【2026年8月最新】OpenClawのセキュリティ設定完全ガイド｜Gateway・権限・Telegramを安全に運用する方法

※最終更新：2026年8月14日。OpenClaw公式ドキュメントを確認し、Gateway、Telegram、実行権限、プロンプトインジェクション、サンドボックス、秘密情報、監査手順を更新しました。

OpenClawは、質問に答えるだけのチャットAIではありません。設定次第では、ファイルの読み書き、コマンドの実行、外部サービスへの接続、メッセージ送信まで行えます。便利な反面、「誰が指示できるのか」「どこまで操作できるのか」を決めないまま使うと、誤操作や情報漏えいの影響が大きくなります。

この記事では、インストール済みのOpenClawを前提に、Gateway、Telegram、端末、ツール、サンドボックス、秘密情報、Skills・プラグイン、ログ、緊急停止までを、2026年8月14日時点の公式情報に沿って整理します。

この記事の要点

※OpenClawは更新頻度が高いため、実際の設定時には公式Securityと公式Configurationも確認してください。

この記事の範囲｜インストール方法とは分けて考える

この記事はセキュリティ設定に特化しています。OpenClawの概要、料金、向いている用途はOpenClawとは？できること・使い方・料金・企業利用の注意点で解説しています。

インストール、オンボーディング、モデル設定、基本操作から進めたい方は、OpenClaw完全入門ガイドを先にご覧ください。

安全な運用で確認すべき対象は、次の8つです。

最初に理解したい「1 Gateway＝1つの信頼境界」

公式のセキュリティモデルでは、1つのGatewayを1人、または互いに信頼できる1つの運用単位で使うことが前提です。互いに信頼していない複数の利用者や、別々の顧客が、同じGatewayとエージェントを共有するマルチテナント境界としては設計されていません。

これは、同じエージェントへ指示できる利用者が、そのエージェントに渡されたツール権限を事実上共有するためです。会話を分けただけでは、強いアクセス制御にはなりません。

たとえば、経理部門の請求書データへアクセスするエージェントと、全社員が使う社内FAQボットを同じGatewayへ載せると、入口の設定ミスが経理データへ波及します。企業利用では「AIを何体作るか」より先に、「どこで信頼境界を切るか」を決める必要があります。

設定変更前に、現状と戻し方を確認する

セキュリティ強化は、設定項目を増やせば終わりではありません。変更前の状態を記録し、問題が起きたらどこまで戻すかを決めます。

まず、Gatewayの状態、構成エラー、現在の警告を確認します。

openclaw gateway status
openclaw doctor
openclaw security audit

設定ファイルは通常`~/.openclaw/openclaw.json`にあります。OpenClawは設定を厳密に検証するため、存在しないキーや型の誤りがあるとGatewayが起動しないことがあります。直接編集する場合は、変更前のファイルを安全な場所へ退避し、認証情報を含む可能性があるため共有フォルダや公開リポジトリへ置かないでください。

Gatewayをインターネットへ安易に公開しない

Gatewayはモデル、ツール、チャネル、端末をつなぐ制御部分です。最初の検証では、ローカル接続に限定するのが基本です。

公式情報では、GatewayのWebSocket認証は標準で必要とされ、有効な認証経路がなければ接続を拒否する設計です。オンボーディングでは、ローカル利用でもトークンが生成されます。ただし、「認証があるからどこへ公開しても安全」という意味ではありません。

外部接続を追加する前に、少なくとも次を確認します。

• Gatewayが意図したアドレスだけで待ち受けているか

• 推測されにくい認証トークンが設定されているか

• 平文の外部通信になっていないか

• ルーターやクラウドのファイアウォールで不要なポートが開いていないか

• 接続元をVPNや許可ネットワークへ限定できるか

• 緊急時に外部アクセスを遮断できるか

認証トークンが必要な場合は、公式が案内する次のコマンドで生成できます。

openclaw doctor --generate-gateway-token

トークンをチャットや記事、スクリーンショットへ貼り付けないでください。また、`gateway.remote.token`は接続する側の認証情報であり、それだけでGateway側のローカルWebSocketを保護する設定ではありません。接続元と接続先の設定を混同しないことが重要です。

