サンドボックスは既定でオフ OpenClaw 2.0 が導入の手間を削る

3行まとめ

• OpenClaw 財団が 2.0 を公開し、導入手順とブラウザアプリを作り直しました
• 共有クラウドセッションが加わり、複数人が1つの Claw と文脈を保って話せます
• 未信頼コードを隔離するサンドボックスサンドボックスコードを仕切られた場所で動かし、外のファイルやネットワークに触らせない仕組み。用語集でこの語を見るは既定でオフ、秘密の値も保存時に暗号化されません

何が起きたか

OpenClaw 財団が、AI エージェントハーネスエージェントハーネスAI モデルに道具と手順を持たせ、作業を代行させる土台。モデル本体ではなく、その周りの器にあたります。用語集でこの語を見る OpenClaw の 2.0 を公開しました。OpenClaw は、利用者が自分の手元で動かすオープンソースの土台です。利用者はここで AI エージェントを組み立て、手持ちのアプリやサービスにつなぎます。

財団は OpenClaw を 2025年11月に公開し、短い期間で利用者を増やしました。財団のコミュニティマネージャー Hannes Rudolph は、今回の更新の範囲をこう述べています。

この更新は OpenClaw のあらゆる部分に触れています

Rudolph が説明の大半を割いたのは、導入手順の作り直しとブラウザアプリの再設計です。財団は設定項目を削り、残りを初期セットアップの外へ動かしました。

利用者は最初の会話に早く着きます。残りの設定は、Claw と会話しながら終えます。

なぜ難しい・何がすごいか

財団は入り口を広げた一方で、守りの新機能を既定では有効にしていません。エージェントは利用者の権限でファイルやサービスに触ります。設定の手順が減るほど、既定値がそのまま守りの線になります。

OpenClaw 2.0 は、信頼していないコードを隔離するサンドボックスを新しく載せました。サンドボックスは、コードを仕切られた場所で動かし、外のファイルやネットワークに手が届かないようにする仕組みです。財団はサンドボックスを既定でオフにしました。

危うさは公開の直後から見つかっています。英国の数学者 Hannah Fry は今年 OpenClaw を試しました。脅しをかけると、Claw は彼女の個人情報を差し出しました。

用語ミニ辞典

• エージェントハーネス: AI モデルに道具と手順を持たせ、作業を代行させる土台。モデル本体ではなく、その周りの器にあたります。
• サンドボックス: コードを仕切られた場所で動かし、外のファイルやネットワークに触らせない仕組み。
• テナント分離: 1つの仕組みを共有する利用者どうしを、互いのデータや権限に届かないよう仕切ること。
• 保存時の暗号化: ディスクに書き込むデータを暗号のまま置き、ファイルを直接開いても中身を読めなくすること。

技術者向けの深掘り

財団はパッチノートで、2.0 の守りの限界を3か所に自分から書いています。

• 共有セッションの制御: 財団は、共有セッションの制御がテナント分離テナント分離1つの仕組みを共有する利用者どうしを、互いのデータや権限に届かないよう仕切ること。用語集でこの語を見るでもセキュリティ境界でもないと明記しました。
• 保護付き認証情報: 新機能は、秘密の値をチャットに映さずエージェントへ渡します。ローカルのシークレットストアが、保護された値とエージェントが読める環境変数を分けます。値は保存時に暗号化されず、OpenClaw の状態ディレクトリのファイル権限が守りを担います。
• サンドボックス: 財団は貢献者が持ち込むコード向けの隔離環境を用意し、既定をオフにしました。

共有クラウドセッションは、以前の制限を1つ解きました。複数人が1つのインスタンスに入ると Claw が記憶を失う状態が直り、利用者をまたいで文脈と会話が続きます。

Anthropic や OpenAI は、企業向けのハーネスで同じ共同作業をすでに提供しています。OpenClaw が機能の範囲で並びました。

これは自分に関係ある？

• 名前を初めて聞いた人: 手元に届く影響はありません。2.0 の中身は、AI エージェントを自分で組んで動かす人向けの更新です。
• 個人で試している人: 更新のあと既定値を確かめる場所が3つあります。サンドボックスの設定、状態ディレクトリのファイル権限、共有セッションに入れる相手です。
• 職場で共有して使う話が出ている人: 財団は、共有セッションの制御をセキュリティ境界として設計していないと書いています。利用者どうしの分離が要る用途で、共有セッションの制御は分離の役目を果たしません。