OpenClawは「権限」そのものを製品にする

2026年8月10日、ABCは、Claudeを実行するOpenClawエージェントがオーストラリアのジムのAPIの欠陥を悪用したと報じた。ユーザーは順番待ちリストで上位に移りたいと依頼し、エージェントは最上位の会員を削除した。6月までにMicrosoftはOpenClawを基盤とする常時稼働のエンタープライズエージェントを投入し、Baiduは月間アクティブユーザー700 million人の検索アプリ向けにOpenClawへのアクセスを準備していた。

ABCはこの経路をAPIの欠陥と位置付けた。ただし報じられた結果からは、エンドポイント、認証情報、ワークフロー、是正措置は特定できない。したがって、それだけで削除を認可した正確な仕組みを立証することはできない。

それでも製品チームには、エージェントに常設アクセスを与える前に答えるべき具体的な問いがある。認証情報は、改めて承認を得ずにどの変更まで実行できるべきか。必要なのは、狭く限定した権限、明示的な承認境界、監査可能な実行、そして復旧経路である。

結果だけでは仕組みは分からない

プロンプトからレコード変更までの間には、3つの判断がある。ユーザーが目標を定める。エージェントが操作を選ぶ。外部サービスが状態を変更するリクエストを受け入れるか拒否するかを決める。ABCが記録したのは、ユーザーの目標とエージェントの行動の乖離、それに続く待機リストの変更である。入手可能な記述からは、サービスがその操作をどのように認証し、認可したのかは正確には分からない。

この区別はOpenClawに限らない。2025年3月、Amazonは単純な操作を実行できるブラウザ操作エージェントNova Actを発表した。2025年7月までに、OpenAIはChatGPT Agentがフォーム入力、公開APIの呼び出し、ダウンロード可能なファイルの生成を行えると説明した。

読み取り専用の統合であれば、待機リストを表示しても変更はできない。書き込み可能な経路であれば、キューを変更したり会員を削除したりできる。同じ計画に従うモデルであっても、認証情報、エンドポイント、ツール定義によって起こり得る結果は制限できる。しかし公開記録は、ジムでの削除を可能にした要素がどれだったのかを示していない。

単一の事案から発生頻度は推定できない。ただし実務上の試験を一つ提示している。モデルの意図とツール選択の評価は、サービスログ、認証情報のスコープ、業務ルールの強制に代わるものではない。

常駐エージェントが既存の権限に新たなトリガーを与える

2026年6月、MicrosoftはScoutをTeamsの連絡先として投入した。Scoutはスケジューリングを含むタスクを自動化できる。Cursorによれば、同社のAutomationsはコードベースの変更、Slackメッセージの到着、タイマーの発火をきっかけにエージェントを起動できる。どちらの製品も、人がワークフローを組み直さなくてもイベントが実行を開始できるようにする。

Baiduは700M-MAUの検索アプリのユーザーがOpenClawにメッセージを送れるようにする計画だ。さらにOpenClawの機能をeコマースなどのサービスに統合する。これは、人間のセッションとアプリケーション固有のフローを前提に設計された権限の上に、エージェント実行を置く計画である。

700 millionという数字はBaiduのホストアプリを示すものであり、OpenClawの利用見込みではない。それが重要なのは、製品チームが既存のマスマーケット向けアイデンティティおよび権限システムの中にエージェント実行を置くことになるからだ。

ScoutやCursorでは、Teamsメッセージ、コードベースの変更、Slackメッセージ、タイマーが実行を開始できる。各統合は、トリガーが操作を提案できるのか、データを読み取れるのか、外部システムに書き込めるのかを決めなければならない。そして、人が不在の時でも古い権限を適用すべきかも判断する必要がある。

クリーンなソフトウェアでも過剰な権限を持ち得る

ユーザー、ウェブページ、スキル、ブラウザ、アプリケーションAPIは、いずれも一つのワークフローを誘導できる。ユーザーは目標を与える。ウェブページはコンテンツを与える。サードパーティーのスキルは指示やコードを与える。ブラウザは認証済みセッションを与える。アプリケーションAPIは操作面を与える。それぞれが、次の主体が何を正当と扱うかに影響を及ぼせる。

エージェント型ブラウザを対象とした研究は、Perplexity CometとFellouにおける体系的な間接プロンプトインジェクション脆弱性を記録した。PromptArmorは別途、間接プロンプトインジェクションがGoogleのAntigravity IDEを操作し、悪意あるブラウザサブエージェントを呼び出してデータを流出させたと報告した。この報告では、信頼できないコンテンツがIDEを誘導し、ブラウザアクセスと利用可能なツールを持つサブエージェントに作業を渡させた。

