「スペース・ロブスター（Space Lobster）」が暴走：Metaとテック大手がOpenClawを排除する理由

「シャドーAI（Shadow AI）」の時代が正式に到来した。その名は、OpenClawだ。

開発者の自律性と企業のセキュリティとの間の摩擦が深まる中、Metaは社内ネットワーク全体でOpenClaw（旧称：Clawdbot）の使用を厳格に禁止するという断固とした措置を講じた。WhatsAppやSlackなどのメッセージングアプリを介してユーザーがローカルマシンを制御できるようにする、このバイラルなオープンソース・エージェントは、大手テクノロジー企業のセキュリティチームによって「重大度の高いリスク」とラベル付けされている。

この禁止措置は、このプロジェクトにとって激動の1週間の後に発表された。この1週間で、同プロジェクトはGitHubスター数が145,000を超え、2度の緊急リブランドを経験し、数千台の開発者マシンを危険にさらした重大なリモートコード実行（RCE）の脆弱性に見舞われた。Creati.aiの読者にとって、OpenClawの物語は単なるセキュリティのニュースではない。それは、人工知能（AI）の「手」を誰が制御するかをめぐる最初の大きな戦いなのである。

バイラルな人気者からセキュリティののけ者へ

この禁止措置の深刻さを理解するには、まずこのツールの前例のない魅力を理解しなければならない。PSPDFKitの創設者であるPeter Steinberger氏によって作成されたOpenClaw（当初はClawdbotとしてリリース）は、「実際に仕事をするAI」になることを約束した。

ブラウザのタブ内で完結する従来のチャットボットとは異なり、OpenClawはユーザーのハードウェア（多くの場合、Mac Miniやバックグラウンドサーバー）上でローカルに動作する。これは、ClaudeやGPT-4のような大規模言語モデル（LLM）とユーザーのオペレーティングシステムの間の架け橋として機能する。ユーザーが「デスクトップにある第4四半期のレポートを見つけて、サラにメールで送って」や「このコードベースをリファクタリングしてテストを実行して」といったコマンドをテキストで送ると、OpenClawはシェルコマンドやファイルシステムへのアクセスを使用して自律的にそれらを実行する。

この「ローカルファースト（Local-First）」アーキテクチャは、クラウドに縛られた制限に疲れた開発者の間に深く共鳴した。しかし、それは同時にITセキュリティ部門にとって悪夢のようなシナリオをも生み出した。暗号化されていない、あるいは簡単に偽装できるメッセージングチャネルを介して制御され、企業デバイスへの完全な読み取り/書き込み権限を持つ、未検証の自律型エージェントの出現である。

引き金：CVE-2026-25253

業界全体での取り締まりの転換点となったのは、**CVE-2026-25253**の公開だったようだ。セキュリティ研究者は、OpenClawのローカルゲートウェイにクロスサイトWebSocketハイジャックの脆弱性を発見した。この欠陥により、悪意のあるウェブサイトが、実行中のOpenClawインスタンスに密かに接続し、被害者の知らないうちにそのマシン上で任意のコードを実行することが可能になっていた。

OpenClawコミュニティはこの問題を修正するために迅速に動いたが、エンタープライズセクターにおけるその評判へのダメージは修復不可能だった。

Metaによる禁止の背景：「まず緩和、次に調査」

業界筋が入手した内部通信によると、Metaのセキュリティリーダーシップは「まずブロックする」という方針を採用した。先週後半に出された指令では、会社支給のハードウェア上でのOpenClawのインストールまたは実行が明示的に禁止されている。このポリシーに違反した従業員は、解雇を含む懲戒処分の対象になると報じられている。

Metaや、Valere、Massiveを含む他の企業が挙げた理由は、単一の脆弱性にとどまらない。主な懸念事項は以下の通りである：

• 予測不可能な動作： エージェント型システムであるOpenClawは、ユーザーの意図から逸脱した決定を下す可能性があり、重要なシステムファイルを変更または削除する可能性がある。
• データの持ち出し： ローカルファイルを読み取り、サードパーティのメッセージングアプリ（TelegramやWhatsAppなど）を介して要約を送信する機能は、データ損失防止（DLP）プロトコルをバイパスする。
• プロンプトインジェクション： セキュリティ監査人は、OpenClawが悪意のあるメールによって欺かれる可能性があることを実証した。エージェントが「未読メールを要約せよ」と指示された場合、隠しテキストを含む武器化されたメールが、エージェントにSSHキーや機密コードベースをエクスポートするよう命令する可能性がある。

