OpenClawレビュー：導入価値・料金・安全性を徹底検証（2026年8月）

OpenClawを選ぶ価値があるのは、常時稼働するAIエージェントが必要で、そのセキュリティ境界まで自ら運用できる場合に限られます。ソフトウェアは$0ですが、サンドボックスは初期状態で無効、Gatewayはサンドボックスの外に残り、最新安定版も2026年8月4日に更新されています。

OpenClawとは何か：AIエージェントの仕組み

OpenClawは、コンピューターまたはサーバーにインストールして使うMITライセンスのエージェントランタイムです。GatewayがAIモデルとローカルの状態、ツール、チャットチャンネル、ブラウザ操作、スケジュール実行を結び付けるため、会話が終わった後もコンテキストを保ち、処理を続けられます。AIモデルそのものでも、管理型アシスタントのサブスクリプションでもありません。自分で所有するインフラ上でモデルを動かすための制御レイヤーであり、権限設計と保守も利用者が担います。現行の安定版は、2026年8月4日公開のv2026.7.1-2です。

この制御レイヤーはmacOS、Linux、Windowsで動作し、状態はOpenClawを実行しているマシンに保存されます。本レビューに記載した製品仕様、リリース状況、セキュリティの初期設定は、2026年8月8日時点のOpenClaw公式ページで確認しています。

この「自分で所有できること」は、最大の魅力であると同時に責任でもあります。管理型アシスタントでは、Gateway、モデル接続、ストレージ、権限、アップデートが1つのアカウントの裏側に隠れています。OpenClawはそれらを表に出し、自由に組み替えられるようにします。拡張性と移植性を得る代わりに、製品管理者、セキュリティ責任者、インシデント対応者の役割も引き受けることになります。

OpenClawと代替ツールをひと目で比較

この表は機能の優劣を競うものではありません。3つの異なる運用モデルを整理したものです。ChatGPTは管理型アシスタント、n8nはワークフロー実行環境を提供します。OpenClawはエージェントに幅広い接続能力を与え、その周囲のランタイム運用を利用者に委ねます。

この違いを理解すれば、高くつく選定ミスを避けられます。デモで動いたという理由だけでエージェントを導入し、後から本当に必要だったのは統制されたワークフローや管理型アシスタントだったと気付く失敗です。

OpenClawが向いている人、導入を見送るべき人

OpenClawが向くのは、1つの常駐型エージェントをマシン、複数のチャット画面、定期処理にまたがって動かしたい技術責任者です。とりわけ、1人で信頼境界を定義し、設定を点検し、権限を絞り、承認が必要な操作を判断できる個人の技術ビルダーと好相性です。ランタイムを担う技術責任者が明確なら、資金調達済みの創業者やシニアオペレーターにも適します。

特に相性がよいのは、次の4条件を満たす場合です。

• 1つのブラウザタブの外でもエージェントを使いたい。
• 長期的なコンテキストを記憶し、自分で選んだツールから実行してほしい。
• 機密システムから隔離し、権限を段階的に付与できる。
• リリース、認証情報、ログ、プロバイダー費用の管理を運用業務として続けられる。

これらの条件が欠けるほど、OpenClawを選ぶ理由は弱くなります。主な用途が質問、下書き、ファイル分析、範囲を絞った調査であれば、管理型アシスタントのほうが運用負担を大幅に減らせます。また、フォームから有望なリードをCRMへ移し、営業に通知するといった固定手順なら、決定論的な自動化プラットフォームのほうが経路を確認しやすく、再現もしやすいでしょう。

ダッシュボードはチャット画面ではなく管理画面です

OpenClawのローカルControl UIは初期状態でポート18789に公開され、チャット、設定、実行承認に関する管理権限を持ちます。

そのため、責任を持って運用できる人は限られます。技術に詳しい個人運用者なら、ダッシュボードを管理コンソールとして扱えます。ループバック上に置き、正式な認証方法を使い、リモートアクセスはプライベートトンネルや信頼済みのIDレイヤーなど、意図して設けた境界からのみ開放します。一方、一般利用者は親しみやすいチャット画面だと受け止め、Control UIへのアクセスが設定変更や操作実行の権限にもなり得ることを見落としかねません。

中堅企業のCTOにとって、OpenClawはすぐに全社導入できるエンタープライズ向けアシスタントではなく、まず検証すべき候補です。パイロットには、明確な責任者を1人、隔離したGatewayを1つ、対象ワークフローを1つ、専用IDを1つ、そしてロールバック経路を1つ用意します。1つの共有Gatewayを介して複数部門へ一斉展開する方法は、プロジェクト自身の信頼モデルと相いれません。OpenClawでは、同じGateway内で認証されたオペレーターのアクセスを、独立したテナント権限ではなく、信頼されたコントロールプレーンへのアクセスとして扱います。

資金調達済みの創業者なら、エージェントが繰り返し発生する調整作業をなくせるときに、最も明確な事業価値が生まれます。たとえば、日次の情報源ブリーフを集める、プロジェクト状況を要約する、既知のページ群を監視して変更点を非公開チャンネルに返す、といった用途です。価値は「会話できること」ではありません。常駐し、合意済みのコンテキストを保ち、毎回セットアップをやり直さずに限定された仕事を続けられることにあります。

シニアオペレーターの場合は、実行経路とレビュー経路の両方を明示できる業務に向きます。「この5社を監視し、料金ページを保存して、変更レポートを承認用に下書きする」なら実用的なエージェント業務です。「グロースを回す」では曖昧すぎます。成果を絞ることで、監査対象、費用計算の分母、承認を必須にする地点が定まります。

運用そのものを任せたいならOpenClawではなくChatGPT

Gateway、ブラウザサービス、スキルのサプライチェーン、サンドボックスを自分で運用せず、幅広く使える管理型アシスタントを求めるなら、ChatGPTが適しています。

2026年8月8日時点で、ChatGPT Freeは$0、Plusは月額$20です。この料金で得られるのは、ホストの所有権ではなく管理された環境です。詳しいChatGPTレビューでは有料プランが料金に見合うケースを解説していますが、OpenClawとの比較軸はもっと単純です。自分のマシン上に常駐するエージェントより、推論、執筆、調査、ファイル処理、サポート付きの管理ツールを重視するならChatGPTを選びます。