Telegramは「pairing」を基本にする

Telegramでは、ボットへ届いたメッセージがエージェントの入力になります。つまり、DMの公開範囲は、そのままAIへの指示経路の公開範囲です。

DMポリシーには、次の4種類があります。

`pairing`では、利用者が最初のメッセージを送るとコードが発行されます。コードは1時間で期限切れになります。Gateway管理者は、送信者を別経路で確認したうえで承認します。

openclaw pairing list telegram
openclaw pairing approve telegram <CODE>

DMとグループの許可は別に管理する

DMのペアリングを承認しても、グループでの操作権限が自動的に安全になるわけではありません。グループでは、次の2段階を分けて設定します。

1つ目は、そのグループ自体を許可するか。2つ目は、グループ内の誰がボットを起動できるかです。さらに、メンションがあるときだけ応答する設定を組み合わせます。

複数の利用者がDMを送る構成では、会話の文脈が混ざらないよう`session.dmScope`の分離も検討します。公式は、複数利用者のDMに対して`per-channel-peer`を安全側の選択肢として案内しています。

端末ペアリングではroleとscopeを確認する

新しいブラウザ、アプリ、ノードから接続すると、端末のペアリング承認が求められる場合があります。承認待ちの端末は次のコマンドで確認できます。

openclaw devices list
openclaw devices approve <requestId>

承認前に見るべきなのは、端末名だけではありません。要求されているroleとscope、申請時刻、接続元が想定どおりかを確認します。見覚えのない申請や、想定より広い権限への変更は承認しません。

macOSなどのノードと接続し、`system.run`を許可すると、Gatewayからその端末でコマンドを実行できる場合があります。端末のペアリングは本人確認とトークン発行であり、個々のコマンドを毎回承認する仕組みではありません。ノード側の実行承認も別途設定します。

不要になった端末は、一覧に残したままにせず失効させます。異動、退職、端末交換、検証終了は、アクセス権を見直すタイミングです。

ツール権限は「読める・書ける・実行できる」を分ける

AIエージェントの事故を考えるとき、回答文の誤りだけを見ても不十分です。誤った判断をしたときに、何を実行できるかが影響範囲を決めます。

導入初期は、次の順番で権限を広げます。

本番操作まで一気に開放する必要はありません。最初は読み取りと下書きに絞り、人が確認した後に実行します。成功パターンが固まった業務だけを、許可リストへ追加します。

未信頼の情報を扱うエージェントでは、Gateway設定の参照や定期実行、別セッションの生成・送信など、制御面へ影響するツールも必要性を見直します。プロンプトに「実行しないでください」と書くだけでは強制力がないため、実際のツールポリシーで拒否することが重要です。

プロンプトインジェクションは、送信者だけでなく「読ませる内容」から起きる

ボットへメッセージを送れる人を限定しても、プロンプトインジェクションの危険はなくなりません。Webページ、メール、添付資料、貼り付けたログやコードなど、OpenClawが読む外部コンテンツに、AIを誤誘導する指示が含まれることがあります。

公式ドキュメントも、システムプロンプトだけでは防げないと説明しています。未信頼の情報を扱うエージェントでは、Web検索やブラウザを必要な場合だけ有効にし、読み取り用のエージェントと実行権限を持つエージェントを分けます。外部情報を読んだ直後に、ファイル変更、送信、コマンド実行まで進められる構成は避けてください。

小型・旧世代のモデルは、ツールを持つエージェントや未信頼コンテンツの処理に使わず、利用する場合も読み取り専用、厳しい許可リスト、サンドボックスを組み合わせます。

コマンド実行はallowlistと承認を組み合わせる

Exec approvalsは、サンドボックス内のエージェントがGatewayやノードなど実ホストでコマンドを実行するときの安全策です。ツールポリシー、許可リスト、必要に応じた人の承認がそろったときだけ実行されます。

主な実行モードは次のとおりです。

安全側から始めるなら、`deny`または`allowlist`を基本にし、必要なコマンドだけを追加します。`full`は便利ですが、操作ミスやプロンプトインジェクションがホスト操作へ直結しやすくなります。

現在の公式説明では、Gatewayやノード上のホスト実行は、初期状態で承認なしの`full`になる場合があります。インストールしただけで安全側へ絞られていると思い込まず、次のコマンドで実効ポリシーを確認してください。

実効ポリシーは次のコマンドで確認できます。

openclaw approvals get
openclaw exec-policy show

実行承認は事故を減らす仕組みであり、利用者ごとの完全な認可境界や、ファイルを読み取り専用にする仕組みではありません。一度承認したコマンドは、OS上で許可されている範囲の変更を行えます。

