OpenClaw 2.0 の公式ブログは、共有セッションによる「マルチプレイヤー化」を目玉に据えています。ところが同じ時期、公式ドキュメントには「これはテナント分離ではない」と書き添えられました。広げた話と、守らない範囲の話が、並んで出てきています。
オープンソースのAIエージェント「OpenClaw」の開発元OpenClaw Foundationが、2026年8月30日付の公式ブログで、バージョン2026.8.1の公開を発表した。同財団はこれを「OpenClaw 2.0」と呼ぶ。933人の貢献者が参加し、569人が初参加、1万6000件を超えるプルリクエストで構成される。
同プロジェクトは以前230日で106回のリリースを重ねていたが、今回は約7週間空いた。初回設定は端末にあるChatGPTやClaudeのサインイン、APIキー、ローカルモデルを検出して再利用する。ブラウザアプリは会話を中心に据えた形へ作り直された。共有クラウドセッションにより、文脈を保ったまま他の利用者を作業へ加えられる。会話履歴の保存先はSQLiteへ移った。
From: 
OpenClaw 2.0, Accidentally
【編集部解説】
OpenClaw 2.0 で最も大きく変わったのは、機能の数ではなく入口です。
これまでこのソフトウェアを試すには、最初にモデルの契約とAPIキーを用意する必要がありました。2.0 の初回セットアップは、そこを逆から始めます。すでにそのマシンにある ChatGPT や Claude のサインイン、APIキー、Ollama や LM Studio のローカルモデルを探しに行き、選んだモデルが実際に応答することを確かめてから保存する。設定項目そのものも削られ、残りは起動後に Claw と会話しながら決める形になりました。
日本の読者にとって、この順序の変更は小さくありません。すでに ChatGPT や Claude を契約している法人・個人であれば、新しいAPI契約を先に用意しなくても、手元の環境から試し始められます。「まず試してみる」ための社内説得コストを下げる方向の変更です。
ブラウザアプリも作り直されました。送信ボタンを押す前に、どのエージェントで、どのマシンで、どのワークスペースで、どの権限で動かすかを画面上で選ぶ。実行条件を実行の直前に目で見て決める作りです。速度も上がっており、モックのGatewayに50ミリ秒の遅延を与えたシミュレーションでは、起動が約1.6秒から575ミリ秒へ、JavaScriptのリクエスト数が140から45へ減ったと報告されています。実機で測った数字ではありませんが、体感が変わる方向の変化ではあります。
そしてこのリリースの目玉が、共有クラウドセッションによる「マルチプレイヤー化」です。
OpenClaw はこれまで、Claw が積み上げた文脈を失わずに他の人を作業へ引き入れる手段を持っていませんでした。共有セッションはそこを埋めます。開発チーム自身が 2.0 を作る過程で必要になった機能だと説明されており、公開されたスクリーンショットには、同じワークスペースに10名前後がオンラインで並び、各自の作ったダッシュボードが一覧に載っている画面が写っています。個人のアシスタントが、チームの作業場になった。
ここで、このリリースのもう一つの顔が見えてきます。
OpenClaw の公式ドキュメントは、以前から「1つのゲートウェイにつき、1つの信頼境界」という線を引いてきました。今回変わったのは、その線の内側の定義です。かつては「パーソナルアシスタントとしての利用を前提とする」「1台のマシンに1ユーザー、そのユーザーに1つのゲートウェイ」という書き方でした。現在は「単独の運用者か、互いを信頼するチーム」となり、グループチャットや複数人での運用が、境界の内側にある正規の構成として明記されています。
外側は動いていません。相互に敵対しうる利用者が1つのエージェントやゲートウェイを共有するための、敵対的マルチテナントのセキュリティ境界ではない。そう書かれています。新設された名前付きオペレーターロールについても、「協働のためのガードレールであって、テナント分離ではない」と自ら添えました。シークレットモードの説明も同じ調子で、会話はディスクに書かれないがモデルプロバイダーにはメッセージが届き、ツールはファイルや外部サービスに作用でき、ゲートウェイの運用者はライブの作業を見られる、と条件を並べています。
