The Rise of Autonomous AI Agents: A Comprehensive Survey of OpenClaw —Architecture, Security, Ecosystem, and Beyond

以下の研究論文の要約を日本語に翻訳しました。

=== 要約 ===
想像してみてください。あなたはロボットに家事のやり方を教えています。昔は、ロボットに対して非常に具体的でステップバイステップの指示を与える必要がありました。「靴下を拾って。それをカゴに入れて。」もしあなたが「部屋を片付けて」と言えば、ロボットは混乱して、ただあなたをじっと見つめるだけでした。しかし最近、私たちはこれらのロボットに、大規模言語モデル（LLM）と呼ばれるものを使って「脳のアップグレード」を与えました。これらのモデルを、非常に賢くておしゃべりな脳だと考えてください。彼らは「私の気分を良くして」といった曖昧なリクエストを理解し、自分自身で手順を考え出すことができます。彼らはアプリを開き、メールを読み、キーボードに触れることなくウェブサイト上のボタンをクリックすることさえできます。これが自律型AIエージェントの世界です。彼らは単にチャットしているだけではありません。彼らは「実行」しているのです。

しかし、ここに落とし穴があります。ロボットに玄関のドアを開けたり、日記を読んだり、ピザを注文したりする力を与えることは、非常に大きな責任を伴います。もしロボットが悪党に騙されたら、それは単におかしなことを言うだけでなく、実際にあなたのデータを盗んだり、ファイルを削除したりすることさえできてしまいます。本論文では、OpenClawと呼ばれる、非常に人気のある特定のロボットプロジェクトを深く掘り下げ、この新しい技術がどのように機能しているのか、どこで壊れているのか、そしてなぜ、超便利でありながら超安全なロボットを構築することがこれほど難しいのかを検証します。

---

バズって壊れたロボット

2025年後半、ピーター・シュタインベルガーという開発者が、Clawbotという週末プロジェクトを構築しました。それはシンプルなアイデアでした。あなたのコンピュータ内に住み、WhatsAppやTelegramのようなメッセージングアプリを通じてあなたの声を聞くロボットです。あなたは「失くした鍵を見つけて」とテキストを送るだけで、ロボットはあなたのコンピュータ内を検索してくれます。それは非常にクールで使いやすかったため、2026年初頭にOpenClawとしてリブランドされ、爆発的な人気を博しました。

2026年4月下旬までに、OpenClawはGitHub（開発者がコードを共有するウェブサイト）で36万スターを獲得し、LinuxカーネルやReactをも上回る、史上最も人気のあるソフトウェアプロジェクトとなりました。しかし、誰もがその人気に歓喜している一方で、嵐が近づいていました。同じ数ヶ月の間に、セキュリティ専門家たちは100件以上の警告と10件の深刻な脆弱性（CVEと呼ばれるもの）を発見しました。さらに悪いことに、ClawHavocと呼ばれる組織的な攻撃により、そのマーケットプレイスにある「スキル」（プラグイン）のうち1,184個が、データを盗むために設計された悪意のある罠であることが明らかになりました。

本論文は、なぜこのようなことが起きたのかを理解するために、OpenClawを深く調査する最初の本格的な研究です。著者はOpenClawを単なるコードとしてではなく、「ソシオテクニカル・システム（技術と人間の行動の混合体）」として扱っています。彼らは、OpenClawが週末の趣味から世界的な現象へと急成長し、そしてセキュリティの悪夢へと転じたことは、偶然ではないと主張しています。それは、自律型ロボットという概念自体に組み込まれている3つの大きな問題を示しているのです。

3つの大きな緊張関係

論文は、OpenClawの物語がAIエージェントの世界における3つの避けられない緊張関係を明らかにしていると示唆しています。

1. 「使いやすさ vs 安全性」のトレードオフ： OpenClawが有名になったのは、それが簡単だったからです。インストールして、テキストを送れば、何でもやってくれました。しかし、それを簡単にした要素（コンピュータ全体へのアクセス許可や、誰でもプラグインを作れること）こそが、まさに危険を招いた原因でした。それは、ドアに鍵をかけるよりも、親切な犬に家の鍵を渡す方が簡単だからといって、犬に冷蔵庫を開けさせ、泥棒を招き入れることを許してしまうようなものです。
2. 「スピード vs 安全性」のパラドックス： コミュニティはOpenClawをあまりにも速く構築したため、安全装置を作る時間がありませんでした。2026年3月のわずか4日間で、9件の新しいセキュリティ警告が記録されました。論文は、これほど速く動こうとすると、安全性はしばしば後回しにされることを示唆しています。
3. 「ワンサイズ・フィット・オール（万能型）」の神話： 論文は、すべての人にとって完璧な単一のロボット設計を作ることはできないと主張しています。銀行にとって安全なロボットは、ティーンエイジャーには複雑すぎますし、ティーンエイジャーにとって楽しいロボットは、銀行にとってはリスクが高すぎます。