技術に詳しくない創業者、インフラ責任者がいないエグゼクティブアシスタント用途、業務用認証情報とエージェントのランタイムを安全に分離できない専門職なら、こちらを選ぶのが妥当です。管理型製品も間違えることがあり、データ管理は依然として必要です。ただし、別種の障害要因を取り除けます。ホストプロセス、ネットワーク公開、ブラウザ制御サービス、プラグインコード、リリースチャンネルを自分で保守する必要がありません。

手順を固定すべきならOpenClawではなくn8n

トリガー、条件分岐、変換、承認、出力先としてワークフローを図示できるなら、n8nが適しています。

n8nにはセルフホスト型のCommunity Editionがあります。クラウドのStarterは年払いで月額$20、ワークフロー実行回数は2,500回です。Proは10,000回で$50、Businessは40,000回で$800、Enterpriseは個別見積もりです。この料金で得られるのは、実行前から経路を確認できるワークフローモデルです。

リードの振り分け、定期的なデータ同期、請求書の引き渡し、Webhook処理、あるいはモデルの文脈解釈によって手順が変わっては困るコンプライアンス重視の処理には、n8nを選びます。1つのノード内にモデルを組み込むことも可能です。その場合、モデルは制御フロー全体を決めるのではなく、ワークフロー内の限定された処理だけを担当します。

この違いはチーム利用で特に重要です。OpenClawのエージェントは、新しいコンテキストに応じてツールを動的に選べるため、曖昧さのある知的業務で役立ちます。しかし、財務、セキュリティ、運用部門が毎回同じ承認済み経路を求めるなら、その柔軟性自体が問題になります。

OpenClawを選ぶための判断基準

次の3問すべてに「はい」と答えられるならOpenClawを選びます。ランタイムに責任を持つ技術担当者がいるか。複数のツールやチャンネルをまたいで持続的に動くAIエージェントが必要か。最初の導入を1人のオペレーターの信頼境界内に収められるか。

1問目が「いいえ」ならChatGPTを選びます。2問目が「いいえ」で、経路を事前に定義できるならn8nを選びます。セッション名が分かれて見えるという理由だけで、互いに無関係、または信頼関係のない利用者に1つのOpenClaw Gatewayを共有させてはいけません。セッションキーはコンテキストの振り分けに使うもので、テナントの認可境界ではありません。

この基準は意図的に厳しくしています。管理を緩めてOpenClawを試すこと自体は楽しいかもしれません。しかしレビューで評価すべきなのは、目新しさが薄れた後に残るシステムです。そこにはエージェント、ホスト、モデルプロバイダー、メッセージ、ブラウザ状態、認証情報、導入済みスキル、スケジュール、接続先となるすべての外部サービスが含まれます。

機能1：29チャンネルを横断する常駐型AIエージェント

OpenClawで最も有用なのは、個々の連携機能ではありません。1つのGateway、永続的な状態、対応する29のチャットチャンネルを組み合わせ、普段仕事が届く場所からいつでもエージェントを呼び出せることです。

公式のチャンネル一覧には、Slack、Telegram、Discord、Signal、WhatsApp、Microsoft Teams、iMessage、WebChatなど多数のサービスが含まれます。複数のチャンネルを同時に動かし、Gateway経由で会話を振り分けられます。仕事用チャンネルから依頼を始め、スマートフォンで続きを指示しても、画面ごとに別のチャットボットとして扱うのではなく、同じ永続的な運用コンテキストを利用できます。

平たく言えば、利点は継続性です。通常のチャットボットは開いたときに始まり、離れれば止まります。常駐型エージェントなら、合意した役割、ワークスペース、手順、スケジュールをメッセージの合間も維持できます。モデルが推論するのは依然として1ターンずつですが、ランタイムが状態とツールを供給することで、サービス全体は途切れずに動いているように感じられます。

創業者向け活用例：1つの文脈から朝のブリーフを2チャンネルへ

資金調達済みの創業者なら、メール送信、支払い、本番環境の変更権限を与えずに、チャンネル連携を毎日の業務ブリーフに利用できます。

1. 1

   参照できる情報源を決める

   閲覧を許可したプロジェクトメモと、確認してよい公開ページの短いリストだけを専用ワークスペースに置きます。給与情報、顧客データのエクスポート、認証情報、個人ファイルはそこに入れません。最初に定めるべき有効な境界は、「何を見せないか」です。

2. 2

   指示用と配信用のチャンネルを1つずつ選ぶ

   業務依頼には非公開のSlackチャンネル、完成したブリーフの配信にはTelegramを使います。両方のIDをペアリングし、公開メッセージやオープンなメッセージポリシーは無効のままにします。チャンネル横断の便利さを、未知の送信者がツールを起動できる入口にしてはいけません。

3. 3

   出力を取り消せる形にする

   情報源へのリンクと、次に行う作業案を添えた朝の要約を作らせます。最初のバージョンには、外部へのメッセージ送信や記録システムの編集を許可しません。創業者が根拠を確認してから、次の操作を承認します。

4. 4

   繰り返し得られる成果を測る

   ブリーフが届いたか、各情報源を確認したか、変更点を正しく引用したか、実行にどれだけモデルを使ったかを追跡します。毎朝10分の手直しが必要なブリーフは、自律化による価値ではなく、新しい受信箱にすぎません。

このワークフローは、継続性と正確性を混同せずにOpenClawの強みを生かします。永続メモリは有用な設定だけでなく、古くなった設定も引き継ぎます。チャンネル横断アクセスは、誤った操作まで広範囲に伝播させかねません。安全な設計では、エージェントを常駐させつつ、権限を狭く保ちます。

セッションの継続にはIDポリシーが必要です

OpenClawは初期状態で、ダイレクトメッセージをメインセッションへ振り分け、1人が複数デバイスで使う際の継続性を確保します。複数チャンネルを1人で使うなら合理的です。しかし、同じボットに複数人がアクセスできる場合、各人のコンテキストが同じ進行中のセッションへ入る可能性があるため、無検討のまま使うのは危険です。

対処法は用途によって変わります。個人用なら所有者を1人に限定します。共有受信箱として使うなら、ダイレクトメッセージのセッションをチャンネルと送信者ごとに分離します。利用者同士が信頼関係にないなら、別々のGatewayを使い、できればOSユーザーやホストも分けて、ホストレベルの信頼境界を切り分けます。コンテキスト分離は意図しない混在を減らしますが、1つのGatewayを敵対的なマルチテナント基盤へ変えるものではありません。

