ai agents30分で読めます

OpenClaw 2.0 は、プロジェクトがこれまでにマージした PR の約半分を一度に出しました。7週間まったく出さなかったあとに

2026年8月31日、オープンソースの AI エージェントが v2026.8.1 を公開しました。933人による16,000件超の PR、プロジェクト史上マージされた全 PR のおよそ半分。230日で106回リリースしてきたチームが、49日間あえて沈黙した結果です。セットアップウィザードは既に支払っている ChatGPT や Claude のサブスクリプションをそのまま取り込み、ローカルの Ollama モデルも見つけます。セッションは SQLite へ移り、ダウングレードはもう無料ではありません。「自分が所有する AI」が実際にどんな形をしているのか、破壊的変更とオフのままの既定値まで含めて読み解きます。

K
Ken Jo
#openclaw#ai-agents#open-source#local-llm#agent-security#multiplayer-ai#bring-your-own-model#ai-tooling

230日間、OpenClaw はおよそ2日に1回のペースでリリースを出し続けました。合計106回、その多くは前回から1〜2日以内。ところが2026年7月半ば、止まりました。GitHub スター388,419を集めたこのオープンソース AI エージェントは、49日間まったく何も公開しませんでした。

2026年8月31日、チームは v2026.8.1 を公開します。その中には933人の貢献者による16,000件超のマージ済み PR が入っており、うち569人はこれが初めての貢献でした。プロジェクト自身の集計によれば、この一度のリリースが OpenClaw にこれまでマージされた全 PR のおよそ 50% を含んでいます。

パターンははっきりしています。そしてこれは一つのプロジェクトだけの話ではありません。この18か月でモデルの層は開きました。ダウンロードできる重み、読めるライセンス、崩れ落ちた価格。OpenClaw 2.0 が示しているのは、その一つ上、モデルが何に触れてよいかを決める層で同じことが起きているという事実です。本稿はこのリリースの精読です。速度の数字が実際に何を測っているのか、既に支払っているサブスクリプションを取り込む「自分のモデルを持ち込む」セットアップ、コンテキストの引き継ぎを解こうとするマルチプレイヤー機能、既存環境を壊しうる移行、そしていまだオフのままのセキュリティ既定値。ステルスモデルが GLM-5.3-Flash だと判明した話と2月最良のクローズドモデルを上回った27Bのダウンロードの話の続編で、同じ論旨を一段上の層で扱います。

要点:

  • 物量は検証済みで、規模が大きい。 2026年8月31日公開の単一リリースに16,000件超の PR、933人の貢献者、うち569人が初参加。49日間リリースなしの沈黙のあとで、プロジェクト史上のマージ総数のおよそ半分。
  • 「自分が所有する AI」に具体的な意味が生まれた。 ガイド付きセットアップが既存の Codex・ChatGPT・Claude CLI サインイン、貼り付けた API キー、新規プロバイダーサインイン、インストール済みの Ollama・LM Studio モデルのいずれかを再利用し、保存前にそのモデルが実際に応答できるか確かめる。
  • 成熟への転換には代償がある。 セッションとトランスクリプトが SQLite へ移り、HEARTBEAT.md は実行時に読まれなくなり、プラグイン SDK の deactivate エイリアスは消えた。移行をロールバックするには、現行 CLI でアーカイブ済みのレガシー成果物を先に復元する必要がある。
  • セキュリティが良くなったことと、既定値が安全であることは別。 サンドボックス化と実行承認はオフで出荷され、Secret Store は保存時に暗号化されず、共有セッションは文書上はっきりとセキュリティ境界ではない。

OpenClaw のリリース周期を示す図。2025年11月から2026年7月までの230日で106回のリリース、その後49日間で1回のリリースに933人による16,000件超の PR と歴代マージ総数の約半分が含まれる

2.0 サイクルの周期と中身。数字は2026年8月31日のリリースノートとブログ記事から。

1万6千件の PR は、コードではなく人についての主張だ

まずその数字が何でないかから。マージ済み PR 16,000件は機能16,000個ではありません。活発なリポジトリを見たことがあれば、その物量の大半がドキュメント修正、依存関係の更新、テスト強化、一行の訂正だと分かるはずです。リリースノートがそれを裏づけています。「オンボーディングのセットアップコマンドを訂正」「ダッシュボードのセッションカードから下線を削除」といった項目がセクションを丸ごと埋めています。

