OpenClaw は安全か？OpenClaw と Hermes Agent のセキュリティと変更すべき設定

OpenClaw は、その正体どおりに扱えば十分安全に動かせます。つまり、あなたのメッセージやメールを読み、コマンドを実行し、読んだ内容に基づいて行動できるプログラムとして扱うことです。初期状態では、機能性寄りの設定になっています。サンドボックスがデフォルトでオフなのでコマンドはホスト上で実行され、毎日プロジェクトのサーバーに接続します。どちらも数分で直せます。デフォルトは異なりますが、Hermes Agent についても同じことが言えます。

実際に何が起こりうるか

• ホスト上のコマンド。 サンドボックスがなければ、悪いコマンドはあなたのユーザー権限でファイルにアクセスして実行されます。
• プロンプトインジェクション。 エージェントが読むもの、つまりメール、Web ページ、共有ドキュメントのどれもが、エージェントを狙った指示を含みえます。エージェントが操作できるアカウントが多いほど、注入された指示でできることも増えます。
• サードパーティのスキル。 スキルはあなたがインストールするコードです。2026 年 1 月、Cisco の AI セキュリティチームは、ユーザーに気づかれずにデータを持ち出し、プロンプトインジェクションを実行するサードパーティの OpenClaw スキルを報告しました（Wikipedia の概要）。
• 公開されたゲートウェイ。 制御インターフェースが認証なしにインターネットから到達可能なら、誰でもあなたのエージェントを操作できます。
• 保存中のシークレット。 同じ Wikipedia の記事は、2026 年 8 月の OpenClaw 2.0 のレビューで、シークレットが暗号化されずに保存されていることが批判されたとまとめています。

10 のエージェントのデフォルト設定

上のチェックリスト表は、どのエージェントがデフォルトでサンドボックス化し、どれがテレメトリーを送信するかを示しています。実際にそれが何を意味し、どう変更するかを以下にまとめます。

エージェント	初期状態の隔離	テレメトリーとオフにする方法
OpenClaw	オフ。Docker サンドボックスあり	毎日の更新チェック。update.checkOnStart: false
Hermes Agent	オフ。smart 承認、Docker バックエンドあり	オプトインしない限りなし
NemoClaw	オン：外部通信の承認付き OpenShell サンドボックス	CLI のテレメトリー。NEMOCLAW_DISABLE_TELEMETRY=1
NanoClaw	オン：エージェントごとに 1 つのコンテナ	セットアップ診断。NANOCLAW_NO_DIAGNOSTICS=1
ZeroClaw	オン：Balanced プロファイルで OS サンドボックスと承認	なし
Rakazo	オン：各ボットがサンドボックス化されたコンピューターを持つ	セルフホストのサーバーからはなし。デスクトップアプリは更新を確認
Agent Zero	オン：エージェントは専用の Docker コンテナ内で作業	更新チェック。設定でオフ
nanobot	オフ。bubblewrap または Seatbelt あり、Windows ではなし	なし
PicoClaw	パスのチェックのみ。プロセス隔離はオフ、Linux と Windows のみ	なし
QwenPaw	オフ。Docker 内でも隔離なし	--defaults でインストールデータを送信。対話式の qwenpaw init で拒否

「オン」の行には注意点が 2 つあります。Agent Zero はコードを Agent Zero 本体と同じコンテナ内で実行するため、コンテナはあなたのコンピューターを守りますが、エージェントを自分自身のコードから守るわけではありません。また ZeroClaw の YOLO プロファイルはすべてをオフにするので、どのプロファイルを選んだか確認してください。

OpenClaw を固める方法

OpenClaw のセキュリティドキュメントに基づき、影響の大きいおおよその順に並べました。

1. openclaw security audit を実行する。 設定が安全なデフォルトからずれている箇所を報告し、対応している修正を適用することもできます。
2. ゲートウェイをループバックに保つ。 通常のインストールではループバックにバインドされますが、コンテナイメージはデフォルトで外部公開のバインドになるため、Docker でデプロイする前に認証を追加するか、プライベートネットワークの内側に置いてください。
3. DM のペアリングをオンのままにする。 デフォルトでは、ほとんどのチャンネルで知らない送信者には返信ではなくペアリングコードが送られます。チャンネルを open に切り替えないでください。
4. サンドボックスをオンにする。 agents.defaults.sandbox.mode を all に設定します。non-main ではエージェントのメインセッションがホスト上に残ります（サンドボックスのモード）。デフォルトのバックエンドは Docker です。サンドボックス化されるのはツールの実行だけで、ゲートウェイはホスト上に残ります。
5. 不要なものは拒否する。 exec に対するツールポリシーの deny で、シェルアクセスを完全に無効にできます。サンドボックスの外でコマンドを実行する tools.elevated は避けてください。
6. アカウントを分ける。 ドキュメントは、WhatsApp、Signal、Telegram に別々の番号を使い、信頼の境界ごとに 1 つのゲートウェイを置くことを推奨しています。互いに信頼していない人同士で 1 つのゲートウェイを共有しないでください。
7. スキルはインストールする前に読み、 公式プラグインを優先してください。
8. 毎日の接続を望まないなら update.checkOnStart: false を設定する（テレメトリーのドキュメント）。

これらすべてをエージェントの外側から強制したいなら、OpenClaw を NemoClaw の中で動かしてください。サンドボックス、外部通信の承認、認証情報の保管が加わります。

Hermes Agent は安全か？

Hermes Agent は、プライバシー（テレメトリーなし）とチャットのアクセス制御の面で、よりよい状態から始まります。許可リストが設定されていなければすべてのユーザーを拒否し、知らない相手からの DM にはペアリングの手順が適用されます（セキュリティドキュメント）。弱点は OpenClaw と同じで、ターミナルバックエンドのデフォルトが local であることです。

固めるには次のようにします。

• terminal.backend: docker を設定する。 コンテナは一部を除くすべての Linux ケイパビリティを削除し、ホストのシークレットは docker_forward_env に列挙しない限り入りません。ここは空のままにしてください。
• 承認をオンのままにする。 デフォルトの smart モードは補助モデルにリスクを判定させ、manual は危険なコマンドのたびに確認を求めます。--yolo と同じ off は決して使わないでください。
• 許可リストを設定する。 TELEGRAM_ALLOWED_USERS などを設定し、GATEWAY_ALLOW_ALL_USERS=true は決して使わないでください。
• chmod 600 ~/.hermes/.env を実行し、 Hermes に Codex CLI や Claude Code のログインを使わせたくないなら auth.adopt_external_logins: false を設定してください。

どのエージェントにも当てはまるルール

• 専用のマシンか OS ユーザーを与える。 予備のコンピューターや小さなサーバーは、どんな設定にもできない形で被害の範囲を限定します。
• 認証情報の範囲を絞る。 可能なら別のメールやカレンダーのアカウントを接続し、利用上限のある API キーを使ってください。
• すべてのチャンネルで、誰が話しかけられるかを許可リストで制限する。
• スケジュールされたジョブを見直す。 不在中に働くエージェントは、不在中にミスもします。

安全性を最優先するなら

自分で堅牢化しなければならないエージェントではなく、デフォルトで隔離するエージェントを選んでください。個人用の単一エージェントなら ZeroClaw か NanoClaw、OpenClaw や Hermes Agent そのものを使いたいなら NemoClaw です。私たちのセルフホストのランキングは安全なデフォルトを重視しており、その他のトレードオフについては OpenClaw とは何かで解説しています。