OpenClaw 2.0リリース — 過去最大アップデートの中身と、使う前に知るべきセキュリティの現在地【2026年9月最新】

OpenClaw 2.0とは — 8月30日公開の過去最大アップデート

そもそもOpenClawとは何か

OpenClawは、2025年11月に登場したオープンソース（ソースコードが公開され、誰でも無償で使える）のAIエージェント基盤です。自分のPCやクラウド上で動き、チャットで指示すると、ファイル整理・ブラウザ操作・メッセージ送信・コード実行といった作業を代行してくれます。ChatGPTのようにベンダーのサーバー上で完結するサービスと違い、自分のマシンの中で、自分のデータとツールに直接触れるのが最大の特徴です。

だからこそ強力で、だからこそ危うい。この二面性を頭に入れておくと、今回のアップデートの意味が読みやすくなります。

「予定外の2.0」 — 933人と16,000超のプルリクエスト

公式ブログによれば、今回のリリースには933人のコントリビューターが参加し、うち569人は初参加。取り込まれたプルリクエスト（コードの変更提案）は16,000件を超え、これはOpenClawの歴史全体でマージされたプルリクエストの約半分にあたります。1回のリリースとしては明らかに異常な規模です。

面白いのは、公式ブログのタイトルが「OpenClaw 2.0, Accidentally（うっかり2.0になった）」であることです。もともと2.0を作る計画はなく、インストールの簡素化とブラウザアプリの改善から始めた整理整頓が全体に波及し、気づけばすべてを作り直していた、という経緯が説明されています。それまで230日間で106回のリリースを重ねてきた開発チームが、約2ヶ月間新バージョンの公開を止めてこの作業に集中しました。

何が変わったのか — 主要アップデート3つ

セットアップが「持っている契約を探して繋ぐ」方式に

リリースノートによれば、新しいガイド付きセットアップは、PC内にすでにあるAI環境（Claude CLI、ChatGPTの契約、APIキー、ローカルモデルなど）を自動で見つけ、接続を検証してから保存します。従来のOpenClawは「インストールが最初の関門」と言われるツールだったので、ここが最初に手が入ったのは順当です。

ローカルモデル（クラウドに送らず手元のマシンで動かすAI）まわりも整理され、OllamaやLM Studioはワンクリックで設定できるようになりました。手元でAIを動かす選択肢は、先日のMac mini M6発表の記事でも書いたとおりハードウェア側の追い風もあり、今後さらに現実的になっていくはずです。

チャットが中心の新しいWeb UI

管理画面（Control UI)は「チャットファースト」に作り直されました。会話がサイドバーに並び、設定類はSettingsとInboxに退避。新規セッション画面では、使うエージェント・モデル・推論レベル・作業フォルダ・実行マシンを開始前に選べます。セッションのグループ化、全文検索、一括アーカイブ（取り消し可能）も入りました。ChatGPTやClaudeに慣れた人がそのまま入れる画面構成です。

共有クラウドセッションとモバイル連携

チームでの利用に効くのが共有クラウドセッションです。これまでのOpenClawは、複数人で1つのエージェントを使おうとすると記憶（コンテキスト）が失われる構造でしたが、2.0では複数メンバーが同じセッションに参加して、エージェントが作業する様子をリアルタイムで一緒に見られます。

スマホ連携はQRコードでのペアリングが標準になり、接続時に「フルアクセス」か「制限付き（Limited）」かを選ぶ方式になりました。この権限の選択が明示的に入ったことは、次のセクションで書くセキュリティの文脈で重要な変化です。

セキュリティ強化と、残っている課題

2.0で入った安全側の仕組み

今回のリリースでは、セキュリティ関連の変更がまとまって入りました。主なものは3つです。1つ目、前述の権限モード（フル/制限付き）と、エージェントが触れるフォルダを絞るワークスペース制限。2つ目、ネットワーク越しの未認証インストールを遮断するGateway認証。3つ目、パスワードやAPIキーといった認証情報をチャット上に晒さずエージェントに渡せる保護付きクレデンシャルです。

明示的に有効化したプラグインの警告を抑制する「プラグイン信頼」の仕組みも入り、「何を許可したか」をユーザーが管理する方向に一歩進みました。

それでも「デフォルトで安全」ではない

一方で、手放しでは褒められません。英テックメディアThe Registerは8月31日、かなり辛口の記事でこのリリースを検証しています。指摘されているのは、共有セッションについて運営元自身が「テナント分離やセキュリティ境界ではない」と認めていること、保護付きクレデンシャルの保存データが暗号化されておらずファイルシステムの権限設定頼みであること、そして信頼できないコードを隔離して実行するサンドボックスがデフォルトでは無効のままであることです。