その数字が実際に測っているのは参加であり、そちらのほうが興味深い量です。このリリースには933人が貢献し、そのうち569人は OpenClaw への初貢献者でした。初参加率61%。この比率は、貢献者基盤がコアチームに固まっていくのではなく、まだ広がり続けているプロジェクトの姿です。

周辺の軌跡はリリース本体よりも急です。Wikipedia は2026年3月2日時点でこのプロジェクトをスター247,000、フォーク47,700と記録しています。2026年9月1日に私たちが GitHub API へ直接問い合わせたところ、同じリポジトリは スター388,419、フォーク81,534 を返しました。6か月でスターおよそ141,000、フォークおよそ34,000の増加であり、このリポジトリは2025年11月24日以前には存在すらしていません。

2026年3月2日2026年9月1日変化
GitHub スター247,000388,419+141,419
フォーク47,70081,534+33,834
オープン Issue—5,949—
初公開からの日数98281—

3月の数字は Wikipedia の OpenClaw 記事、9月の数字は2026年9月1日に GitHub REST API から直接取得。スター数は人気の指標であって利用量の計測ではありません。

最後の但し書きが重要です。スターは最も安価な支持表明であり、インストールではなくブックマークです。私たちがこれを引用するのは増加幅が注目度について何かを語るからであって、388,419人がノート PC でエージェントを動かしているからではありません。

ここからが核心です。転換点をはっきり示します。ここまでは計測、ここからは私たちの解釈です。このリリースが一本の記事に値する理由は、これまでオープンソース AI の物語がほぼ全面的に重みの物語だったからです。研究所はモデルを公開しましたが、そのモデルが何をできるかを決める部分は——メールを読み、ボタンを押し、弟にメッセージを送る部分は——誰かの閉じた製品の中に留まっていました。ハーネス層から出た933人規模のリリースは、エージェント層がモデル層に続いて開きつつある最初の強い証拠であり、しかもモデル層より速いのです。

速いプロジェクトが、あえて速さをやめた理由

7週間の空白はこのリリースで最も引用に値する事実であり、最も語られていない事実でもあります。

チームの説明は珍しく率直です。リリース記事で彼らは、リリース周期が遅くなる一方で開発はむしろ加速したと書き、こう述べています。「チームが大きくなり、作業量とペースの増加が OpenClaw の土台と出荷に使っていたプロセスの両方を追い越したので、両方を同時に作り直した」。余分に費やした数週間は、このリリースが新規インストールだけでなく既存のインストールとも問題なく出会えるようにするために使われました。

これを230日で106回という数字と並べて読むと、ある特定の転換の肖像が浮かびます。2日に1回出荷するのは、悪いリリースのコストが低いときの振る舞いです。まだ誰の設定も業務の柱になっていないからです。移行手順を書くために49日止まるのは、それが真でなくなったときの振る舞いです。

私たちはこれを インフラ転換 と呼びます。速く動いていたツールが実ユーザーを十分に抱え、「速く動く」と「人が頼っているものを壊さない」が両立しなくなる瞬間、プロジェクトはどちらかを選ばなければなりません。OpenClaw は公開の場で選び、リリースノートに証拠が残っています。インストール節の冒頭にあるストレージとダウングレードの警告、文書化されたバックアップ手順、そして二つの別々のサブシステムのための openclaw doctor --fix 移行です。

プロセスがまだ追いついていない小さな証拠も一つ。リリースノートは、2026.9.1-beta.1 として公開されたパッケージが バージョン番号を誤っており実際には 2026.8.1-beta.4 であり、安定版 2026.8.1 より新しいと解釈してはならないという警告から始まります。バナーを出すほど深刻なバージョニングの誤りは、インフラ転換が消し去るはずの類のものです。まだ消えていません。