サンドボックスは有効化しない限り働かない

OpenClawのサンドボックスは、ツール実行を隔離環境へ移し、ホストへの影響を抑える仕組みです。ただし、標準ではオフです。Docker関連の設定を書いただけで、サンドボックスが有効になったと思い込まないでください。

主なモードは次の3つです。

設定後は、実際にサンドボックス内で動いているかを確認します。サンドボックスは完全な境界ではありません。マウントしたフォルダ、許可したネットワーク、利用できるツールが広ければ、影響範囲も広くなります。

elevatedは非常用の迂回路として扱う

elevatedを有効にすると、サンドボックスの外側でコマンドを実行できます。`/elevated on`は承認を維持したまま外へ出ますが、`/elevated full`は条件がそろうと承認を省略します。

そのため、常用設定にはせず、利用者の許可リスト、使用理由、実施時間、実行後の解除を決めた非常用操作として扱います。サンドボックスを設定しても、elevatedが広く許可されていれば迂回できる点に注意してください。

APIキーやトークンを会話・記憶へ書かない

APIキー、Botトークン、Gatewayトークン、パスワードを、Telegramや通常チャットへ送って設定させてはいけません。AGENTS.mdやMEMORY.mdなど、エージェントが読むワークスペースにも書かないでください。

秘密情報の保存場所として注意が必要なのは、次のようなファイルです。

• `openclaw.json`

• `.env`

• 認証プロファイル

• チャネルやペアリングに関する認証ファイル

• バックアップ

• ログやスクリーンショット

OpenClawはSecretRefを利用できます。SecretRefへ移行すると、対応する設定値を外部の秘密管理基盤から参照できます。ただし、SecretRefは自動的に有効になる仕組みではなく、移行後に古い平文の値が残っていないことまで確認する必要があります。

openclaw secrets audit --check

SecretRefは、ローカルに平文が残る範囲を減らす仕組みです。エージェントが同じ秘密へアクセスする権限を持っていれば、プロセス分離や利用目的の制限までは保証しません。秘密の保管、参照権限、ローテーションをセットで設計します。

Skillsとプラグインは「便利な追加機能」ではなくコードとして審査する

OpenClawのSkillsはエージェントの手順や利用ツールを拡張し、プラグインはGatewayのプロセス内で動作します。公式も、Skillフォルダとプラグインを信頼済みコードとして扱うよう案内しています。

導入前には、次を確認します。

• 配布元と管理者は明確か

• ソースコードと`SKILL.md`を読めるか

• インストールや更新時に何が実行されるか

• 外部通信先はどこか

• どのファイル、環境変数、コマンドへアクセスするか

• 更新を自動にする必要があるか

• 不要になったときに無効化・削除できるか

Skillsの表示を許可リストで絞っても、それだけでホストのコマンド実行を防げるわけではありません。同じエージェントが`exec`を使えるなら、サンドボックス、OSユーザー分離、Exec approvals、資格情報の分離も必要です。

また、`autoAllowSkills`を有効にすると、既知のSkillが参照する実行ファイルが暗黙の許可対象になる場合があります。厳密な許可リストを求める企業環境では、無効のままにして手動で必要なコマンドだけを許可する方が管理しやすくなります。

security auditで設定のずれを見つける

設定後は、次の公式コマンドで監査します。

openclaw security audit
openclaw security audit --deep
openclaw security audit --json

`--deep`は、稼働中のGatewayへの確認も試みます。`--json`は、結果を記録したり継続監視へ組み込んだりするときに使えます。

自動修正を使う場合は、先に通常の監査結果を読みます。

openclaw security audit --fix

`--fix`が直す範囲は限定的です。公開されたグループポリシーを許可リストへ変更する、ログの機密情報マスキングを戻す、設定ファイルや状態ディレクトリの権限を締める、といった安全側の修正を行います。

一方、漏れたAPIキーのローテーション、不要なツールの無効化、ネットワーク公開の見直し、危険なSkill・プラグインの削除までは自動で行いません。「監査で警告がゼロになったから運用設計も安全」とは限らない点に注意が必要です。

