概要

OpenClaw は、自分で運用するオープンソースの個人向け AI エージェントです。自分のマシンまたは VPS 上で単一の Gateway プロセスとしてインストールし、すでに支払っているモデルプロバイダーを指定して、チームが普段開いているチャットアプリから指示を受け取ります。WhatsApp、Telegram、Discord、Slack、Signal、iMessage、Microsoft Teams、Google Chat、Matrix、Zalo は組み込みチャネルとして同梱され、それ以外はチャネルプラグインとして必要に応じて追加します。PSPDFKit の創業者である Peter Steinberger が2025年11月に公開し、Clawdbot、Moltbot という名前を経て OpenClaw に落ち着きました。ライセンスは MIT で、2026年初頭に React のスター数を追い抜き、GitHub で最もスターの多いリポジトリになりました。

購買を左右するのは、データと請求書がどこに置かれるかです。ベンダーアカウントも、シートも、テナントもありません。Gateway はセッション、ルーティング、チャネル接続に関する唯一の情報源であり、それらを自社が管理するハードウェア上に保持します。モデル費用はプロバイダーに直接支払われます。Anthropic、OpenAI、Google Gemini、xAI、OpenRouter、GitHub Copilot、MiniMax、または設定した OpenAI 互換・Anthropic 互換のエンドポイントです。

ガバナンスは2026年に変わり、社内で説明する際は出来事の順序が重要になります。OpenAI は2026年2月に Steinberger を採用しました。採用したのは人であって、プロジェクトではありません。2026年7月8日、OpenClaw は非営利団体 501(c)(3) の OpenClaw Foundation になりました。OpenAI、NVIDIA、Microsoft、Tencent、Red Hat、Atlassian、GitHub、Cloudflare、Vercel、そして最大の寄付者であるミシガン大学が、所有者ではなくスポンサーとして参加しています。Foundation が公表している約束は OpenClaw を MIT ライセンスかつ独立に保つことで、技術的な統括は Steinberger が引き続き担います。

規制業種の組織で候補に挙がる理由

データの境界線は自分で引きます。 Dust と Lindy はいずれも、ソースシステムを各社のクラウドへ接続することを求めます。OpenClaw が求めるのはデーモンのインストールです。秘匿特権のある資料を第三者の処理者に通せない法務チーム、あるいは新しい再委託先でセキュリティレビューが止まる RevOps チームにとって、この違いは好みではなく評価そのものです。
MCP は双方向で動作します。 クライアントとしては、streamable HTTP、SSE、stdio で MCP サーバーに接続し、mcp.servers 配下で定義したうえで toolFilter の include / exclude パターンによりエージェントが呼び出せる範囲を絞れます。サーバーとしては、openclaw mcp serve がチャネルの会話を外部の MCP クライアントに公開します。MCP のツールもネイティブのツールと同じアクセス制御を通るため、サーバーを追加してもポリシーが広がることはありません。
権限モデルは読める設定ファイルです。 シェル実行は既定で無効です（tools.exec.security: 'deny'）。ツール実行は agents.defaults.sandbox.mode: 'all' でコンテナ化され、既定のバックエンドは Docker、workspaceAccess: 'ro' でワークスペースを読み取り専用にマウントしつつ /etc、/proc、/root と資格情報ディレクトリを遮断します。Gateway は既定で loopback にバインドし、ネットワーク経由で何かが届く前に gateway.auth.mode: 'token' を要求します。openclaw security audit --deep は稼働中の Gateway を検査し、--fix は権限のずれを締め直します。
信頼できないコンテンツは信頼できないものとして印が付きます。 取得したページ、メール、抽出した文書は、モデルに届く前に信頼できないコンテンツであることを示す明示的な境界マーカーで囲まれます。ブラウザーツールには SSRF ポリシーが付属し、ホスト名を明示的に許可しない限りプライベートネットワーク宛の通信を遮断します。

費用

ソフトウェアは $0、ライセンスは MIT なので、見積もるべきシート費用の行がありません。代わりに実費が2つ入ります。1つはプロバイダーのトークン費用で、接続したモデルに応じて課金され、利用量に比例して増える唯一の変数です。もう1つはホストで、ノート PC を閉じてもエージェントに到達させたい場合に必要になります。ドキュメントは下限を1 vCPU / 1 GB RAM とし、複数チャネルやブラウザーツールを動かす場合は2 GB 以上を推奨、2 GB 未満なら4 GB のスワップファイルを提案しています。インストールは npm install -g openclaw@latest の後に openclaw onboard --install-daemon、Node 22.22.3 以降のサポート対象リリース上、macOS、Linux、Windows で動きます。