「自分が所有する AI」はセットアップ画面から始まる。それは小さな話ではない

「自分が所有する AI」という言い回しは緩く使われがちです。このリリースでは、確認可能な具体的意味を持ちます。インストーラーが最初にするのが、もっと買えと言うことではなく、既に持っている AI アクセスを探すことなのです。

ガイド付きセットアップは同じ実行の中で四つのソースを受け付けます。

  1. 既存の検証済み CLI サインイン — Codex、ChatGPT、Claude。既に消費者向けサブスクリプションを払っているなら、エージェントはそれを使えます。
  2. 貼り付けた API キー — 使用量を直接計りたい人向け。
  3. 新規プロバイダーサインイン — どちらも持っていない人向け。新しい OpenAI のセットアップは GPT-5.6 を既定にします。
  4. ローカルにインストール済みのモデル — セットアップがマシン上の Ollama と LM Studio のインストールを走査します。

そのうえで、多くのオンボーディングが飛ばす一手を打ちます。選ばれたモデルが実際に応答できることを証明してから、そのモデルと資格情報を保存する のです。保存した API キーが別プロジェクトにスコープされていたと20分かけて気づいた経験のある人なら、この確認の価値が分かるはずです。

ローカル側にも構造的な作業が入りました。node-llama-cpp はマネージドな llama-server に置き換えられ、Gemma 4 が RAM ゲート付き llama.cpp の既定になり、llama.cpp の既定コンテキストウィンドウは 64K に引き上げられました。この最後の数字を覚えておいてください。既定のローカルコンテキスト64Kトークンは、およそ90分の会議トランスクリプト1本分で、自分が所有するハードウェア上で、トークン単価の請求なしに動きます。

OpenClaw のガイド付きセットアップの図。既存の Codex・ChatGPT・Claude CLI サインイン、貼り付けた API キー、GPT-5.6 を既定とするプロバイダーサインイン、ローカルにインストールされた Ollama または LM Studio のモデルという四つの資格情報ソースが検証ゲートに流れ込み、モデルが応答して初めてゲートウェイに保存される

ガイド付きセットアップが受け付ける四つのソースと検証ゲート。出典: v2026.8.1 リリースノート、2026年8月31日。

さて、この形を多くの人が実際に使っている閉じたアシスタント生態系と対比してみましょう。その対比こそが論旨です。

閉じたアシスタント製品OpenClaw 2.0
モデルの出所ベンダー自身のモデル自分の既存サブスク、自分の API キー、ローカルモデル
実行場所ベンダーのクラウド自分のマシン上のゲートウェイ、既定でループバック束縛
主なインターフェースベンダーのアプリTelegram、Signal、Discord、Slack、iMessage、WhatsApp、ブラウザアプリ
セッションの保存先ベンダーのサーバー自分のディスク上の SQLite
拡張の仕組み承認済みディレクトリ自分で入れるプラグイン、スキル、MCP サーバー
ベンダーが値上げしたら払うか去るかセットアップを別のモデルに向ける

品質の比較ではなく構造の比較です。閉じた製品のほうが仕上がりで優ることは多く、ここで重要なのは最後の行です。

その最後の行がすべてです。閉じた側では、モデル、インターフェース、保存先、拡張ポリシーが、一度下したら解けない単一の決定に束ねられています。開いた側ではそれが四つの別々の決定です。これがより良い製品を保証するわけではありません。保証するのは別の失敗の形です。閉じたアシスタントが値上げしたり機能を廃止したりしたら、打つ手はありません。自分のエージェントのモデルが高くなったら、設定を一つ変えます。

メッセンジャー優先は利便性の機能ではなく設計上の賭けだ

多くの AI 製品は自分を新しいアプリの中に置き、訪ねてきてもらうことを期待します。OpenClaw の中核の賭けは初期版から逆でした。エージェントは、あなたが既に開いているメッセージアプリの中に住む、というものです。

