IronClaw は、NEAR AI（GitHub org nearai）が開発するRust製のパーソナルAIアシスタント——いわゆる「Agent OS（エージェントOS）」だ。単なるチャットボットではなく、WASMサンドボックス・認証情報保護・エンドポイント許可リストという具体的な仕組みで「エージェントに何をどこまで委ねるか」を設計レベルで線引きしている点が特徴で、2026-07-27にv1.0.0へ到達したばかりの新興OSSでもある。本記事ではREADME・GitHub API・実機インストールという一次情報だけを根拠に、IronClawの正体とセキュリティ設計、そして巨大コミュニティを持つ「OpenClaw」との公式な設計差を確認する。

IronClawのセットアップウィザード画面。LLMプロバイダ選択とAPIキー入力を案内するCLI/WebUIの初期設定フロー
IronClawの初回セットアップウィザード（出典: nearai/ironclaw 公式リポジトリ docs/images/quickstart）
30秒でわかる IronClaw（2026-08-05時点）
  • ・正体：NEAR AI開発のRust製・セキュリティ優先のパーソナルAIアシスタント（Agent OS）。★12,589・フォーク1,487・リリース37本、GitHub API実測
  • ・何ができる：REPL/HTTP/Web UI/Slack・Telegram等の複数チャネルから、WASMサンドボックス内でツールを実行するエージェントを動かせる
  • ・何を解決する：ツールに何でも権限を渡してしまう不透明なエージェント運用に対し、認証情報の非開示・エンドポイント許可リスト・プロンプトインジェクション対策で「委ねる範囲」を明示的に線引きする
  • ・実測：curl | shのインストーラーからバイナリ設置まで約3秒（本日Linux環境で計測）。ironclaw onboardはAPIキー未設定でもconfig生成まで完走し、ironclaw doctorは8項目全てpassした
  • ・注意：v1.0.0到達は2026-07-27でまだ1週間強、リポジトリ作成も2026-02-03で運用約6ヶ月と短い。ライセンスはMIT OR Apache-2.0のデュアル

エージェント基盤そのものの選び方を先に俯瞰したい場合は、AIエージェントフレームワーク比較2026｜LangGraph・CrewAI・Dify等9種をStar数・実コードで検証で主要フレームワークの位置づけを確認してから戻ってくると、IronClawの立ち位置が掴みやすい。

IronClawとは何か——プライバシー/セキュリティ優先のAgent OS

IronClawの公式READMEは自身を「your secure personal AI assistant, always on your side（あなたの側に立つ、安全なパーソナルAIアシスタント）」と定義している。Philosophy節ではこの姿勢がさらに具体的に書かれており、要点は次の4つだ。

・データはローカルに保存され、暗号化され、ユーザーの制御下から出ない
・オープンソースで監査可能、隠しテレメトリやデータ収集は行わない
・ベンダーのアップデートを待たずにツールをその場で自己拡張できる
・プロンプトインジェクションとデータ流出に対して多層防御（defense in depth）を行う

つまりIronClawは「何ができるか」よりも先に「エージェントに何をどこまで委ねるか」を設計の出発点に置いている。この姿勢がそのままREADMEの節構成（Quick Start → Philosophy → Features → Installation → Configuration → Security → Architecture）にも表れており、Securityが独立した大項目として扱われているOSSは珍しい。

開発元はGitHub org nearai（NEAR AI）で、READMEにNEAR AIによる開発である旨の明記は無いものの、org自体がNEAR AI名義で運用されている。GitHub API実測（2026-08-05時点）では、★12,589・フォーク1,487、最終pushは2026-08-04と非常に活発。リリース数は37本、最新はv1.0.0（2026-07-27公開）。contributor数はcontributors?per_page=1のLinkヘッダからpage=119が確認でき、少なくとも100人以上が関わっていると推定できる。正確な合計は未確認だが、単独開発ではないことは明らかだ。

flowchart LR A["WASM Tool
（未信頼コード）"] --> B["Allowlist Validator
承認済みホストのみ許可"] B --> C["Leak Scan (request)
送信前に機密検出"] C --> D["Credential Injector
ホスト境界で注入"] D --> E["Execute Request
実リクエスト送信"] E --> F["Leak Scan (response)
応答も機密検出"] F --> A

このMermaidは、後述するセキュリティ節で詳しく扱う「WASMサンドボックスの通信経路」をREADME記載のASCII図から書き起こしたものだ。ツール（WASM側）は一度も生の認証情報を見ないまま、許可リストとリークスキャンを両方通過したリクエストだけが実行される設計になっている。

