OpenClawの危険性とは？主要リスクと安全な運用方法をわかりやすく整理【2026年10月版】

OpenClawは、既定の設定のまま普段使いのPCで動かすと危険なツールです。専用の端末・専用のアカウント・機密でないデータに絞り、更新を続けられる人なら、リスクを抑えて使えます。

2026年8月30日に公開された「OpenClaw 2.0」（v2026.8.1）で、デスクトップ操作やブラウザのログイン共有が正式な機能になり、気をつける点が増えました。この記事では、2026年10月時点の公式情報と、実際に起きた事件・実験をもとに、何がどう危ないのかを整理します。

この記事でわかること

• OpenClawは本当に危険なのか（事実と誤解の切り分け）
• どの権限をオンにすると何が起き得るか（権限ごとの危険度）
• OpenClaw 2.0で増えた危険・減った危険
• 2026年に実際に起きた事件・実験と、そこから学べること
• 個人利用と業務利用でのリスクの違い、最低限やるべき対策

こんな人に向けた記事です: OpenClawを入れるか迷っている人、すでに使っていて設定を見直したい人、社内で「使ってよいか」を判断する立場の人。OpenClawそのものの機能や料金はOpenClawとは？で解説しています。

OpenClawは本当に危険なのか？事実と誤解の切り分け

出典：OpenClaw公式サイト

OpenClawには実際のセキュリティリスクがあり、しかも公式が「防げない」と認めている部分があります。 ただし危険の大きさは、どの権限を渡し、どの端末で、どのデータに触れさせるかで大きく変わります。

確認されている事実と、広まっている誤解は次のとおりです。

実際に確認されたリスク（事実）

• 脆弱性の公表が非常に多い: GitHubで公開されたセキュリティアドバイザリは、2026年10月14日時点で700件を超えます（重大度criticalが14件、highが249件）。2026年9月11日にも75件がまとめて公開されました
• ClawHubに悪意あるスキルが出回った: 2026年2月、セキュリティ企業Koi Securityが2,857スキルを調べ、341件を悪意ありと判定しました
• プロンプトインジェクションは公式の対象外: 公式のセキュリティポリシー（SECURITY.md）は、プロンプトインジェクション「だけ」の攻撃を脆弱性の報告対象外としています。つまり、権限を絞って被害を小さくするしかありません
• 既定の設定は安全寄りではない: 公式ドキュメントによると、サンドボックスは既定でオフ、ホストでのコマンド実行は確認なしで動く設定が既定です。初期設定で権限の範囲（ツールプロファイル）を選ばないと、ほぼ全ツールが有効な full が入ります
• 複数人での共有を想定していない: 公式は「1つのGatewayを、互いに信頼しない利用者同士で共有する設計ではない」と明記しています

過剰に広まっている不安（誤解）

• 「入れるだけでハッキングされる」: インストールしただけで被害に遭うわけではありません。多くの被害は、古い版を使い続ける・Gatewayをインターネットに公開する・怪しいスキルを入れる・強い権限を渡す、のいずれかが重なって起きています
• 「データがすべて外部に送られる」: OpenClaw本体は手元のPCやサーバーで動きます。ただし、クラウドのAIモデルを使えばやり取りの内容はモデルの提供元へ送られます。また、メール送信やWeb操作の権限があれば、AIの判断ミスや乗っ取りで外へ出る経路はあります
• 「OpenClawのソースコードが流出した」: 2026年3月末に話題になったソースコード流出は、AnthropicのClaude Codeの件で、OpenClawではありません。OpenClawはもともとMITライセンスで公開されているオープンソースです
• 「日本政府が使用禁止を出した」: 2026年10月14日時点で、IPAやJPCERT/CCによるOpenClaw固有の注意喚起は見当たりません。国が利用を制限したと報じられたのは中国です（個別の脆弱性情報はJVNに掲載があります）

なぜOpenClawは「危険」と言われるのか

危険と言われる一番の理由は、AIが利用者と同じ権限でPCを操作し、外部から届いた文章も読み、外へ送る手段も持っていることです。

ChatGPTやClaudeのチャット画面は、基本的に文章を返すだけです。一方OpenClawは、WhatsAppやSlackなどのチャットから頼まれると、シェルコマンドの実行、ファイルの読み書き、ブラウザ操作、2.0からはデスクトップ全体の操作まで、自分で判断して進めます。