ログは「残す」と「秘密を出さない」を両立させる

OpenClawのログには、ターミナルなどのコンソール出力と、Gatewayが書き出すJSON Lines形式のファイルログがあります。CLIでは次のコマンドで継続表示できます。

openclaw logs --follow

ログは障害調査や不審な操作の確認に役立ちますが、保存期間と閲覧権限を決めずに集め続けると、新しい情報漏えい源になります。

企業運用では、次を決めておきます。

• 誰がログを閲覧できるか

• どのログを何日保存するか

• デバッグやtraceをいつ有効にし、いつ戻すか

• 個人情報や機密情報が混ざっていないか

• 警告や認証失敗を誰へ通知するか

• 監査結果をどこへ保管するか

公式のログ機能には機密情報をマスキングする仕組みがありますが、独自の秘密形式や、業務上の機密文章すべてを自動判定する保証ではありません。実データを使う前に、検証用データでログへ何が残るかを確認します。

問題が起きたときの停止手順を先に決める

セキュリティ事故では、原因を完全に突き止めてから止めようとすると被害が広がります。まず影響を止め、その後に調査します。

初動の順番

1. Gatewayと外部公開経路を停止する

2. Telegramなどのチャネルを無効化する

3. 不審な端末、利用者、ノードのアクセスを失効させる

4. 漏えいの可能性があるAPIキー、Botトークン、Gatewayトークンを無効化・再発行する

5. ログ、設定、監査結果を保全する

6. 最後に正常と確認できた設定へ戻す

7. 原因を特定してから、狭い範囲で再開する

APIキーを設定ファイルから消しただけでは、すでに漏えいしたキーは無効になりません。提供元側で失効・再発行し、利用履歴と請求も確認します。

企業導入前のセキュリティチェックリスト

PoCや本番導入の前に、次の項目を確認してください。

信頼境界と利用者

• 1つのGatewayを共有する利用者が互いに信頼できる

• 部門・顧客・機密区分が異なる場合はGatewayを分けている

• 退職・異動・検証終了時の権限削除手順がある

• 管理者と日常利用者の役割を分けている

接続経路

• Gatewayを意図せず外部公開していない

• 認証トークンを安全に管理している

• TelegramのDMは`pairing`または`allowlist`である

• グループ、送信者、メンションを別々に制限している

• 見覚えのない端末やノードを承認していない

実行権限

• 読み取り、書き込み、実行、外部送信を分けている

• 不要なツールを拒否している

• ホスト実行は`deny`または許可リストから始めている

• サンドボックスが実際に有効か確認した

• elevatedを常用していない

秘密情報と追加機能

• APIキーやトークンをチャット・記憶ファイルへ書いていない

• 平文の秘密情報が残っていないか監査した

• Skillsとプラグインの配布元、コード、通信先を確認した

• 自動更新とロールバックの方針がある

監査と復旧

• 設定変更後に`openclaw security audit`を実行している

• ログの閲覧者、保存期間、通知先を決めている

• Gatewayと外部接続を止める担当者が決まっている

• 認証情報を失効・再発行する手順がある

• 検証データから始め、本番データは段階的に接続している

OpenClaw導入で重要なのは、設定値より運用設計

AIworkerが1,000件を超える商談データを分析した傾向では、生成AIに関する相談の25.1%でセキュリティへの不安が表れています。現場の不安を理由にAIを全面禁止すると、管理外のツール利用へ流れることがあります。一方、便利さを優先して権限を広く開けると、情シスや法務の審査で止まりやすくなります。

必要なのは、「安全か危険か」の二択ではありません。対象業務、扱うデータ、利用者、許可する操作を小さく区切り、検証結果を見ながら広げることです。

たとえば、最初のPoCでは公開情報とダミーデータだけを読み込ませ、下書き作成までに限定します。次に、指定フォルダへの保存を許可します。外部送信や削除は最後まで人の承認を残す。このように、業務フローと権限を一緒に設計すると、セキュリティ審査でも説明しやすくなります。

生成AIからの情報漏洩はなぜ起きる？では、ツール単体ではなく入力データ、アカウント、権限、運用ルールを含めて考える必要性を解説しています。

AIエージェントを、安全に「使われる仕組み」にするために

OpenClawのセキュリティ設定は、コマンドを一度実行して終わる作業ではありません。利用者や接続データ、外部サービスが増えるたびに、信頼境界と権限を見直す必要があります。

株式会社AIworkerは、ツール選定だけでなく、業務の棚卸し、データ区分、権限設計、研修、PoC、本番運用までを一貫して支援しています。現場へツールを渡して終わりにせず、実際の業務を見ながら安全性と使いやすさの両方を整えます。

AIネイティブX研修｜安全な利用判断を現場へ定着させる

生成AIの仕組みや操作方法だけでなく、入力してよい情報、外部送信時の確認、プロンプトインジェクション、アカウント管理など、現場が判断に迷いやすい場面を自社業務に合わせて扱います。

