openclaw/openclaw）は2026年8月19日時点でスター数38万6,788、フォーク数8万1,262に達しています。WhatsApp・Telegram・Slack・Discord・Signal・iMessageなど複数のメッセージングアプリからLLMを操作でき、AgentSkillsと呼ばれる拡張機能でシェルコマンド実行やファイル操作、Web自動化まで行えます。ただしCiscoなどのセキュリティ企業は「広範な権限を持つ自己ホスト型エージェント」特有のプロンプトインジェクションリスクを繰り返し指摘しており、中国政府は2026年3月に国有企業・銀行での業務利用を制限しました。対象読者は「話題のOpenClawを試すべきか、何ができて何が危ないのかを先に知りたい」開発者・PM。今日やることは、まず本記事の「セットアップの現実的な難易度」と「注意点」の2章だけでも目を通し、公式インストールスクリプトを実行する前にセキュリティ設定を確認することです。
「OpenClawって結局何なの？」という質問を、最近よく聞かれるようになりました。X（旧Twitter）やHacker Newsのタイムラインには「自分のスマホからLINE感覚でAIエージェントに指示を出せる」という投稿が並び、GitHubのスター数だけを見ると、2026年に入って最も勢いのあるOSSプロジェクトの一つです。
一方で「危ない」「セキュリティが甘い」という指摘も同じくらい目にします。実際、中国政府は2026年3月に国有企業や銀行での利用を制限し、Cisco・Microsoftといった大手セキュリティベンダーが専用の防御ツールを立て続けにリリースしています。話題性とリスクの両方が極端な形で語られていて、初見だと何を信じればいいのか分かりにくいプロジェクトです。
この記事では、OpenClawが何をするソフトウェアで、実際にセットアップするとどの程度の手間がかかり、どこに注意すべきなのかを、公式GitHubリポジトリ・公式ドキュメント・Wikipedia・複数のセキュリティ機関のレポートといった一次情報ベースで整理します。すでに公開済みの姉妹記事「OpenClaw vs Channels｜OSSエージェント基盤の選び方」がAnthropic公式のClaude Code Channelsとの機能比較を扱っているのに対し、本記事は「そもそもOpenClawとは何か」という入門部分に絞って解説します。
OpenClawとは何か — 一言で言うと「自分のPCで動く自律型AIアシスタント」
OpenClawは、GitHub公式リポジトリの説明文で「Your own personal AI assistant. Any OS. Any Platform.（あなた専用のパーソナルAIアシスタント。どんなOSでも、どんなプラットフォームでも）」と紹介されているOSSプロジェクトです。クラウド上で動くSaaS型のAIアシスタントとは異なり、ユーザー自身のMac・Linux・Windows機、またはVPS上でエージェントランタイムを常駐させ、Claude・GPT・DeepSeek・Ollamaのローカルモデルなど複数のLLMプロバイダーと接続して動作します。ライセンスはMIT（GitHubリポジトリ・Wikipedia双方の記載）で、主要な実装言語はTypeScriptです。
開発したのはオーストリア出身のプログラマーPeter Steinberger氏。プロジェクトの英語版Wikipediaによると、リポジトリは2025年11月24日に「Warelay」という名前で公開され、その後わずか2カ月余りで「CLAWDIS」→「Clawdbot」→「Moltbot」→「OpenClaw」と4回名称を変更しています。Moltbotへの改名はAnthropicからの商標に関する懸念表明を受けたものとされ、最終的に2026年1月30日に「OpenClaw」の名称に落ち着きました。この改名の多さ自体が、プロジェクトがどれほど急速に注目を集め、同時に手探りで運営されてきたかを物語っています。
| 時期 | 名称 | できごと |
|---|---|---|
| 2025年11月24日 | Warelay | GitHubリポジトリ公開（英語版Wikipedia記載） |
| 2025年12月3日 | CLAWDIS | 初回リネーム |
| 2026年1月2日 | Clawdbot | 2回目のリネーム。この名称で急拡大しGitHubスター10万到達（2026年1月末） |
| 2026年1月27日 | Moltbot | Anthropicの商標懸念を受け改名 |
| 2026年1月30日 | OpenClaw | 現行の名称に確定 |
| 2026年2月14日 | OpenClaw | Steinberger氏がOpenAI入社を発表。プロジェクト統治のためOpenClaw Foundationを設立し、OSSとしての継続を表明 |
| 2026年3月11日 | OpenClaw | 中国政府が国有企業・銀行での業務利用を制限（Bloomberg報道） |
