魔法のエージェントに潜む罠。OpenClawをゼロから組み立てて気づいた、便利さと安全の狭間で
農業DX挑戦シリーズ #07
この記事は、個人農家がIoT・クラウド・生成AIを活用して独自のスマート農業システムを構築する過程を発信する「農業DX挑戦シリーズ」の第7弾です。
...はい、今回もまた寄り道です（笑）。
エオリカシステム（圃場管理システム）や分析基盤の話をちゃんとまとめたいんですが、システムがエンドレスに進化し続けていて、話したいことが膨れ上がる一方でして。そんな中で、ちょうど今リアルタイムで開発している「AIエージェント」の話が、世間の流れ的にもタイムリーだったので、順番は前後しますが記事にしてみました。
基盤システムの話は近い内に必ず書くので、今回もちょっとした小話として付き合ってもらえれば。
はじめに：「便利そう」の向こう側にあるもの
最近また、AIエージェントの世界がとても賑やかですね。
「Slackで話しかけるだけで仕事が終わる」「メールも返信してくれる」「スケジュール管理もお任せ」――まるで魔法のようなキャッチコピーが踊っています。YouTubeを開けば「爆速導入ガイド」、Xを開けば「これ入れたら仕事が半分になった」。
私の農園でも、自動化基盤「OpenClaw」（旧名称：ClaudeBot）の一部導入をしています。Slackから話しかけると、AIが応答し、ファイルを検索し、メールを確認し、売上データを分析し、市況速報をまとめてくれる――そんな「AIパートナー」を目指して開発中です。
とはいえ僕は、世間で流行っている「一発インストールで完了」みたいな手軽な道は選びませんでした。
あえて、動作フローを一つずつ確認しながら、権限を絞り、セキュリティの檻（ケージ）を自分で設計しながら、地道に組み立てています。
「なぜそんな面倒なことをするの？」
僕自身、まだまだ手探りの段階で、偉そうなことを言える立場ではありません。ただ、同じように「AIエージェント気になるけど、ちょっと怖いな」と思っている人に、「こういうことを考えながらやっている人もいるんだな」くらいの気持ちで読んでもらえたら嬉しいです。
1. AIエージェントの「魔法」の正体
世の中の「爆速導入ガイド」を覗いてみた
世の中に出回っている「AIエージェント爆速導入ガイド」。その通りに設定すると、確かに魔法のように動くようです。
でも、なぜそんなに簡単に動くのか？
実はその裏側では、ReAct（Reasoning + Acting）プロンプトと汎用ツール（Generic Tools）という組み合わせが使われているそうです。
これは簡単に言うと、AIに対して「君は万能執事だ。手持ちの道具を好きなだけ使って、とにかくユーザーの言うことを叶えなさい」という強力な命令を出している状態です。
そして渡される「道具」も強力です。「ファイルをなんでも読み書きできるツール」「なんでも実行できるコマンドツール」「メールを送れるツール」...。
つまり、魔法の正体は「PCのほぼ全権限をAIに渡している」ということなんです。
農家目線で考える「全権委任」の怖さ
一見夢のようですが、これがどういうことか、農家の日常に置き換えてみましょう。
例えるなら、こういうことです。
「私のPCの中身を全部見ていいし、勝手に外部に送信してもいいし、失敗しても責任は取れないけど、とにかく便利にして」
...という全権委任契約書にサインしているのと同じ構造です。
もしAIが、「売上データを送って」という指示を、「売上データが入ったExcelファイルごと取引先にメール送信する」と解釈したら？
もし、「不要なファイルを消して」という指示で、実は重要だったバックアップまで消してしまったら？
もし、請求書のPDFをAIが「要約して共有」した結果、取引先の個人情報が外部に漏れたら？
農家にとってPCには、栽培記録、取引先情報、経営データ、補助金申請書類...事業の根幹となるデータが詰まっています。これらを「便利だから」という理由だけで、AIに全権委任するのは、さすがに怖い。
セキュリティを意識する人たちの動き
だからこそ、情報発信者の中にはセキュリティリスクについてきちんと触れている人もいます。巷では「業務用PCにはインストールせずに、Mac miniや中古PCに入れよう」という声も多いですね。
