チャットAIは、利用者が画面を開いて質問し、回答を受け取る道具として普及しました。OpenClawをはじめとする「Claw系」は、この関係を変えようとしています。AIがPC上で常時動き、メッセージを受け取り、予定した時刻に起動し、複数のアプリをまたいで処理するようになれば、利用者はPCの前にいなくても仕事を進められます。ただし、操作権限を渡すほど、誤操作や情報漏洩が起きたときの影響も大きくなります。

【関連記事】なぜGAFAは専用チップの開発に躍起になるのか？性能・供給・ブランドを左右する垂直統合戦略

AIをPCに常駐させる「Claw系」

Claw系は、業界団体などが定めた正式な分類ではありません。OpenClawの登場後、個人の機器で継続的に動き、メッセージを通じて指示を受け、記憶やツール、定時実行機能を使って作業する仕組みを指す言葉として使われ始めました。従来のチャットAIとの違いは、会話そのものよりも、会話から実際の処理へつなげる点にあります。

AIエージェントを動かし続ける仕組み

OpenAIの共同設立者であるアンドレイ・カーパシー氏は、OpenClawを受けて「Claw」という分類を提案しました。Clawは個人の機器で動き、メッセージアプリから指示を受けて、作業の実行やスケジュール管理、過去のやり取りの引き継ぎを担います。AIエージェントはLLMを利用してツールを選び、実際の処理を進めます。Claw系では、このエージェントをいつでも利用できる状態に保ちます。

OpenClawは、Discord、Slack、Telegram、WhatsAppなどのメッセージアプリとAIエージェントをつなぐ、自己ホスト型のゲートウェイです。自己ホストとは、自分のPCや管理下のサーバーでシステムを動かす方式を指します。1つのゲートウェイが複数のアプリから指示を受け取り、利用するAIモデルやツールへ処理を振り分けます。

「Claw系」は新しいAIモデルではありません。 指示の内容を解釈し、次の処理を決めるのは、GPTやClaude、Gemini、ローカルで動かすオープンモデルなどです。Claw系は、指示を受け取るアプリ、保存する情報、利用できるツール、処理を始める時刻、操作を許可する範囲を管理します。

OpenClawのツールには、ファイルの読み書き、コマンドの実行、ブラウザ操作、Web検索、メッセージ送信などがあります。通常のチャットAIが回答を表示して終わるのに対し、Claw系は実際の操作まで行えます。たとえば、届いたメールを検索し、添付資料を読み、予定表を確認し、結果をメッセージで返すといった処理です。AIの利用範囲が、文章生成からPC上の作業へ広がります。

会話後も仕事を続ける

Claw系は、1回の会話が終わった後も状態を保ち、次の処理へつなげられます。ただし、会話の内容をすべて自動的に記憶するわけではありません。OpenClawでは、残すべき情報をワークスペース内のMarkdownファイルへ書き込み、必要なときに読み出します。会話中だけ使われる一時的な文脈と、ディスクへ保存される長期的な記憶は分けて管理されます。

「前回と同じ条件で調べる」「この形式で毎週まとめる」といった依頼を続けるには、過去の判断基準や作業方法を残しておく必要があります。一方、誤った内容を記憶として保存すれば、その後の処理でも同じ間違いが繰り返されます。記憶は便利な機能ですが、何を保存し、いつ見直すかは利用者が管理しなければなりません。

さらにOpenClawには、登録した処理を指定時刻に始める機能があります。スケジューラーが実行予定を保存し、決められた時刻にエージェントを起動します。結果はチャットのほか、外部システムへ自動通知するWebフックにも送れます。利用者が毎回「調べて」と指示しなくても、朝の情報収集、特定条件の監視、週次報告などを続けられます。

常時稼働、長期的な記憶、定時実行、メッセージによる遠隔操作は、それぞれ単独で見ると新しい技術ではありません。Claw系は、これらを個人用AIエージェントとして一つにまとめました。 高度な自動化システムを一から開発しなくても、普段使うメッセージアプリから設定して実行結果を受け取れるため、注目を集めました。