論文の調査方法

これを解明するために、著者はASTELDフレームワークと呼ばれる新しいツールを考案しました。異なる種類の車を比較することを想像してください。単に「すべてに車輪がある」と言うのではなく、エンジン、ブレーキ、シート、燃料タイプなどを調べます。ASTELDは、6つの軸を用いてAIロボットに対してこれを行います。

• Architecture（アーキテクチャ：どのように構築されているか？）
• Security（セキュリティ：どれほど安全か？）
• Tool Integration（ツール統合：他のアプリをどのように使うか？）
• Execution（実行：どのように考え、行動するか？）
• Level of Autonomy（自律レベル：すべてのステップで許可が必要か？）
• Deployment（デプロイメント：どこに存在するのか？あなたのスマホか、クラウドサーバーか？）

このフレームワークを用いて、論文はOpenClawを他の8つのAIフレームワークと比較しています。彼らは、OpenClawが「モノリシック（単一の巨大な構造）」な設計と、「プラグインのマーケットプレイス」、そして「ローカルファースト（あなたのコンピュータ内で動作する）」のアプローチを組み合わせている点でユニークであることを見出しました。この組み合わせこそが、アクセスのしやすさを生んだ一方で、脆弱性をもたらした原因でもありました。

「致命的な三要素」と攻撃チェーン

論文は、彼らが**「致命的な三要素（Lethal Trifecta）」**と呼ぶ恐ろしい機能の組み合わせを特定しています。OpenClawは以下の3つを備えています。

1. あなたのプライベートデータ（ファイルなど）へのアクセス。
2. インターネットからの信頼できないもの（ランダムなウェブサイトなど）への露出。
3. アクションを実行する能力（メールの送信やファイルの削除など）。

ロボットがこれら3つすべてを持っているとき、攻撃者はコードをハッキングする必要はありません。単にロボットの「脳」を騙せばよいのです。論文は、攻撃者がプロンプト・インジェクション（通常のメッセージの中に秘密のコマンドを忍び込ませること）を使用して、ロボットを騙した仕組みを説明しています。

例えば、ClawHavoc攻撃では、攻撃者は役に立つように見えて実は罠である「スキル（プラグイン）」をアップロードしました。あるスキルは天気アプリのふりをしてパスワードを盗みました。別のスキルは、ユーザーを騙してマルウェアをインストールするコードを貼り付けさせました。論文は、マーケットプレイスにこれら1,184個の悪意のあるスキルが存在していたことを発見しました。これは、厳格なチェックなしに誰でもプラグインを公開できる環境では、悪意のある者が入り込む隙があることを示唆しています。

「スター数 vs 安全性」のパラドックス

最も興味深い発見の一つは、プロジェクトの人気と安全性の間の乖離です。OpenClawは36万以上のスターを獲得しており、これは何百万人もの人々がそれを愛していることを意味します。しかし、論文は、フォーチュン500企業（最も規模が大きく、最も真剣な企業群）のゼロ社が、主要なビジネスにおいてこれを使用していると指摘しています。

なぜでしょうか？なぜなら、大企業はOpenClawにはない安全性（誰がデータにアクセスできるかについての厳格なルールなど）を必要とするからです。論文は、「GitHubのスター数」はプロジェクトがいかに楽しく、使いやすいかを測るものであり、銀行や病院にとってどれほど安全であるかを測るものではないと示唆しています。OpenClocalはコミュニティにはヒットしていますが、そのセキュリティ体制は「リアクティブ（反応的）」、つまり問題が発生してから対処するものであり、未然に防ぐものではないと記述されています。

論文が求める対策

この論文は単に問題を指摘するだけでなく、将来に向けて8つの大きな問いを投げかけています。論文は以下のように提案しています。

• 「脳（AI）」と「手（使用するツール）」を厳格に分離したロボットを構築する必要がある。そうしなければ、騙された脳が誤ってあなたを傷つける可能性がある。
• プラグインが安全かどうかを確認するためのより良い方法が必要である。自然言語の中に危険が隠されている場合、コードのスキャンだけでは不十分だからである。
• 悪人がすべてを壊すことなく、人々が迅速に素晴らしいものを作れる方法を見つけなければならない。

結論

著者は、OpenClawの歩みが業界全体への警告であると結論づけています。それは、超強力で自律的なロボットを構築するための技術は存在するが、安全性のルールがまだ追いついていないことを示しています。論文は、単に穴を塞ぐ（パッチを当てる）だけでは不十分であり、これらのシステムを根本からどのように構築するかを再考する必要があると示唆しています。「アクセシビリティ vs セキュリティ」のトレードオフは現実であり、これを解決しない限り、最も人気のあるロボットは最も危険なものにもなり得るのです。

要約すると、OpenClawは、輝かしく、爆発的に普及し、そして少し壊れた実験であり、私たちに厳しい教訓を教えてくれます。**「ロボットが何でもできるからといって、何でもすることを許されるわけではない」**ということです。AIエージェントの未来は、それらを強力かつ安全にする方法を見つけられるかどうかにかかっており、論文はその挑戦がまだ解決の途上にあることを示唆しています。