つまり 2.0 は、内側を広げると同時に、外側を引き直さなかった。マルチプレイヤー化という機能追加と、その機能がどこまでを守らないかの明記が、同じ時期に並んで出てきたことになります。
innovaTopia はこのプロジェクトを1月以降くり返し取り上げてきました。設定ファイルの窃取、露出したインスタンス、WhatsApp経由のホスト乗っ取り、AI製ツールによるゼロデイ発見。振り返ると、その多くは技術的な破りかたの話であると同時に、「どこまでが自分の責任範囲か」の理解がずれていた話でもありました。
公式ドキュメントは、そこに機能だけでなく文章で答えています。複数の組織を相手にするなら、テナントごとに隔離したゲートウェイを1つずつ立てる。脅威モデルの優先順位は、誰が話しかけられるか、どこまで動けるか、モデルは操作されうる前提で設計する、の順。そして「ほとんどの失敗は特殊な攻撃ではなく、誰かがボットに頼み、ボットがその通りにしただけである」。導入を検討する側にとって、これは機能一覧より読む価値があります。
この言い切りは、応援に値する姿勢だと考えます。できることを大きく見せて境界を曖昧にしておくほうが、短期的には広がります。逆を選んだプロジェクトが、38万を超えるスター（2026年9月1日時点）と933人の貢献者を抱えたまま、非営利財団として走り続けている。オープンソースのAIエージェントがどう成熟していくかの、ひとつの実例です。
実務としては、アップグレードに一つ段取りが要ります。セッションと会話履歴の保存先がSQLiteへ移り、旧バージョンへ戻す前には現行CLIでの復元作業が必要になる。移行後に作ったセッションは旧バージョンからは見えません。プロジェクト自身がリリースノートの冒頭でこれを警告し、事前のバックアップを勧めています。すでに動いている環境がある人は、ここだけ先に読んでおくと安全です。
ドキュメントは日本語を含む21言語に対応しており、セキュリティガイドも脅威モデルも日本語で読めます。触ってみたい人にとっての壁は、この半年でかなり低くなりました。一つの受信箱を見張る小さな仕組みから始めて、必要になったときに広げればいい。2.0 が示したのは、その「広げる」の先に何があり、どこで線を引くのかまで含めた地図でした。
【関連記事】
OpenClawに深刻な脆弱性、WhatsApp経由でホスト乗っ取り——成立に必要だった条件とは
本記事で触れた事案の詳報。深刻度「高」の脆弱性3件と、攻撃が成立するために必要だった条件を整理している。
OpenClaw、iOS・Androidアプリ公開—スマホが「AIエージェントの手足」になる日
2.0 の直前にあたる2026年6月の動き。スマートフォンをゲートウェイに接続するノードとして扱う設計を解説している。
NemoClaw脆弱性、破られたのはサンドボックスではなく配線だった
2026年8月の関連報道。Nvidia が提供する OpenClaw 向けスタックで見つかった問題を扱っている。
【編集部後記】
クラウドセッションのドキュメントに、目立たない一行があります。作業をどこで動かしても、モデルの推論はゲートウェイ経由で代理され、プロバイダーの認証情報がリモートのマシンへ渡ることはない、と。
借りた使い捨てのマシンに鍵を置かない。当たり前のようでいて、実装としては手間のかかる選択です。境界の話が、文書の言い回しだけでなく配線にも及んでいる。マルチプレイヤーという言葉の派手さの裏で、こういう地味な部分がどう作られているのか。次はそこを見てみたいところです。
【用語解説】
ゲートウェイ（Gateway）
OpenClaw の中核となるローカルの制御基盤。セッション、ツール、外部サービスとの接続をここが束ねる。利用者の手元で動き、会話の記録も認証情報もここに残る。
信頼境界
「ここから内側は信頼してよい」と定めた範囲のこと。OpenClaw は1つのゲートウェイにつき1つの信頼境界を置く設計で、その内側を単独の運用者、または互いを信頼するチームとしている。