適切な運用者にとって、その効果は大きいものです。Telegramから思い付きを送り、ワークスペース内の手順を使い、構造化された結果をSlackで受け取るところまで、1つのエージェントで完結します。その代わり、ID、コンテキスト、ツール権限は、一度設定画面を操作して終わる項目ではなく、アーキテクチャとして設計する必要があります。

機能2：専用エージェントプロファイルによるブラウザ操作

OpenClawは、普段使いのブラウザとは初期状態で分離されたChromium系の専用プロファイルをエージェントに与え、ブラウザ自動化を実用的にしています。

管理プロファイルでは、タブの表示とフォーカス、ページの読み取り、クリック、入力、ドラッグ、選択、スナップショット取得、スクリーンショット撮影、PDF作成、ダウンロード処理が可能です。ベンダーページの確認、根拠の収集、範囲を限定したフォーム入力、デプロイ画面の検証といった実務には十分です。同時に、機密システムへログインした状態で、ページ内の悪意ある指示にエージェントが従えば、高くつくミスを起こせるほどの権限でもあります。

したがって、専用プロファイルは単なる便利機能ではなく、権限を収める容器です。エージェントには、業務に必要なCookie、アカウント、ダウンロード、閲覧履歴だけを与えます。個人用ブラウザはその経路から切り離します。

シニアオペレーター向け活用例：ベンダーの料金変更を検証する

3社のベンダーについて週次レポートが必要なシニアオペレーターを考えます。成果は「Webを見ること」ではありません。日付と参照リンク、スクリーンショットが揃い、外部への操作を伴わない変更レポートです。

1. 1

   まっさらなブラウザIDを作る

   接続済みの個人用Chromeセッションではなく、OpenClawの管理プロファイルを使います。業務上必要なサービスにだけログインします。パスワード同期を無効にし、個人アカウントをこのプロファイルへ読み込まないようにします。

2. 2

   アクセス先を限定する

   公式の料金ページとリリースページのURLを正確に指定します。ログイン、CAPTCHA、購入、ダウンロード、未知のドメインが現れたら停止するよう求めます。情報源の許可リストを設けることで、自由なブラウジング作業を検証可能な経路へ変えられます。

3. 3

   解釈より先に根拠を残す

   変更点を要約する前に、画面上のプラン名、料金、請求期間、タイムスタンプ、参照URL、スクリーンショットを記録させます。根拠を先に残せば、ページが再び変わった後でもレビューできます。

4. 4

   操作せず、提案として返す

   レポートを非公開チャンネルへ送り、その後の更新にはオペレーターの承認を求めます。ブラウザは料金ページを観察するだけにし、再承認なしで公開コンテンツを編集したり、顧客へ通知したり、購入内容を変更したりしてはいけません。

このワークフローは、OpenClawがチャット専用アシスタントを上回る場面を示しています。ブラウザプロファイル、スケジュール実行できるランタイム、ローカルの証跡、チャンネル配信が1つのシステムになります。管理型アシスタントにもブラウザに似たツールはありますが、OpenClawならプロファイルとホストの境界を運用者が直接設計できます。

既存ブラウザへの接続はリスクを変えます

OpenClawは、userまたはchromeプロファイルを介して、ログイン済みの実際のChromeセッションに接続できます。利用者がコンピューターから離れている場合など、ログインの手間を省けますが、そのセッションと同じ権限をエージェントに与えることになります。ブラウザから給与システム、顧客記録、クラウドコンソール、個人メールを開けるなら、そのブラウザを操作するエージェントも同じ場所へ到達できます。

原則として管理プロファイルを使います。既存プロファイルへの接続は、目的を明記した一時的な昇格権限として扱い、可能なら担当者が見守る中で、短い作業だけに限定します。製品ドキュメントでは、ログイン済みのリモートプロファイルを操作するブラウザ制御は、そのプロファイルから到達できる範囲のオペレーターアクセスに相当すると説明されています。

もう1つ見落とされやすい制約があります。OpenClawのブラウザ向けSSRFチェックは多層防御の一部であって、ネットワークファイアウォールではありません。すべてのリダイレクト先、ポップアップの最初のリクエスト、Service Workerの経路、バックグラウンドリクエストを遮断するわけではありません。外向き通信を確実に制御する必要があるなら、ポリシーを強制するプロキシか、ネットワーク隔離された環境が別途必要です。

ブラウザ制御は、範囲が限定され、動きを観察できる業務なら実運用に耐えます。利用者がログインしているデジタル環境を丸ごと渡す理由にはなりません。

機能3：スケジュール実行とバックグラウンド処理

OpenClawは、Automations、Heartbeat、tasks、hooks、standing ordersによって会話の合間も処理を進められるため、単なるチャット画面を超えた存在になります。

Automationsは、正確な時刻指定、一度だけのリマインダー、繰り返し式、Webhookをきっかけにするジョブを処理します。分離または共有したコンテキストで実行し、結果をチャンネルやWebhookへ送れます。Automationを実行するたびにtaskレコードが作成されます。一方、Heartbeatは異なります。初期状態では30分ごとにメインセッションのコンテキストを使って概算時刻で1ターン実行され、taskレコードは作成しません。

この違いが重要なのは、スケジュール、コンテキスト、監査可能性が別々の要件だからです。午前9:00ちょうどに必要な経営ブリーフには、正確に動くAutomationが必要です。定期的に「重要な変化はあるか」を確かめる用途ならHeartbeatで足ります。切り離して実行する調査ジョブには、運用者が状態を確認できるtaskレコードが必要です。「返信前にコンプライアンスを確認する」といった常設ポリシーは、スケジュールではなく継続的な指示に記載します。

監査証跡を残す日次モニタリングの活用例

シニアオペレーターなら、対象を絞った情報源リストを読み、前回の記録と比較し、意味のある変更だけを通知する日次市場モニターを設定できます。

1. 1

   分離した実行をスケジュールする

   必要な現地時刻に1つのAutomationを設定し、分離セッションで動かします。明確な情報源リスト、出力形式、制限時間、ブラウザ操作の上限回数を指定します。

2. 2

   観測と判断を分ける

   まずページタイトル、変更されたテキスト、URL、取得時刻を集め、その後でモデルに変更内容を分類させます。分類を誤った場合でも、情報源自体が変わったかどうかを検証できます。