軽量化と安全性を重視する派生プロジェクト

OpenClawの登場後、NanoClaw、ZeroClaw、IronClaw、PicoClaw、NemoClawなどが開発されました。名称は似ていますが、すべてがOpenClawの派生版というわけではありません。コードや構成を小さくする、安全性を重視する、低性能な機器でも動かせるようにするなど、それぞれ異なる方法で同じ用途に取り組んでいます。

NanoClawは、エージェントごとに作業場所と記憶を分け、コンテナという隔離された実行領域を設ける設計です。エージェントには許可した場所だけを利用させます。ZeroClawは、メッセージアプリとの接続、AIモデル、ツール、記憶を交換可能な部品として構成しています。PicoClawはGoで作られた独立プロジェクトで、開発元は10MB未満のメモリと10ドル程度の機器で動かせると説明しています。ただし、PicoClawは開発初期であり、公式リポジトリでは本番環境への導入を控えるよう注意しています。

IronClawは、WASMを使った隔離環境で外部ツールを動かし、通信先、認証情報、使用できるメモリやCPU、実行時間などを制限する設計です。NVIDIAのNemoClawは、OpenClawをNVIDIA OpenShell上で隔離し、ローカルモデルと組み合わせる構成を示しています。

Claw系は、機能の数だけで優劣が決まるわけではありません。常時稼働するAIへ仕事を任せるには、利用者が仕組みを理解できるか、低い負荷で動かせるか、他のデータや処理から隔離できるかも問われます。各プロジェクトはAIをPCに常駐させる仕組みに加え、安全に使い続けるための条件も示し始めています。

PCに「手順」ではなく「目的」を伝える

従来のPCでは、利用者が作業の開始から終了まで画面の前に座り、必要なアプリを順番に操作していました。Claw系では、目的と条件を伝えた後、PCが複数の処理を進めます。利用者は必要に応じて途中で承認し、最後に結果を確認します。キーボードやマウスによる操作が、会話による指示に置き換わるだけではありません。

アプリごとの操作をAIに任せる

たとえば、メールで届いたイベント案内を確認し、添付資料を保存して、参加日時を予定表へ登録したうえで関係者へ返信するとします。従来はメール、ファイル管理、PDFの閲覧、予定表を順番に開き、それぞれの画面で操作する必要がありました。利用者は、どのアプリをどの順番で使うかまで自分で考えます。

利用者はClaw系に、目的と条件をまとめて「届いた案内を確認し、参加すべき予定だけを一覧にして、既存の予定と重複していたら知らせる」と指示します。エージェントは利用を許可されたツールから必要なものを選び、メール、ファイル、予定表をまたいで処理します。従来は利用者が操作手順を決め、PCがその指示に従っていました。Claw系では、利用者は目的と判断基準を示し、PCが手順を組み立てます。

利用者が仕事を捉える単位も変わります。従来は「メールを開く」「表計算へ転記する」「予定表へ登録する」といったアプリごとの操作を仕事として捉えていました。Claw系では、「イベントへの参加可否を整理する」という目的そのものが仕事の単位になります。複数のアプリをまたぐ細かな操作は、利用者から見えにくくなります。

ただし、目的を伝えれば必ず正しい手順が作られるわけではありません。「参加すべき予定」の基準が曖昧なら、エージェントは誤った判断をする可能性があります。添付資料に記載された条件を読み違えたり、予定の重要度を勝手に補ったりする場合もあります。利用者は個々の操作を担う代わりに、目的や優先順位、禁止事項を決めるようになります。

PCの前で待つ必要がなくなる

Claw系はメッセージアプリから指示できるため、作業用PCの前に座っている必要がありません。外出先からスマートフォンで依頼し、自宅や職場のPCに処理させ、結果を同じアプリで受け取れます。小さな画面でPCを遠隔操作する代わりに、仕事の内容を伝えて任せられます。

定時実行と記憶を組み合わせれば、さらにPCとの付き合い方が変わります。毎朝決まった情報を集める、指定した製品の更新を監視する、受信した資料を分類する、週末に活動記録をまとめるといった処理を、利用者が離れている間に進められます。作業が終わるまで画面を見続ける必要はありません。

