ニュースの概要
GMOサイバーセキュリティの記事は、OpenClawのように外部サービスとつながり、指示に応じて作業を実行するAIエージェントの危険性に焦点を当てています。便利な機能を持つ一方、接続先の設定ミスや悪意ある機能、入力文に隠された攻撃によって、社内情報の流出や意図しない操作が起きる可能性があります。単に安全な製品かどうかを判定するのではなく、与える権限を絞り、動作を記録し、人が確認する仕組みまで含めて運用を設計する必要があるという問題提起です。
引用元: OpenClawを取り巻く脅威を踏まえた「安全な」運用はあり得るのか？（gmo-cybersecurity.com）
分析・見解
OpenClawの危険性は機能ではなく「実行できる範囲」で決まる
OpenClawのようなAIエージェントは、質問に答えるだけの対話型サービスとは違う。メールを読み、予定を確認し、ファイルを作り、外部の道具を呼び出せる。つまり、誤った判断がそのまま現実の操作に変わる。危険度を決めるのは、賢さの高さよりも、どのデータを読み、どの操作を実行できるかだ。
たとえば、予定表の閲覧だけを許可した環境と、全社の共有フォルダーを削除できる環境では、同じAIでも被害の上限がまったく違う。安全性を「誤答が少ないか」だけで測るのは不十分である。失敗しても被害を小さくできる設計が必要になる。
悪意ある入力と機能の混入は通常のウイルス対策で防ぎにくい
代表的な攻撃がプロンプトインジェクション（入力文に隠した命令でAIの判断を誘導する攻撃）だ。AIがウェブページやメールを読んだ際、本文中の「この秘密情報を別の宛先へ送れ」という指示を、処理すべきデータではなく実行命令として扱う可能性がある。利用者が安全な指示を書いていても、読み込んだ情報を経由して判断を乗っ取られる点が難しい。
さらに、追加機能や外部の連携部品に悪意ある処理が含まれると、正規の機能に見せかけて認証情報を抜き取ることも考えられる。アプリの審査だけに頼るのではなく、提供元、更新履歴、要求する権限、通信先を確認し、不要な機能は入れない姿勢が欠かせない。
「全自動」より確認を挟む仕組みが被害を止める
実務では、危険な処理を三段階に分けるとよい。情報の検索や下書き作成は自動化し、社外への送信や注文の確定は人の承認を必要にする。削除、送金、権限変更は、AIだけでは実行できない別の確認を置く。この分離は、AIを信用するか疑うかという議論より現実的である。
加えて、操作記録を残すことが重要だ。誰の指示で、どの資料を読み、どの機能を呼び出し、何を変更したかを追跡できれば、事故の発見と原因調査が速くなる。記録は保存するだけでなく、深夜の大量アクセスや普段と異なる宛先への送信を知らせる監視につなげる必要がある。
安全運用の成否を分けるのは導入後の見直しである
AIエージェントは、接続先や機能が増えるほど便利になる一方、攻撃経路も広がる。最初は読み取り専用で始め、対象業務を一つに絞り、30日程度の記録を見てから権限を追加する段階導入が現実的だ。導入前の安全確認だけでは、更新された機能や新しい連携先による変化を捉えられない。
結局、「安全なOpenClaw」という製品単体を探すより、「危険な操作をAIの判断だけに任せない環境」を作る方が確実である。今後は、機能の多さではなく、権限を細かく分けられるか、承認を組み込めるか、履歴を検証できるかが、AIエージェントの選定基準になる。
ビジネスへの影響
導入判断では作業時間より被害の上限を先に計算する
企業が確認すべきなのは、何時間削減できるかだけではない。誤送信一件、顧客情報の流出一件、業務停止数時間がいくらの損失になるかを見積もり、その金額に見合う制御を先に決めるべきだ。営業部門のメール下書きなら導入しやすいが、顧客データベースの更新や発注処理は、同じAIでも審査の水準が変わる。
最初の対象には、失敗しても復旧しやすい業務を選ぶ。社内文書の要約、会議候補日の整理、定型報告の下書きなどで効果を測り、正確さだけでなく、不要な情報を読んでいないか、指示外の操作をしていないかも評価する。
情報システム部門だけでなく現場の役割を決める
安全運用には、技術設定と業務ルールの両方が必要だ。情報システム部門は接続先、権限、記録、更新管理を担当し、現場責任者はAIに任せてよい判断と、人が承認すべき判断を定義する。利用者には、顧客情報や認証情報を入力しないこと、AIの出力をそのまま送信しないことを具体的に伝える。
月次で利用履歴を確認し、使われていない権限や連携機能を外す仕組みも有効だ。担当者が異動した際に権限を回収できる手順、事故時に連携を止める手順まで用意しておけば、便利さを保ちながら被害の拡大を抑えられる。
競争力になるのは安全を理由に止めない運用設計
AI活用を全面禁止すると、社員が個人のサービスを勝手に使う「見えない利用」が増える恐れがある。禁止よりも、会社が管理できる環境に用途を集め、許可された機能とデータだけを扱わせる方が実態に合う。安全対策は導入の足かせではなく、安心して自動化の範囲を広げるための土台である。
