結論からお伝えします。OpenClawは2026年2月10日から3月2日までの3週間で、14回のリリースを行いました。External Secretsの導入、大規模なセキュリティパッチ、macOSネイティブアプリ、そして5件のBreaking Changeまで含む密度の高い期間です。この記事は、これまで別々に扱っていた3本の記事を1本にまとめ、同じ期間を重複なく一度に整理したOpenClawアップデート総合ガイドです。
🔍 概要 ― 3週間のリリース・カスケード
2026.2.17から2026.3.2まで、OpenClawはほぼ毎日リリースを重ねました。私は毎日このツールと向き合っている立場から、実際に体感できる変更点を中心にこの期間をまとめました。CHANGELOG全体は数百行に及びますが、この記事では運用者が実際に知っておくべき項目だけを絞り込んでいます。
この期間は、弊社ブログでは以前3本に分けて扱っていました。最初は2月第4週の1週間だけを短くまとめ、次に2月全体をもう一度見直し、最後に2月末〜3月初旬の区間をマイグレーションガイド形式でまとめ直しました。3本を並べてみると、同じリリースが何度も言及されている区間がある一方、どの記事にもきちんと入っていない項目もありました。今回は3本を1本に統合し、2月10日から3月2日までの全期間を重複なく、日付順に整理し直しています。
📅 バージョンタイムライン
OpenClawはCalVer（YYYY.M.D）形式を採用しています。この期間のリリースをまとめて見ていきましょう。
| バージョン | 日付 | 主なテーマ |
|---|---|---|
2026.2.17 |
2/17 | Anthropic 1Mコンテキストベータ、Sonnet 4.6登録、/subagents spawn |
2026.2.21 |
2/21 | Gemini 3.1 Pro Preview、Volcano Engine/BytePlus、Apple Watch MVP |
2026.2.22 |
2/22 | Mistralプロバイダー、Synology Chat、韓国語・日本語のメモリ検索 |
2026.2.23 |
2/23 | セキュリティ大規模パッチ、Kilo Gateway、Claude Opus 4.6対応 |
2026.2.24 |
2/24 | Heartbeat DMブロック（Breaking）、per-agentキャッシュチューニング |
2026.2.25 |
2/25 | Anthropic OAuth撤去、多言語Stopキーワード拡張 |
2026.2.26 |
2/26 | External Secrets、ACP thread-bound agents、Heartbeatデフォルト復元 |
2026.3.1 |
3/1 | Androidノード拡張、Cron light bootstrap、ACPXストリーミング |
2026.3.2 |
3/2 | macOSネイティブアプリリリース（Sparkle自動更新） |
最も重みのあるリリースは2026.2.26です。External Secretsの導入により、平文のAPIキーを設定ファイルに直接書き込む時代が終わりました。2026.2.23のセキュリティ大規模パッチと2026.3.1のAndroidノード拡張も重点的に扱うべき項目です。
⭐ 主要な新機能
3週間で積み上がった新機能は多岐にわたります。項目ごとに整理します。
韓国語・日本語メモリ検索の改善（2.22） ― メモリ検索（FTS）に韓国語の助詞分離と韓英混在キーワード抽出が追加されました。以前は助詞が付いた検索語でマッチングがうまくいきませんでしたが、今では自然な韓国語の文章で検索しても関連する記憶を的確に見つけられます。日本語の混在スクリプト（ASCII＋カタカナ）トークン化、スペイン語・ポルトガル語・アラビア語のストップワードフィルタリングも同時に導入されました。
Gemini 3.1 Pro Preview（2.21） ― Googleの新モデルをgoogle/gemini-3.1-pro-previewのモデルIDでそのまま利用できます。GoogleがGemini 3 Proを終了し3.1への移行を促しているため、Antigravity認証を利用しているユーザーにとっては事実上必須のアップデートです。同バージョンではVolcano Engine（Doubao）とBytePlusのプロバイダーも追加されました。
プロバイダーの拡張 ― Anthropic・Google・OpenAI・xAIに続き、Mistralが公式プロバイダーとして追加されました（2.22、メモリ埋め込み・音声対応込み）。Kilo Gatewayもオンボーディング自動検出・モデルデフォルト・キャッシュTTLハンドリングまで含めた完全統合として導入されました（2.22〜2.23）。
Synology Chatチャンネル（2.22） ― Synology NASユーザー向けのネイティブチャンネルです。Webhook受信、DMルーティング、メディア送信、アカウント別設定に対応しています。