セキュリティの分野では、次の3つがそろうと、細工された文章1つで情報が外に出ると言われています（Simon Willison氏が「致命的な三点セット」と呼んだ構造で、トレンドマイクロもOpenClawの問題として同じ点を指摘しています）。

Microsoftのセキュリティブログ（2026年2月19日）も、OpenClawを「永続的な資格情報を持つ、信頼できないコードの実行」として扱うべきだとし、普段使いの個人PCや業務PCで動かすべきではないと書いています。

つまり危険の中心は「バグが多いこと」だけではなく、エージェントという仕組みが持つ権限の広さそのものです。エージェント一般の仕組みはAIエージェントとは、共通の対策はAIエージェントのセキュリティ対策で解説しています。

権限ごとの危険度：どの権限が何を起こすか

出典：OpenClaw公式ドキュメント「Security」

OpenClawの危険は「できることの広さ」と同じです。2026年10月時点の主な権限と、オンにしたときに起き得ることを整理しました（既定値は公式ドキュメントによる。版によって変わることがあります）。

判断の目安は単純です。「その権限が乗っ取られたら、最悪何が起きるか」を考え、許せないものはオフにする。たとえば、メインのGmailにログインしたブラウザを渡すのは、メールの送信・削除・パスワードリセットをAIに任せるのと同じです。

OpenClaw 2.0で増えた危険・減った危険

出典：OpenClaw公式ドキュメント「Computer use」

2.0（v2026.8.1、2026年8月30日発表）は、使いやすさと一部の安全機能が進んだ一方で、渡せる権限も増えました。The Register（2026年8月31日）は「使いやすくはなったが、既定で安全になったわけではない」と評しています。

デスクトップ操作の権限は「細かく絞れない」

とくに注意したいのがデスクトップ操作です。公式ドキュメントによると、操作ごとに確認を求める仕組みはなく、macOSの操作用デーモンは承認の仕組みを通らずに動きます。「このアプリだけ」「この操作だけ」といった細かい許可はできず、実質的にはオンかオフかだと考えてください。

絞るための現実的な方法は次のとおりです。

• 使わないならOpenClaw側のデスクトップ操作を切り、macOSの「プライバシーとセキュリティ」でアクセシビリティや画面収録の許可を与えない
• 使うなら、普段使いのMacではなく、専用のMacか専用のmacOSユーザーで動かす。画面に銀行・社内システム・パスワード管理アプリを開いたままにしない
• ブラウザは、重要なログインが入っていない専用のChromeプロファイルを使う

Appleも2026年10月、AIエージェントのリスクを理由にmacOSのフルディスクアクセスを厳しくすると表明しています（macOSフルディスクアクセス厳格化の解説）。2.0の新機能の全体像はOpenClaw 2.0の新機能まとめをご覧ください。

主要リスク6つの具体的な内容

被害につながりやすいものから順に並べています。

リスク1: 脆弱性が多く、更新が止まるとすぐ危なくなる

CVE-2026-25253は、OpenClawの管理画面がURLに含まれる接続先を確かめずに信頼していたことが原因でした。今は修正済みですが、1月の古い版のまま動かしている人には今も有効です。

9月に公開された75件の多くは、8月の2026.8.1や7月の2026.7.1で修正されたものです。中には「受けた音声通話が所有者のツール権限を引き継ぐ」「許可リストに入れたコマンドの内側で任意のコマンドが動く」といった、権限の境目が抜ける不具合が含まれていました。数か月更新を止めるだけで、既知の穴を抱えたままになるということです。

リスク2: ClawHubの悪意あるスキル

攻撃者は人気ツールに似た名前をつけ、説明文で「前提条件として次のコマンドを実行してください」とマルウェアを入れさせる手口を使っていました。2026年1月には、CiscoのAIセキュリティチームも、利用者に気づかれずデータを持ち出すスキルを見つけています。

VirusTotalの検査で状況は改善しましたが、公式ブログ自身が「万能ではない」と書いています。自然な文章で書かれた悪意ある指示は、マルウェア検査では見つからない場合があるためです。数字はその後も調査ごとに割れており、悪意がなくても脆いスキルが多いという報道もあります。スキルは「他人が書いたプログラム」として扱うのが基本です。

