トラスト

コンピューティングセキュリティの新時代

過去20年間、セキュリティモデルはデバイスやアプリケーションをロックダウンすることを中心に構築されてきました。プロセス間通信の境界を設定し、インターネットとローカルを分離し、信頼できないコードをサンドボックス化する。これらの原則は今も重要です。

しかし、AIエージェントは根本的な変化をもたらします。

コードの指示通りに正確に実行する従来のソフトウェアとは異なり、AIエージェントは自然言語を解釈し、アクションに関する判断を下します。ユーザーの意図と機械の実行の境界を曖昧にし、言語そのものを通じて操作される可能性があります。

OpenClawのような強力なツールには大きな責任が伴うことを私たちは理解しています。適切に構築しなければ、AIエージェントはリスクとなります。適切に構築すれば、パーソナルコンピューティングをより良い方向に変えることができます。

このセキュリティプログラムは、それを正しく実現するために存在します。

背景

OpenClawはAIエージェントプラットフォームです。テキストを生成するだけのチャットボットとは異なり、OpenClawエージェントは以下のことが可能です：

• ホストマシン上でシェルコマンドを実行する
• WhatsApp、Telegram、Discord、Slackなどのチャネルを通じてメッセージを送信する
• ワークスペース内のファイルを読み書きする
• インターネットから任意のURLを取得する
• 自動化タスクをスケジュールする
• 接続されたサービスやAPIにアクセスする

これらの機能こそがOpenClawを有用にするものであり、セキュリティが極めて重要である理由でもあります。

実世界のアクションを実行できるAIエージェントは、従来のソフトウェアにはないリスクをもたらします：

1. プロンプトインジェクション - 悪意のあるユーザーがメッセージを巧みに作成し、AIを操作して意図しないアクションを実行させることができます
2. 間接インジェクション - 取得したURL、メール、ドキュメント内の悪意のあるコンテンツがエージェントの動作を乗っ取る可能性があります
3. ツールの悪用 - インジェクションがなくても、設定が不適切なエージェントは過度に寛容な設定により被害を引き起こす可能性があります
4. アイデンティティリスク - エージェントがあなたの代わりにメッセージを送信し、人間関係や評判を損なう可能性があります

これらは理論上のリスクではありません。すべてのAIエージェントシステムに影響する、文書化された攻撃パターンです。

スコープ

このセキュリティプログラムはOpenClawエコシステム全体を対象としています。スコープ外は一切ありません。

コアプラットフォーム

• OpenClaw CLIおよびGateway（openclaw）
• エージェント実行エンジン
• ツール実装
• チャネル統合（WhatsApp、Telegram、Discord、Slack、Signalなど）

アプリケーション

• macOSデスクトップアプリケーション
• iOSモバイルアプリケーション
• Androidモバイルアプリケーション
• Webインターフェース

サービス

• ClawHub (clawhub.ai) - スキルマーケットプレイスおよびレジストリ
• ドキュメント (docs.openclaw.ai)
• すべてのホスティングインフラストラクチャ

エクステンション

• 公式エクステンション（extensions/）
• プラグインSDKおよびサードパーティプラグイン
• ClawHubを通じて配布されるスキル

人的要素

• コアメンテナーおよびコントリビューター
• セキュリティプロセスおよび対応手順
• サプライチェーンおよび依存関係の管理

プログラム概要

4つのフェーズからなる正式なセキュリティ機能を確立しています：

フェーズ1：透明性

目標

脅威モデルをオープンに開発・公開し、コミュニティの貢献を促すことで、ユーザーがリスクを理解し、デプロイメントについて十分な情報に基づいた判断ができるようにします。

理由

隠蔽によるセキュリティは機能しません。攻撃者はすでにこれらの技術を知っています。学術論文、セキュリティブログ、カンファレンスの講演で文書化されています。欠けているのは、ユーザーへの明確なコミュニケーションです：

• どのようなリスクが存在するか
• 私たちがどのような対策を講じているか
• ユーザーが自身を守るために何をすべきか

脅威モデルをオープンに開発することで、集合知の恩恵を受け、透明性を通じて信頼を構築します。

脅威モデルのカバレッジ

脅威モデルのスコープ

脅威モデルの各リスクには、説明と重大度評価、攻撃例、現在の緩和策、既知のギャップ、およびユーザーへの推奨事項が含まれます。

脅威モデルはプルリクエストを通じてコミュニティの貢献を受け付けます。

フェーズ2：製品セキュリティロードマップ

目標

防御エンジニアリングの目標を定義する公開の製品セキュリティロードマップを作成し、GitHub Issuesとして追跡することで、コミュニティが進捗を追い、意見を提供し、貢献できるようにします。