今回のリリースはその方向を大きく押し進めました。Telegram はより豊かなメッセージとメディアを得ました。Slack は進行状況と最終回答を一か所にまとめて保ちます。Discord はオプトインの Activities と、誰がいるかを把握するボイスルームを追加しました。Signal の返信は通常・分割・メディア・耐久配信のいずれでもネイティブの引用ブロックを保ち、クラッシュ直前に受け取ったメッセージはローカルストレージから再開できます。対応チャネル全体で、対象となる単一選択の質問は「1、2、3 で返信してください」ではなく Telegram・Discord・Slack の ネイティブなプラットフォームコントロール として表示されます。

この磨き込みの下には、私たちがより意味深いと考える信頼性の話があります。送信が確定した結果を得られないままタイムアウトした場合、OpenClaw はその結果を不確実なものとして保持し、次の接触時に警告できるようになりました。重複である可能性の高いメッセージを新たに作らずに です。メッセージング連携を作ったことがある人なら、この一文の裏にどれだけ地味な作業が積まれているか、そして逆の挙動がどれほど嫌なものかを知っています。ソケットがしゃっくりしただけで同僚に同じことを二度送るエージェント、ということです。

チーム自身が挙げる用途の例はあえて地味で、だからこそ刺さります。リリース記事から。エージェントに受信箱で子どもの学校からのメールを見張らせ、重要なものが来たら Telegram で知らせる。宿題の締切や準備が必要な行事など。受信箱一つ、探すもの数個、送り先一つ。二つ目の例はもう一歩進みます。弟が iMessage で「父さんに買った iPad はどれだった?」と聞いてくる。領収書を探してメールを漁る代わりに、弟からメッセージが来たと Claw に伝え、答えを見つけて送るよう頼みます。

どちらの例もベンチマークとは無関係です。どちらも、エージェントがあなたの渡した資格情報を握り、あなたが所有するものを読み、あなたが選んだ相手に書く、という話です。それが実際の製品カテゴリであり、「チャットボット」よりも「記憶と電話番号を持つスクリプト」に近いのです。

マルチプレイヤー AI: 難しかったのは画面ではなくコンテキストだった

2.0 の目玉の協働機能は 共有クラウドセッション で、チームはそれが自分たちの痛みから生まれたと率直に述べています。このリリースを作る中でより多くの作業をエージェントに載せ、やがてタスクを分け、協働し、ときには丸ごと引き渡したくなったが、「OpenClaw には、Claw が既に知っていたことを失わずに別のチームメンバーを作業に招き入れる手立てがなかった」というのです。

この一文は OpenClaw よりずっと大きな問題の名前です。私たちはこれを 引き継ぎの崖 と呼びます。作業が一人から別の一人へ移る地点で、ツールが積み上げてきたもの——空振り、訂正、二度とやるなと伝えたあれ——が崖の下へ落ちます。代わりに渡されるのは要約であり、要約はコンテキストではありません。結論を保存し、その結論を安全にしていた推論を捨てた圧縮成果物です。

共有クラウドセッションはここを正面から突きます。二人目が進行中の作業に コンテキストを保ったまま 加わるか、丸ごと引き取ることができ、所有者か管理者が四段階のどれを与えるかを選びます。読む、変更を提案する、下書きで作業する、直接参加する。下書きは競合なく作成・公開でき、提案は作成者を保ち、軽量なプレゼンスと入力中の表示が、一人用の環境を散らかさずに誰がいるかを伝えます。

作者のピーター・シュタインベルガーは2026年8月31日の早い時間に X へ投稿し、チームが2か月間「OpenClaw で OpenClaw を作る」という目標に取り組み、個人のローカルなコーディングハーネスから team.openclaw.ai の共有エージェント環境へ移ったと書きました。「ノードとクラウドセッションによるマルチプレイヤーのコーディング + 無限の計算資源は、私たちの作り方を変えた」と述べ、ローカルのハーネスはいまや「過去の遺物のように感じる」と付け加えています。創業者が自社製品を語った言葉なので、そのつもりで重みを置いてください。ただしリリースは実在し、そのやり方で作られました。

エージェント引き継ぎの前後を比べた図。共有セッションがない場合、二人目は空のエージェントから始まり蓄積されたコンテキストは失われる。共有クラウドセッションでは二人が一つのセッションをコンテキストを保ったまま共有し、所有者が選ぶ四段階の権限——読む、変更を提案する、下書きで作業する、直接参加する——のもとで動く