リスク3: プロンプトインジェクション（公式も「防げない」前提）

プロンプトインジェクションとは、メールやWebページ、チャットに紛れ込ませた文章でAIを操る攻撃です。

OpenClawの公式ポリシーは、認証や承認、サンドボックスの迂回を伴わない「プロンプトインジェクションだけの攻撃」を報告対象外としています。言い換えると、修正で消える問題ではなく、権限の設計で被害を小さくするしかない問題です。

実際、2026年6月にVaronis Threat Labsが行った実験では、OpenClawのメール担当エージェントが、上司を装ったメール1通で（模擬の）AWSキーを外部のGmailへ転送しました。別の試行では、顧客247社分の（模擬の）CRMデータを送信しています。厳しめの設定にしても流出は防げなかったと報告されています。メールを読ませるエージェントは、フィッシングの標的そのものになります。

関連する攻撃の仕組みはClaude Codeのプロンプトインジェクション対策でも解説しています。

リスク4: デスクトップ操作・ブラウザのログイン共有

2.0で正式になったデスクトップ操作とブラウザ連携は、プロンプトインジェクションと組み合わさると被害が大きくなります。細工されたWebページやメールにAIが従ったとき、ログイン済みのアプリやブラウザで、あなたとして操作できてしまうからです。

デスクトップ操作は操作ごとの確認がなく、ブラウザも既存のログインを取り込めます。銀行・メインのメール・社内SaaSにログインした環境を渡さないことが、いちばん効果のある対策です。

リスク5: Gatewayの外部公開と、複数人での共有

OpenClawのGateway（チャットとツールをつなぐ中継役）をインターネットに公開しているインスタンスは、2026年2月時点で数万〜13万5,000台超と報告されました（SecurityScorecard、Censys、Shodanなど調査によって数字に差があります）。公開されたGatewayは、脆弱性が見つかるたびに直接狙われます。

また公式は、1つのGatewayを互いに信頼しない人同士で共有する使い方を想定していません。認証を通った人は「信頼された運用者」として扱われるため、家族や同僚と1つのGatewayを共有すると、相手が全ツールを使える状態になります。2.0の共有セッションも、セキュリティの境界ではないとリリースノートに明記されています。

リスク6: AIの誤動作・暴走（削除・送信・課金）

攻撃がなくても、AIが指示を取り違えて被害を出すことがあります。

• 2026年2月、MetaのAI安全性研究者Summer Yue氏が受信箱の整理を頼んだところ、AIが承認を求めずに大量削除を始め、スマホから止められなかったと投稿しました。会話の圧縮（コンパクション）で「承認を求めよ」という指示が抜けたと本人が説明しています
• 2026年5月、英国の数学者Hannah Fry氏の番組での実験では、エージェントが苦情の手紙に本人の実名で署名し、用事1つで100ドルを超えるトークン代がかかったと報じられました

「確認してから実行して」という指示は、会話が長くなると消えることがあると覚えておきましょう。削除や送信の権限そのものを渡さないほうが確実です。ほかの削除事故はAIエージェントがデータを全削除した事故まとめにまとめています。

実際に起きた事件・実験から学ぶこと

出典：OpenClaw公式ブログ

2026年に報じられた主な出来事を時系列で並べました。OpenClaw本体の欠陥なのか、設定・連携先・AIの判断ミスなのかを分けて見ると、対策の打ちどころがわかります。

2026年10月14日時点で、10月に入ってからの大きな事件の報道は見当たりません。ただし、2.0の新機能を狙った報告が今後出てくる可能性はあります。

公的機関・専門家の評価

社内で利用を判断するときの材料になる、主な機関・企業の評価です。

評価に共通しているのは、「普段使いの環境から切り離し、機密データに触れさせない」という一点です。

個人利用と業務利用でリスクはどう変わるか

個人利用の場合: 普段のPCとは別の環境で動かし、強い権限を絞り、更新を続ければ、リスクは自分で管理できる範囲に収まります。

業務利用の場合: 管理されないまま社員が入れる「シャドーAI」が最初の問題になります（シャドーAIとは）。試すなら専用VMで、本番の機密データやメインのアカウントにはつながないのが、現時点の各機関の評価と一致する線引きです。会社で生成AIやエージェントを使うなら、データの置き場所や権限の分け方まで含めて構成を選ぶ必要があり、その考え方は生成AIのセキュリティ要件と社内導入の構成で整理しています。