エージェントを実行環境ごと隔離する設計としては、Tencentが公開しているMicroVM方式との比較も参考になる。CubeSandbox解説：60ms起動MicroVMでAIエージェントを安全実行するTencentの設計思想はクラウド実行基盤側の隔離を扱っており、IronClawの「パーソナルAIアシスタントのローカル権限制御」とは対象レイヤーが異なる——クラウド側でコンテナ/VMごと隔離するか、ローカルのWASMランタイムで権限を線引きするかという、隔離の粒度の違いとして読み比べると位置づけが掴みやすい。

読者の3つの問いへの答え
① 何ができる：REPL・HTTP webhook・WASMチャネル（Telegram/Slack）・Web Gatewayの複数経路から、WASMサンドボックスでツールを実行するAIアシスタントを動かせる ② 何を解決する：エージェントに権限を渡す際の「どこまで委ねるか」が曖昧なまま運用されがちな問題を、capability-basedの許可リストと認証情報の非開示で明示化する ③ 何を代替できる：README自身が名指しする通り、OpenClawのRust版・セキュリティ強化版という位置づけに近い

インストールと実機検証：ironclaw onboardからstatusまで

IronClawはRust製で、GitHub Releasesから各OS向けの実行ファイルまたはインストーラーが配布されている。macOS/Linux/Windows(WSL)向けにはシェルスクリプト、Windows向けにはPowerShellスクリプトとMSIインストーラーが用意されている。リリースタグはironclaw-vX.Y.Zという独自の接頭辞付き形式（通常のsemverタグそのままではない）なので、URLを自分で組み立てる際はironclaw-vを落とさないよう注意したい。

本記事の執筆にあたり、Linux環境で実際にインストールから状態確認までを実行した。

IRONCLAW_RELEASE_TAG=ironclaw-v1.0.0
curl --proto '=https' --tlsv1.2 -LsSf \
  "https://github.com/nearai/ironclaw/releases/download/${IRONCLAW_RELEASE_TAG}/ironclaw-installer.sh" | sh

実行結果は次の通りで、ダウンロードからバイナリ設置（ironclaw・ironclaw-updateの2つ）まで完了する。

downloading ironclaw 1.0.0 x86_64-unknown-linux-gnu
installing to ~/.cargo/bin
  ironclaw
  ironclaw-update
everything's installed!

続けてironclaw onboardを実行する。本来はLLMプロバイダの選択とAPIキー入力を対話式で行うが、今回は非対話セッション（APIキー未設定）で試した。それでもローカル設定・暗号化用のシークレットストア・WebUIログイン用トークンの発行までは完走し、「LLM認証情報の設定だけが未完了」という状態で終わる。

ironclaw onboard

IronClaw Reborn onboarding
reborn_home: ~/.ironclaw/reborn
wrote: ~/.ironclaw/reborn/config.toml
wrote: ~/.ironclaw/reborn/providers.json
webui_token: ~/.ironclaw/reborn/webui-token (wrote)
onboarding_marker: ~/.ironclaw/reborn/.onboard-completed.json (wrote)
llm_credentials: skipped (non-interactive session)

completed:
- reborn home initialized
- config.toml and providers.json available
- webui bearer token provisioned
- onboarding completion marker available

remaining:
- configure LLM credentials: rerun `ironclaw onboard` from an interactive
  terminal, run `ironclaw models set-provider <provider> --model <model>`,
  or export a provider's LLM environment variables before the next onboard/serve
service: skipped (non-interactive session)
login_link: http://127.0.0.1:3000/login?token=（本セッション限りのローカルトークン・伏字）

最後にironclaw statusとironclaw doctorで状態を確認する。statusは設定ファイルの有無・サービス状態・WebUIログインリンクを、doctorはコア設定とドライバの初期化状況をチェックする。

ironclaw status
ironclaw doctor

statusはonboard後にconfig_file/providers_fileが(present)へ変わったことを示し、doctorは「Core」「Drivers」の計8項目を✔で表示して「8 passed, 0 failed, 0 skipped」で完了した。APIキーが無い状態でもインストール〜状態確認までの一連の流れが破綻なく完走することは、実機で確認できた事実として書ける。

installer.sh実行からironclaw onboard、status/doctorまでの3ステップ検証フロー図
本記事執筆時にLinux環境で実施した実機検証の流れ

APIキーを設定してironclaw onboardを対話式で完走させると、プロバイダ選択・モデル選択のあとmacOS/Linuxではバックグラウンドサービスが起動し、WebUIへのログインリンクが発行される（Windowsはironclaw serveでフォアグラウンド起動が必要）。その先の初回応答画面はREADME公式スクリーンショットで確認できる。