3. 3

   タスクの状態を記録する

   taskレコードを使い、キュー待ち、実行中、成功、失敗、タイムアウト、キャンセル、消失を区別します。チャンネルに届いたメッセージだけでは、実行ログになりません。

4. 4

   レビューできる結果だけを届ける

   情報源へのリンクと対応案を添えた簡潔な変更一覧をオペレーターへ送ります。公開、購入、削除、第三者へのメッセージ送信は、明示的な承認の後に限定します。

この設計なら、実行ごとに検証可能な形が残ります。曖昧な自律ループは、何も進めないままトークンを消費しかねません。範囲を定めたAutomationには、スケジュール、入力、許可ツール、制限時間、出力、レビュー担当者があります。

Heartbeatは気付きのための機能で、正確な時刻指定には向きません

Heartbeatは、多少遅れてもよい、コンテキストを踏まえた確認に役立ちます。受信箱、カレンダー、通知の確認を、メインセッションの1ターンにまとめることができます。対象セッションや実行レーンが使用中なら処理は先送りされます。そのため、決まった時刻に必ず届くべきレポートには不向きですが、「今、注意すべきことがあれば知らせる」という用途には適しています。

初期設定の30分間隔も無料ではありません。ほとんど変化がなくても、モデルを使う確認処理ごとにクォータやトークンを消費します。まず間隔を長くするかイベントトリガーを使い、情報を見逃す損失が実行回数の増加に見合う場合だけ短くします。

taskレコードは成果を保証しません

OpenClawのtask台帳で分かるのは、処理が実行されたことと、その終了状態です。結果が正しい、有用である、経済的な価値があることまでは証明しません。成功扱いのタスクでも、料金を誤り、情報源を漏らし、危険な操作を提案する場合があります。失敗したタスクでも、タイムアウトまでに予算の大半を使っているかもしれません。

成果指標は、ランタイムの状態より1段上に置く必要があります。市場モニターなら、人が受け入れた正しい変更検出数を数えます。日次ブリーフなら、必要な情報源をすべて含み、時間どおりに届いた件数を数えます。コード作業なら、定めたテストに合格し、レビューで承認された変更を数えます。この後でトークン費用を成果1件当たりのコストへ換算するとき、分母になるのがこの指標です。

これはOpenClawの特に優れた領域です。cronを超える一連の基本機能が揃っています。同時に、安易な自律化が高くつきやすい領域でもあります。途中の判断を誰も見ていないため、バックグラウンド処理には対話型チャット以上に厳しい予算と明確な停止条件が必要です。

機能4：スキルとモデルプロバイダーの移植性

OpenClawでは、繰り返し使う手順をスキルにできます。スキルは、SKILL.mdという指示ファイルと、ワークフローに必要なリソースを中心に構成するディレクトリです。

スキルは、ワークスペース、プロジェクト、個人用ディレクトリ、管理ストア、同梱インストール、プラグイン、追加ディレクトリ、接続ノードに配置できます。読み込み順により、同名の低優先度スキルをローカル手順で上書きできます。実務上は、1人で開発するビルダーでも、チャットのたびに長い指示を書き直すことなく、信頼できる手順を保存できます。

OpenClawは、ホスト型API、サブスクリプションで利用するコーディングプロバイダー、ゲートウェイ、ローカルモデルなど、多数のモデルプロバイダーにも対応しています。したがって、運用者は同じワークフローを保ったまま、背後のモデルを変更できます。コスト、品質、プライバシー、プロバイダーの提供状況が変わる場面では、この移植性が役立ちます。

ビルダー向け活用例：リリースレビューを再現可能にする

個人の技術ビルダーなら、繰り返し行うリリースレビューをローカルスキルにまとめられます。公開権限をスキルへ与える必要はありません。

1. 1

   自動化する前に契約を記述する

   トリガー、参照を許可する公式情報源、必須の事実、比較方法、出力形式、停止条件をSKILL.mdに定義します。スキルが返すのは下書きだけで、公開、マージ、顧客への通知は許可しないと明記します。

2. 2

   根拠を結果と一緒に保存する

   リリースURL、バージョン表記、日付、抽出した変更点を、レビュー担当者が確認できるワークスペースに保存させます。参照元がない要約は修正が困難です。

3. 3

   すべてのインストール元をゲートする

   明示的なスキル許可リストと、信頼できるsecurity.installPolicyコマンドを、ClawHub、Git、ローカル、更新、依存関係の各インストールに適用します。ポリシーが有効な判断を返せない場合は、拒否するようにします。

4. 4

   1つの評価基準でモデルを切り替える

   比較中の低コストモデルと高性能モデルに、同じ固定リリースサンプルを処理させます。事実の見落とし、裏付けのない主張、総トークン数、レイテンシ、レビュー担当者による修正を比べます。モデル移植性に意味があるのは、再現可能な評価によって切り替えを判断できる場合だけです。

第1の利点は、手順を記憶できることです。優れたスキルには、直前の作業で得た事実だけでなく、仕事の進め方が保存されます。第2の利点は、モデルを選べることです。手順が安定していれば、定型的な抽出には安価なモデルを使い、曖昧な判断だけを高性能モデルに任せやすくなります。

ClawHubのスキャン結果は参考情報であり、許可ではありません

OpenClawは、ClawHub、Gitリポジトリ、ローカルディレクトリ、アップロードしたアーカイブからスキルをインストールできます。ClawHubはVirusTotal、ClawScan、静的解析のシグナルを提示し、レジストリ検証に失敗した場合はopenclaw skills verifyも失敗させられます。こうした仕組みでサプライチェーンの可視性は高まりますが、そのスキルが自分の認証情報、ファイル、ツール、脅威モデルに適しているとは証明できません。

第三者のスキルを有効にする前に、指示と同梱コードを確認します。可能なら参照元を固定します。ワークフローで必要になるまで、広範なシェルアクセスとファイルシステムアクセスは認めません。同じスキル名でもコードと指示は変わり得るため、更新時も新規導入と同じように権限を見直します。

特に注意すべき境界があります。スキルの環境変数とAPIキーは、サンドボックス内ではなく、そのエージェントターンのホストプロセスへ注入されます。「エージェントはサンドボックス化されているのだから、スキルで使うシークレットもすべてサンドボックス内にだけ存在する」と誤解しやすいのですが、公式ドキュメントはそうではないと説明しています。