引き継ぎの崖と、共有セッションが変えるもの。文書に明記された限界を図の中にあえて入れています。

ここから率直な限界です。文書がはっきり述べており、多くの報道が埋めてしまった部分です。これらの権限段階はテナント分離ではなく、セキュリティ境界でもありません。 取り消されたアクセスが、UI が更新されるかゲートウェイが操作を拒むまで、しばらく生きているように見えることがあります。シークレットモードは名前の印象より狭いものです。会話はプロセスメモリにあり、ゲートウェイの再起動で消えますが、モデルプロバイダーは依然としてすべてのメッセージを受け取り、ツールは依然としてファイルを書き外部サービスに到達し、内容を含まない監査メタデータは残り、ゲートウェイを運用する者は作業をライブで見られます。Help Net Security は共有マシンに配備する前に知っておくべき点をもう一つ挙げています。起動の高速化は、ブラウザプロファイルに暗号化されずに保存される上限付きトランスクリプトのスナップショットに依存しています。

ブラウザアプリはおまけから実際の作業場になった

作り直された Control UI に目に見えるエンジニアリングの多くが投入され、このリリース唯一のきれいな性能数値がここに付いています。

50ms の HTTP/1.1 遅延を持つモックゲートウェイに対する既定チャットのシミュレーションテストで、JavaScript リクエストは140から45へ、起動時間はおよそ1.6秒から575ミリ秒へ低下しました。リクエスト64%減、チャット到達時間2.8倍の改善です。長く開いておくほど重くなる度合いも減りました。隠れたパネルは表示しないデータを取りに行かなくなり、保持される状態に上限がつき、会話へ戻るときの再レンダリングが減っています。

チャットの周囲のドックパネルには、ワークスペースのファイルエディタ、ブランチのコミット・作業ツリーの変更・PR のステータス・CI サマリを表示する Git ベースの Changes パネル、移動・クリック・入力・スクロール・要素検査を行いスクリーンショットに注釈を付けて会話に添付できるブラウザパネル、そして全画面のウェブターミナルが入ります。承認要求はそれを引き起こした会話の中に30日ローリングの履歴とともに現れ、/btw コマンドは短い質問が本編のトランスクリプトを汚さないよう横の会話を開きます。

リリースノートはパネルがどこで止まるかについて気持ちよく率直です。ファイルエディタはファイルを作成も削除もできず、Changes パネルは読み取り専用で、「Create PR」は OpenClaw 内で送信せず GitHub へ引き渡します。 私たちは、この三つの限界を「集中している」「無駄がない」と表現したであろうリリースノートを数多く読んできました。限界として明記したのは正しい判断であり、小さな信頼の積み立てです。

セッションが SQLite へ移り、破壊的変更はそこにある

openclaw update と打つ前に読むべき節です。

セッションとトランスクリプトはもうファイルベースではなく SQLite に住みます。散らばっていた他のものも一緒に移りました。ノードホストの識別情報とゲートウェイ設定、APNs 登録、ワークスペースのセットアップ状態、チャネルのランタイム状態、MCP OAuth の資格情報と更新状態、Reef のピア信頼、信頼済みプラグイン向けの上限付き BLOB ストレージ。既定のセッションアーカイブのディスク予算は 10GiB に引き上げられました。ウェブ・macOS・iOS・Android では、SQLite ベースのチャットが以前のユーザーメッセージまで巻き戻し、会話を分岐させ、保存された分岐を切り替えられます。ただし巻き戻しはトランスクリプトの分岐を変えるだけで、ファイル、送信済みメッセージ、その他のツールの副作用は元に戻しません。

