AIエージェントの過度な中央集権化に対するアーキテクチャ的修正:メモリ、実行、アウトバウンドアクションの分離

OpenClawのセットアップを構築していた開発者は、重要なアーキテクチャ上の問題を特定しました:AIアシスタントが単一のコンポーネントに過剰な機能を集約することで、「内部の独裁者」になりつつあったのです。問題はモデル自体ではなく、一つのエージェントが長期記憶を保持し、増え続けるツール群にアクセスし、外部アクションに関する自律的な意思決定を同時に行えるようにするアーキテクチャにありました。
問題点:機能の集約が爆発的影響範囲を生む
当初は効率的だったものの、この集約は、一つのコンポーネントが知りすぎ、やりすぎ、そして動きすぎることを意味しました。これにより、単一の障害点(悪いプロンプト、古くなった記憶、プロンプトインジェクション、雑なツールの使用、誤った前提など)が元のタスクとは無関係な領域にまで波及する可能性のある「巨大な爆発的影響範囲」が生まれました。
アーキテクチャ上の修正:三つの分離した役割
開発者は、プロンプトベースの修正ではなく、三つの役割による分離を実装しました:
- プライベートコントローラー:広範な個人的な文脈と記憶を持つ唯一のコンポーネント。その仕事は「すべてを行う」ことではなく、「このタスクに実際に何を知る必要があるかを決定する」ことです。
- スコープ付きワーカー:タスク固有のエージェントで、最小限必要な文脈、限定されたツールアクセス、限定的な永続性を受け取ります。例えば、執筆ワーカーはユーザーのメッセージ履歴全体を受け取るべきではなく、スケジューリングワーカーはユーザーの人生の文脈全体を受け取るべきではありません。
- アウトバウンドゲート:メッセージの送信、コンテンツの公開、状態の削除や変更、ユーザーを外部に代表するあらゆる行為など、リスクの高い操作を扱います。何かを起草するコンポーネントが、自動的にそれを送信するコンポーネントであってはなりません。
重要な洞察
特定された中核的なアーキテクチャ原則は:「最も多くを知るコンポーネントは、最も速く行動できるコンポーネントであってはならない」というものです。一度言われれば明らかですが、多くのエージェントシステムはデフォルトでこれを違反しています。
この分離により、システム全体はより健全に感じられ、過剰な権限を持つ単一障害点を作り出すという根本的な問題に対処できました。開発者は、エージェントが実際のオペレーターへと進化するにつれ、これはますます重要になると指摘しています。
📖 Read the full source: r/openclaw
👀 See Also

SupraWall MCPプラグインは、ローカルAIエージェントに対するプロンプトインジェクション攻撃をブロックします。
SupraWallは、AIエージェントからの機密データ流出試行を傍受・ブロックするMCPプラグインです。プロンプトインジェクション攻撃による認証情報漏洩を防いだレッドチームチャレンジで実証されました。

ClawGuard: ローカルAIエージェント向けデフォルト拒否ファイアウォール
ClawGuardはOpenClaw/Hermesエージェントからのすべてのツール呼び出しを傍受し、デフォルト拒否ポリシーを適用して、.envの読み取りやrm -rfなどの危険な操作をブロックし、曖昧な操作には電話での承認を要求します。

Tailscaleを使用したOpenClawの安全なリモートアクセス
なし

愛らしいショーケースで紹介されたEdTechアプリにセキュリティ脆弱性が発見されました。
セキュリティ研究者が、Lovableで紹介されているEdTechアプリに16の脆弱性を発見しました。その中には、認証なしで18,697件のユーザーレコードを公開する重大な認証ロジックの欠陥も含まれています。このアプリはLovableの紹介ページで10万回以上閲覧され、カリフォルニア大学バークレー校、カリフォルニア大学デービス校、世界中の学校から実際のユーザーが利用していました。