【西川和久の不定期コラム】話題のAIエージェント「OpenClaw」入門。Dockerを使い安全にセットアップ

『AIエージェント』って、結局のところ何が普通のAIチャットボットと違うの？

AIエージェントとチャットボットの違いは、「考える」と「実行する」が分離してるかどうかなんですよね。 チャットボットは指示を受けて答えを返すだけ。あなたが「このファイルを編集して」と言っても、編集方法を説明するだけで、実際には触らない。でもAIエージェントは違う。LLMという判断エンジンと、実際にPC操作するツール群が一体になってて、「このタスク達成するにはどうしよう」と自分で考えて、ファイル検索から読み込み、編集、実行まで自分で実行するループを何度も回す。記事で言うなら、OpenClawが「PC WatchのCOMPUTEX記事をパワポ化」という指示を受けたとき、記事を検索して、Playwrightでブラウザ操作して、テキスト抽出して、パワポ作成という一連を自分で判断して進めてる。その自律性が大きな違いなんです。つまり、チャットボットは「相談相手」で、エージェントは「実務アシスタント」という感じ。ただし自律性が高い分、OSそのものを触られるリスクも生まれる。だからDockerで隔離する、という話が出てくるわけです。

OpenClawがPC操作できるなら、自分のパソコンにインストールして日々の面倒な作業を自動化できるってこと？

理論上はそうなんですが、実務レベルだと「何が自動化に向いているか」の見極めが意外と難しい。 記事から分かるのは、OpenClawは指定したフォルダ内のファイル操作、ウェブ検索、スクリーンショット取得などができる。だから「PC Watch のComputex 記事を集めてパワポ化」みたいな「手順が決まっているタスク」には向いている。一方で、AIが「指示を誤認して大事なファイルを削除する」という事故のリスクもある。記事で Docker での隔離を勧めているのはそのため。 面倒な日常業務となると、実は多くが「判断が複雑」か「例外処理が頻繁」なんですよね。たとえば「毎月の経費データを整理する」って一見単純に見えても、フォーマットが統一されていなかったり、疑わしい金額が混ざっていたり。AIが完全に一人で回し切るのは難しい。 使うなら、むしろ「毎月第1金曜にこのサイトをクローリングして結果をメール送信」みたいな「ルール化できて、失敗時の影響が限定的」なタスクに絞るのが現実的に見えます。セキュリティとのバランスを考えると、すべてを自動化するより「AIに手伝わせる」くらいの付き合い方のほうが、むしろ実用的になりそうです。

なぜこの数ヶ月でOpenClawがこんなに急速に話題になって、次々と大企業（NVIDIAやMicrosoft）が対応版を出すようになったの？

OpenClawが急速に注目を集めたのは、「AIが自分で判断して実行する」という体験の壁が、ようやく下がったからのようです。 ChatGPTのコード実行機能やClaude Codeは、質問に答える形の補助ツール。でもOpenClawは違う。LLMに「このタスク、お前が全部やってくれ」と投げると、ファイル探索から編集、コマンド実行まで、すべてAI自身が判断して進める。PCの操作を自動化するRPA的な発想は昔からありますが、それをLLMの自律性に任せる——この組み合わせは、実は初めてまともに動いたんですよね。 記事に出てくる通り、2月にスター数が10万を突破するバイラル化も、その「動く実感」があるから。開発者やテックコミュニティが「これだ」と感じたわけです。 大企業が対応版を出し始めたのは、セキュリティの落ち着きを見据えているのかもしれません。NVIDIAの「NemoClaw」も、Microsoftの隔離レイヤーも、みな「どう安全に企業向けに組み込むか」という同じ課題に向き合っている。初期の熱狂から、実務化フェーズへの転換を、産業側も読み取ったということなんでしょう。

つまりこれって『便利さと危険性のバランスをどこに引くか』っていう、新しい技術が社会に組み込まれるときのいつもの課題の一つなの？

その通りですね。OpenClawの設計思想を見ると、いま技術が社会に組み込まれる時の典型的なパターンが見えてきます。 初期段階では「できることの自由度」が優先される。Peter Steinberger氏が作った当初のOpenClawは、AIがOSに直接アクセスできるという自由度の高さが魅力でした。でも熱狂は急速に冷め、今は「いかに安全に実務に組み込むか」という冷静な検証フェーズに移った。記事がそう述べているように。 ここが興味深いのは、安全性の追求が技術そのものを否定するのではなく、むしろ使い方を縛る方向で進んでるということです。MicrosoftのWSL隔離レイヤー、記事で推奨されてるDocker運用、これらは「AIに何でもさせる自由」を制限する代わりに、実務で使える「信頼できる枠組み」を作ろうとしている。 つまり、便利さと危険性のバランスではなく、「無制限の利便性から、制限された実用性への転換」という局面なのかもしれません。一般的なビジネスユーザーが使う前提で、隔離環境を当たり前にするという設計思想も、その現れと言えそう。

記事で『Dockerを使えば安全』と書いてあるけど、逆に『Dockerで機能を制限しすぎると、OpenClawが本来できることができなくなる』ってジレンマがあるってことだよね？

その通り、記事を読むと見事なジレンマが浮かび上がってきます。 安全性と利便性のトレードオフが、ここまではっきり書かれてるのは珍しい。記事では「このフォルダにあるこれとこれと、こっちのフォルダにあるこれをまとめてパワポに」という複雑なタスクができないと明記してるんですよね。Docker環境だとworkspace配下しかアクセスできないから、必要なファイルをいちいちコピーしないといけない。 面白いのは、この制約がセキュリティとしては正しいという点。AIが誤認して大事なファイルを消す事故を防ぐなら、アクセス範囲を絞るしかない。でもそうすると、ユーザーの手間が増える。 だから記事の著者は「筆者的にはセキュリティ面でお勧めできない」と前置きしながらも、Docker版のみ紹介するという選択をしてる。つまり、実務で本当に使い倒したければ、安全性とのバランスを自分で決めろ、という投げかけなんだと思う。 Windowsの場合はWSLがLinux環境だから「ホストOSとのギャップが少ない」という話も、言い換えればコンテナ内でより多くのことができる環境になってる。制限がユーザーの工夫で補える余地が生まれるわけです。 セキュリティは便利さと常に相反する。その緊張感をどこで落ち着けるかは、個人や組織の判断になるのかもしれません。