OpenClaw は、さまざまなツールを実行し、オンラインプラットフォーム上で開発者に代わって、人間のユーザーや他の AI エージェントとオープンにコミュニケーションできるオープンソースの AI エージェントである。その能力は名前付きのスキルを登録することで拡張でき、エージェントはそのスキルをツール呼び出しとして起動できる。
Dive into Claude Code：現在および将来の AI エージェントシステムの設計空間 はこれをより具体的に、メッセージングの接点（WhatsApp、Telegram、Slack、Discord、Signal など）を組み込みのエージェントランタイムにつなぐローカルファーストの WebSocket ゲートウェイであり、macOS、iOS、Android 向けのコンパニオンアプリを備えると説明している。そして、リポジトリに縛られたコーディングツールではなく、マルチチャネルの個人アシスタントのための常駐型コントロールプレーンだと特徴づけている。OpenClaw は常駐デーモンとして動作し、すべてのメッセージング接点との接続を保持し、型付きの WebSocket プロトコルを介してクライアント、ツール、デバイスノードを調整する。
このエージェントは AI エージェントにおける Proof-of-Guardrail と、そこから何を信頼すべきか（すべきでないか） でも実装対象として使われており、そこでは Trusted Execution Environment（TEE） の内部にデプロイされ、応答にどのガードレールが適用されたかをユーザーが検証できるようになっている。報告されたこのデプロイでは、モデル呼び出しは GPT-5.1 をバックエンドモデルとする外部の LLM API によって処理され、最小構成の Linux カーネルおよび Node.js と Python の依存関係とともにエンクレーブ向けにパッケージ化された。
機能
OpenClaw は、オンラインのコミュニケーションプラットフォーム上で計画を立て、ツールを呼び出し、新しいメッセージに応答する。モデルへのアクセスは、単一のローカルエンドポイントを向けられるほど柔軟に設定できる。Proof-of-Guardrail の実装では、エンクレーブ内でローカルのプロキシ LLM サーバーを起動し、それを OpenClaw が利用できる唯一の LLM の選択肢として設定することで、すべての入力、ツール呼び出し、出力がそのプロキシを経由するようにしている。同じ研究は、ガードレールを実行しやすくするために、その構成では応答のストリーミングを無効にしたと記している。
能力は名前付きのスキルとして登録でき、エージェントはそれを起動するかどうかを自ら判断できる。エンクレーブのアテステーションサービスを「アテステーションスキル」として登録したことで、エージェントは明示的に求められたときだけでなく、重大な質問を受けたときに自発的にアテステーションを提示できるようになった。論文の例では、ユーザーが新たに発行されたトークンに貯蓄をつぎ込むべきかを尋ね、注意を促す回答とそのアテステーションの両方を受け取っている。
アーキテクチャ研究は、このランタイムを、より大きなゲートウェイのディスパッチ層の内部に置かれた組み込みのエージェントコアとして説明している。ゲートウェイのエージェント RPC はパラメータを検証し、セッションを解決して即座に応答を返す一方、組み込みのランナーがエージェントループを実行し、ライフサイクルイベントとストリームイベントをゲートウェイのプロトコルを通じて返す。実行はセッションごとのキューとオプションのグローバルレーンによって直列化され、マルチチャネルの接点全体でツールやセッションの競合を防いでいる。
拡張はマニフェストファーストである。プラグインは、テキスト推論、音声、メディア理解、画像・音楽・動画の生成、Web 検索、メッセージングチャネルなどを含む 12 種類の能力タイプにわたって、中央レジストリに能力を登録し、ゲートウェイはそのレジストリを読んで、ツール、チャネル、プロバイダーの設定、フック、HTTP ルート、CLI コマンド、サービスを公開する。これとは別のスキル層は、ワークスペース、プロジェクト、個人、管理対象、同梱、追加の各ディレクトリからスキルを取り込み（ワークスペースのスキルが最も優先される）、公開レジストリも備える。MCP は、組み込みのサーバーコマンドとアウトバウンドクライアントのコマンドによってサポートされる。
メモリは、コンテキスト管理の副産物としてではなく、独立したサブシステムとして扱われる。ワークスペースのブートストラップファイルはセッション開始時にシステムプロンプトへ注入され、メモリシステムは長期的に保持される事実、日付の付いた日次ノート、そしてバックグラウンドでの統合による要約を収めるオプションのファイルを管理する。埋め込みプロバイダーが設定されている場合、メモリ検索はベクトル類似度とキーワード照合を組み合わせ、実験的なバックグラウンドプロセスが候補を採点して、条件を満たした項目だけを短期の想起から長期メモリへ昇格させる。コンパクションの前には、重要なメモをメモリファイルに保存するようエージェントに自動的に促される。
安全性に関する姿勢