代償は、ダウングレードがもう無料ではないことです。リリースノートが指定する手順は順に次のとおりです。

  1. アップグレード前に検証済みバックアップを作成する。 文書化されたバックアップ経路を使い、セッションだけでなく OpenClaw の状態全般を保護します。
  2. openclaw update でアップグレードする。 インストール形態(npm、pnpm、Bun、git)を検出し、バージョンを取得し、openclaw doctor を走らせ、マネージドなゲートウェイサービスを再起動します。まず --dry-run で下見を。
  3. QMD メモリを使っているなら openclaw doctor --fix を実行する。 組み込み Memory が中核の検索とリコール経路を担うようになりました。移行は対応データを別のコアへ運び、QMD 固有の再ランキング、クエリ拡張、エージェント横断のトランスクリプト検索は廃止されます。
  4. HEARTBEAT.md を使っているなら openclaw doctor --fix を実行する。 ハートビートのスケジュールは Automations として管理されるようになり、OpenClaw は実行時に HEARTBEAT.md を読まなくなりました。
  5. もし戻す必要があるなら、古いファイルベースのリリースを入れる前に、現行 CLI でアーカイブ済みのレガシートランスクリプト成果物を復元してください。移行後に作られたセッションは、古いリリースではそもそも表示されません。

プラグイン作者には別のリストがあります。廃止された7月・8月の SDK パスは削除され、deactivate エイリアスは gateway_stop に置き換えられ、v2026.7.2 ベータの question・worker・session-catalog 形状を使っていたクライアントは、改名され平坦化された契約へ移る必要があります。beta.5 のセッションストアブリッジは 2026年10月12日まで 残ります。日付の入った実在の廃止猶予期間であり、速く動く多くのプロジェクトが示す以上の配慮です。カスタムの agents.defaults.cliBackends のコマンド・引数・環境・エイリアス・パーサーは、設定ではなくバックエンドプラグインに属するようになりました。またマネージドワークツリーは、管理者が別のセットアップスクリプトを明示的に走らせない限りリポジトリの Git フックを抑制するので、暗黙のフックに頼っていたリポジトリはその設定を明示的な経路へ移す必要があります。

どれも致命的ではありません。ただしどれも、後から知ると2分のアップデートを2時間の夜に変える類のものです。

セキュリティは実質的に良くなり、それでも既定はオフのままだ

熱意を律すべき箇所です。あなたのメールを読みコマンドを実行できるエージェントは、チャットボットとは別種のリスク対象だからです。

本物の改善は実在し、具体的です。新しいチーム単位のローカル Secret Store が Protected な値とエージェントが読める環境値を分離し、マスクされた資格情報要求、Vault や 1Password の参照、そして保護された資格情報が平文の設定やモデルに見えるテキストへ一度も現れないまま、承認されたゲートウェイ経由の HTTPS リクエストへ入る宛先束縛型の置換に対応します。プライベート資格情報要求は、エージェントがマスクされたプロンプトで秘密を求めつつ、その値がチャット履歴にもモデルのコンテキストにも入らない ようにします。ネットワークポリシーは未指定およびローカル用途の NAT64 宛先を既定でブロックし、プライベートな自動化 Webhook の宛先には厳密なホスト例外を要求するようになりました。検索・フェッチ・MCP・プラグイン・ブラウザツールが返すテキストは、モデルが見る前に上限が付き、正規化され、信頼できない外部コンテンツとして明示的に印が付きます。ターミナルと CSV の出力は該当する制御シーケンスと数式インジェクションの形を無害化します。ゲートウェイは既定でループバックに束縛し、多くのチャットチャネルは未知の DM 送信者にペアリングコードで応じ、受信アクセス・ツールの影響範囲・ネットワーク露出・ブラウザ制御の露出・プラグイン許可リストを点検する openclaw security audit コマンドが加わりました。

続いて但し書きです。いずれも批判者ではなくプロジェクト自身の文書から出ています。

Secret Store の値は保存時に暗号化されません。 OpenClaw の状態ディレクトリのファイルシステム権限に依存します。宛先束縛型の置換は、プロキシ設定を尊重するサブプロセスを持つゲートウェイ経由の HTTPS コマンドにのみ適用され、生ソケット・コンテナ・リモートノード・プロバイダー固有のハーネス・平文 HTTP はその外です。

内容を信頼できないと印を付けても無害にはなりません。 リリースノートが直接そう述べています。境界は明示されるが「モデルは自らが読む敵対的な素材から依然として影響を受けうる」。