プロバイダー移植性にも同じような注意点があります。モデルを切り替えても、動作がそのまま保たれるわけではありません。ツール利用、指示への追従、プロンプトインジェクションへの耐性、コスト、対応コンテキストはモデルごとに異なります。比較中は、ワークフローの契約と評価セットを固定する必要があります。

OpenClaw 料金：実際の月額コストはいくらか

OpenClawのソフトウェア料金は$0で、公式が直接請求するのはこれですべてです。2026年8月8日時点の公式ページには、Free、Pro、Team、Enterprise、OpenClaw Cloudといった有料プラン体系はありません。リポジトリはMITライセンスです。実際の支出はすべて、モデル、コンピューティング、検索、メディア、メッセージング、ストレージ、運用といったソフトウェアの周辺で発生します。

OpenClawは、こうした外部従量課金をSaaSの料金ページではなく、API利用量とコストのページで説明しています。

このセクションの公式ページと料金は、2026年8月8日に確認しました。この日付が重要なのは、MITライセンスよりもモデル料金や対応する認証方法のほうが速く変わるためです。

実用的なAIエージェント処理にかかるモデル料金

トークン料金は、具体的な処理量に当てはめて初めて理解できます。ここでは明示的なシナリオとして、スケジュール実行する調査タスクが1回の試行につき入力20,000トークン、出力2,000トークンを消費するとします。これは分析上の仮定であり、OpenClawのベンチマークではありません。実際の実行量は、履歴、ツールの結果、再試行、推論、出力の長さにより大きく増減します。

OpenAIの現行モデルページでは、100万トークン当たりの料金を、GPT-5.6 Lunaが入力$0.20・出力$1.20、Terraが$2・$12、Solが$5・$30としています。OpenClawはほかのプロバイダーも利用できますが、この3階層なら、1社・1つのトークン予算という同じ条件で比較できます。

モデルだけにかかる1回の試行費用は、次のとおりです。

• Luna： 入力20,000トークンが$0.004、出力2,000トークンが$0.0024で、1回当たり$0.0064。
• Terra： 入力20,000トークンが$0.04、出力2,000トークンが$0.024で、1回当たり$0.064。
• Sol： 入力20,000トークンが$0.10、出力2,000トークンが$0.06で、1回当たり$0.16。

月100回試行すると、同じ処理でもLunaは$0.64、Terraは$6.40、Solは$16です。ホスティング、検索、メディア、チャンネル、その他の外部API料金は含みません。同じトークン量でも、LunaとSolのモデル選択によって費用は25倍変わります。

ただし、すべての試行が採用できる結果になるとは限らないため、試行単価だけでは価値を正しく表せません。ここでも明示的なシナリオとして、正常完了率を80%と仮定します。各試行費用を0.8で割ると、次のようになります。

• Luna： 成果1件当たり$0.008。
• Terra： 成果1件当たり$0.08。
• Sol： 成果1件当たり$0.20。

この計算によって、モデル選びの見方が変わります。最も安いモデルが、成果単価でも最安とは限りません。Lunaが正しく完了できる件数がSolの半分しかなければ、トークン単価の優位性は縮まります。情報源を厳密に指定した単純な抽出作業なら、Solは過剰かもしれません。レビュー後の修正も含めて合格基準を満たせる、最も安価な階層が正解です。

サブスクリプション利用は安くても、費用を測りにくい場合があります

OpenClawは、APIキーだけでなくサブスクリプション型のプロバイダー接続にも対応しています。定額サブスクリプションでは、クォータや追加利用の条件に達するまで、限界トークン費用がゼロに見えることがあります。一方、サブスクリプションのランタイムでは、金額に換算できる互換性のある推計値なしにトークン数だけが表示されることもあり、ローカルでの正確な費用配賦は難しくなります。

サブスクリプションは無料モデルではなく、処理能力のプールとして扱います。繰り返す業務を割り当て、完了回数と、クォータやプロバイダーポリシーで中断された回数を記録します。$20のプランで採用できる成果を100件得たなら、ホストとツールを除く単純な配賦額は1件$0.20です。無関係な作業にも使うプランなら、都合のよい成功事例に全額を割り当てるのではなく、実態に合う配賦が必要です。

OpenClawの利用状況画面はローカル分析に役立ちますが、プロバイダーの請求書でも、生涯累計の課金台帳でもありません。モデル料金が未設定なら推計に抜けが生じます。高額なワークフローはプロバイダーの請求と照合してから、コスト報告が完全だと判断します。

少額の従量課金がバックグラウンドループの主費用になり得ます

検索、Web取得、画像理解、画像生成、音声、埋め込み、第三者スキルは、それぞれ別のキーから費用を発生させる場合があります。1回の対話型リクエストでも複数サービスを呼ぶことがあり、スケジュールされたループなら毎時間繰り返します。

OpenClawの現行ドキュメントには、検索料金の具体例が1つあります。Brave Searchは毎月更新される$5のクレジットを含み、Searchプランは1,000リクエスト当たり$5なので、このクレジットで1,000回検索できます。十分に見えても、1回の確認で10回検索し、それを1日4回、複数のエージェントが実行すれば話は変わります。必要な管理策は、無料クレジットが持つことへの期待ではなく、ワークフロー単位のリクエスト上限です。

メディアと埋め込みにも同じ原則が当てはまります。リモート埋め込みを呼び出すメモリ機能は、ローカル埋め込みとは料金もデータ経路も異なります。スクリーンショットのワークフローでは画像理解の呼び出しが増えるかもしれません。音声チャンネルでは文字起こしと音声生成が加わる場合があります。最後の文章を書くモデルだけでなく、操作経路全体を見積もります。

OpenClawとn8nの実行単価を比較

n8n Starterは年払いで月額$20、2,500回の実行を含みます。すべて使い切った場合、含まれる実行1回当たり$0.008です。これは想定したLunaの成果1件当たりコストと偶然一致しますが、単位は異なります。n8nのexecutionはワークフロー1回の実行です。OpenClawの成果は、モデルの品質、ツールの挙動、合格基準によって変わります。

毎回同じ経路を通り、モデルによる判断をほとんど、あるいはまったく必要としない処理なら、n8nのほうが経済的です。一方、人が情報源を確認し、ツールを選び、計画を調整していたような曖昧なタスクなら、OpenClawが優位になる可能性があります。価値の源泉は、その判断力でなければなりません。決定論的なWebhookチェーンをエージェントで再現しても、有用な知能を足さずにコストと障害要因を増やすだけです。