PC作業は、同期型から非同期型へ変わります。同期型の作業では、利用者が操作し、処理を待ち、結果を見て次の操作を決めます。非同期型では、仕事を預けた後に別の仕事を進め、通知が届いた時点で結果を確認します。操作が簡単になるだけでなく、利用者の時間の使い方まで変わります。

PC Watchの記事では、筆者がOpenClawを約3週間使い、コンテンツの収集、日々の情報確認、Gmailの要約、過去の原稿をもとにしたテンプレート作成、取材予定の調整などを任せています。また、入手できなかったゲーム内コンテンツが再配信されないか、定期的に監視させています。こうした継続的な確認は、毎回サイトを開いて検索するよりも、条件を決めて結果だけを受け取る方が適しています。

アプリをAIが操作できるようにする

利用者が目的を伝えるようになると、アプリの画面は必ずしも作業の入口ではなくなります。それでも、アプリ自体が不要になるわけではありません。メール、予定表、文書管理、会計などの機能とデータは引き続き必要ですが、利用者が画面を直接操作する機会は減っていきます。

エージェントがアプリを安定して使うには、システムからアプリを操作するためのAPIが重要になります。どの情報を読めるのか、何を書き換えられるのか、送信や削除を許すのかを細かく設定できなければなりません。処理が失敗した理由や変更内容を確認し、元に戻せる機能も必要です。これからのアプリには、利用者向けの使いやすい画面に加え、AIが安全に操作するための権限設定と操作履歴が求められます。

APIがないサービスでは、エージェントが利用者と同じようにブラウザを操作する場合があります。ところが、ブラウザ操作は、画面構成の変更、確認画面の追加、広告の表示、ログイン状態などの影響を受けます。昨日まで動いていた手順が、ボタンの位置や文言の変更で止まる場合もあります。会話で指示すれば、あらゆるアプリを安定して操作できるわけではありません。

それでもGUIは残る

Claw系が普及しても、GUIが消えるとは考えにくいです。一覧を見ながら複数の候補を比較する、画像や数値の違和感を見つける、細かなレイアウトを調整する、途中の結果を修正する、といった作業には画面が適しています。送信、購入、削除など、取り消しにくい操作の最終確認にもGUIは必要です。

PC Watchの記事でも、OpenClawが作った原稿には、似た内容の繰り返し、書き手の意図とのずれ、数値や製品仕様の誤認が見られました。AIが自然な文章を作れても、内容まで正しいとは限りません。

AIには、最初の案を作る作業や、情報を集めて整理する作業を任せられます。そうすれば、利用者は判断や修正に時間を使えます。ただし、結果を確認せず、そのまま外部へ出すのは危険です。エージェントには定型処理を任せ、利用者は判断基準が曖昧な作業、精密な編集、例外処理、最終承認を担うという役割分担が現実的です。

利用者が使うPCとAIを動かすPCを分ける

Claw系を常時動かすのであれば、PCの使い分けも必要になります。普段使いのPCには、仕事の資料、写真、請求書、個人情報、保存済みの認証情報などが集まっています。そのPCへAIエージェントを常駐させ、広い権限を与えると、誤操作が起きた場合の影響も大きくなります。

PC Watchの記事では、こうしたリスクを抑えるため、OpenClaw専用のミニPCと専用アカウントを用意しています。必要なファイルだけを共有し、普段使いのPCに保存された他の情報へ触れさせないようにしています。この専用機は、高い処理性能を得るためではなく、AIが操作できる範囲を物理的に分けるために使っています。

PicoClawのようにエージェント基盤の軽量化が進めば、安価な小型PCやシングルボードコンピュータを常設機として使いやすくなります。ただし、軽量なのは指示やツールを管理する基盤です。AIモデルまで同じ小型端末で快適に動かせるとは限りません。今後は、1台の高性能PCへすべてを集約せず、利用者が直接使う作業機と、AIが裏側で動く常設機を使い分ける可能性があります。

Claw系を安全に運用するために

メールを読み、ファイルを書き換え、ブラウザを操作できるからこそ、Claw系は実際の仕事を進められます。ただし、判断を誤った場合や外部情報に命令が埋め込まれていた場合には、エージェントが同じ権限で望まない操作を実行する可能性があります。任せられる仕事を増やすだけでは、安全には使えません。