何もないPCであれば、多少エージェントAIが暴れても恐れることはない。それは正解だと思います。
僕も完全に自己責任の上で、メインのWindows PC上のWSL2（Linux仮想環境）にOpenClawを導入して弄っています。Docker（コンテナ）で隔離しているとはいえ、メインPCであることに変わりはない。だからこそ、セキュリティ面でできることはすべてやる。そう決めています。
2. 「分からないものには手を出さない」という鉄則
農業でもITでも、これが僕のリスク管理の基本です。
農業で学んだ「理解してから使う」精神
農薬でも肥料でも、成分や効果を理解せずに使う農家はいません。「とりあえず撒いとけ」は事故の元です。
AIエージェントも同じだと思っています。
「何がどう動いているのか分からないけど、便利だから使う」。
これは、成分表示を読まずに農薬を撒くのと、本質的に同じことです。
だから僕は「フルスクラッチ」を選んだ
OpenClawの開発では、市販のエージェントフレームワークをそのまま使うことはしませんでした。
代わりに、一つずつ機能を理解しながら、自分の手で組み立てています。
Slackとの通信基盤を自分で書く
LLM（大規模言語モデル）への問い合わせ処理を自分で書く
ツール実行の仕組みを自分で書く
セキュリティの仕組みを自分で書く
面倒くさい？ めちゃくちゃ面倒くさいです（笑）。
でも、こうすることで「この機能はどこまでの権限で動いているのか」を完全に把握できるんです。ブラックボックスは一つもない。
3. OpenClawの安全設計：あえて「不便」を選ぶ
では具体的に、世間の「魔法の設定」と僕のOpenClawでは何が違うのか。技術的な比較をしてみましょう。
ファイル操作
世間の「魔法の設定」→ Full Access: PC内のあらゆる場所にファイルを作成・上書き・削除可能。
僕のOpenClaw → GitHub限定: 操作対象はGitHubリポジトリ内のファイルのみ。万が一の誤操作もgitで即リバート可能。
外部通信
世間の「魔法の設定」→ Unrestricted: Slackで指示すれば、勝手にメール送信やWeb検索結果の共有をしてしまう。
僕のOpenClaw → Draft Only: メールもSNSも「下書き作成」まで。送信ボタンを押すのは必ず人間。
意思決定
世間の「魔法の設定」→ Black Box: なぜその操作をしたか不明。止める術がない。
僕のOpenClaw → Thought Process: 重要な操作は必ずSlack上で人間に承認を求める。
ツール実行
世間の「魔法の設定」→ 何でも実行可能: シェルコマンドもAPI呼び出しも制限なし。
僕のOpenClaw → 登録制: 明示的に登録したツールだけが実行可能。未登録の操作は全て拒否。
こだわりポイント：4つの「鉄の掟」
OpenClawの設計で特にこだわった点を紹介します。
掟その1：メールは送らない
AIが「下書き」を作るまでが仕事です。送信ボタンを押すのは必ず人間（僕）。
誤送信は取り返しがつかない。特に取引先への連絡を間違えたら、信用問題に直結します。「AIが勝手に送りました」なんて言い訳は通用しない。
掟その2：操作はGitHubの中だけ
OpenClawがアクセスできるのは、GitHubリポジトリ内のファイルだけです。僕は事業に関するほぼ全ての情報をGitHubで管理しているので、この範囲にアクセスできれば業務上は十分。そして何より、万が一AIが変な修正をしたり、ファイルを消してしまっても、gitで即座にリバート（巻き戻し）できる。この安全網があるからこそ、安心してファイル操作を任せられるんです。
掟その3：思考プロセスを見せる
いきなり答えを出さず、「まずGitHubのファイルを検索します」「関連ファイルが3件見つかりました」「この中から最も関連性の高いものを選びます」と、どういうロジックで動いているかを逐一Slackに報告させます。
AIの判断過程が見えるからこそ、「おいおい、そっちじゃない」と途中で軌道修正できる。
掟その4：重要な操作は承認制