OpenClaw 料金で失敗しない判断基準

最安モデルではなく、意味のある最小の作業から始めます。採用できる成果を1つ定義し、モデルとツールに予算を設定し、人が修正した時間を記録します。修正コストがトークンの節約額を上回ったらモデルを上げます。判断が不要な決定論的手順はエージェントの外へ移します。残った適応型の仕事に、自分で運用するランタイムを正当化できる価値がある場合だけ、OpenClawを使い続けます。

評価を左右するOpenClawの制約とリスク

OpenClawの制約は、細かな仕上げの問題ではありません。ホストアクセス、永続的なコンテキスト、ブラウザ権限、バックグラウンド実行、第三者スキル、速いリリースサイクルという、製品を有用にしている層そのものにあります。

最も重要な境界は、公式のサンドボックス説明ページに示されています。

1. サンドボックスは初期状態で無効です

OpenClawでは、agents.defaults.sandbox.modeの初期値がoffです。インストール後にこの設定を変えなければ、ツール実行は有効なツールポリシーとexecポリシーに従い、ホスト上で行われます。設定にサンドボックスイメージやワークスペース項目が書かれていても、サンドボックスモードが無効のままなら効果はありません。

これは製品を退ける理由ではありません。「セルフホストだから安全」という表現を退ける理由です。セルフホストなら環境を制御できますが、安全な環境を自動で選んでくれるわけではありません。

本番運用を見据えたパイロットでは、サンドボックスを意図的に有効化し、全セッションを入れるのか、メイン以外のセッションだけを入れるのか決めます。書き込みが必要になるまで、ワークスペースアクセスは「なし」または読み取り専用にします。タスクに不要ならネットワークアクセスを拒否します。指定した操作に不可欠な場合を除き、昇格ツールは避けます。

2. Gatewayとネイティブプラグインはサンドボックス外に残ります

サンドボックスを有効にしても、Gatewayプロセスはホスト上に残ります。ネイティブプラグインとコントロールプレーンRPCもサンドボックス外にあり、Gatewayと同じ信頼境界に属します。昇格実行で明示的に許可したツールは、サンドボックスを迂回します。

この制約は、コンテナの構成図だけでは見えにくいものです。エージェントのシェルツールやファイルツールがDocker内で動いていても、セッション、認証情報、プラグイン、ブラウザサービス、コントロールプレーン呼び出しを調整するプロセスはホストに残ります。サンドボックスが抑えるのは、選択したツールの影響範囲です。OpenClawシステム全体を包むものではありません。

現実的な対策は、ホストの隔離です。Gatewayを専用のOSユーザー、専用マシン、またはVMで実行します。個人の認証情報や無関係な社内シークレットをそのホストに置いてはいけません。ネイティブプラグインのインストールは、ホストへのコードインストールとして扱います。Gatewayが侵害された場合、ツールコンテナだけでは完全な復旧境界になりません。

3. 1つのGatewayは信頼済みオペレーターの境界であり、マルチテナント分離ではありません

OpenClawは、1つのGateway内で認証されたオペレーターを、Gateway全体で信頼済みとみなします。セッションキーは会話を振り分けるもので、テナントを認可するものではありません。ダイレクトメッセージを分離すれば、複数人の会話が混ざるのを防げますが、同じホストとコントロールプレーンを共有する、互いに敵対し得る利用者を保護することはできません。

公式のセキュリティ指針は明確です。テナントまたは組織ごとに、隔離したGatewayセルを1つ実行します。企業のパイロットでいえば、1チーム向けのGatewayを安易に全社共用へ広げてはいけないということです。リスクに応じてGateway、OSユーザー、ホスト、認証情報、ワークスペースを分け、信頼境界を分離します。

そのため、すぐに使えるマルチテナント型エージェント基盤を探すSaaS創業者には、OpenClawは不向きです。アーキテクチャ自体は隔離セルとして配置できますが、その周囲のテナント管理、プロビジョニング、ポリシー、課金、監視、ライフサイクルは自分で構築する必要があります。

4. プロンプトインジェクションは業務データから入ってきます

ペアリングと許可リストで制御できるのは、誰がエージェントを起動できるかです。エージェントが読む内容までは無害化しません。Webページ、メール、文書、添付ファイル、貼り付けられたログ、ツールの結果には、モデルの行動を別方向へ誘導する指示が埋め込まれている可能性があります。

OpenClawのセキュリティドキュメントは、システムプロンプトによるガードレールだけではプロンプトインジェクションを解決できないとしています。より確実な対策は、ツールポリシー、承認、サンドボックス、許可リスト、ファイルシステムの隔離、ネットワーク制限です。モデルは操作され得ると仮定し、その影響が重大な操作へ届かないようシステムを設計するのが現実的です。

有効な設計は、読み取りと実行を分けることです。信頼できない内容は、読み取り専用のエージェントまたはセッションに要約させ、範囲を絞った結果だけを実行権限のあるエージェントへ渡します。送信、公開、購入、削除、アクセス権の変更、機密データの移動には、人によるレビューを必須にします。取り返しのつかないミスを防ぐ地点に、意図的な手間を加える方法です。

5. ブラウザ操作は利用者本人の権限を引き継ぐ可能性があります

OpenClawの管理ブラウザプロファイルは個人用プロファイルから隔離されていますが、ログイン済みの実際のChromeセッションへ接続する機能もあります。この近道を使うと、そのセッションから到達できるすべてのアプリケーションとアカウントがエージェントに公開される可能性があります。ブラウザでダウンロードしたファイルやページ内容も、信頼できない入力です。

安全性と実用性を両立するなら、専用アカウントを登録した専用プロファイルを用意し、パスワード同期を無効にして、ダウンロード先を分け、業務外のシステムにはアクセスさせません。個人用または業務用プロファイルへの接続は、ほかの方法で対象へ到達できない短時間の監督付きタスクに限ります。

ネットワークポリシーも現実に即して考える必要があります。ブラウザのURLチェックはSSRFリスクを軽減しますが、ブラウザドキュメントが示すとおり、ネットワークファイアウォールではありません。外向き通信を完全に隔離するには、ポリシーを強制するプロキシか、所有者が管理するネットワーク境界が必要です。

