ニュースの概要
GMOサイバーセキュリティの記事は、OpenClawをはじめとするAIエージェントを便利な自動化ツールとしてだけでなく、新しい攻撃経路にもなり得る存在として捉えています。外部サービスとの接続、拡張機能の追加、利用者の指示を受けて実行する仕組みは、作業を効率化する一方で、秘密情報の流出や意図しない操作につながる可能性があります。完全に危険をなくすのではなく、どこまで権限と範囲を制限できるかが、安全な利用の条件になります。
引用元: OpenClawを取り巻く脅威を踏まえた「安全な」運用はあり得るのか？（gmo-cybersecurity.com）
分析・見解
OpenClawの危険性は「賢さ」より接続範囲で決まる
OpenClawのようなAIエージェントは、質問に答えるだけの対話型AIとは違う。メールを読み、ファイルを作り、外部サービスへ接続し、複数の手順を続けて実行できる。便利さの源泉が、そのまま事故の入口になる。特に問題なのは、ひとつの指示が複数の道具を連鎖的に動かす点だ。
例えば、受信メールに含まれた悪意ある文章を命令として読み取り、社内文書を探して外部へ送る可能性がある。これは利用者が危険な操作を直接指示しなくても起きる。AIの判断を信頼するだけでは、従来のウイルス対策では見落としやすい経路になる。
命令の乗っ取りと拡張機能が最大の弱点になる
プロンプトインジェクション（AIへの命令を別の文章で乗っ取る攻撃）は、AIエージェントで影響が大きくなる。ウェブページ、メール、共有文書など、エージェントが読む情報の中に攻撃者の指示を混ぜられるからだ。人間なら参考情報として読む文章が、エージェントには実行すべき命令に見えることがある。
さらに、機能を追加する拡張機能にも注意が要る。便利な機能ほど、ファイル、認証情報、通信先へのアクセスを求める。公開場所や作成者だけで安全性を判断するのは難しい。ソフトウエア部品を一つ追加するたびに、信頼の範囲が広がると考えるべきだ。
「安全に使う」とは自動実行を減らす設計である
対策の中心は、AIを賢くすることではなく、失敗しても被害が小さくなる仕組みにすることだ。最初に必要なのは最小権限である。メール送信、決済、社外共有、設定変更は初期状態で禁止し、必要な場面だけ利用者の確認を求める。読み取り専用の作業と、外部へ影響を与える作業を分けるだけでもリスクは下がる。
次に、実行環境を分離する。業務用の認証情報を置いた端末で、未知の拡張機能や外部スクリプトを動かしてはいけない。仮想環境や専用アカウントを使い、通信先を限定し、操作記録を残す。安全性は一つの機能で保証するものではなく、権限、隔離、確認、監視を重ねて作るものだ。
AIエージェントの評価は正答率から被害上限へ移る
従来の導入評価では、どれだけ正確に答えられるか、何時間を削減できるかが重視された。しかし自動操作を伴う場合、重要なのは誤ったときの被害上限である。誤送信が起きても社外秘資料は添付できない、請求処理は二人の承認が必要、といった制約を先に決めるべきだ。
今後は、通常のテストに加えて、悪意あるメールを読ませる、期限切れの認証情報を使わせる、想定外の拡張機能を追加する、といった攻撃前提の試験が必要になる。OpenClawの安全な運用は可能だが、それは無制限の自動化ではない。人間が止められる範囲に仕事を切り分けた場合に限られる。
ビジネスへの影響
導入前に「任せる仕事」と「任せない仕事」を分ける
企業が最初に作るべきなのは、機能一覧ではなく業務の危険度表である。議事録の整理、社内文書の検索、定型的な下書きは比較的始めやすい。一方、送金、顧客への確定連絡、人事情報の変更、契約書の外部送信は、AI単独で完了させない方がよい。作業を読み取り、下書き、承認、実行に分ければ、導入効果を保ちながら事故の影響を抑えられる。
小さな部署で、個人情報を使わないデータから試す方法も有効だ。導入効果だけでなく、誤操作の件数、確認にかかった時間、停止手順が機能したかを記録する。便利さが確認できても、監査記録や責任者が決まっていなければ本番展開の根拠にはならない。
権限と監視にかかる費用を導入計画へ入れる
OpenClaw本体の設定だけでなく、専用アカウント、認証情報の保管場所、通信制限、操作ログ、更新確認の担当者が必要になる。これらを見積もらずに導入すると、現場が共有パスワードや広すぎる権限で運用し始める。結果として、ツールの費用より情報漏えい対応の費用が大きくなる。
経営層は「安全か危険か」の二択ではなく、許容できる被害と停止条件を承認すべきだ。異常な外部通信、短時間の大量読み出し、承認なしの送信を検知したら、認証情報を無効化してエージェントを止める。復旧手順まで含めて初めて、実務で使える自動化になる。
利用規則は技術設定と同じ頻度で見直す
拡張機能や接続先が増えるたびに、権限一覧と情報の流れを確認する。退職者や異動者のアカウントを放置しないことも重要だ。月次または変更時の点検を決め、誰が承認し、誰がログを確認するかを明文化する。
OpenClawを安全に運用できるかは、製品の宣伝文句だけでは決まらない。限定された業務、限定された権限、明確な承認者、止められる仕組みを用意できる企業ほど、AIエージェントの恩恵を受けやすい。