サプライチェーン攻撃

パニックをさらに助長させたのは、禁止措置が施行される直前に発生したnpmパッケージエコシステムを巻き込んだ別の事件だった。ハッカーが人気の開発者ツール cline を侵害し、インストール後にOpenClawを開発者のマシンに密かにインストールするポストインストールスクリプトを注入したのだ。この「ドライブバイ（通りすがり）」インストールにより、役立つはずのエージェントが潜在的な「スリーパーマルウェア」へと変貌し、適切に設定されていない場合は外部の攻撃者からコマンドを受け取ることが可能になってしまった。

エージェントとエンタープライズ標準の間のギャップ

OpenClawの事件は、オープンソースのAIエージェントの現状と、現代企業の厳格なセキュリティ要件との間の根本的な断絶を浮き彫りにしている。開発者がスピードと能力を優先する一方で、企業は監査可能性と隔離性を必要とする。

以下の表は、OpenClawのデフォルトのアーキテクチャと標準的なエンタープライズセキュリティ要件を対比させたものであり、なぜこのツールが企業環境と互換性がないままなのかを強調している。

表：OpenClawのアーキテクチャ vs. エンタープライズセキュリティ標準

セキュリティ側面	OpenClawの実装	エンタープライズ要件
実行環境	ホストOS上で直接実行（ユーザーレベル）	サンドボックス化されたコンテナまたはVMによる隔離
認証	シンプルなトークン / メッセージングアプリID	SSO、MFA、およびRBAC（ロールベースのアクセス制御）
入力バリデーション	プロンプトインジェクションに対して脆弱	厳格な入力サニタイズとガードレール
データエグレス（外部送信）	無制限（メッセージングアプリ、Web）	ホワイトリストに登録されたエンドポイントとDLPスキャン
監査トレイル	ローカルテキストログ（ユーザーによる編集可能）	不変で中央集権的なSIEMロギング
更新メカニズム	手動の git pull または npm アップデート	管理され、検証されたパッチ管理

業界の反応：「私物エージェントの持ち込み」の終焉か？

OpenClawに対する取り締まりは、企業が「私物AIの持ち込み（BYOAI）」をどのように捉えるかの転換点を示している。かつてIT部門が未許可のスマートフォン（BYOD）の管理に苦労したように、現在はシャドーエージェント（Shadow Agents）、つまり生産性向上のために従業員がインストールし、巨大な攻撃対象領域をもたらす個人的なAIツールの課題に直面している。

ValereのCEOであるGuy Pistone氏はインタビューで、OpenClawを許可することは「インターンにサーバー室の鍵を渡し、監視なしで放置することに近い」と指摘した。セキュリティリーダーたちのコンセンサスは、エージェント型AI（agentic AI）が未来である一方で、それを消費者向けの権限設定のないアーキテクチャ上に構築することはできないということだ。

開発者の動向

さらなる憶測を呼ぶ展開として、Peter Steinberger氏は最近、自身がOpenAIに参加し、OpenClawプロジェクトは独立したオープンソース財団に移行することを発表した。この移行は、OpenClawの「西部開拓時代」が終わる一方で、その背後にあるテクノロジーが主流のAI開発パイプラインに吸収されつつあることを示唆している。

結論：AI導入者への教訓

OpenClawは、自律型AIのパワーを示す強力な概念実証（PoC）として機能している。それは、エージェントがファイルシステムをナビゲートし、複雑なワークフローを実行することで、現実世界と有意義に対話できることを証明した。しかし、その「暴走」状態は警告として機能している。

Creati.aiの読者やAI開発者にとって、教訓は明確だ。**「ガードレールのない自律性は負債である」**ということだ。完全にエージェント化されたワークフローの未来に向かう中で、焦点は「このエージェントは何ができるか？」から「このエージェントは何を禁止されているか？」へと移らなければならない。オープンソース・エージェントのセキュリティアーキテクチャがエンタープライズ標準に合致するまで成熟するまでは、OpenClawのようなツールは愛好家向けの強力なおもちゃであり続け、企業の世界にとっては禁断の果実であり続けるだろう。