6. スキルはサプライチェーンとシークレットの露出面を広げます

コミュニティスキルは、与えられた権限に応じて指示を変更し、インストーラーを実行し、ツールを呼び出し、ファイルを読み、プロバイダーキーを使えます。ClawHubのスキャンとskills verifyは可視性を高めますが、スキャナーごとに検出できる問題は異なります。「問題なし」という結果は、自分の環境で使ってよいという認可判断ではありません。

ホストプロセスにおけるシークレットの境界は、特に重要です。スキル用のキーと環境変数は、サンドボックスではなく、そのターンのホストプロセスへ注入されます。1つのAPIキーだけが必要なスキルを、無関係な認証情報ディレクトリまで読める、または広範なホストツールを実行できるエージェントの中で動かすべきではありません。

参照元を正確に指定し、更新内容を確認し、エージェントごとにスキル許可リストを設け、すべてのインストール経路で信頼できるインストールポリシーを実行します。スキルの初版は読み取り専用にします。権限は1つずつ追加し、成果に必要な理由を記録します。

7. リリースが速いことと長期サポートは別です

現行の安定版v2026.7.1-2は、2026年8月4日に公開されました。OpenClawは7月30日にextended-stableチャンネルを導入しています。最初の系列は2026.6.33で、2026.6.11を基礎に、その後のセキュリティ修正と信頼性向上をバックポートしています。

extended-stableはまだLTSではありません。1つの系列がサポートされるのは、次の月次extended-stableリリースまでで、最低1か月です。プロジェクトは、このチャンネルを将来のLTSへ向けた一歩と説明しています。重要な導入環境にとって前進ではありますが、1年間のセキュリティサポート、緩やかな非推奨化ポリシー、固定されたエンタープライズ保守期間を求める組織の要件は満たしません。

成熟度スコアカードも、issue数、比較、人による判断を基にし、安定機能について90%超のエンドツーエンドテストカバレッジを目標にしています。スコアカードは、各機能の成熟度を購入者が把握する助けにはなりますが、サービスレベル契約ではありません。

本格的に導入するなら、リリースチャンネルを意図して選び、更新をステージングし、ロールバック用アーティファクトを保管し、アドバイザリを購読し、変更のたびにタスクを検証します。「Latest」は修正と新機能を最速で利用できます。「Extended-stable」は変更頻度を抑えます。どちらを選んでも、保守作業は運用者に残ります。

8. 過去のセキュリティ問題から、更新は必須だと分かります

OpenClawの過去のアドバイザリGHSA-g8p2-7wf7-98mqは、リリース管理が重要な理由を示しています。この重大度Highの問題はv2026.1.28までのバージョンに影響し、v2026.1.29で修正されました。細工されたGateway URLによって保存済みトークンが流出し、Gatewayがループバックだけをlistenしている場合でも、攻撃者にオペレーターレベルのGateway制御を与える可能性がありました。アドバイザリのCVSS 3.1スコアは8.8です。

現行リリースは、影響を受けたバージョンよりはるかに新しいものです。ここでの教訓は、古い脆弱性が今も残っているということではありません。ローカルの管理画面にもブラウザ経由で到達でき、Gatewayトークンがホストレベルの権限になり得るということです。常に更新し、ブラウザプロファイルを分離し、Gatewayの公開範囲を制限することは、通常運用の一部です。

9. コストの可視化は便利ですが、完全ではありません

OpenClawは、セッション状態、利用量フッター、Control UI、プロバイダーのクォータ画面に、トークン数と推定コストを表示できます。これらの表示は、利用メタデータとローカルに設定した料金に依存します。サブスクリプション型ランタイムでは、金額を表示せずにクォータやトークン数だけを示す場合があります。プロバイダーやツールの一部料金は、モデルの記録に含まれないこともあります。

Control UIの合計は、取得可能なローカル履歴を表すもので、プロバイダーの請求書でも、生涯支出でもありません。重要なワークフローでは、プロバイダー請求、ホスト費用、検索・メディア用キー、人によるレビュー時間を照合します。ローカルのグラフでトークン利用が減っていても、外部ツールの請求が増えている可能性があります。

リスクを限定したパイロット構成

どんなチェックリストも自律型AIエージェントの安全を保証できません。それでも、パイロットから避けられる露出を取り除くことはできます。

1. 1

   ホストを隔離する

   専用マシン、VM、またはOSユーザーを使います。個人のブラウザデータ、パスワードストア、広範なクラウド認証情報、無関係な社内ファイルをランタイムへ置きません。

2. 2

   信頼境界を隔離する

   1人のオペレーター、または相互に信頼する1チームにつきGatewayを1つ運用します。テナントが異なる場合や利用者が敵対し得る場合は、Gatewayを分けます。

3. 3

   サンドボックスを有効にする

   パイロットの全セッションでサンドボックスモードを使い、scopeはsession、ワークスペースアクセスは「なし」または読み取り専用にします。定義済みの情報源やAPIが必要になるまでネットワークは無効にします。Gatewayとネイティブプラグインは外に残ることを忘れてはいけません。

4. 4

   外部からのアクセスを制限する

   ダイレクトメッセージはペアリング、または狭い許可リストに限定します。オープンなグループポリシーは避けます。承認済みの送信者が複数いる場合は、専用チャンネルと分離したセッションコンテキストを使います。

5. 5

   読み取りと実行を分ける

   最初のワークフローは、収集と提案だけを行わせます。外部メッセージ、購入、デプロイ、削除、権限変更には手動承認を残します。

6. 6

   監査し、復旧手順をリハーサルする

   設定変更後と外部公開前にopenclaw security auditを実行します。価値あるデータを扱わせる前に、更新、ロールバック、認証情報のローテーション、タスクのキャンセル、ホスト復旧をテストします。

この構成では、最初のパイロットに時間がかかります。それが有益なのです。広範な権限によってエージェントが実力以上に有能に見える前に、製品の運用コストを明らかにできます。

結論：OpenClawを選ぶのは「自分で所有すること」に価値がある場合だけ

OpenClawは、自分で設計、隔離、保守できる常駐型エージェントを求める個人の技術運用者やビルダーには推奨できます。一方、技術に詳しくない利用者、互いに信頼関係のない共同利用者、管理型のエンタープライズ向けコントロールプレーンを求めるチームには、一般的には推奨できません。