Anthropic 1Mコンテキストベータ（2.17） ― Claude Opus/Sonnetで100万トークンのコンテキストを利用できます。エージェント設定でparams.context1m: trueを指定して有効化します。長大なドキュメントをそのまま渡したり、膨大な対話履歴を保持したりする際に有用です。同バージョンでanthropic/claude-sonnet-4-6がエイリアス・フォールバックチェーンに正式登録され、/subagents spawnコマンドでチャット中に直接サブエージェントを起動できるようになりました。
Apple Watchコンパニオン MVP（2.21） ― ウォッチから受信箱の確認、通知リレー、ゲートウェイコマンドまで可能になりました。Android側はネイティブ4ステップオンボーディングから5タブシェル（Connect、Chat、Voice、Screen、Settings）への切り替え、system.notify／photos.latest／contacts.search／calendar.events／motion.activityといったシステム機能、ストリーミング配信とGFMマークダウンレンダリング品質の改善も行われました。
多言語自動停止コマンドの拡張（2.25） ― “stop openclaw”、”please stop”といった英語表現はもちろん、韓国語・日本語・中国語・スペイン語・フランス語の停止キーワードにも対応しています。感嘆符や疑問符といった後続の句読点も許容します。
🔐 External Secrets Management ― 最大の変化
2026.2.26のハイライトです。これまでAPIキーをconfig.yamlに平文で記載していたところ、openclaw secrets CLIによる専用のシークレットワークフローが使えるようになりました。
まず現在の設定に露出したシークレットがないかスキャンします。
openclaw secrets audit露出したキーが見つかれば、マイグレーションプランを自動生成できます。
openclaw secrets configureこのコマンドは/tmp/openclaw-secrets-plan.jsonにマイグレーションプランを作成します。適用前には必ず--dry-runで先に確認してください。
# まずdry-runで確認
openclaw secrets apply --from /tmp/openclaw-secrets-plan.json --dry-run
# 問題なければ実際に適用
openclaw secrets apply --from /tmp/openclaw-secrets-plan.json適用後にサービスを再起動せずシークレットを入れ替えたい場合は、hot-reloadを使用します。
openclaw secrets reload🤖 ACP Thread-Bound AgentsとAgent Routing CLI
ACP（Agent Communication Protocol）エージェントがスレッドセッションの第一級市民に昇格しました（2.26）。エージェントが特定の対話スレッドにバインドされ、ライフサイクル（起動、クリーンアップ、再調整）を体系的に管理されるという意味です。ACPのspawn/sendがACPXバックエンドブリッジングと統合され、coalesced thread repliesによって複数の応答が一つにまとまり、サブエージェント間の通信安定性が大きく向上しました。
同時期に、エージェントバインディングを管理する新しいCLIも追加されました。チャンネル単位のバインディングからアカウント範囲のバインディングへとアップグレードできます。
# 現在のバインディングを照会
openclaw agents bindings
# アカウント範囲のバインディングを追加
openclaw agents bind
# バインディングを削除
openclaw agents unbind⚡ 必ず確認すべきBreaking Change五つ
この3週間の区間でBreaking Changeが5件発生しました。どれか一つでも見落とすとサービスが壊れる可能性があります。
1. Heartbeat DMポリシーの変更。 最も混乱を招いた部分です。
| バージョン | DMポリシー | 動作 |
|---|---|---|
| 〜2026.2.23 | allow | DM許可 |
| 2026.2.24 | block | DMブロック（Breaking！） |
| 2026.2.26 | allow（復元） | DM再び許可 |
2.24で突然blockに変わり、2.26で再びallowに戻りました。DMブロックを維持したい場合は、設定を明示的に指定する必要があります。
# config.yamlに追加
agents:
defaults:
heartbeat:
directPolicy: "block"2. Browser SSRFデフォルト値の変更（2.23）。 ブラウザのSSRF防御デフォルトがtrusted-networkに変更されました。プライベートネットワークでOpenClawを利用している場合は明示的な設定が必要です。関連する設定キーもbrowser.ssrfPolicy.dangerouslyAllowPrivateNetworkに変更されています。最も簡単な修正方法はopenclaw doctor --fixです。
openclaw doctor --fix3. ブランディング変更 ― LaunchDaemonラベル。 macOSのLaunchDaemonラベルがbot.moltからai.openclawに変更されました。ロギングサブシステムとバンドルIDも同様に変更されています。
# 変更を確認
launchctl list | grep openclaw4. Podmanバインディングの変更。 デフォルトのバインドがlanからloopbackに変更されました。2026.2.26アップグレード直後のしばらくの間、既存のbind=lan設定を持つインスタンスが新しいセキュリティ要件へ自動マイグレーションされず、クラッシュループに陥る事例がGitHub #29385で報告されていました。
controlUi.allowedOriginsの自動マイグレーションパッチ（PR #29394）が2026.3.1〜3.2の時点ですでに反映済みだったことを、コミット履歴で直接確認しています ― つまり、この記事がもともと扱っていた期間の中で、すでに解決済みの問題でした。#29385自体は2026年4月4日にボットが「しばらく反応がありません」として自動クローズしていますが、クローズ理由の文言だけを見ると放置されたように見えるものの、実際にはそれ以前にすでに手動で修正が反映されていました。2026.3.1以上をお使いの場合、追加の対応は不要です。5. onboarding –resetの範囲変更。 デフォルトのリセット範囲がconfig+creds+sessionsに変更されました。完全リセットが必要な場合は--reset-scope fullを明示してください。
🛡️ セキュリティパッチまとめ
3週間で相当数のセキュリティ修正が入りました。2026.2.23の大規模パッチを中心に、日付順に整理します。
2026.2.23 大規模パッチ ― LD_*／DYLD_*／SSLKEYLOGFILE環境変数の自動除去、Unicode NFKC正規化によるhooksバイパス攻撃の防御、Telnyx Webhookリプレイ検知（Voice Call）、サンドボックスのtmpパスをOpenClawルートに制限、プラグインHTTP APIパスの正規化、ノードペアリングのデバイスメタデータ署名バインディング、configスナップショットのenv.*動的キー自動レダクション、難読化されたコマンド実行時の明示的承認の必須化、ワークスペースファイルシステムの@接頭辞パスエスケープ防止、Telegram認証前のメディアダウンロードブロック、Anthropic OAuth PKCE verifier露出の修正。
2026.2.25〜26 追加パッチ ― 実行承認の強化（symlink cwdの拒否、argv正規化によるパススワップ攻撃の遮断）、チャンネル別リアクション認可（Signal・Discord・Slack・TelegramへDM／グループポリシーを適用 ― 従来はリアクションイベントが認可なしに注入されうる状態でした）、Gateway WebSocketのクロスオリジンブルートフォース／セッションハイジャック防止、ワークスペースファイルシステムのハードリンク・シンボリックリンクを介したサンドボックス脱出の遮断、SSRFガードへのIPv6マルチキャストアドレスブロック追加（上記Breaking Change 2のデフォルト値変更とは別項目です）、macOSベータ版のOAuth PKCE verifier露出の脆弱性除去。項目数だけを見ると散発的なパッチのように映りますが、実際には実行承認・チャンネル認可・サンドボックス隔離・ネットワーク防御という4つの軸を同時に強化した期間でした。
openclaw security audit --deepの実行をおすすめします。CVE一覧も併せてご確認ください。CVE-2026-26324（IPv4-mapped IPv6経由のSSRF回避、CVSS 7.5 HIGH、2026.2.14以降で修正）が、この期間で唯一検証済みのCVEです。なお、以前の記事が引用していた「BlueBubblesループバック認証バイパス」CVEについては、弊社が再検証する過程で、実際には却下（Rejected）されたCVE番号だったことを確認しました ― 該当項目は今回の統合改訂では除外しています。
🧩 Claude Opus 4.6 Adaptive Thinking