サンドボックス化と実行承認はオフで出荷されます。 企業向けの姿勢については VentureBeat の整理が最も鋭いものです。OpenClaw の基本構成は信頼できる単一のオペレーターを前提とし、管理者がより強い制限を設定しない限りホスト実行を許すため、NanoClaw のようなコンテナ優先の代替が存在する、と。彼らの結論はそのまま引く価値があります。「企業はそれらのプリミティブをポリシーに変えなければならない。OpenClaw 2.0 が自動的に OpenClaw を企業向けにするわけではないが、企業水準の OpenClaw 配備をはるかに容易にはする」。

プロンプトインジェクションについては、OpenClaw 自身の文書がモデル選択を第一の緩和策として扱い、2026年のクラウドソース型アリーナを引いています。41のエージェントシナリオにわたる272,000件の攻撃 を、エージェントが有害な行為を実行しかつそれをユーザーから隠したときにのみ成功と採点した結果です。Claude Opus 4.5 に対する成功率0.5%、Sonnet 4.5 に対して1.0%、Haiku 4.5 に対して1.3%、Gemini 2.5 Pro に対して8.5%。同じページは 適応的な人間の攻撃者は最先端の防御に対しても依然80%超の成功率 を上げると警告し、だからこそツールポリシー・実行承認・サンドボックス化がモデルではなく実効的な強制層であり続けると説明しています。

この二つの数字を並べると、2026年のエージェントセキュリティの正直な現状が見えます。大規模な自動インジェクションは良いモデルの前ではもはや2%未満の問題であり、本気の人間は依然としてすべてに対して80%の問題です。このリリースは二つ目の数字を変えません。

既定でオンオフで出荷——自分で有効化する必要あり
ゲートウェイのループバック束縛サンドボックス化
未知の DM 送信者へのペアリングコード実行承認
ツール出力への非信頼コンテンツ印付けシークレットモード
NAT64 および未指定宛先のネットワーク遮断Secret Store 値の保存時暗号化(提供なし)
新規インストール限定の auto 自動スキル学習プライベートネットワークの Webhook 宛先

v2026.8.1 リリースノートと OpenClaw のセキュリティ文書より作成、2026年9月1日取得。

開発者でない人にとって実際に変わること

プラグイン契約と SQLite 移行を取り除くと、一般のユーザーにとって意味のあるものが一つ残ります。インストールの摩擦が大きく下がったことです。実際に自分で辿ってみたい方のために、ダウンロードから最初の会話までの道のりを追った初心者向けの手順ガイドを別に書きました。

対応するインストール経路は、セットアップ後もアプリやコマンドを利用可能な状態に保つようになりました。ダウンロードフォルダから開いた Mac アプリは自分を Applications へ移そうと提案でき、そこにあってこそ更新とログイン時起動が正しく働きます。Linux などの Unix 系では、インストーラーがシェルの起動ファイルを編集させることなく、新しいターミナルセッションで openclaw を使えるようにします。iPhone・iPad・Android はペアリングと権限を人が期待する場所に置きます。そして初回セットアップ、トレイとサービスの制御、埋め込み Control UI、ディープリンク、自動起動、ネイティブ通知を備えた Linux デスクトップコンパニオンが登場しました。ただしリリースノート自身が、.deb と AppImage パッケージが v2026.8.1 のダウンロードとして提供されるかは「まだ検証されていない」 と断っています。

Automations も同じ扱いを受けました。同梱の IMAP ウォッチャーは、既存のメールボックスからの認証済み新着メールが HTTP フックを露出せずに 制限付きリーダーエージェントを起動できるようにします。既定で無効、受信専用、送信者の許可リストと認証が必須で、メールの送信も変更もできません。リリース記事の学校メールの例が、「Gmail を接続」ボタンではなく境界のある最小権限のプリミティブとして出荷されたわけです。Gmail の自動化は、受理したバッチをメッセージごとの分離実行に分け、送信済みと下書きを除外できるようになりました。