権限を広げるほど仕事もリスクも増える

Claw系にファイル、コマンド、ブラウザ、メール、予定表、クラウドストレージの権限を与えるほど、任せられる仕事は増えます。メールの要約だけなら読む権限で足りますが、返信まで任せるには送信権限が必要です。予定の確認だけでなく登録や変更を任せるなら、書き込み権限も必要になります。

誤操作や攻撃が起きれば、その権限が不正な処理にも使われる可能性があります。Microsoftは、OpenClawが出所を信頼できない文章を読み込む点、外部スキルを取得して実行する点、付与された認証情報で操作する点をリスクとして挙げています。対策が不十分な場合、認証情報やデータが流出したり、保存された記憶が書き換えられたり、PCの実行環境が侵害されたりする可能性があります。

プロンプトインジェクションには特に注意が必要です。これは、メールやWebページ、文書などに埋め込まれた命令によって、AIの判断を誘導する攻撃です。利用者にとっては読むだけの文章でも、エージェントが自分への指示と誤認すれば、ファイル操作や外部送信を始める恐れがあります。同じエージェントに外部情報を読ませ、PCの操作も許すと、外部の文章がPC操作のきっかけになる可能性があります。

さらに、Claw系には記憶機能や定時実行機能があります。記憶や設定、予定された処理が書き換えられると、一度攻撃を受けただけでも、その後まで不正な動作が続く可能性があります。正規の認証情報とAPIを使った操作は、管理者から見ると通常の自動処理に見える場合があります。ログを残していなければ、何が起きたのかを後から確認するのも困難です。

OpenClawの公式資料も、コマンドの承認や許可リストは強固な隔離の代わりにならないと説明しています。信頼された単独利用者向けの標準設定では、使いやすさを優先し、ホスト上のコマンド実行に毎回の承認を求めない場合もあります。承認画面を増やすだけでは不十分であり、エージェントが重要なデータや機能にアクセスできない環境を用意する必要があります。

すべてがPC内で完結するとは限らない

Claw系は自己ホスト型であるため、クラウド上のサービスよりも自分で管理できる範囲が広がります。ただし、自己ホスト型だからといって、すべての処理がPC内で完結するわけではありません。

OpenClawのゲートウェイや記憶を自分のPCで動かしていても、外部のAIモデルを利用すれば、指示や処理対象の一部がAPIを通じて外部へ送られます。Gmail、Googleカレンダー、クラウドストレージなどを利用する場合も、それぞれのサービスとの通信が発生します。データがどこを通るかは、Claw系をどこで動かすかだけでなく、どのAIモデルと外部サービスを使うかによって決まります。

OpenClawは、LM StudioやOllamaなどを通じて、PC内で動かすローカルモデルも利用できます。モデルまでPC内で動かせば、外部へ送るデータを減らせます。ただし、公式資料は、ローカルモデルを使う場合には、ハードウェア、一度に扱える情報量、プロンプトインジェクション対策の条件が厳しくなると説明しています。小型モデルや、データ量を大きく減らす量子化を施したモデルでは、長い資料を処理しにくくなり、サービス提供者側の安全機能も利用できない場合があります。

NVIDIAのNemoClawは、DGX Spark上でローカルモデルを動かし、OpenClawを隔離された環境で利用する構成を示しています。これは、モデルまでローカルで動かす構成の一例であり、一般利用者にとっての必須条件ではありません。外部モデルを使う方法、手元のGPUでモデルを動かす方法、専用機器を用意する方法では、費用、性能、管理の負担がそれぞれ異なります。

「自分のPCで動くから安全」「ローカルモデルなら問題はない」と考えるのではなく、データがどこへ送られ、どの権限で何が実行されるかを確認する必要があります。

隔離と最小権限の設計

Claw系を安全に使うには、普段使いのPCに導入して広い権限を与えるのではなく、最初に実行範囲を分ける必要があります。専用PC、仮想環境、コンテナ、小型の仮想マシンであるMicroVMなどを使い、エージェントが見られるファイルと操作できる機能を限定します。