2026.3.1より、Claude Opus 4.6モデルに対してadaptive thinkingがデフォルトで有効化されます。Anthropicのextended thinking（現在はAdaptive Thinkingとして案内されているのと同じ機能群）をOpenClawが自動的に適用する形です。Bedrockデプロイのモデルも対象に含まれます。他のreasoningモデルは従来どおり「low」設定を維持します。Claude Opus 4.6をエージェントバックエンドとして利用している場合、追加設定なしに自動適用されます。
📱 プラットフォーム別の変更点
macOS ― 3.2でついにネイティブアプリがリリースされました。Sparkleフレームワークによる自動更新に対応しています。バイナリ優先ゲートウェイ（Node.js依存の最小化）、メニューバーアイコンの修正、WebChatの角丸UI、Voice wakeのグレースフル終了、CJK IME Returnキーの修正（韓国語・日本語・中国語入力時のEnterキー問題がついに解決されました）、再起動ループの修正（supervisor marker、stale PID、ThrottleInterval 60秒）まで含まれます。
Windows ― PowerShell 7（pwsh）が優先実行され、PS 5.1にフォールバックします。&&チェイニングのバグも修正されました。
Android ― ネイティブ4ステップオンボーディングから5タブシェル（Connect、Chat、Voice、Screen、Settings）へ切り替わりました。system.notify、photos.latest、contacts.search/add、calendar.events/add、motion.activity/pedometerといったシステム機能が追加され、ストリーミング配信とGFMマークダウンレンダリング品質が改善されました。foreground-serviceの遅延起動、WebViewデバッグをクリティカルパスから分離する起動性能の最適化も行われています。
watchOS ― Apple Watchコンパニオン MVPが新規追加されました。ウォッチから受信箱の確認、通知リレー、ゲートウェイコマンドまで可能です。まだ正式版ではなくMVP段階のため、ウォッチを主力として使う予定であれば、当面は補助チャンネル程度に期待するのが妥当です。
⚙️ 安定性と配信の改善
目立つ新機能に劣らず、実運用の安定性改善もこの期間に数多く入りました。
サブエージェントの配信 ― 完了通知のディスパッチを明示的なキュー／ダイレクト／フォールバックのステートマシンにリファクタリングしました。不確実な配信状態での重複送信を防ぎます。Discordのタイピングインジケーター ― メッセージ送信後に「入力中…」表示が止まらなかった問題を解決しました。Slackセッションスレッド ― 肥大化した親セッションが新しいスレッドを無限ロードさせていたバグを修正しました。モデルフォールバックチェーン ― rate limit、cooldown、不明なエラー発生時にフォールバックが正しく機能するよう全面的に修正しました。
ゲートウェイの安定性 ― 異常終了後の「already running」ロック問題が大幅に減少しました。ゲートウェイのポート到達可能性をstale-lock判定に活用するよう変更されたことで、突然のクラッシュ後の再起動が格段にスムーズになりました。再起動ループのエッジケースも同時に修正されており、以前は特定の条件下でゲートウェイが起動と停止を繰り返しCPUを消費し続ける事例がありました。常時稼働環境であれば体感の大きい変更です。
Cron関連の改善 ― cron.maxConcurrentRuns設定が追加され、Cronジョブを並列実行できるようになりました（以前は常に直列実行でした）。3.1では--light-contextオプションも追加され、Cron・Heartbeat実行時のブートストラップファイル注入をスキップできます。
# HeartbeatでHEARTBEAT.mdのみロード
openclaw heartbeat --light-context自動化タスク、特に頻繁に実行されるCronジョブであれば、トークン節約効果が積み重なります。
自動アップデーター ― update.auto.*設定で自動アップデートを有効化できます。デフォルトはオフで、stableチャンネルはロールアウト遅延＋ジッター、betaは時間単位の更新周期です。Per-agentキャッシュチューニング ― エージェントごとにcacheRetentionなどのパラメータを個別にオーバーライドできます。
⚔️ 競合プラットフォーム比較
OpenClawのポジショニングを客観的に比較します。
| プラットフォーム | 特徴 | OpenClawとの関係 |
|---|---|---|
| n8n | ワークフローエンジン、$2.5B評価額 | トリガー／ルーティングはn8n、AI推論はOpenClawで組み合わせるチームが多い |