Slackのチャンネル内で「この操作を実行してもいいですか？」と聞いてきます。「はい」と返事をしない限り、何も実行されません。
正直これらの制限により、使い勝手は悪くなります。
少し頭の悪い、何でも質問してくる部下みたいな感じ。
でも、こうすることで初めて、「安心して背中を預けられる」ようになります。 AIが暴走しないという確信があるからこそ、売上データや顧客情報を扱わせることができるのです。
4. Local AI × Cloud AIの「いいとこ取り」
もう一つ、OpenClawの設計で意識したのが「ローカルAIとクラウドAIの使い分け」です。
前回の記事でGPUをRTX 5060 Tiに換装した話を書きましたが、あのGPUはOpenClawでも活躍しています。
2ティア構成：surface（表層）とdeep（深層）
OpenClawのLLM（大規模言語モデル）呼び出しは、タスクの重要度に応じて2段階に分けています。
Surface（表層）: 日常的な雑談、ファイル検索、簡単な要約など → ローカルAI（Ollama + 自宅GPU）
Deep（深層）: 複雑な分析、重要な意思決定の補助、長文の要約など → クラウドAI（Gemini）
なぜこうするのか？
理由は3つあります。
コスト: 日常的な処理をすべてクラウドAPIに投げると、従量課金がチリツモで膨れ上がる。ローカルで処理できるものはローカルで。
速度: ローカルAIなら通信遅延がない。「ちょっとこのファイル見て」程度の依頼は、数秒で返ってくる。
セキュリティ: 機密性の高いデータ（売上、取引先情報など）を扱う際、ローカルAIならデータがPCの外に出ない。
クラウドAIが使えない時（API障害やネットワーク切断時）は、ローカルAIだけで最低限の機能を維持するフェイルセーフも実装しました。農業のシステムは「止まったら困る」が前提ですから。
5. まだ生まれたばかりの、不器用な相棒
正直に言います。僕のOpenClawはまだ生まれたばかりです。
世間で騒がれているような「何でもできる万能執事」には程遠いかもしれません。「GitHubのファイルを読んで要約して」と頼んでも、たまに（というか結構な頻度で）間違ったファイルを持ってきたり、要領を得ない回答をしたりします。
でも、それでいいんです。
ブラックボックスの魔法を使うのではなく、一つずつ機能を教え込み（実装し）、失敗を修正し、お互いの癖を理解していく。
農業と同じです。苗を植えて、水をやって、様子を見て、調整する。一朝一夕にはいかないけど、手をかけた分だけ、確実に育っていく。
そうやって育て上げたAIは、単なるツールではなく、「阿吽の呼吸で動く長年のパートナー」になってくれるはずです。
6. 同じように悩んでいる人へ
もちろん、リスクをゼロにすることはできません。
クラウドを使っている以上、情報漏洩の確率はゼロではないし、僕の設定ミスで誤動作することもあるでしょう。正直、僕自身もまだAIのことをよく分かっていない部分がたくさんあります（理解する努力はしていますが）。
けれど、「何が起きるか分からないブラックボックス」と、「構造を理解した上で許容できるリスク」は天と地ほど違う――少なくとも僕はそう感じています。これはAIに限った話ではないと思います。
僕がこの記事で伝えたかったのは「こうすべきだ」ということではなくて、「こういうことを考えながらやっている人もいるよ」ということです。
AIエージェントとの付き合い方に正解はないし、僕のやり方が最善かどうかも分かりません。ただ、もし同じように「便利そうだけど、ちょっと怖いな」と感じている人がいたら、この記事が何かの参考になれば嬉しいです。
お互い、自分なりの「手綱の握り方」を見つけていきましょう。
筆者について
福島県浪江町在住、34歳。2024年より切り花栽培を開始。理系出身の知識を活かし、IoTシステムを自作してスマート農業を実践中。屋号「Farm Eolica」にて、データドリブンな花卉栽培に挑戦している。
Homepage: https://farmeolica.com
Instagram: @farm_eolica
X (Twitter): @FarmEolica
note: https://note.com/farm_eolica