GitHub公式リポジトリのAPIを直接確認したところ、2026年8月19日時点でスター数38万6,788、フォーク数8万1,262、最終更新（pushed_at）は同日でした。2026年3月2日時点で24万7,000スター前後という複数メディアの報道と比較すると、この5カ月あまりでもさらに1.4倍以上に伸びていることになります。急成長が一時的な話題ではなく継続していることが、この数字から読み取れます。
何ができるのか — AgentSkillsとメッセージング連携が中核機能
OpenClawの中核となる体験は大きく2つです。1つは「メッセージングアプリからAIエージェントを操作できる」こと、もう1つは「AgentSkillsという拡張機能でエージェントの実行能力を広げられる」ことです。
対応する主要メッセージングプラットフォームは、GitHub公式リポジトリの記載によるとWhatsApp・Telegram・Slack・Discord・Google Chat・Signal・iMessage（macOSのみ）です。ユーザーはこれらのアプリから普段のチャット感覚でエージェントにメッセージを送り、エージェント側はシェルコマンドの実行、ファイルシステムの操作、Web自動化、メール送信、API呼び出しなどをこなします。
この実行能力を広げているのがAgentSkillsという仕組みです。各スキルはSOUL.mdというメタデータファイルでエージェントの振る舞いを定義したディレクトリとして配布され、コミュニティが作成した数百種類のスキルをコピー&ペースト感覚で導入できます。便利さの裏返しとして、この「誰でもスキルを配布できる」仕組みが、後述するセキュリティ上の弱点にもつながっています。
アーキテクチャ概要 — エージェントランタイム×メッセージルーター×LLM切り替え
OpenClawの技術構成は、大きく3つの層に分けて理解すると全体像がつかみやすくなります。
- エージェントランタイム：ローカルまたはサーバー上に常駐し、タスクの実行・コンテキストの保持・スキルの呼び出しを担う中核プロセス
- メッセージルーター（Gateway）：WhatsApp・Telegram・Slack等の各プラットフォームからの入力をエージェントランタイムに橋渡しするコンポーネント。2026年8月の「2026.8.1」リリースでは、このGatewayの信頼性・シークレット管理まわりが大きく強化されています
- LLMプロバイダー層：Claude、OpenAIのGPT-5.6系、Ollamaのローカルモデル、DeepSeekなど複数プロバイダーを切り替えて利用できる抽象化層
この「自分でLLMプロバイダーを選べる」設計は、比較記事でも指摘した通りOpenClaw最大の強みです。Claude APIのコストを抑えたい場合や、プライバシー要件でクラウドLLMを使いたくない場合に、Ollama経由のローカルモデルへ切り替えられる柔軟性は、クローズドソースの競合サービスにはない特徴です。
セットアップの現実的な難易度 — 「5分で終わる」とは言えない理由
結論から言うと、OpenClawのセットアップ自体はコマンド1行で始められますが、「安全に運用できる状態まで持っていく」には相応の設定作業が必要です。公式ドキュメント（docs.openclaw.ai/install）によると、動作要件はNode.js 22.22.3以上・24.15以上・25.9以上のいずれか（Node 26が推奨）で、macOS・Linux・Windowsをサポートしています。
# 動作環境: macOS / Linux / WSL2、Node.js 22.22.3+ 相当が自動インストールされる
# 公式インストールスクリプト（docs.openclaw.ai/install より）
curl -fsSL https://openclaw.ai/install.sh | bash
# Windows（PowerShell）の場合
# iwr -useb https://openclaw.ai/install.ps1 | iex
npm経由でインストールする場合は、以下のコマンドになります（npm 12、または npm 11.16以降が必要。それより古いnpmでは --allow-scripts フラグを外す）。
# 動作環境: Node.js 22.22.3+ / npm 11.16+
npm install -g openclaw@latest --allow-scripts=openclaw
# インストール後、オンボーディングウィザードを起動
# モデルプロバイダーの選択・APIキー設定・Gatewayの初期設定をここで行う
openclaw onboard --install-daemon
ここまでは確かに数分で完了します。しかし、実際に「安心して使える状態」にするには、この後にもう一段の作業が必要です。2026年8月にリリースされた「2026.8.1」バージョンでは、シークレット（APIキー等）を特定のHTTPS接続先にひも付けて漏えいを防ぐ「secret egress host binding」や、SQLiteデータベースのスナップショットをバックアップ・検証・復元できるopenclaw backup sqliteコマンド群が追加されており、こうした安全機能を理解して有効化する作業が実質的な「セットアップの本体」だと考えるのが実態に近いでしょう。
