OpenClawの台頭と静かな退潮

1月末、テック業界で最も話題になっていたソフトウェアは、オーストリアの開発者による趣味のプロジェクトでした。数日のうちに2度名前を変え、開発者たちはGitHubで何万ものスターを付けました。夏になると、人々はそれがどうなったのかを尋ねるようになっていました。

正直に答えるなら、OpenClawは消えたわけではありません。生みの親をOpenAIに奪われ、注目の多くと新しさを失い、その最良のアイデアはMicrosoftやMetaのプロダクトへと移りました。プロジェクトそのものは財団のもとで続いています。この話を語る価値があるのは、パーソナルエージェントに何ができ、どんな代償を伴うのかを、1年のうちに示しているからです。

ClawdbotからOpenClawへ

以前のプロジェクトPSPDFKitから離れていたPeter Steinberger氏は、2025年11月に最初のバージョンを公開しました。ユーザー自身のコンピューターやサーバー上で動き、WhatsAppやiMessageといったメッセージアプリを通じて指示を受け取り、それを実行します。シェルコマンドを実行し、ファイルを読み書きし、ブラウザーを操作し、メールやカレンダーを管理し、コミュニティが書いたスキルから新しいタスクを学びます。複数のAIモデルで動作します。

同氏は当初、AnthropicのClaudeにちなんでClawdbotと名づけました。Anthropicが名前の変更を求めたため、1月27日にMoltbotとなり、その数日後にOpenClawとなりました。TechCrunchの集計では、その時点でGitHubのスターは44'200を超えていました。姉妹サイトのMoltbook、つまりエージェント同士が投稿し合うソーシャルネットワークも一気に広まりましたが、それはサイトが保護されておらず、人が偽の投稿をできたことにもよるものでした。

セキュリティの代償

その力はアクセスから生まれ、問題もまたそこから生まれました。1月28日、CiscoのAIセキュリティチームはコミュニティ製のスキルをテストし、それを機能的にはマルウェアだと評しました。そのスキルは、作者が運営するサーバーにひそかにデータを送り、プロンプトインジェクションを使ってエージェントに確認なしでコマンドを実行させていました。Ciscoの結論は、OpenClawにとってセキュリティは組み込まれたものではなく、オプションだというものでした。

1月31日に公表された欠陥では、細工されたリンク1つでユーザーのOpenClawゲートウェイのトークンを盗み、攻撃者にエージェントの制御を渡すことができました。エージェントがローカルマシン上でしか待ち受けていない場合でもです。この欠陥はバージョン2026.1.29で修正されました。2月初め、Koi SecurityはプロジェクトのレジストリであるClawHubにある2'857のスキルを調べ、341の悪意あるスキルを見つけました。そのうち335は、Macに情報窃取型マルウェアをインストールする1つのキャンペーンによるものでした。

2月9日、SecurityScorecardは、インターネットから到達可能なOpenClawのインストールを40'214件数え、そのうち12'812件が、リモートでのコード実行を可能にする既知の欠陥にさらされていました。研究者たちはデフォルト設定を指摘しました。初期状態のOpenClawは、ローカルマシンだけでなく、すべてのネットワークインターフェースで待ち受けていたのです。同じ日の遅く、The Registerは研究者たちのリアルタイムの集計をもとに、135'000件を超えると報じました。

攻撃者を必要としない失敗もありました。2月23日、MetaのAIセキュリティ研究者Summer Yue氏は、削除すべきメールを提案するよう頼んだエージェントが受信トレイの削除を始め、スマートフォンから送った停止コマンドを無視した経緯を説明しました。同氏は、長いセッションの記憶を圧縮する際に、エージェントが指示を失ったのではないかと考えています。3月には中国当局が、大手銀行を含む政府機関や国有企業でのOpenClawの利用を制限する動きに出ました。

その行方

2月中旬、Steinberger氏はOpenAIに加わることを発表しました。Sam Altman氏は、OpenClawは財団のもとでオープンソースプロジェクトとして存続し、OpenAIは引き続き支援すると書きました。Steinberger氏は、おそらくこれを軸に大きな会社を築くこともできたが、その考えには心が躍らなかったと語りました。