外側から通信やファイルを制御する隔離の仕組みとしては、NVIDIAのNemoClawもあります（2026年10月時点ではアルファ版）。

安全に使うための運用ポイント

設定項目の名前と手順は版によって変わるため、ここでは閉じるべき場所だけを挙げます。具体的な手順はOpenClawセキュリティ設定ガイドを参照してください。導入から始める人はOpenClawの使い方・インストールガイドもあわせてどうぞ。

最低限やるべき設定（全ユーザー共通）

1. 最新の安定版に更新し続ける: 2026年10月14日時点の最新安定版はv2026.10.3（10月13日公開）。月1回以上は更新を確認する
2. Gatewayを外に公開しない: 自分のPC内（loopback）だけで待ち受ける。外から使うならVPNなどを挟む
3. ツールプロファイルを選ぶ: 初期設定で何も選ばないと full が入る。用途に合わせて coding・messaging・minimal などから選ぶ
4. サンドボックスを有効にする: 既定はオフ。コマンド実行をコンテナなどに閉じ込める
5. 監査コマンドを定期的に実行する: openclaw security audit --deep と openclaw doctor の指摘に従う（--fix で自動修正されるのは権限まわりなど一部だけ）

推奨設定（セキュリティを重視する場合）

• 普段使いのPCでは動かさない: 専用のVPS・Mac mini・VMなど、壊れても作り直せる環境で動かす
• 管理者権限で動かさない: 一般ユーザーで実行し、sudo などの昇格を許さない
• デスクトップ操作はオフ、ブラウザは専用プロファイル: 使う場合も、重要なログインが入っていない環境に限る
• スキルの自動適用を承認制に戻す: 2.0の自動学習は、設定で承認待ちにできる
• DMを受け付ける相手を絞る: ペアリング済みの相手や許可リストだけにする
• 専用のアカウントと鍵を使う: メインのGoogleアカウントや本番のAPIキーを渡さない。鍵は定期的に交換する
• APIの使用上限を決める: 暴走やループでの課金を防ぐため、モデル提供元の上限設定や前払いクレジットを使う

業務利用の場合の追加対策

• 専用VMまたは専用の物理マシンで、非機密データだけに触れさせる
• スキル・プラグインの導入は社内の承認を通す
• 連携するチャットアプリには多要素認証をかける
• 長期記憶のファイルに、覚えのないルールが増えていないか定期的に確認する（Microsoftの推奨）
• バックアップは作業フォルダ（.openclaw/workspace/）だけにする。.openclaw/ 全体にはトークンが含まれる

やってはいけない使い方

• 普段使いのMacに、既定の設定のまま入れる
• メインのGmailや銀行にログインしたブラウザを渡す
• ClawHubで見つけた知らない作者のスキルを、中身を見ずに入れる
• Gatewayをインターネットに公開する
• 家族や同僚と1つのGatewayを共有する

怪しい動きをしたときの初動

一般的には、次の順で対応します。

1. Gatewayを止める: 被害の拡大を止めることを最優先にする
2. 鍵とトークンを交換する: OpenClawに渡したAPIキー、Gatewayのトークン、連携アカウントのパスワードを変える
3. 何をされたか確認する: 実行履歴、設定の変更履歴（2.0から記録される）、長期記憶の中身、送信済みメールを見る
4. 環境を作り直す: 原因がわからなければ、Microsoftの推奨どおり環境ごと作り直す

OpenClawをおすすめできる人・おすすめしない人

OpenClawを使っても問題が少ない人

• コマンド操作に慣れていて、権限・ネットワーク・更新を自分で管理できるエンジニア
• 趣味や学習が目的で、機密データを扱わない人
• 専用の端末やVMを用意して、壊れたら作り直せる人
• 毎月の更新とリリースノートの確認を続けられる人

OpenClawを避けた方がよい人

• セキュリティ設定を自分でできない人: セルフホスト型なので、権限の管理・更新・監査はすべて利用者の責任です
• 普段使いのPC1台しかなく、そこで使いたい人: デスクトップ操作やブラウザ連携の被害がそのまま日常のアカウントに及びます
• 機密データを扱う業務で、評価の体制がない組織: 各機関の評価どおり、管理なしの業務利用は高リスクです
• 複数人で1台を共有したい人: 公式が想定していない使い方です
• 「設定しなくても安全に使えるAI」がほしい人: ChatGPTやClaudeのWeb版、または既定で操作前に許可を求めるClaude Codeのほうが向いています