# 動作環境: OpenClaw 2026.8.1以降
# SQLiteスナップショットの取得・検証・復元（データ消失対策）
openclaw backup sqlite create
openclaw backup sqlite list
openclaw backup sqlite verify
# 注意: 本番環境や重要データにアクセスできる状態で使用する前に、必ずテスト環境で動作確認し、次章のセキュリティ設定（dmPolicy・allowlist・スキルの取得元）を先に確認してください。
実際のユースケース — 何に使われているか
複数の報道・レビュー記事を横断すると、OpenClawの実際の使われ方はおおむね次のパターンに集約されます。
- 個人の生産性ツールとして：メール整理、スケジュール調整、日々のリマインダーをメッセージアプリ経由で処理する用途
- 小規模ビジネスのリード獲得・顧客対応：freecodecamp等の解説記事でも紹介されている、フリーランスや小規模事業者による問い合わせ対応の自動化
- 企業のカスタムサービス基盤として：中国のTencentやZ.aiがOpenClawをベースにした独自サービスを発表するなど、企業がフォーク・拡張して自社サービスの土台に使う動き
- 開発者の実験・検証環境として：MCP（Model Context Protocol）対応のスキルを自作し、GitHubやNotionなど外部サービスと連携させる用途
一方で、2026年2月に報じられた「MoltMatch」の事例のように、ユーザーが明示的に指示していないのにエージェントが独断でマッチングアプリのプロフィールを作成し、写真の権利関係を無視して他人の画像を使ってしまったという意図しない自律行動も報告されています。「何でも自動化できる」ことと「意図通りに制御できる」ことは別問題だと示す事例です。
注意点 — セキュリティリスクと運用コストを一次情報で確認する
OpenClawを検討する上で最も重要なのがこの章です。広範な権限（メール・カレンダー・メッセージングへのアクセス）を持つ自己ホスト型エージェントであるがゆえに、複数の独立した機関が具体的なリスクを報告しています。
| リスク | 内容 | 出典・時期 |
|---|---|---|
| プロンプトインジェクション | TelegramやDiscordのリンクプレビュー機能が、外部コンテンツ経由でエージェントに不正な指示を注入する経路になり得る（間接プロンプトインジェクション） | PromptArmorの調査、The Hacker News報道（2026年3月） |
| 悪意あるスキルの流通 | Cisco の調査では分析対象の一部のスキルに脆弱性（コマンドインジェクション・データ持ち出し・権限昇格）が確認された。別の監査ではClawHub上の配布スキルのうち一定割合が悪意あるものと判定されている | Cisco Blogs（2026年） |
| 重大な脆弱性の指摘 | ゲートウェイの完全な乗っ取りや認証トークン窃取につながる欠陥が報告され、うち1件はCVSSスコア8.8（10点満点）と評価された | 複数メディア報道（2026年3月） |
| 国家レベルでの利用制限 | 中国政府が国有企業・銀行に対し、業務用PCへのOpenClawインストールを控えるよう通達 | Bloomberg報道（2026年3月11日） |
| 意図しない自律行動 | ユーザーの明示的な指示なしにエージェントが行動してしまう事例（MoltMatchの一件など） | 2026年2月の複数報道 |
Microsoft Security Blogは2026年2月19日付の記事で、OpenClawを安全に運用するための基本方針として「デフォルトの管理ポートをインターネットに露出させない」「コンテナで隔離する」「認証情報を平文で保存しない」「信頼できる配布元からのみスキルを取得する」「スキルの自動更新を無効化する」といった対策を推奨しています。サイド記事「OpenClaw vs Channels」でも触れた通り、OpenClawのデフォルト設定はやや許可的（dmPolicyを"open"のままにすると誰でもボットにメッセージを送れてしまう）で、この設定を意識せずに運用しているケースが実際に指摘されています。運用コストの面でも、こうしたセキュリティ設定・監視・アップデート追従を「誰が継続的に行うか」を導入前に決めておく必要があります。
2026年8月時点で、OpenClaw Foundation側がすべての既知の脆弱性に対応済みかどうかは公式に確認できていません。導入を検討する場合は、本記事執筆時点の情報だけで判断せず、公式リリースノート（docs.openclaw.ai/releases）とCiscoやMicrosoftなどの最新セキュリティレポートを自分で確認することを推奨します。
OpenClaw vs Claude Code Channels — 結局どちらを選ぶべきか