IronClawのWeb UIで初回応答を表示する画面
オンボーディング完了後のWeb UI初回応答画面（出典: nearai/ironclaw 公式リポジトリ docs/images/quickstart）
IronClawのGitHub実測値。star 12,589・fork 1,487・リリース37本・contributor100人超・オープンissue1,519件
2026-08-05時点のGitHub API実測値

セキュリティ設計の中身：WASMサンドボックスと認証情報保護

IronClawのSecurity節は「defense in depth（多層防御）」を掲げ、3つの柱で構成されている。

WASM Sandbox：未信頼のツールはすべて隔離されたWebAssembliyコンテナ内で実行される。capability-based（機能ごとの明示的opt-in）でHTTP・シークレット・ツール呼び出しの権限を分け、エンドポイント許可リストで承認済みホスト/パスへのHTTPリクエストのみを通す。認証情報はホスト境界でツールに注入され、WASMコード自身には一切露出しない。さらにリクエスト・レスポンス双方に対してシークレット流出（漏えい）を検出するスキャンが走り、ツールごとのレート制限とメモリ/CPU/実行時間の上限も設けられている。

Prompt Injection Defense：外部コンテンツはパターンベースの検知・コンテンツのサニタイズとエスケープ・Block/Warn/Review/Sanitizeの4段階のポリシールール・ツール出力をLLMコンテキストへ安全に注入するためのラッピング、という複数層を通過する。

Data Protection：全データはIronClawのアプリケーション状態としてローカル保存され、シークレットはAES-256-GCMで暗号化。テレメトリ・分析・データ共有は行わず、すべてのツール実行の監査ログが残る。

IronClawのセキュリティデータフロー図。WASMツールから許可リスト・リークスキャン・認証情報注入を経て実行される経路
IronClaw公式ドキュメントのセキュリティ・データフロー図（出典: nearai/ironclaw 公式リポジトリ docs/images/security）

この3本柱は、AIエージェント セキュリティを検討する際の具体的な参照点にもなる——権限をどこで切るか（capability）・データをどこで検査するか（leak scan）・鍵をどこに置くか（host boundary）という3つの問いに、それぞれ実装で答えているからだ。ここで強調しておきたいのは、これらの主張は現時点でREADME記載の設計思想の確認にとどまるという点だ。本記事は実装コード（Rustのソース）まで読み込んで検証してはいない。数値的な防御成功率や被害事例の主張はREADMEにも見当たらず、本記事でも「READMEはこう説明している」という粒度で書いている。

エージェントのツール実行そのものをOSSコーディングエージェントの文脈で比較したい場合は、OpenHands完全ガイド：SWE-Bench 77.6%のOSS AIコーディングエージェント徹底解説がDockerベースの実行環境を採用しており、WASMサンドボックスとの設計対比材料になる。

OpenClaw・gooseとの違い——公式Heritageと第三者評価

IronClawはしばしば「OpenClaw」という別のパーソナルAIアシスタントOSSと比較される。この関係は第三者の推測ではなく、IronClaw自身のREADMEが「OpenClaw Heritage」という独立した節で明記している。原文の要旨は次の通りだ。

IronClaw is a Rust reimplementation inspired by OpenClaw.（IronClawはOpenClawに着想を得たRust再実装である）

README「Key differences」に挙げられている設計変更点は次の4つ。

・Rust vs TypeScript — ネイティブ性能・メモリ安全性・単一バイナリ
・WASM sandbox vs Docker — 軽量でcapability-basedなセキュリティ
・PostgreSQL vs SQLite — 本番運用向けの永続化
・Security-first design — 多層防御と認証情報保護

OpenClawからIronClawへの設計変更点。TypeScriptからRust、Dockerサンドボックスからwasmサンドボックス、SQLiteからPostgreSQLへ
nearai/ironclaw README「OpenClaw Heritage」節に基づく図解

一方で、規模の差は歴然としている。OpenClaw（openclaw/openclaw）はGitHub API実測で★385,134と、IronClawの30倍以上のスターを集めている。第三者比較記事（FlowHunt）はIronClawを「OpenClawよりセキュリティ重視な代替」と位置づけているが、これはあくまで第三者の評価であり、公式が直接そう主張しているわけではない点は区別しておきたい。

もう一つの近縁OSSが、Block発・Linux Foundation傘下（AAIF）の汎用エージェント「goose」（aaif-goose/goose）だ。gooseはREADME上のライセンス表記とLICENSEファイル実体が一致するApache-2.0で、GitHub API実測で★52,249。開発ワークフロー寄りでコード実行が中心という性格が強く、IronClawの「日常アシスタント寄りでセキュリティ設計が主軸」という立ち位置とは重ならない。

