ニュースの概要
OpenClawの公式リポジトリに、組み込みのWebChat（管理画面から使うチャット）で高度な実行権限が使えないという不具合が報告されました。設定で送信元を「*」（すべて許可）にしても、ドキュメントどおりの書式で書いても、権限の許可ゲートで拒否されるといいます。利用者本人がチャット上で「/elevated on」と入力しても結果は同じです。報告では、管理画面から送られるメッセージの送信元情報が、許可リストの照合に使う形式と噛み合っていない点が原因として疑われています。設定は正しいのに動かない、という分かりにくい種類の不具合です。
引用元: OpenClawのWebChatで高度な実行権限が許可リストにかかわらず拒否される不具合（GitHub）
分析・見解
「*」を書いても通らない、という矛盾の正体
この報告で目を引くのは、すべてを許可するはずのワイルドカードが効かない点です。普通、「*」は照合そのものを飛ばす指定だと考えます。しかし実際の許可ゲートは、照合の前に「送信元が誰か」を取り出す処理を挟んでいます。この段階で送信元が空だったり、想定と違う形だったりすると、ゲートは「判定できない」と見て安全側に倒します。つまり「*」が拒否されたのではなく、「*」を評価する場所まで到達していない可能性が高いのです。
この種の不具合は、設定ファイルを何度読み返しても見つかりません。原因は設定の外、つまり入力側のデータ形式にあるからです。
外部チャットとWebChatでは、送信元の持ち方が違う
OpenClawは複数のチャットサービスをつなぐ道具です。外部のチャットでは、送信者に固有のIDが付いてきます。一方、組み込みのWebChatは同じ管理画面の中で動くため、メッセージに外部サービスのような送信者IDが付かない設計になりやすいです。許可リストが「外部サービス名と送信者IDの組」を前提に作られていると、WebChat経由の入力だけが形式の違いで弾かれます。
似た例は他にもあります。社内システムで、メール経由の申請には申請者IDが付くのに、管理画面から直接入力した申請にはIDが付かず、承認の流れが止まる。そういう話は珍しくありません。入口が複数あるシステムでは、入口ごとにデータの形がずれやすいのです。
拒否されたこと自体は、安全設計としては正しい
不具合ではありますが、判定できないときに許可へ倒れなかった点は評価できます。逆に「送信元が不明なら通す」実装だったら、管理画面を開けた誰もが高度な権限を使えてしまいます。権限まわりの失敗には二種類あります。使えるはずなのに使えない失敗は、業務が止まるだけで済みます。使えないはずなのに使える失敗は、情報漏えいや誤操作に直結します。今回は前者です。
ただし、利用者が回避のために許可条件をゆるめる行動に走ると、後者を自ら招きます。ここが本当の危険です。
AIエージェントの権限は、人間の権限より設計が難しい
AIエージェントは、メッセージを受けてコマンドを実行します。高度な実行権限（elevated）は、通常は禁じている操作を一時的に許す仕組みです。人間の社員なら入退室記録や役職で本人確認ができます。エージェントの場合、確認できるのは「どの入口から、どんな名前で来たか」だけです。入口の数が増えるほど、本人確認の穴も増えます。今後は入口ごとの検証を共通の部品にまとめ、WebChatも外部チャットも同じ照合ルールを通す設計が標準になるでしょう。
ビジネスへの影響
導入前に確認したいのは、入口ごとの動作確認
AIエージェントを社内に入れるとき、設定が正しいかどうかだけを見て安心するのは危険です。今回のように、設定は正しくても入口によって結果が変わることがあります。導入時には、管理画面、チャットツール、自動実行の三つなど、使う入口すべてで同じ操作を試す表を作ってください。許可されるべき操作と、拒否されるべき操作の両方を試すのが要点です。拒否されるべき操作が通ってしまう方が、はるかに重大だからです。
動かないときに権限をゆるめない運用ルールを
現場で最も起きやすいのは、動かないから「*」にする、さらに全員に許可する、という対処です。今回の報告は、すでに「*」でも動かない例ですが、似た場面で担当者が管理者権限そのものを渡してしまう事故は現実にあります。権限の変更は、必ず記録を残し、第三者が確認する流れにしてください。小さな会社でも、変更理由を一行メモに残すだけで事後の追跡が楽になります。
ツールの更新情報を、業務の担当者が見る仕組みに
オープンソースのAIツールは更新が速く、不具合報告も公開の場所に出ます。担当者がリポジトリの報告一覧を月に一度でも確認すれば、自社の症状が既知かどうかをすぐ判断できます。原因調査に半日かけるより、既知の報告を探す方が早いことは多いです。あわせて、重要な操作は一つの入口に絞って運用すると、トラブル時の切り分けが格段に楽になります。