そこからプロジェクトは、2つの原動力を失いました。創業者の全面的な関心と、最高のモデルへの安価なアクセスです。4月4日、AnthropicはClaudeのサブスクリプションでOpenClawのようなサードパーティのツールを利用できないようにし、ヘビーユーザーは別途料金を払わなければならなくなりました。Steinberger氏は、Anthropicが人気の機能を模倣したうえでオープンソースを締め出したと非難しました。Anthropicは、自社のサブスクリプションはそうした使い方を想定して作られていないと説明しました。5月、Steinberger氏はプロジェクトのブログで、遅く不具合の多いリリースが続いたことを謝罪し、まだあまりに多くのことが自分に依存していると書きました。財団はOpenAIの支援を受けて、プロジェクトの周りにチームを築いています。

その一方で、大手プラットフォームはこのアイデアを取り込みました。3月、MetaがMoltbookを買収しました。6月、MicrosoftはOpenClawのフレームワークをもとに構築したパーソナルアシスタントScoutを発表しました。監査証跡を残すポリシーチェックを内蔵しています。9月、MetaのアシスタントMuseが米国のApp Storeで首位に立ち、Metaのスーパーインテリジェンス研究所のNat Friedman氏は、MuseはOpenClawに大きく影響を受けていると書きました。TechCrunchはこの軌跡を一文で表しています。OpenAIが創業者を採用した後、プロジェクトの勢いは衰えた、と。Techzineは、3月以降、GitHubのスター数とWebトラフィックが横ばいになっていると指摘しています。

いまもオープン、いまもリスク

プロジェクトは消えていません。8月30日、OpenClaw Foundationはバージョン2.0を公開しました。933人のコントリビューターによる過去最大のアップデートで、インストールが簡単になり、チャットウィンドウが入り口になりました。ブログには、何かを売っているわけではなく、OpenClawはそれを使い、作る人々のものだと書かれています。

セキュリティモデルは、それほど変わっていません。The Registerのレビューでは、サンドボックスはデフォルトで無効になっており、保存された機密情報は保存時に暗号化されておらず、共有セッションはリリースノート自身がセキュリティ境界ではないと認めるものでした。

企業が受け取るべきこと

OpenClawは、1つのことについて正直でした。エージェントの有用性は、触れてよいものの範囲に比例するということです。それはリスクでもあります。ここから5つの教訓が導かれます。

機能よりも先に権限を。ノートパソコンへのフルアクセスを持つエージェントは、持ち主が持つすべての鍵を握っています。各エージェントには、その仕事に必要な最小限のアクセスだけを与えましょう。

スキルは見知らぬ人が作ったソフトウェアです。供給業者と同じように審査するか、さもなければインストールしないことです。

デフォルトがすべてを決めます。多くの人は設定を一度も変えないため、開いたまま出荷されたものは開いたままです。

停止の仕組みはモデルの外に置くべきです。エージェントが自らの記憶の中で失いうる停止コマンドは、停止とは言えません。送信、支払い、削除は、モデルが通過できない関門で待たせるべきです。

社員が何を動かしているかを把握しましょう。会社のマシンにどのエージェントが入っていて、どのアカウントで動いているのかを確認することです。

これが、パーソナルエージェントと、統制された会社の頭脳との違いです。私たちが企業のために構築する頭脳Twinは、各役割に、その役割が必要とする会社の部分だけを与え、それ以上は与えません。財務は誰でも読めるわけではなく、すべての書き込みはユーザーごとのサインインで行われ、すべての手順が記録されます。Twinは下書きし、答え、準備し、人が決めて送ります。チームがすでに使っているアシスタントの中で動き、データを外に出してはならない場合はEigna上でプライベートに動きます。

私たちは、エージェントがより多くの仕事を、より速く担うことを望んでいます。人に残すべきなのは、エージェントが何に触れてよいかについての判断と、送信ボタンにかける手です。