項目 IronClaw OpenClaw goose
開発元 NEAR AI（nearai org） openclaw/openclaw Block／Linux Foundation傘下(AAIF)
実装言語 Rust TypeScript —
ライセンス MIT OR Apache-2.0（デュアル・確認済み） 要確認（GitHub API上はNOASSERTION表記） Apache-2.0（LICENSEファイルと一致・確認済み）
⭐ Star数（2026-08-05時点） 12,589 385,134 52,249
サンドボックス方式 WASM（capability-based） Docker —
永続化 PostgreSQL SQLite —
立ち位置 セキュリティ優先のパーソナルAIアシスタント 圧倒的な規模のパーソナルAIアシスタント 開発ワークフロー寄りの汎用エージェント

なお、当サイトには既存記事「OpenClawのセキュリティリスクと安全な使い方」もある。本記事はOpenClaw自体の脆弱性解説ではなく、IronClawというセキュリティ優先の派生OSSの紹介記事であり、両記事は扱う対象が異なる（クロスクラスタのリンク対象としてはカウントしていないが、事実関係として矛盾は無い）。

Browser操作を含むエージェントツール群との比較材料としては、Browser-Useの使い方｜AIに実ブラウザを操作させるOSSの仕組み・導入・他ツール比較【2026】も参考になる。IronClawはブラウザ操作専用ツールではないが、「外部への操作をどこまで自動許可するか」という設計思想はBrowser-Useの権限設計と地続きの論点だ。

v1.0.0到達までの開発状況と導入時の注意点

数値を見る際に押さえておきたいのは、「v1.0.0=成熟」と単純に読まないことだ。IronClawがv1.0.0へ到達したのは2026-07-27で、本記事執筆時点（2026-08-05）からわずか1週間強しか経っていない。リポジトリ自体の作成日は2026-02-03で、運用期間もまだ約6ヶ月にとどまる。

一方で活性度は高い。2026-08-04時点でも継続的にpushがあり、リリース数は37本に達している。オープンissue数は1,519件で、これは関心の高さと未解決課題の多さの両方を示唆する数字だ。「盛況だが荒削り」という文脈で理解するのが実態に近い。過大評価も過小評価もしないという前提で、導入前に押さえておきたい注意点を整理する。

・リリースタグの命名：ironclaw-vX.Y.Zという独自接頭辞。通常のsemverタグをそのまま使うとURLが404になる
・Windowsのサービス化：バックグラウンドサービスとしての常駐はmacOS/Linuxのみ対応。Windowsはironclaw serveでフォアグラウンド起動する必要がある
・LLM認証情報：非対話セッションではonboardがLLM認証情報の設定をスキップする。対話端末での再実行か、ironclaw models set-provider、または環境変数での事前設定が必要
・master_key：OSキーチェーンが使えない環境（今回のようなヘッドレス環境）では、SECRETS_MASTER_KEYを手動設定するか、初回serve/onboard実行時の自動生成に任せることになる

ライセンスとバージョンの罠

初期のキュー情報では「Apache-2.0」単独と記録されていたが、実際はMIT OR Apache-2.0のデュアルライセンス。`LICENSE-MIT`・`LICENSE-APACHE`の2ファイルが実在し、README冒頭のバッジとも一致する。ライセンスを引用する際はデュアル表記を崩さないこと。またNEAR AI（`nearai` org）とブロックチェーン企業「NEAR Protocol」との資金・組織関係については本記事では確認していない——開発元の表記は「NEAR AI（`nearai` org）が開発」という事実のみにとどめる。

まとめ：IronClawはどんな人に向くか

IronClawは、AIアシスタントに何を委ねるかを曖昧にしないための設計——WASMサンドボックス・認証情報の非開示・エンドポイント許可リスト・多層のプロンプトインジェクション対策——を一通り揃えたAgent OSだ。README「OpenClaw Heritage」節が明記する通り、TypeScript製のOpenClawに対するRustでのセキュリティ強化再実装という立ち位置が公式に定義されている点は、第三者の推測に頼らず読める強みになる。

一方でv1.0.0到達からまだ1週間強、運用期間も約6ヶ月という若いOSSであることは事実として押さえておきたい。「ローカルで動くAIアシスタントに、どこまでの権限を渡すか」という設計に関心があるエンジニアが、まず実機で`ironclaw onboard`まで試してみる——という距離感が今のところの適切な向き合い方だろう。

参照ソース

・IronClaw公式リポジトリ（README） — インストール手順・機能一覧・ライセンス（デュアル）・「OpenClaw Heritage」節を取得
・IronClaw GitHub Releases — リリース数37本・最新v1.0.0の公開日（2026-07-27）を取得
・IronClaw公式ドキュメント画像（docs/images） — セットアップウィザード・初回応答・セキュリティデータフロー図の出典
・OpenClaw公式リポジトリ — 比較表の★数（385,134）取得

</content>