同じ仕事をするマネージド型と比べてください。Dust は1シートあたり月額 $31 から、Lindy は月額 $50 からです。運用者が1〜3人なら、OpenClaw のプロバイダー請求額は両者を下回ります。30シートで購買プロセスがある場合は逆転します。増えるコストは、Gateway を担当するエンジニアだからです。

最適な対象

秘匿特権のある資料に対してエージェントを使う必要があり、DPA に処理者を追加できない Legal Ops および社内法務
チームに開発者がいて、普段使っているチャットアプリの中で個人エージェントを、シート単価ではなくプロバイダー実費で動かしたい RevOps・TA の運用担当
プラットフォームの予算が付く前にエージェントのワークフローを試す立場で、成果物が「部門に展開する」ではなく「このやり方が機能するか」である場合

代替案 — 切り替える判断基準

Dust — 同じエージェントを複数人が必要とし、購買部門が誰かの署名を求める場合はこちらです。2層の権限モデル、監査ログ、1シート $31 のマネージドクラウドが、OpenClaw が利用者側に投げ返す問いに答えます。コアも MIT なのでセルフホストは可能ですが、実際に行う企業はほとんどありません。
Lindy — デーモンを引き受ける担当者がいない場合はこちらです。月額 $50 からの従量課金、パッチを当てるホストが不要、非エンジニアでも扱えるビルダーが付きます。その代わり、Gmail、Slack、CRM のデータが Lindy のクラウドを通ることを受け入れます。
n8n — 対象がチャット前提のアシスタントではなく、途中にエージェントのステップが入る決定論的なパイプラインである場合はこちらです。セルフホストは無料、クラウドは月額 $24 から、そしてビジュアルなキャンバスは JSON の設定ファイルより後任へ引き継ぎやすいです。
OpenClaw 自体がこのセグメントで最も急成長している参入者です。2026年の急伸で60日以内に GitHub 最多スターのプロジェクトになりました。これは試す理由であり、同時に latest を追いかけずバージョンを固定する理由でもあります。

注意点

ドキュメントは、これがマルチテナントのセキュリティ境界ではないと明記しています。 OpenClaw は、敵対的な複数ユーザーに対するマルチテナント境界ではないと明言しており、sessionKey はルーティングであって認可ではありません。ガード：信頼境界ごとに Gateway を1つ動かします。チーム単位ではなく人単位です。session.dmScope: 'per-channel-peer' と dmPolicy: 'allowlist' は送信者間の漏れを減らしますが、チーム共有の Gateway は設計の外にあり、どの設定でも安全にはなりません。
プロンプトインジェクションが現実のリスクで、ガードレールだけでは閉じられないとプロジェクト自身が述べています。 ツールを接続した状態で受信箱を読むエージェントは、見知らぬ相手から指示を受け取るエージェントです。ガード：tools.exec.security: 'deny'、サンドボックスを all、ワークスペースを読み取り専用、チャネルの許可リストを有効のまま維持し、最新世代のフロンティアモデルを接続します。セキュリティドキュメントは、古い、または小さいモデルではツール付きエージェントを信頼できない受信箱に向けた場合のインジェクションリスクが高すぎると警告しています。
ベンダーがいないため、購買部門に出す書類が存在しません。 SLA なし、サポート契約なし、DPA なし、SOC 2 報告書なしです。ガード：法務に提出するコンプライアンス資料は自分で作る必要があります。openclaw security audit --deep の出力、自社の影響評価、パッチ適用の責任者の指名です。しかもパイロットが成功した後ではなく、規制対象データが動く前に承認を取ります。
技術的な意思決定は、いまモデル研究所に勤めるメンテナー1人を通ります。 Foundation、スポンサー一覧、MIT ライセンスの約束はこの集中を下げますが、なくすわけではありません。ガード：本番の Gateway を自動更新させず、リリースを固定します。チャネルプラグインはサプライチェーンとして扱ってください。監査ツールに plugins.* の接頭辞があるのは、まさにそのためです。
導入コストは自分の時間で、これが抜け落ちる数字です。 2時間でエージェントが動けば良い結果ですが、継続コストは Node のアップグレード、チャットプラットフォームの API 変更によるチャネルの停止、そして資格情報のローテーションです。ガード：担当者を指名し、月に半日を固定で確保します。その人を指名できないなら、マネージド型を選んでください。

GitHubでこのページを編集