とはいえ、これが消費者向け製品のふりはしません。OpenClaw の保守担当者の一人は、コマンドラインの走らせ方が分からないならこのプロジェクトは安全に使うには危険すぎる、と述べたと引用されており、2026年3月には中国当局がセキュリティ上の懸念を理由に国有企業と政府機関の業務用コンピューターでの OpenClaw アプリ実行を制限しました。これらは記録に残る事実で、このリリースが消し去るものではありません。このリリースがしたのは床を上げることです。「興味を持った人」と「動くエージェント」の間の隔たりが、設定ファイルではなくガイド付きセットアップ一つで測られるようになりました。

検証できなかった四つのこと

このリリースが「OpenClaw のあらゆる部分に触れる」という表現はチーム自身のフレーミングであり、リリースノートが実際にインストール・メッセージング・メモリ・スキル・モデル・自動化・ブラウザとネイティブアプリ・プラグイン・セキュリティにまたがっているとはいえ、PR 16,000件や貢献者933人という数字の独立監査はありません。どちらもプロジェクト自身の発表です。

出典によってリリース日が食い違います。Wikipedia の情報ボックスは安定版 2.0 を2026年8月30日とし、MarkTechPost の記事も8月30日付、一方タグ v2026.8.1 の GitHub リリースオブジェクトは公開時刻を 2026-08-31 03:30 UTC と記録しています。私たちは一次成果物であることを理由に一貫して8月31日を使いました。他所で8月30日を見かけたら、それがこの食い違いです。

ライセンス表記も一貫していません。Wikipedia は OpenClaw を MIT ライセンスとし、GitHub API はリポジトリのライセンスとして NOASSERTION を返します。これは GitHub の検出器がファイルを分類できなかったときの値です。どちらが権威あるかを私たちは確定できておらず、ライセンスファイルを直接読まずにどちらかの上にコンプライアンス判断を組み立てることはしません。

シュタインベルガーによる内部ワークフローの描写——「無限の計算資源」、ローカルハーネスは「過去の遺物」——は、2026年8月31日に創業者が自分のタイムラインで自社製品を語ったものです。引用したのは機能の由来を説明するからであって、評価だからではありません。

結論: オープンソース AI はもう重みの物語ではない

2年間、「開かれた AI」とはダウンロードできるファイルのことでした。興味深い問いは常に一段上にありました。あなたの資格情報を握り、受信箱を読み、次に何をするかを決める部分もまた、覗き込み、フォークし、自分で動かせるものになるのか。それとも、モデルの選択とインターフェースと保存先が「受け入れるか去るか」の単一の決定に束ねられた、誰かの製品の中に留まるのか。

933人の貢献者、既存のサブスクリプションを読み込むセットアップウィザード、既定コンテキスト64Kのローカルモデル経路、そして文書化されたダウングレード手順を備えたリリースは、その答えが逆側へ行ったときの姿です。洗練された答えではありません。サンドボックス化はオフ、秘密は保存時に暗号化されず、共有は明示的にセキュリティ境界ではなく、本気の攻撃者は五度に四度いまだ勝ちます。しかしそれらは今や Issue 番号の付いた公開された限界であり、それは何も知らない状態とは種類の違う状況です。

次に注視すべきは引き継ぎの崖です。共有クラウドセッションは、エージェントの積み上げたコンテキストをオペレーター交代の向こう側まで生かそうとする、私たちが見た最初の真剣な試みです。そして933人規模のオープンソースプロジェクトが多くの閉じたアシスタントより先にこの問題へ到達したという事実が、本当のフロンティアがどこかを教えてくれます。それは能力ではありません。連続性です。

Telli.sh はここに関わります: 引き継ぎの崖はエージェント固有の問題ではありません。会議では最も古い問題です。その部屋にあった1時間分の文脈は蒸発し、参加できなかった人に届くのは、結論だけを残して推論を失った要約です。Telli.sh は会議を録音し、話者を分け、15言語でライブ翻訳し、検索できるトランスクリプトと構造化されたノートを残します。引き継ぎが誰かの圧縮された記憶ではなく実際の記録を運ぶように。

ライブ AI ノートを始める

出典

← ブログに戻る