敵対的マルチテナント
互いを信頼していない複数の利用者や組織が、1つのシステムを共有する状態。各利用者を技術的に隔離することが前提となる。OpenClaw はこの用途を想定していないと明記している。
名前付きオペレーターロール
2.0 で加わった、チームの各メンバーの接続に対して操作範囲を割り当てる仕組み。公式は協働のためのガードレールと位置づけ、テナント分離とは区別している。
シークレットモード（Incognito）
会話をディスクに書かず、ゲートウェイの再起動で消える会話の形式。既定では無効。モデルの提供元にはメッセージが届き、ツールの外部への作用も残る。
共有クラウドセッション
1つの会話を複数の人が開き、進行中の作業に途中から加われる仕組み。会話の記録と作業中のファイルはゲートウェイ側に残るため、担当を引き継いでも文脈が失われない。
Claw
利用者が動かす個々のエージェント実体を指す呼び名。製品名の OpenClaw に対し、「あなたの Claw」のように使われる。
プルリクエスト
他人が管理するソースコードに対して変更を提案する単位。オープンソース開発では、これがどれだけ集まったかが開発の規模を示す目安になる。
SQLite
ファイル1つで完結する軽量なデータベース。2.0 でセッションと会話履歴の保存先がここへ移った。
脅威モデル
何を守り、誰からの、どのような攻撃を想定するかを整理した設計上の前提。これが曖昧なまま機能を足すと、守れる範囲と守れない範囲の区別がつかなくなる。
【参考リンク】
OpenClaw（公式サイト）（外部）
オープンソースの自律型AIエージェント OpenClaw の公式サイト。理念、対応プラットフォーム、最新の告知を掲載する一次情報源だ。
v2026.8.1 リリースノート（公式ドキュメント）（外部）
変更点を領域ごとに整理した詳細版。SQLiteへの移行に伴う警告や、共有機能とシークレットモードの条件もここに記載がある。
Security（公式ドキュメント）（外部）
信頼境界、脅威モデル、監査コマンドを解説する公式のセキュリティガイド。導入を検討する側にとって実質的な判断材料はここにある。
セキュリティ（公式ドキュメント日本語版）（外部）
上記セキュリティガイドの日本語版。信頼境界の考え方から具体的な設定例まで、翻訳を挟まずに日本語のまま読み進めることができる。
Cloud Sessions（公式ドキュメント）（外部）
作業を別のマシンで動かす仕組みの解説。認証情報がリモート側へ渡らず、会話の記録がゲートウェイ側に残る設計が説明されている。
OpenClaw（GitHubリポジトリ）（外部）
ソースコードと開発の記録を公開する公式リポジトリ。MITライセンスで、スター数、貢献者、リリースの履歴をここから確認できる。
【参考記事】
OpenClaw Releases OpenClaw 2.0: Guided Model Setup, 575 ms Control UI Startup, and One Trust Boundary Per Gateway（外部）
2.0 の変更点を信頼境界の観点から整理した記事。Control UI の測定値と、プロンプトインジェクションに関する公式の但し書きを併記している。
OpenClaw 2.0 Released With Major Security Upgrades for AI Agents, Plugins and Credentials（外部）
セキュリティ機能の追加に焦点を当てた記事。1Password連携、プラグインの出所表示、セッション権限モードなど個別の機能を列挙している。
OpenClaw Releases OpenClaw 2.0（Cryptopond）（外部）
同じ切り口の記事。単独運用と単一チームには適し、マルチテナント製品には適さない、という整理を明示している。
openclaw: docs/gateway/security/index.md（Fossies）（外部）
セキュリティガイドの旧版が残るソースアーカイブ。「パーソナルアシスタントとしての利用を前提とする」という以前の記述を確認できる。