AIネイティブX伴走｜PoCから本番運用まで一緒に改善する

PoCの対象選定から権限設計、利用ログの確認、ルール改善、利用部門の拡大まで継続的に支援します。相談を待つのではなく、実際の業務フローへ入り、リスクと使いにくさをその場で見つけて改善します。

業務AIプロ｜権限と監査を含む専用AIを構築する

汎用ツールだけでは要件を満たせない業務には、自社データと既存システムに合わせたAI環境を構築します。部門・顧客単位の分離、人による承認、監査ログ、権限管理を、業務要件と一緒に設計します。

「OpenClawを社内で試したいが、どこまで権限を与えてよいか分からない」「情シスや法務へ説明できるPoC計画を作りたい」「複数システムを動かすAIエージェントを安全に構築したい」という場合は、現在の業務とデータの流れを伺い、最初に切り出す範囲を一緒に整理します。

よくある質問

Q. OpenClawは企業でも安全に使えますか？

設定する権限、接続するデータ、利用者、ネットワーク構成によってリスクは変わります。製品名だけで安全性を断定することはできません。検証用データと限定権限から始め、情報システム・セキュリティ・法務部門の基準に照らして判断してください。

Q. security auditで警告がゼロなら安全ですか？

いいえ。監査は設定上の問題を見つける有力な手段ですが、業務上のデータ区分、利用目的、社内規程、委託先管理まで自動で判断するものではありません。技術監査と運用審査を組み合わせます。

Q. `openclaw security audit --fix`は何を直しますか？

公開されたグループポリシー、ログの機密情報マスキング、設定や状態ファイルの権限など、限定された項目を安全側へ修正します。キーのローテーション、ツールの停止、ネットワーク公開の見直し、Skill・プラグインの削除は自動では完了しません。

Q. Telegramのボットを自分だけで使う場合もペアリングは必要ですか？

初期値の`pairing`を維持するのが分かりやすい運用です。最初のコードを管理端末で確認し、送信者が自分であることを確認して承認します。`open`へ変更する必要はありません。

Q. サンドボックスを有効にすれば、自由にコマンドを許可できますか？

いいえ。マウント、ネットワーク、ツール権限、elevatedの設定によっては、サンドボックス外へ影響が及びます。サンドボックスと許可リスト、承認、OS上の権限分離を重ねて使います。

Q. APIキーはどこへ保存すればよいですか？

チャットや記憶ファイルへ貼らず、公式の認証経路やSecretRefなど、管理対象の仕組みを使います。保存場所だけでなく、参照できるプロセス、ローテーション、古い平文値の削除まで確認してください。

Q. Skillsやプラグインは公式一覧にあれば安全ですか？

一覧への掲載だけで、自社環境での安全性を保証できるとは限りません。配布元、コード、権限、外部通信、更新方法を確認し、必要なものだけを許可してください。

▶️ サービス資料のダウンロード（資料請求）

▶️ 無料カウンセリング・AI活用診断のご予約

最後まで読んでいただきありがとうございます。励みになりますので、参考になったらスキをお願いします。

参考資料

• Security｜OpenClaw（2026年8月14日閲覧）

• Configuration｜OpenClaw（2026年8月14日閲覧）

• Pairing｜OpenClaw（2026年8月14日閲覧）

• Devices｜OpenClaw（2026年8月14日閲覧）

• Permission modes｜OpenClaw（2026年8月14日閲覧）

• Exec approvals｜OpenClaw（2026年8月14日閲覧）

• Sandboxing｜OpenClaw（2026年8月14日閲覧）

• Secrets management｜OpenClaw（2026年8月14日閲覧）

• Security CLI｜OpenClaw（2026年8月14日閲覧）

#生成AI #AI #AIエージェント #OpenClaw #OpenClaw入門 #OpenClawセキュリティ #セキュリティ #情報セキュリティ #サイバーセキュリティ #AIセキュリティ #Gateway #Telegram #TelegramBot #サンドボックス #アクセス制御 #権限管理 #認証 #秘密情報管理 #APIキー #プロンプトインジェクション #業務効率化 #AI活用 #生成AI活用 #企業DX #DX推進 #社内AI #AIガバナンス #AI導入 #AI研修 #業務AI #最小権限 #ゼロトラスト #セキュリティ監査 #SecretRef #Skills #プラグイン #インシデント対応 #ログ管理 #PoC #デジタル変革