防御エンジニアリングの目標

具体的な優先課題はフェーズ3のコードレビューを通じて特定され、発見とトリアージに応じて公開ロードマップに追加されます。

フェーズ3：コードレビュー

目標

コミュニティは常に欠陥の発見と修正に取り組んでおり、すべてのコントリビューションに感謝しています。しかし、これはコントリビューターがベストエフォートで貢献するオープンソースプロジェクトであることも認識しています。フェーズ3は、根深いシステム的な問題を排除し、コード品質とユーザーの安全性を全体的に向上させるために特別に設計された、専用の包括的なセキュリティ評価です。

スコープ

コードレビューはOpenClawのコードベースとエコシステム全体を対象とします：

アプローチ

1. 手動コードレビュー - セキュリティ上重要なパスに対する人間による分析
2. 自動スキャン - 静的解析、依存関係の監査、シークレット検出
3. 動的テスト - 稼働中のシステムに対して文書化された攻撃パターンを試行
4. アーキテクチャレビュー - 信頼境界とデータフローの評価

開示

• すべてのクリティカルおよび高リスクの発見事項は公開前に修正
• 修正後に発見事項の概要を公開
• 要求に応じて完全なレポートを提供
• 該当する場合はCVEを割り当て

フェーズ4：セキュリティトリアージ機能

目標

セキュリティ脆弱性レポートの受領、トリアージ、対応のための正式なプロセスを確立します。

レスポンスSLA

私たちのコミットメント

• すべての完全なレポートを48時間以内に確認
• 少なくとも14日ごとにステータスアップデートを提供
• アドバイザリで研究者のクレジットを表記（匿名希望の場合を除く）
• 善意のセキュリティ研究に対して法的措置を取らない
• クリティカル・高リスクの発見に対して報奨金を検討（ケースバイケース）

セキュリティとトラスト

Jamieson O'Reilly（@theonejvo）がOpenClawのセキュリティとトラストを担当しています。

JamiesonはDvulnの創設者、Aether AI（世界で最も危険なAI、あなたの味方）の共同創設者であり、CRESTアドバイザリーカウンシルのメンバーです。攻撃的セキュリティ、ペネトレーションテスト、セキュリティプログラム開発において豊富な経験を有しています。

責任範囲

• 脅威モデリングとリスク評価の主導
• コードレビューのスコープ設定と監督
• トリアージプロセスと対応手順の確立
• セキュリティ上重要なコード変更のレビュー
• セキュリティアーキテクチャの意思決定に関するガイダンスの提供

現在のセキュリティ態勢

OpenClawにはすでにセキュリティ制御が備わっています。既存の制御を理解することで、ユーザーはデプロイメントを適切に構成できます。

デフォルトで安全

設定の確認

openclaw security audit --deep

確認すべき主要項目：

• DMポリシーがpairingまたはallowlistであること（openではないこと）
• チャネルにallowFromが設定されていること
• 意図的でない限り、実行セキュリティがfullに設定されていないこと
• Gatewayがループバックにバインドされているか、認証の背後にあること
• ワークスペースにシークレットが含まれていないこと

タイムライン

第1-2週：フェーズ1 - 透明性
├── 脅威モデルの開発を開始（コントリビューション受付中）
├── セキュリティ設定ガイドの草案作成
├── ビジュアル概要の作成
└── アナウンスの公開

第3-4週：フェーズ2 - 製品セキュリティロードマップ
├── 防御エンジニアリング目標のGitHub Issues作成
├── セキュリティラベルとマイルストーンの設定
├── コミュニティからの意見募集期間の開始
└── 最初のセキュリティ作業の開始

第5-8週：フェーズ3 - コードレビュー準備
├── スコープの確定（コードベース全体）
├── レビューの開始
└── 初期の発見事項

第8-12週：フェーズ3 - コードレビュー実施
├── 手動レビューの完了
├── 発見事項の文書化
├── クリティカル・高リスクの修正
└── 検証の完了

第8週以降：フェーズ4 - トリアージ機能
├── security@openclaw.ai の運用開始
├── PGPキーの公開
├── 開示ポリシーの公開
└── 最初のアドバイザリ（必要に応じて）

継続的：
├── 月次セキュリティアップデート
├── 脅威モデルの継続的改善
├── 定期的な依存関係の監査
└── コミュニティとのエンゲージメント

よくある質問