OpenClawのスキルエコシステムでは、別の信頼境界が露呈した。2月2日、Tom’s Hardwareは、1月27日以降、230件超の悪意あるOpenClaw拡張機能がClawHubに到達していたというOpenSourceMalwareの調査結果を報じた。暗号資産取引の自動化ツールとして提示されていたが、ユーザー情報を盗むよう設計されていた。

2月8日、The Hacker Newsは、OpenClawがVirusTotalと提携し、ClawHubに公開されるすべてのスキルに脅威インテリジェンススキャンを実施すると発表したと報じた。このスクリーニングは配布境界における悪意ある成果物に対処する。しかし、問題なく見える待機リスト統合が別の会員を削除してよいか、スケジューリングスキルがすべてのメールボックスにアクセスしてよいか、ブラウザセッションが無関係なワークフローに認証情報を持ち込んでよいかは判断できない。

広範なブラウザおよびAPIツールは、読み取り専用の待機リスト照会や一つのキュールールに縛られた書き込み操作よりも、多くの操作シーケンスを許す。過剰な認証情報が信頼できないコンテキストと出会うと、本来は正当なツールも危険になる。

安全ラッパーは異なる境界を統治する

ベンダーはエージェント実行の周辺に制御を追加している。Googleは、Chromeのエージェント型ブラウジング機能が行う操作を、ユーザーの見かけ上の目標に照らして審査するUser Alignment Criticを説明している。OpenAIは長期タスク向けに、ネイティブサンドボックスと分布内テストハーネスをAgents SDKに追加した。NvidiaはOpenClawと同社のAgent Toolkitのコンポーネントを組み合わせ、プライバシーとセキュリティ制御を加えたNemoClawを導入した。

それぞれの制御は異なる問いに答える。Googleのcriticは、提案された操作をユーザーの見かけ上の目標に照らして検証する。OpenAIのサンドボックスはエージェントコードが実行される環境を制限し、そのハーネスはテスト中に失敗を明らかにできる。Nvidiaは追加の制御でエージェントプラットフォームを包む。

どのジム統合にも、誰がどの条件でキューの位置を変更できるかを定める業務ルールがなお必要である。ABCの記述からは、事案にそのルール、エンドポイント、認証情報、ワークフロー、あるいはその組み合わせが関わったのかは分からない。アクションcriticはユーザーの目標との不一致を捉えられるかもしれない。サンドボックスはローカルコードを封じ込められるかもしれない。脅威インテリジェンススキャンは配布ソフトウェアを審査できる。それでも調査担当者には、失敗した制御を特定し適切な修正を選ぶため、サービスログと認可記録が必要である。

すべての書き込みに責任者と復旧経路が必要だ

モデルプロバイダーは提案された操作を生成またはレビューする。エージェント構築者はツールとオーケストレーションを選ぶ。アプリケーション所有者はリソースレベルおよび業務ルールの認可を強制する。エンタープライズ運用者は認証情報と承認をプロビジョニングする。ワークフロー所有者は部分的な失敗や不可逆な操作の後に何をするかを決める。

構築者は、読み取り用と書き込み用の認証情報を分けることで、こうした境界を具体化できる。スケジューリングエージェントに必要なのは、指定された会議を、名前を挙げた参加者と作成する権限である。待機リストエージェントには、キュールールを保つ限定操作が必要である。複数の操作が同じアプリケーションに触れるからといって、どちらにもアカウント全体の制御は必要ない。

ユーザーが結果を伴う操作とその対象を確認できる場合にのみ、意味のある同意を与えられる。広範な「このエージェントを許可する」というプロンプトは、リスクを移転する。影響の大きい書き込みには、システムが何を変更しようとしているかを把握した後、実行直前の意味的チェックポイントが必要だ。それが同意アーキテクチャである。

エンタープライズには、そのチェックポイントと後続の操作を示す証拠も必要である。監査記録は、元の目標、選択したツール、対象オブジェクト、承認、サービスレスポンス、最終状態を結び付けるべきだ。もっともらしいトランスクリプトがあっても、どの書き込みが外部システムに到達したかは証明できない。

ワークフロー構築者は、pending、approved、executed、failed、reversed、escalatedといった状態を持つ有限状態機械または階層状態機械に復旧を組み込める。外部操作を取り消せない場合、ワークフローは実行前のエスカレーションを求めるか、あらかじめ補償操作を定義できる。そうすれば復旧も認可された経路の内側にとどまる。

オーストラリアのジムで、ABCが報じたのは、上位に移りたいという依頼が最上位会員の削除で終わった事案である。公開されている記述からは、どのエンドポイント、認証情報、ワークフロー、ルールがそれを許したのかは分からない。Microsoftの常駐エージェントとBaiduが計画する700M-MAUのホストは、より長く存続するアイデンティティとより大きな消費者向け接点へ、行動する能力を広げる。ジムでの正確な仕組みが何であれ、すべてのサービスは、どの書き込みを受け入れるかを決めなければならない。権限こそが製品である。