| NanoClaw | セキュリティ重視のフォーク、1000行未満 | OSレベルのコンテナ隔離。セキュリティが最優先なら選択肢になり得る |
| ZeroClaw | 純粋なRust再実装、5MB RAM | OpenClawの約390MB Node.jsと比べて極端に軽量。組み込み環境に適する |
| Botpress/Rasa | エンタープライズ向けチャットボットビルダー | 自律エージェント能力はOpenClawが優位 |
OpenClawの強みは汎用AIエージェントプラットフォームとしての拡張性です。軽量化が必要ならZeroClaw、セキュリティ特化が必要ならNanoClawが選択肢になりますが、エコシステムの規模ではOpenClawが圧倒的です。ただし、この比較表は順位表ではなくポジショニングマップに近いものです。どのツールが「優れているか」よりも、今解決したい課題がどの軸に近いのかを先に見極めるのが順序です。
✅ 移行チェックリスト
実際のアップデート手順を整理しました。上から順番に実行してください。
- アップデートのプレビュー ―
openclaw update --dry-run - 平文APIキーの監査 ―
openclaw secrets audit - SSRF／マイグレーション自動診断 ―
openclaw doctor --fix - ClawHubスキルのインストール履歴があればセキュリティ監査 ―
openclaw security audit --deep - LaunchDaemonラベルの確認 ―
launchctl list | grep openclaw - Heartbeat DMポリシーの確認 ― 必要に応じて
config.yamlにdirectPolicyを明示 - Cronジョブへの
--light-context適用可否の評価 - Claude Opus 4.6のadaptive thinking動作確認
- エージェントルーティングの点検 ―
openclaw agents bindings
bind=lanクラッシュループGitHub #29385は2026.3.1〜3.2ですでに自動解決済みです ― 上記Breaking Change 4番の訂正を参照）🧭 まとめ
3週間の変化を一言で要約すると、セキュリティ強化＋シークレット管理の現代化＋マルチプラットフォーム拡張です。
最も重要な3点は次のとおりです。第一に、External Secretsで平文キーを整理する必要があります。選択ではなく必須の方向性です。第二に、Breaking Changes（Heartbeat DM、SSRF、ブランディング、Podmanバインディング、resetの範囲）5件を見落とさないことです。openclaw doctor --fixを一度実行すればほとんど解決します。第三に、この期間のセキュリティパッチは即座の適用を推奨します。上記のチェックリスト9ステップを順番に踏めば、大きな問題なくアップデートできます。
3週間分溜まったリリースを一度に整理してみて、感じたことがあります。OpenClawのようにリリース周期の速いプロジェクトを運用するには、リリースのたびにCHANGELOGを追いかけるよりも、このような期間単位のまとめを定期的に行うほうが現実的です。次の期間も同じような密度で積み上がれば、弊社が改めて整理してお届けします。
🔄 では、今はどうなっているのか？（2026年7月時点）
上記のまとめは3月2日で終わっています。今日は7月19日なので、そこからさらに4か月半が経過しました。その間もOpenClawはリリースを続けており、その中から読者の皆様が見逃してはいけない項目だけを厳選してここに続けます。このセクションは記事公開後も継続的に更新される予定で、各項目は実際のリリースページを直接開いて確認した内容のみを掲載しています。
3月のセキュリティクリティカルクラスター（3.11〜3.31） ― 3月の1か月間で、CVSS 9.8〜9.9のクリティカルな権限昇格の脆弱性が立て続けに発見・修正されました。共通するパターンは、低い権限（operator.pairing、operator.read）で入ってきた呼び出し元がoperator.adminまで権限を引き上げられ、ノードが接続されたデプロイ環境ではノード上でのリモートコード実行にまでつながり得るというものです。
| アドバイザリ | 公開日 | 修正バージョン | 内容 |
|---|---|---|---|
| GHSA-4jpw-hj22-2xmc | 3/12 | 2026.3.11 |
pairing権限の呼び出し元がdevice.token.rotateでより広いトークンを発行可能 |
| GHSA-hf68-49fm-59cq | 3/24 | 2026.3.22 |
device.pair.approveが承認者自身も持たない権限を付与 |
| GHSA-fqw4-mph7-2vr8 | 3/26 | 2026.3.28 |
ローカル共有認証の再接続時にread権限がadminへ静かに拡張 |
