NanoClawの登場とOpenClawのセキュリティ問題 AIエージェント開発ツールとして注目を集めるNanoClaw（ナノクロー）は、既存のオープンソースツールOpenClaw（オープンクロー）のセキュリティ問題への対応を目的として開発されました。開発者のGavriel Cohen（ガブリエル・コーエン）氏は、Wix.comで7年間ソフトウェアエンジニアとして勤務した経験を持ち、テルアビブ大学で物理学・コンピュータサイエンスの学士号を取得しています。
OpenClawの暴走リスクとNanoClawの対策 OpenClawは、ユーザーが提示したタスクを自律的に実行する仕組みを持つAIエージェント開発ツールとして広く利用されていました。WhatsApp、Telegram、Slack、Discordなどのメッセージングアプリと連携し、メール送信やターミナルコマンドの実行、ファイル管理などを自動化できます。しかし、セキュリティ面での深刻な課題が指摘されています。
OpenClawはユーザーの端末にインストールされた後、メモリやアカウント権限に広範なアクセス権を持つ設計になっており、データアクセスを制限するのが困難です。実際に、Cohen氏自身がWhatsAppのメッセージをOpenClawにアクセスさせた際、すべてのメッセージが平文でローカルに保存され、暗号化されていない事例を発見しました。Cisco Blogsでも「Personal AI Agents like OpenClaw Are a Security Nightmare」と題した記事で、この問題が取り上げられています。
さらに深刻なのは、セキュリティ脆弱性CVE-2026-25253（CVSS 8.8）が発見され、トークン窃取によるゲートウェイの完全な乗っ取りが可能であったことです。135,000以上のOpenClawインスタンスが認証なしで公開されており、そのうち50,000以上がRCE（リモートコード実行）の対象になっていたことが判明しています。
また、OpenClawのコードベースの規模も懸念材料です。OpenClawのコードと依存パッケージは推計で350,000〜800,000行に及ぶとされており、コードの信頼性を検証するには膨大な労力がかかります。このような背景から、Cohen氏は最小限のコードで構築された代替ツールとしてNanoClawを週末のコーディングで生み出しました。
NanoClawのコンテナ技術によるセキュリティ設計 NanoClawは、OS レベルのアイソレーション（分離）を活用したセキュリティ設計が特徴です。macOSではApple Containers、LinuxではDocker/OCIコンテナを使い、AIエージェントを隔離された環境で実行します。ユーザーが明示的にマウントしたディレクトリにのみアクセスを許可し、不正なデータ取得や暴走を防ぐ仕組みが実現されています。
NanoClawのコア部分はわずか約500行のコードに抑えられています（全体では約3,900行、15ファイル）。人間やAIが約8分で全コードを監査できるほどの規模であり、依存パッケージの管理が容易で、セキュリティリスクの検証がしやすいというメリットがあります。技術的にはAnthropicのAgents SDK上に構築されており、軽量ながらも堅牢なエージェント実行基盤を実現しています。
NanoClawは2026年1月31日にMITライセンスでリリースされ、Hacker Newsで紹介されると急速に注目を集めました。AI研究者のAndrej Karpathy氏がXで称賛したことでさらにバイラルに広がり、わずか6週間でGitHub上で22,000スター、4,600フォークを獲得しています。
Dockerとの提携がもたらす技術的進化 Docker SandboxesによるマイクロVM分離の仕組み 2026年3月13日、NanoCo（NanoClawの運営会社）とDockerは、NanoClawにDocker Sandboxesを統合する提携を発表しました。なお、この提携に金銭的な取引は含まれていません。Docker Sandboxesは、従来のコンテナとは異なり、独自のカーネルを持つ軽量な仮想マシン（マイクロVM） 内でエージェントを実行する仕組みです。
NanoCo CEOのCohen氏は次のように説明しています。「各エージェントは独自のコンテナ内で動作し（他のエージェントのデータは見えない）、すべてのコンテナはマイクロVM内で動作します（ホストマシンには触れられない）」。この2層構造により、OpenClawが抱えるセキュリティリスク（メモリやアカウント権限の過剰アクセスなど）を大幅に軽減します。ただし、サンドボックスはあくまで被害範囲を限定する緩和策であり、モデル自体の誤判断や外部APIへの誤リクエストといったリスクを完全に排除するものではない点に注意が必要です。
Docker Sandboxesの主な特徴は以下のとおりです。