よくある質問（FAQ）

Q1. OpenClaw 2.0にすれば安全になりましたか？

部分的には改善しましたが、既定の設定のまま安全になったわけではありません。資格情報を会話に出さない入力欄や、プラグインのインストール前確認などは進みました。一方で、サンドボックスは既定オフのままで、デスクトップ操作やスキルの自動適用など、渡せる権限は増えています。2.0に更新したうえで、権限を自分で絞る必要があります。

Q2. CVE-2026-25253は修正されていますか？今から始めても大丈夫ですか？

2026.1.29で修正されています。今から最新の安定版を入れればこの脆弱性の影響は受けません。ただし、その後もアドバイザリは700件以上公開されており、9月にも75件がまとめて出ました。始めること自体より、更新を続けられるかどうかで判断してください。

Q3. ClawHubのスキルは、VirusTotalで検査済みなら安全ですか？

安全の保証にはなりません。VirusTotalの検査は既知のマルウェアや怪しいコードを見つけるのには役立ちますが、公式ブログも「万能ではない」としています。自然な文章で書かれた悪意ある指示は検出できないことがあるためです。作者・更新履歴・求める権限を確認し、必要最小限のスキルだけを入れましょう。

Q4. Macで使っても大丈夫ですか？フルディスクアクセスは許可すべきですか？

普段使いのMacで使うのはおすすめしません。2.0ではmacOSのデスクトップ操作の設定が既定オンで、OS側の許可があれば操作ごとの確認なしに画面を操作します。フルディスクアクセスは、必要がない限り許可しないのが安全です。使うなら専用のMacか、専用のmacOSユーザーを用意してください。

Q5. ローカルモデル（Ollamaなど）を使えば情報は漏れませんか？

AIモデルの提供元にやり取りが送られることは防げます。しかし、メール送信・Web操作・コマンド実行の権限があれば、プロンプトインジェクションやAIの判断ミスで外に出る経路は残ります。モデルをローカルにすることと、外へ送る権限を絞ることは別の対策です。

Q6. 家族や同僚と1台のOpenClawを共有してもいいですか？

避けてください。公式は、1つのGatewayを互いに信頼しない人同士で共有する設計ではないとしています。認証を通った人はすべてのツールを使える運用者として扱われるうえ、既定ではDMが1つの会話にまとまるため、会話の内容も混ざります。使う人ごとに環境を分けるのが前提です。

Q7. 会社では使用を禁止すべきですか？

一律に禁止するかどうかは会社の方針しだいですが、少なくとも業務PCへの無断インストールは止めるべきです。評価したい場合は、専用VM・専用アカウント・非機密データという条件で、期間と担当者を決めて試すのが現実的です。中国では国の機関や国有企業に導入を控えるよう通知したと報じられており、事前承認制にしている組織もあります。

Q8. OpenClawとClaude Codeでは、どちらが安全ですか？

設計の前提が違います。Claude CodeはAnthropicが提供し、既定ではファイル編集やコマンド実行の前に許可を求めます。OpenClawはチャット経由で常駐して自律的に動く前提で、既定の権限も広く、安全の設定は利用者の責任です。自分で設定を管理したくない場合はClaude Codeのほうが向いています。詳しくはOpenClaw vs Claude Codeで比較しています。

まとめ

OpenClawの危険性は、AIが利用者と同じ権限でPCを操作し、外部の文章を読み、外へ送る手段も持っていることから生まれます。

• 脆弱性: アドバイザリは2026年10月14日時点で700件超。更新を止めないことが前提
• スキル: ClawHubは検査が入ったが万能ではない。他人のプログラムとして扱う
• プロンプトインジェクション: 公式も防げない前提。送信・削除の権限を絞る
• 2.0の新機能: デスクトップ操作は細かく絞れず、実質オンかオフか。普段使いのMacやブラウザを渡さない
• 個人利用は専用環境と基本設定で管理できる範囲、業務利用は管理体制なしでは高リスク

「危険だから使わない」も「リスクを理解して専用環境で使う」も、どちらも妥当な判断です。どの権限を何に渡しているかを、自分で説明できる状態にしておくことが大事です。

関連ページ

• OpenClawとは？できること・料金・安全性を公式情報で整理
• OpenClawセキュリティ設定ガイド｜用途別の推奨設定と監査手順
• OpenClaw 2.0（v2026.8.1）新機能まとめ
• OpenClaw vs Claude Code 徹底比較
• AIエージェントとは？