具体的な判断基準は、次のとおりです。

• OpenClawを選ぶ： 1人の技術責任者が、チャンネルとツールを横断する常駐型エージェントを必要とし、専用ランタイムを用意でき、最初の業務を取り消し可能な範囲に保ち、更新とセキュリティポリシーも製品の一部として受け入れられる場合。
• ChatGPTを選ぶ： 繰り返す仕事が会話、調査、ファイル、下書き、サポート付きの管理ツールであり、ホスト環境を誰にも運用させるべきでない場合。
• n8nを選ぶ： ワークフローが毎回同じ承認済みグラフを通るべきで、モデルの判断を使うとしても、限定された1ステップにだけ置く場合。
• OpenClawは限定的に試し、全面承認しない： 中堅チームに有望な適応型ワークフローがある一方で、ホスト分離、IDポリシー、プロバイダー費用、監視、更新、復旧がまだ実証されていない場合。
• OpenClawを見送る： 1つのサービス内で敵対的なマルチテナント分離、長期の契約サポート、保証された決定論的操作、または人の承認を挟まない機密システムへのアクセスが必要な場合。

資金調達済みの創業者なら、1つの繰り返し成果で採算を判断します。範囲を限定したエージェントが、レビュー、保守、インシデントリスクに費やす運用者の時間を上回って節約できるなら継続します。Telegramからエージェントへメッセージを送ること自体を楽しんでいるだけなら、管理型アシスタントのほうが注意力というコストを抑えられます。

中堅企業のCTOなら、所有することに事業上の理由が必要です。データの保存場所、プロバイダーの選択、ローカルツール、特殊なチャンネル、通常とは異なるワークフローなら、ランタイムを持つ理由になります。「AIエージェントが欲しい」だけでは不十分です。まず1つの業務に隔離セルを1つ承認し、ログ、費用、障害パターン、復旧手順が退屈なほど安定してから拡張します。

シニアオペレーターにとって、OpenClawは「手を持つ提案エンジン」として最も力を発揮します。観察、収集、比較、準備を任せ、実行先、権限、ロールバックが見える操作にだけ外部アクションを加えます。製品の幅広い権限を一度にすべて使おうとしないとき、その能力は最も信頼できるものになります。

よくある質問

OpenClawは無料ですか？

はい。OpenClawはMITライセンスで、ソフトウェア料金は$0です。2026年8月8日時点で、公式サイトにOpenClawの有料料金プランはありません。ただし、モデルまたはサブスクリプションのクォータ、コンピューターまたはサーバー、検索・メディアAPI、該当するメッセージングプロバイダー、第三者サービス、システム保守に必要な時間には費用がかかります。

OpenClawの安全性は？

OpenClawは、管理型の消費者向けアプリから想像する意味で、初期状態から安全とはいえません。サンドボックスは初期状態で無効です。ツール実行をサンドボックス化してもGatewayはホストに残り、ページ、メッセージ、文書、添付ファイルからプロンプトインジェクションが入る可能性があります。専用ホスト、信頼境界ごとのGateway、ペアリングまたは許可リスト、サンドボックスモード、限定したツール、専用ブラウザプロファイル、更新、監査、人による承認を組み合わせれば、リスクをなくせなくても抑えることはできます。

OpenClawの月額料金はいくらですか？

ベンダーが定めた固定料金はありません。1回につき入力20,000・出力2,000トークンの処理を月100回試行する想定では、モデルだけの費用はGPT-5.6 Lunaが$0.64、Terraが$6.40、Solが$16です。ホスティング、検索、メディア、チャンネルAPI、その他のツール、人によるレビューは別料金です。サブスクリプション型プロバイダーでは、トークン課金の代わりにクォータと追加利用の条件が適用される場合があります。

OpenClawを導入する価値はありますか？

ツールとチャンネルを横断する常駐型のセルフホスト・エージェントが必要で、最初のワークフローを限定できる技術責任者には価値があります。たまにチャットするだけの人、インフラ責任者がいない非技術系の利用者、n8nで明確に表現できる決定論的ワークフロー、1つのGatewayに敵対的なマルチテナント分離を期待するチームには向きません。

OpenClawのGitHubリポジトリはどこですか？

公式リポジトリはgithub.com/openclaw/openclawです。ソースコード、MITライセンス、リリース、issue、セキュリティアドバイザリが公開されています。古いセットアップ記事に頼らず、インストールまたは更新の前に最新リリースとアドバイザリを確認してください。

OpenClawにVPSは必要ですか？

いいえ。OpenClawは、既存のマシンを含むmacOS、Linux、Windowsで動作します。VPSならノートパソコンがスリープしている間もGatewayを稼働できますが、ホスティング費用、リモート管理、異なる種類のネットワーク公開リスクが加わります。ワークフローが機密データに触れるなら、専用のローカルマシンまたはVMのほうが最初のパイロットに適している場合があります。

OpenClawのおすすめ代替ツールは？

ホストを所有せず、管理型の汎用アシスタントを使いたいならChatGPTが最適です。既知のトリガーと出力先を持つ、決定論的で確認可能なグラフどおりにワークフローを動かしたいならn8nが適しています。正しい選択肢は、適応型エージェント、管理型アシスタント、再現可能なワークフロー実行のどれを業務が必要とするかで決まります。

OpenClawに向いている活用事例は？

向いているのは、範囲が明確で、取り消しが可能で、根拠を残せる用途です。日次の情報源ブリーフ、ベンダーページの監視、プロジェクト状況の集約、非公開のチャンネル横断アシスタント、リリースノートのレビュー、承認用の提案を返す調査などが挙げられます。最初の用途として、制限のないメール操作、本番デプロイ、購入、削除、広範なブラウザアクセス、無関係な利用者が共有するボットは適しません。

OpenClawの主なリスクは？

主なリスクは、ホストレベルの権限、有効化が必要なサンドボックス、サンドボックス外のGatewayとプラグインコード、信頼できないコンテンツからのプロンプトインジェクション、ログイン済みアカウントへ届くブラウザ接続、コミュニティスキルのサプライチェーン、頻繁な更新の必要性、モデルの誤り、複数プロバイダーにまたがる費用です。その多くは、OpenClawを有用にしている連携機能と表裏一体です。

AIツールを繰り返し発生するビジネス成果へ、もっと手早く対応付けたいですか？事業者向けAIツールマップをご覧ください。