ハイパーバイザーレベルの分離: マイクロVMが独自のカーネルを持ち、ホストOSとの間にハードウェアレベルの境界を設ける プライベートDockerデーモン: 各サンドボックスが専用のDockerデーモンを持ち、ホストのコンテナ・イメージ・ボリュームにはアクセス不可 ネットワーク制御: AIエージェントのネットワークアクセスを制限 ファイル同期: ワークスペースはボリュームマウントではなくファイル同期方式で、プラットフォーム間の差異を吸収 Cohen氏は提携の意義について、「チームはますます複雑で価値の高い仕事をエージェントに任せていますが、エージェントのセキュリティは信頼に基づくべきではありません。証明可能で安全なハードバウンダリ、スコープされたデータとツールへのアクセス、そしてエージェントが取れるアクションの制御に基づくべきです」と述べています。
NanoClawのGitHubでの開発状況と成長 NanoClawはGitHub上で急速に成長し、50人以上の貢献者がプロジェクトに参加しています。このような成長の背景には、Cohen氏の決断があります。Cohen氏は弟のLazer Cohen氏と共同で運営していたAIマーケティングスタートアップ「Qwibit」を閉鎖し、NanoClawに専念する新会社NanoCoを設立しました。Cohen氏がCEO、Lazer氏がPresidentを務めています。
Dockerとの提携により、NanoClawはclaw系エージェントプラットフォームとして初めてDocker SandboxesのマイクロVMインフラ上にワンコマンドでデプロイ可能になりました。Dockerは約80,000社の企業顧客と数百万人の開発者を擁しており、この提携によってNanoClawのエンタープライズ展開が加速すると期待されています。
AIエージェント開発の未来とNanoClawの役割 AIエージェント（AI Agent）の開発において、セキュリティと軽量性を両立させる技術革新が求められています。NanoClawは、その設計哲学と実績で、企業向けAIエージェントの安全な導入モデルを示しています。
企業向けAIエージェントの導入ケーススタディ Cohen氏がNanoClawを開発するきっかけとなったのは、自身のスタートアップQwibitでの実務経験です。Qwibitではオペレーション、リサーチ、営業パイプライン、クライアント管理、ドキュメント作成などの業務にAIエージェントを活用していました。主にClaude Codeを使って各タスク専用のエージェントを構築していましたが、OpenClawの「セキュリティの悪夢」とされる設計が課題となりました。WhatsAppのメッセージが平文で保存されるという深刻な問題が発覚し、企業データの保護に懸念が生じたのです。
この問題を背景に、Cohen氏はNanoClawを開発し、macOSではApple Containers、LinuxではDockerコンテナによるアイソレーション設計を採用しました。エージェントがアクセス可能なデータ範囲を明示的に限定することで、OpenClawのような過剰な権限取得を回避しています。
実際の導入では、WhatsAppとの連携や市場分析の実行をそれぞれ独立したコンテナ内で処理し、個人データと業務データの混在を防ぐ運用を実現しました。NanoClawが提供する設計哲学は、ユーザーが自身の環境でコードの安全性を検証・管理できる「透明性」を重視しており、企業の導入に際して特に魅力的な要素となっています。
Docker Sandboxesとの統合により、今後はDockerの約80,000社の企業顧客が、既存のITインフラにNanoClawベースのAIエージェントをデプロイしやすくなると期待されています。ただし、現時点ではエンタープライズでの大規模な本番導入実績は公表されておらず、「セキュリティファーストな新しい選択肢」として注目を集めている段階です。サンドボックスによるOS レベルの隔離は強力な緩和策ですが、外部SaaSとの連携時の誤操作やモデルのハルシネーション（幻覚）による誤判断など、サンドボックスだけでは防げないリスクも残ります。AIエージェントの本格的な企業導入には、サンドボックスに加えて権限管理・監査ログ・人間によるレビューを組み合わせた多層防御が重要です。
よくある質問 Q: NanoClawとDockerの提携はどのような技術的メリットをもたらしますか？ Docker Sandboxesを活用することで、AIエージェントがマイクロVM（独自のカーネルを持つ軽量仮想マシン）内で動作し、ホストシステムへの不正アクセスやデータ漏洩リスクを大幅に削減します。
Q: OpenClawとNanoClawのセキュリティ設計の違いを教えてください。 OpenClawはメモリやアカウント権限に広範なアクセス権を持ち、135,000以上のインスタンスが認証なしで公開されていた実績があります。NanoClawはmacOSではApple Containers、LinuxではDockerコンテナ内でエージェントを隔離し、明示的にマウントされたディレクトリにのみアクセスを許可する設計です。
...