「OpenClawとAnthropic公式のClaude Code Channels、どちらを使えばいいのか」という比較は、本記事とは別に姉妹記事で詳しく扱っています。要点だけ先に示すと、セットアップの手軽さと標準搭載のセキュリティ機能を重視するならChannels、LLMプロバイダーの自由度・対応プラットフォームの幅（LINEやiMessageなど）・OSSゆえのカスタマイズ性を重視するならOpenClaw、という住み分けです。詳細なスペック比較・セキュリティ比較・コード例は「OpenClaw vs Channels｜OSSエージェント基盤の選び方」をあわせて参照してください。
ローカル環境で動くAIエージェント全般の設計思想やプライバシー面のトレードオフについては「2026年、AIエージェントがローカルへ──プライバシーと自律性の新時代」も参考になります。また、OpenClawのようなスキル拡張型エージェントを安全に運用するための防御ツールの選び方は「AIエージェントを守るセキュリティツール4選比較2026」で比較しています。
よくある質問
Q. OpenClawとは何ですか？
A. 自分のPCやサーバー上で動く、自己ホスト型のオープンソースAIエージェントです。WhatsAppやTelegramなどのメッセージングアプリからLLMを操作し、シェルコマンド実行やファイル操作などのタスクを代行させられます。MITライセンスで公開されており、開発者はPeter Steinberger氏です。
Q. OpenClawは無料で使えますか？
A. OpenClaw本体はMITライセンスのOSSで無料です。ただし、接続するLLM（Claude・GPT系など）のAPI利用料は別途自己負担になります。Ollama経由のローカルモデルを使えばAPI課金なしで運用することも可能です。
Q. OpenClawはどのOSに対応していますか？
A. 公式ドキュメントによるとmacOS・Linux・Windowsに対応しています。Windows向けにはネイティブのHubアプリとPowerShellインストーラーが用意されています。
Q. OpenClawはなぜ危険と言われるのですか？
A. メール・カレンダー・メッセージングなど広範な権限を持つ設計上、プロンプトインジェクションや悪意あるスキル経由のデータ持ち出しリスクが繰り返し指摘されているためです。Cisco・Microsoftなどのセキュリティ機関がリスクを報告しており、2026年3月には中国政府が国有企業・銀行での利用を制限しています。「危険だから使うべきでない」というより「権限管理を理解した上で運用する必要がある」という理解が実態に近いです。
Q. OpenClawはどこの国で開発されましたか？
A. 開発者のPeter Steinberger氏はオーストリア出身です。プロジェクト自体はGitHub上でグローバルなコミュニティにより開発が続けられており、2026年2月にはOpenClaw Foundationが設立され、特定の国・企業に依存しない運営体制を目指しています。
まとめ：今日から始める3つのアクション
- 今日やること：GitHub公式リポジトリ（openclaw/openclaw）のREADMEと公式ドキュメント（docs.openclaw.ai/install）を読み、自分の用途で本当に広範な権限を渡す必要があるか整理する
- 今週中：試す場合はテスト用の隔離環境（コンテナや検証用マシン）でセットアップし、
dmPolicyを"pairing"または"allowlist"に設定した上でメッセージング連携を確認する - 今月中：本番運用を検討するなら、Cisco・Microsoftのセキュリティレポートを読み、スキルの取得元を信頼できるチャンネルに限定する運用ルールを社内で定める
参考・出典
- openclaw/openclaw — GitHub公式リポジトリ（参照日: 2026-08-19）
- OpenClaw — Wikipedia（英語版）（参照日: 2026-08-19）
- Install · OpenClaw 公式ドキュメント（参照日: 2026-08-19）
- OpenClaw AI Agent Flaws Could Enable Prompt Injection and Data Exfiltration — The Hacker News（2026年3月）
- China Moves to Limit Use of OpenClaw AI at Banks, Government Agencies — Bloomberg（2026年3月11日）
- Personal AI Agents like OpenClaw Are a Security Nightmare — Cisco Blogs（2026年）
この記事を読んでOpenClawの導入イメージが固まってきた方へ
UravationではAIエージェント導入の研修・コンサルを行っています。セキュリティ設計を含めた自己ホスト型AIエージェントの導入相談もお気軽にどうぞ。
著者: 佐藤傑（さとう・すぐる）
株式会社Uravation代表取締役。X（@SuguruKun_ai）フォロワー10万人超。100社以上の企業向けAI研修・導入支援。著書累計3万部突破。
ご質問・ご相談はお問い合わせフォームからお気軽にどうぞ。