| GHSA-9hjh-fr4f-gxc4 | 3/26 | 2026.3.28 |
backendラベルの再接続が自らadmin権限を主張可能 |
| GHSA-g5cg-8x5w-7jpm | 3/31 | 2026.3.31 |
Heartbeatコンテキスト継承がsenderIsOwnerでサンドボックスを回避 |
| GHSA-9p3r-hh9g-5cmg | 3/31 | 2026.3.31 |
リモートファイルシステムブリッジreadFileのTOCTOU競合状態によるサンドボックス脱出 |
その後、5月28日と6月30日にそれぞれ67件、45件のセキュリティアドバイザリが一度にまとめて公開されたことも目を引きます。ただし、件数だけを見て驚く必要はありません。この2つのバッチはOpenClaw自身のセキュリティチームが過去のバージョン系列まで遡って整理した大規模な公開（disclosure batch）であり、大半は発見日ではなく影響範囲（affected version range）が遡及される形式のため、「その日に新たに67件の脆弱性が発生した」という意味ではありません。2026.5.27と2026.6.6のリリースノートにある「セキュリティ境界の強化」項目と連動した定期的な整理という性格です。読者の皆様にとって実際に重要なのは、上記表の3月クラスターです ― クリティカル等級であり、新規発見であり、修正バージョンが明確だからです。
メモリが「人を知るwiki」へ（2026.4.29） ― Provenanceビュー、対話別のActive Memoryフィルター、タイムアウト時の部分的な想起（partial recall）、REMプレビュー診断まで、メモリシステムが大きく拡張されました。同リリースではセキュリティ面の変更も一つあります。tools.exec／tools.fsのような詳細設定が、messaging／minimalのような制限的プロファイルを暗黙的に緩和しなくなりました ― 必要であればalsoAllowを明示的に追加する必要があります。
Control UIの全面刷新（2026.7.1、実際の公開は7/13） ― タグは「7.1」ですが実際の公開日は7月13日で、12日の差があります。この記事でこれまで見てきたタグと公開日のずれ（通常1日程度）よりもはるかに大きく、ベータ1〜6が7/2から7/13にかけて順次配布されたためと見られます。内容自体はこの期間で最大のリリースです。Tasks中心に再編されたControl UI、並べて見る会話ビュー、接続の事前検証を含むガイド付きセットアップ、iOS/iPadOS・Android・macOSの3プラットフォームにわたる大幅な改善、Claude Codeにセッションを一時的に引き渡すopenclaw attach、より安定したCodex委任とネイティブサブエージェント、GPT-5.6・Tencent Hy3などの新モデル追加、そして繰り返し失敗していたGatewayが無限再起動の代わりに安定した復旧経路を持つようになった変更まで含まれます。
bind=lanクラッシュループ（GitHub #29385）と、このGateway復旧経路の改善は別のバグです ― 混同なさらないようご注意ください。なお、iOSネイティブアプリはこの期間を通じて継続的に磨き込まれていますが（App Store Connectの準備、TestFlightベータ、CalVer固定など）、弊社が確認した範囲では公式の正式リリース（GA）発表は見つかりませんでした。現時点ではまだベータ段階と見るのが正確です。
📚 参考資料
- OpenClaw GitHub Releases
- CVE-2026-26324 ― SSRF via IPv4-mapped IPv6
- GitHub #29385 ― bind=lan crash-loop after 2026.2.26 upgrade（2026.3.1〜3.2で修正済み、記事内訂正を参照）
- Anthropic Extended/Adaptive Thinking Documentation
- 弊社の詳細分析記事 ― OpenClawのセキュリティ、ローカルなら安全か？
- GHSA-4jpw-hj22-2xmc ― device.token.rotate 権限昇格
- GHSA-hf68-49fm-59cq ― device.pair.approve 権限昇格
- GHSA-fqw4-mph7-2vr8 ― ローカル共有認証再接続の権限拡張
- GHSA-9hjh-fr4f-gxc4 ― backendラベル再接続のadmin自己主張
- GHSA-g5cg-8x5w-7jpm ― Heartbeatコンテキスト継承のサンドボックス回避
- GHSA-9p3r-hh9g-5cmg ― リモートFSブリッジTOCTOUサンドボックス脱出
- OpenClaw v2026.4.29 リリースノート ― メモリのwiki化
- OpenClaw v2026.7.1 リリースノート ― Control UI刷新