過去の事故も思い出しておく価値があります。2026年5月には数学者のHannah Fry氏が、OpenClawのエージェントを脅すと本人の個人情報を渡してしまうことを発見して話題になりました。ユーザーの指示を叶えるために、エージェントがジムの予約システムに侵入して他人の予約を押しのけた、という報告もあります。エージェントは「言われたことを実行する」のが仕事なので、境界を引くのは使う側の責任として残り続けているわけです。

運営側のコミュニティマネージャーHannes Rudolph氏は「このアップデートはOpenClawのすべてに手を入れた」と語っていますが、力点は明らかに使いやすさ側にあります。使える人を増やす改善が先に進み、安全がデフォルトになるのはその後追い、という構図です。オープンソースのAIエージェント全般に共通する課題ですが、利用者が増えるほどこのギャップは重くなっていく、というのが僕の見立てです。

いま試すなら — 事故らないための4ステップ

触ること自体は止めません。エージェントに仕事を任せる感覚は、記事を100本読むより1回動かしたほうが早く身につきます。ただし、やり方には悪い例と良い例があります。悪い例は「とりあえずフルアクセスで全部繋ぎ、仕事のパスワードもそのまま渡す」。良い例は「権限とデータを絞った小さな環境で、壊れてもいい作業から任せる」。この差を具体的な手順にすると、次の4つになります。

1. 既存ユーザーは、アップグレード前にセッションをバックアップする（10分）。2.0はセッションの保存形式がSQLiteに移行される破壊的変更を含み、移行後のデータは旧バージョンでは読めません。リリースノートでも事前バックアップが明記されています。
2. 権限は「制限付き（Limited）」と作業フォルダ限定から始める。フルアクセスのほうが便利なのは事実で、ここが一番流されやすいポイントです。まず専用の作業フォルダを1つ作り、エージェントにはそこだけ触らせる。物足りなくなってから広げても遅くありません。
3. 本番の認証情報を渡さない。前述のとおり保存データは暗号化されない前提で考え、渡すなら権限を絞った専用のAPIキーやテスト用アカウントを用意します。会社のアカウント情報を入れるのは、社内ルールの観点でもやめておくべきです。
4. サンドボックスを自分で有効化する（15分）。デフォルトで無効なので、設定項目を探して能動的にオンにする必要があります。「初期設定のままなら安全だろう」が通用しないことを、この15分で体感しておくのが一番の学びだったりします。

この「権限・データ・実行環境を切り分ける」考え方は、OpenClawに限らずAIエージェント全般で同じです。僕はVibelyの開発・運営でClaude Codeに毎日仕事を任せていて、カスタマーサポート対応を1日3時間から30分以下まで仕組み化しましたが、その過程でやったことの半分は「どこまで任せて、どこから人間が見るか」の線引きでした。ShiftBの受講生を見ていても、エージェントを業務で使いこなせるようになる人は、ツールの新機能より先にこの線引きの考え方を身につけた人です。

まとめ — 「権限を渡す」を理解した人から使いこなせる

OpenClaw 2.0は、933人のコントリビューターと16,000超のプルリクエストが投入された、名実ともに過去最大のアップデートでした。セットアップは既存のAI契約を見つけて繋ぐ方式になり、UIはチャット中心に刷新され、チームで同じエージェントを見られる共有クラウドセッションが入った。一方で、認証情報の暗号化やサンドボックスのデフォルト有効化といった「安全側の初期値」は課題として残っており、境界を引く責任はまだ使う側にあります。

AIエージェントが個人のPCに入ってくる流れ自体は、もう戻らないと僕は見ています。だとすると差がつくのは、新しいツールをいち早く触ることではなく、権限・データ・実行環境という基本を理解して安心して任せられる範囲を自分で設計できることです。ここが分かると、OpenClawだろうとClaude Codeだろうと、道具が変わっても応用が利きます。

逆に、この基礎がないままエージェントを仕事のデータに繋ぐのは、鍵の仕組みを知らずに合鍵を配るのに近い行為です。ChatGPTは毎日使っているけれど、権限やAPIキーの話になると急に自信がなくなる。そんな状態から「AIに安全に仕事を任せて、業務アプリまで自分で作る」側に進みたい人は、ShiftBのAIシフトコースで基礎から伴走を受けられます。

OpenClawはリリースサイクルの速いプロジェクトなので、セキュリティ初期値の改善も含めて、大きな動きがあればまたこのブログで取り上げる予定です。