2026年、自律型AI「OpenClaw」の先行導入において不可欠なセキュリティ構成指針を解説。APIキー漏洩や不正実行を防ぐため、127.0.0.1へのバインド強制、NemoClawサンドボックス利用、トークン認証の厳格化など、多層防御の具体策を提示。技術者と管理者が「データ主権」を守りつつ生産性を最大化するための、実践的なインフラ・ガバナンス設定ガイドラインです。
1. 導入の基本原則：自律性と統制の共存
本資料は、OpenClawの高度な自律実行能力を安全に検証するための先行ガイドラインである。導入部署は、利便性よりも「攻撃耐性」と「侵害時の爆発半径（Blast Radius）の最小化」を最優先事項とし、以下の多層防御策を完遂しなければならない。
2. インフラ層：コスト別・用途別の隔離構成パターン
ハードウェアリソースとセキュリティレベルの整合性を図るため、以下の2パターンのいずれかを採用すること。
| 構成パターン | 対象ユーザー | 実行環境 | 推論ノード | 備考 |
| A: 孤立ワークステーション型 | セキュリティ研究・開発者 | ローカルNemoClaw (Docker) | ローカルGPU (VRAM 48GB+) | 物理的に社内NWから論理隔離を推奨。 |
| B: ゲートウェイ集約型 | 先行利用ユーザー | セントラルNemoClawサーバ | 社内推論クラスタ (Ollama等) | ユーザー端末にはAPIキーを保持させない。 |
2.1 ネットワークバインドの強制規定
0.0.0.0へのバインドは、理由の如何を問わずTier-1のセキュリティ違反と定義する。- ゲートウェイは
127.0.0.1(localhost) に固定し、外部接続はVPNまたは踏み台経由のSSHトンネルのみを許可する。
3. 認証・認可層：リスクベース・アクセス制御
「ClawHavoc」の教訓に基づき、静的なAPIキー保存を排し、動的なトークン認証を強制する。
3.1 認証モードの厳格化
gateway.auth.mode: "token"を必須とし、Localモードでの運用は禁止する。- 生成されたトークンは、平文ファイルではなく、組織で承認されたシークレット管理システム（Vault等）に格納すること。
3.2 実行認可マトリクス（Human-in-the-Loop）
エージェントの操作に対し、リスクレベルに応じた「人間の介入」を定義する。
| 操作カテゴリ | 具体例 | 承認要件 |
| Read-Only | ファイル閲覧、Web検索、ログ解析 | 自動実行可 |
| Side-Effect Low | ファイル作成、Slack下書き送信 | 事後通知（Audit Log） |
| High-Risk | ファイル削除、DB更新、外部通信、sudo | 手動承認必須（HITL） |
4. 実行環境層：サンドボックス（NemoClaw）の技術要件
AIエージェントの「脱獄」や「ホスト侵害」を防ぐため、物理的な隔離レイヤーを構成する。
- サンドボックス強制:
tools.exec.host=sandboxを適用し、エージェントの視界をコンテナ内に限定する。 - 非特権ユーザー: ゲートウェイプロセスを
rootで実行してはならない。専用のopenclaw-userを作成し、マウントされるディレクトリにはnoexecオプションを付与することを推奨する。 - リソース制限: OOM（メモリ不足）によるセキュリティ機能の停止を防ぐため、コンテナに対して適切なメモリリミットを設定すること。
5. スキル・サプライチェーン：ガバナンスと検収フロー
外部スキル（ClawHub等）の導入は「未検証バイナリの実行」と同義である。
- 直接取得の禁止:
~/.openclaw/skills/への直接ダウンロードを禁止する。 - 検収プロセスの義務化: 全てのスキルは、導入推進チームによるコードレビュー（
SKILL.mdおよびrequiresフィールドの精査）を経て、社内レポジトリからのみ配布を行う。 - モデルによる呼出制限:
disable-model-invocation: trueをデフォルトとし、高リスクツールはユーザーによる明示的なスラッシュコマンドのみをトリガーとする。
6. 運用・監視：インシデントの早期検知
管理者は、以下の診断手順を週次で実施し、その記録を保存しなければならない。
- 診断ラダー:
openclaw statusおよびopenclaw doctorによる整合性チェック。 - 疎通確認:
openclaw gateway probeによるゲートウェイの健康状態確認。 - ログ・ガバナンス:
OPENCLAW_LOG_LEVELは原則としてinfoとし、デバッグログ取得時は機密情報のマスキングを確認した上で実施する。
7. 総括と責任の所在
本指針に従わない導入によって生じた損害については、導入部署の責任において対処するものとする。OpenClawは「データ主権」と「生産性」を両立させる強力なツールであるが、その安全性は管理者の厳格な構成管理に依存することを再認識されたい。
【重要構成パラメータ・ベースライン】
gateway.auth.mode:tokengateway.bind:127.0.0.1tools.exec.host:sandboxnum_ctx:64000+