AIエージェント運用に迫るリスクとOpenClaw 2.0という節目

AIエージェントを日々の業務に組み込む動きが広がるなかで、その運用基盤に求められるセキュリティ要件も大きく変わってきました。2025年後半以降はAIシステムそのものがサイバーリスクの震源地になりつつあり、攻撃者がAIスタックの各レイヤーを標的にしているという指摘があります。2026年の情報セキュリティ脅威ランキングにAI関連リスクが初めて登場したという潮流のなかで、エージェントに何を許し、何を禁じるかを設計段階で決めておく重要性が増しています。

こうした背景のもとで登場したのがOpenClaw 2.0（v2026.8.1）です。米国時間2026年8月30日に発表され、8月31日に各メディアが報道しました。このリリースはコントリビューター933名（うち初参加569名）が関わり、マージ済みのPRは16,000件を超えます。開発サイクルは約7週間で、従来の230日で106リリースというペースから大きく加速しました。多くの人が短期間で関わったという事実は、それだけ運用現場からの要望が集まっていた証でもあります。本記事では、この節目のリリースが備えるセキュリティ基盤の要点を、検証済みの事実にもとづいて運用者目線で読み解き、最後に今すぐ着手できるチェックリストまで整理します。

セッション権限モードでファイルアクセスをワークスペースに固定する

OpenClaw 2.0の中核のひとつがSession permission modes、すなわち明示的なセッション権限モードです。従来はエージェントに与える権限が曖昧になりやすく、過剰な権限付与や意図しないファイルへのアクセスを招くリスクがありました。新しい権限モードは、ファイルシステムへのアクセスをワークスペース（worktree）にアンカーします。エージェントはワークスペースの内側でのみ動き、その外にあるファイルへは既定で手が届きません。

この「デフォルト安全」の考え方は、運用現場にとって大きな意味を持ちます。国内では2025年に年間559件、1日あたり約1.5件の公表インシデントが記録されたという背景があり、設定漏れがそのまま事故につながる状況が続いています。アクセスできる範囲を人手で毎回判断するのではなく、仕組みとして最初から狭めておくほうが、ヒューマンエラーの余地は小さくなります。アクセス範囲を明示的に固定しておけば、エージェントの振る舞いが予測しやすくなり、レビューや監査の負担も軽くなります。権限モードの既定化をおこない、全セッションをワークスペース基準で動かすことが、安全な運用の出発点になります。運用チームは、どのモードをどの用途に割り当てるかをあらかじめ取り決めておくと、判断のばらつきを抑えられます。

プラグイン信頼レビューでサプライチェーンリスクに備える

プラグインは機能拡張の強力な手段である一方、外部のコードを取り込むという性質上、サプライチェーン攻撃の面にもなり得ます。OpenClaw 2.0が導入したPlugin trust review、すなわちプラグイン信頼レビューは、この課題に正面から向き合う仕組みです。プラグインのインストールや有効化の前に、その機能、ソース、バージョン、生成される成果物が提示され、利用者は内容を確認したうえで判断できます。

さらに、アップデートを拒否できる点も重要です。既存プラグインの更新が意図しない挙動を持ち込む可能性に備え、更新内容を確認してから受け入れられます。信頼できると判断した状態を保ちたい場面では、更新を保留するという選択肢が安全側に働きます。任意実行のソースから導入する場合は --force の指定が必須とされており、安易な導入に歯止めをかける設計になっています。この一手間があることで、出所の不明なプラグインを無意識に取り込むリスクを下げられます。日本の組織が毎週平均1,003件（2024年）の攻撃を受けているという潮流のなかで、導入前の可視化と拒否の余地を持つことは、攻撃面を絞り込むうえで実務的な価値があります。

共有クレデンシャルストアと1Passwordブローカーで秘密情報を守る

秘密情報の扱いは、エージェント運用でもっとも慎重を要する領域です。OpenClaw 2.0の共有クレデンシャルストアは、値を書き込み専用として扱い、参照時に平文が露出しない設計を採用しています。スコープはチーム単位で管理され、ネットワークのegress、つまり外向き通信は宣言済みのホストに制限されます。秘密情報が想定外の宛先へ流出する経路を、あらかじめ塞いでおける構造です。

あわせて、1Passwordブローカーをオプションとして利用できます。これはシークレットごとに承認を挟む仕組みで、監査証跡には値そのものを含めずに記録を残せます。既存の1Password運用を持つ組織であれば、慣れたワークフローを崩さずにエージェント連携へ広げられる点も現実的です。最小権限、値の非露出、監査可能性というシークレット管理のベストプラクティスを、運用フローに無理なく組み込めるのが利点です。クラウド導入やリモートワークがセキュリティ投資の主要な動因になっているという潮流のなかで、チーム単位での安全な共有とegress制限は、多くの現場が求めていた要件に応えるものです。

モデル許可リストと設定変更履歴が支えるガバナンス

誰が何を許可し、いつ何を変更したのかを追えることは、AIエージェントのガバナンスの土台です。OpenClaw 2.0のモデル許可リストは、エージェント単位でモデルの呼び出しを制限できます。エージェントごとに使えるモデルを絞り込めるため、想定外のモデルが業務データに触れる事態を防ぎやすくなります。

もうひとつの柱が設定変更履歴です。変更内容には変更者を示すラベルが付き、機密値はマスクされた状態で記録されます。何が起きたかを後から確認でき、しかも秘密情報が履歴から漏れない設計になっています。インシデントが起きた際の振り返りでも、誰がどの設定を触ったのかを追跡できることは、原因の特定と再発防止を大きく助けます。企業がAIや機械学習を用いた防御策への投資を加速しているという潮流のなかで、可観測性と監査証跡を重視するこうした機能は、運用の信頼性を底上げします。変更履歴のレビューを定例の運用に組み込むことで、設定のドリフトにも早く気づけます。

運用者が今すぐ見直すべきセキュリティチェックリスト

ここまでの論点を、明日から動ける実務アクションに整理します。以下の項目を順に点検してください。

• 権限モードの既定化をおこない、すべてのセッションをワークスペース固定で動かすようにします。
• 既存プラグインの棚卸しを信頼レビューで実施し、--force による導入の禁止や例外条件をチームのルールとして定めます。
• 秘密情報の移行を共有クレデンシャルストアへ進め、egressを許可するホストを宣言し、必要に応じて1Passwordブローカー連携を検討します。
• モデル許可リストの設定をエージェント単位でおこない、使ってよいモデルを明示的に絞り込みます。
• 変更履歴の運用ルール化を進め、変更者ラベルとマスク済み記録を定期的にレビューする体制を整えます。

詳細は公式リリースノート https://docs.openclaw.ai/releases/2026.8.1 を参照してください。数値や仕様は複数の報道でも補強されています。まずは自分たちの運用で優先度の高い一項目から着手することをおすすめします。