アーキテクチャ研究は、OpenClaw のセキュリティモデルをアクションごとの承認システムと対比している。OpenClaw はゲートウェイのインスタンスごとに信頼できる単一のオペレーターを前提とし、アクションごとの安全性分類ではなく、ID とアクセス制御（ダイレクトメッセージのペアリングコード、送信者の許可リスト、ゲートウェイ認証）から始める。ツールのポリシーは、中央集権的な分類器ではなく、エージェントごとに設定可能な許可リストと拒否リストを用いる。サンドボックス化は複数のバックエンドと設定可能なスコープを持つオプトイン機能として利用できるが、デフォルトでは有効になっておらず、プロジェクトのセキュリティドキュメントは、共有ゲートウェイ上での敵対的なマルチテナント分離はサポート対象のセキュリティ境界ではないと明言している。
マルチエージェントの挙動は、2 つの別個の関心事に分かれている。1 つのゲートウェイは、それぞれ独自のワークスペース、認証プロファイル、セッションストア、モデル設定を持つ、完全に分離された複数のエージェントをホストでき、決定的なバインディングルールによってチャネルや送信者に振り分けられる。これとは別に、単一のエージェント内では、設定可能なネストの深さとスレッドに紐づいたセッションを伴うバックグラウンド実行を生成できる。研究は、プロジェクト自身のビジョンが、エージェント階層型のフレームワークをデフォルトのアーキテクチャとすることを明確に拒んでいると記している。
エージェント型 AI のためのモデル AI ガバナンス・フレームワーク はこれをより簡潔に、Telegram や Slack などの一般的なチャットインターフェースを通じて自律的な個人アシスタントとして動作し、調査のとりまとめ、顧客からの問い合わせへの対応、コードのデバッグといった日常的なタスクを自動化するオープンソースの AI エージェントプラットフォームとして説明している。このフレームワークが自らの 4 つの次元を OpenClaw のデプロイに当てはめた検討では、このプラットフォームは限られたセキュリティ制御のまま公開されており、安全にデプロイするのは容易ではないとし、懸念事項として、成熟度と堅牢化の不足、アクセス制御と認証の欠落、機密データの露出、サードパーティ製スキルに起因するサプライチェーンリスク、メモリポイズニングのリスクを挙げている。IMDA は、この評価に至るにあたり GovTech、CSA、Grab、Microsoft の実務経験を参考にしたと報告している。
OpenClaw や同様のエージェントを責任をもってデプロイするための推奨事項は、設定値としてではなく、避けるべきことと強制すべきポイントとして述べられている。リスクを事前に抑えることについては、機密データや金融取引を扱うシステムを含むミッションクリティカルな環境にそのままデプロイしないこと、無制限のアクセス権を持つ単一の万能エージェントを作らず、代わりに狭く明確に定義されたルールを持つ複数のエージェントを使うこと、機密データを含む主要な業務用・個人用デバイスに、ファイルやアプリケーションへの無制限のアクセス権を与えてインストールしないことを挙げる。人間の説明責任については、データの機密性とタスクの重要度についてのリスクベースの評価に基づいてエージェントの自律性のレベルを設定し、可能な限り、プロンプト層のガードレール（フレームワークによれば回避されたり「忘れられ」たりしうる）ではなく、システムレベルの制御によって人間の承認を強制することを求める。技術的な制御については、デフォルトでは許容的だとされる OpenClaw の設定を見直して厳格化すること（メッセージングチャネルへのアクセスを制限し、エージェント専用の ID と認証情報を使う）、デプロイ前には許可されていないアクションを試みることで安全制御と ヒューマン・イン・ザ・ループ が意図どおりに機能することを検証すること、デプロイ後にはエージェントのすべてのアクションが記録され、帰属を特定できるようにし、エージェントを長時間監視なしで放置しないことを挙げる。エンドユーザーの責任については、自律型エージェントのリスクと、不注意による誤用を防ぐユーザー自身の責任について、人員への研修を行うことを求める。
採用とエコシステム
著者らのデモンストレーションでは、OpenClaw は Telegram 上の AI ボットとして動作し、ユーザーのメッセージに自動的に応答した。チャット内の他のユーザーは、チャットコマンドを通じていつでもアテステーション文書を要求できた。著者らはこのエージェントを強力でオープンソースなものと特徴づけ、自らの実装の具体例として用いている。
アーキテクチャ研究によれば、OpenClaw は Agent Client Protocol との統合を通じて、Claude Code、OpenAI Codex、Gemini CLI を外部のコーディングハーネスとしてホストできる。研究はこれを、ゲートウェイレベルのシステムとタスクレベルのハーネスが競合するのではなく組み合わさることの証拠として示している。この論文では OpenClaw は、Hermes Agent とともに、Claude Code の設計上の選択と比較するための独立した比較対象として用いられている。