NanoClawは、エージェントごとに作業場所、記憶、コンテナを分け、明示的に許可した範囲だけを利用させる設計です。Dockerとの連携では、各エージェントを使い捨て可能なMicroVM内で動かし、必要な作業フォルダだけを割り当てます。エージェントがMicroVM内でパッケージを導入したり設定を変更したりしても、影響を隔離された環境内に抑える狙いがあります。

IronClawは、追加したツールをWASMを使った隔離環境の中で動かし、通信先、認証情報、メモリ、CPU、実行時間を制限する仕組みを掲げています。認証情報をツールへ直接渡さず、外部へ通信するときに必要な情報だけを渡す設計や、ツールの実行履歴を残す機能もあります。これらの製品がすべての攻撃を防げるという意味ではありませんが、Claw系を実用化するうえで必要な管理機能を示しています。

実際の運用では、専用環境を用意するだけでなく、用途ごとに権限を分ける必要があります。メールの整理を任せるなら、最初は読み取りだけに限定し、返信は下書きまでにとどめます。ファイル処理では、PC全体ではなく専用フォルダだけを共有します。送信、購入、削除、公開など、取り消しにくい操作には事前承認を必須とします。外部スキルは追加前に提供元と内容を確認し、不要になった権限は削除します。

ログとバックアップも欠かせません。いつ、どの指示を受け、何を読み、どのツールを使い、何を書き換えたのかを記録できなければ、問題が起きても原因を追えません。重要なファイルは、エージェントから直接変更できない場所にもバックアップを残しておく必要があります。

管理コストは残る

OpenClawや多くのClaw系がオープンソースであっても、運用が無料になるわけではありません。外部のAIモデルを使えば、契約プランやAPIの費用がかかります。検索や外部サービスにも利用料が発生する場合があります。常時稼働する機器の購入費と電力も必要です。

定時実行や自動処理が増えると、利用者が意識しないまま実行回数と処理量が増える可能性があります。毎朝の情報収集に失敗し、同じ処理を何度もやり直せば、その分だけ費用が増えます。複数のエージェントを並行して動かす場合も、処理量を把握する仕組みが必要です。

ローカルモデルを使えば、外部APIの費用を減らせる場合があります。ただし、GPUを搭載した機器、電力、モデルの更新、障害対応が必要です。外部モデルとローカルモデルのどちらが安いかは、処理量、求める性能、情報の機密性、運用を担当できる人員によって変わります。

自動化した処理は、動き始めた後も管理しなければなりません。期限切れの認証情報、変更されたWeb画面、失敗した定時処理、誤って保存された記憶を放置すれば、処理が止まるか、誤った処理が続きます。エージェントへ仕事を任せるほど、利用者は実行状況や失敗の有無、費用、権限を確認する必要があります。

Claw系を日常的に使えるようにするには、AIモデルの賢さだけでなく、どこで動かすか、何を見せるか、何を実行させるか、いつ利用者が承認するか、何を記録するかを先に決める必要があります。AIに無制限に任せず、管理できる範囲で仕事を預けなければ、こうしたPCの使い方は成り立ちません。

まとめ

Claw系によって、利用者とPCの役割分担が変わります。入力方法の変化は、その一部にすぎません。PCは、利用者が画面の前にいるときだけ使う道具ではなく、メッセージや予定を受け取り、不在時にも処理を続けるようになります。

定型的な情報収集、整理、監視、報告はエージェントに任せ、利用者は目的、条件、権限を決めて結果を確認します。比較、精密な編集、例外処理、最終承認は引き続きGUIで行います。GUIは不要になるのではなく、エージェントの処理を確認し、必要に応じて修正するための画面へと役割が変わるでしょう。

一方、Claw系の利便性と危険性は、どちらも与えた権限によって決まります。専用環境、隔離、最小権限、承認、ログ、バックアップ、費用管理を備えなければ、常時稼働するAIが事故を招くおそれがあります。PCの使い方を変えるには、AIへ何でも任せるのではなく、どこまで任せるかを先に決めなければなりません。

Claw系を導入する際は、自律性の高さだけを追求するのではなく、利用者が結果に責任を持てる範囲で自動化を広げる必要があります。

参考文献

OpenClawの大ヒットを受けてAIエージェントの上をいく「Claw」が続々登場

“何でもやってくれる”AIエージェント「OpenClaw」を試して知った魔力と怖さ