OpenLegion vs nanobot：CVSS 10.0の脆弱性がエージェントセキュリティについて教えること

nanobotはおそらくAIエージェントセキュリティ空間で最も教訓的なケーススタディです。2026年初頭に学術研究ラボによって作成され、OpenClawの430,000+行を約4,000行のPythonに蒸留 — 99%のコード削減により、Hacker Newsで218ポイント（Claw代替案の中で最も強い反応）と約20,000〜26,000のGitHubスターを獲得しました。

そして、ローンチの数週間以内に、セキュリティ研究者は**重大な脆弱性（CVSS 10.0）**を開示しました：nanobotのWhatsAppブリッジが認証なしで0.0.0.0:3001にWebSocketサーバーをバインドしていました。ネットワーク上の誰もがWhatsAppセッションを乗っ取れました。追加の重大な脆弱性が続きました — シェルコマンドインジェクション、パストラバーサルバイパス、LiteLLM依存から継承されたリモートコード実行欠陥。

nanobotは、軽量コードだけがセキュアコードと等しくない理由のケーススタディに偶発的になった、善意の教材ツールです。OpenLegionはこの教訓を構造的にするために存在します。

OpenLegionは、強制Dockerコンテナ隔離、ボルトプロキシ経由のクレデンシャル管理、エージェント単位の予算強制、フリートモデル調整（ブラックボード + パブ/サブ + ハンドオフ）を備えたセキュリティ最優先のAIエージェントフレームワークです。

OpenLegionとnanobotの違いは何ですか？

nanobotは教育的シンプルさと可読性に焦点を当てた、約4,000行のPythonによるOpenClaw再実装です。11+のLLMプロバイダーと8+のメッセージングチャネルをサポートしますが、重大なWhatsAppブリッジ脆弱性（CVSS 10.0、認証なしのWhatsAppセッション乗っ取り）、シェルインジェクション、パストラバーサル、LiteLLM RCE脆弱性を経験しています。OpenLegionは、エージェントごとの強制Dockerコンテナ隔離、エージェントがAPIキーを決して見ないボルトプロキシ経由のクレデンシャル管理、エージェント単位の予算強制、フリートモデル調整（ブラックボード + パブ/サブ + ハンドオフ）を備えたセキュリティ最優先のPythonフレームワークです。nanobotは学習とシンプルさを最適化し、OpenLegionは本番セキュリティを最適化します。

TL;DR

観点	OpenLegion	nanobot
主要フォーカス	本番セキュリティインフラ	教育的シンプルさ
言語	Python	Python（約4,000行）
エージェント隔離	エージェントごとのDockerコンテナ、非root	restrict_to_workspaceフラグ（アプリケーションレベル）
クレデンシャルセキュリティ	ボルトプロキシ — エージェントはキーを見ない	設定ファイル（~/.nanobot/config.json）
予算制御	エージェント単位の日次/月次ハードカットオフ	組み込みなし
オーケストレーション	フリートモデル調整（ブラックボード + パブ/サブ + ハンドオフ）	バックグラウンドサブエージェント付きの単一エージェント
LLMプロバイダー	LiteLLM経由で100+	11+（OpenRouter、Anthropic、OpenAI、DeepSeekなど）
メッセージングチャネル	5	8+（Telegram、Discord、WhatsApp、Feishu、DingTalkなど）
マルチエージェント	エージェント単位ACL付きフリートテンプレート	サブエージェントスポーン（フリートオーケストレーションなし）
メモリ	ベクター検索付きのエージェント単位永続	grepベース検索（RAGを意図的に回避）
GitHubスター	約59	約20,000〜26,000
ライセンス	PolyForm Perimeter License 1.0.1	MIT
既知のCVE	0	重大なWhatsAppブリッジ脆弱性（CVSS 10.0） + 3件の追加重大パッチ
由来	独立	学術研究ラボ

nanobotを選ぶ場合...

AIエージェントの仕組みを学びたい場合。 nanobotは教材スケルトンです。明確な構造を持つ4,000行で、コアエージェントループ（プロバイダー抽象化、ツールディスパッチ、メモリ検索、チャットゲートウェイ）を理解するのに最適なコードベースです。DataCampが完全なチュートリアルを公開しました。クリエイターは明示的に教育的可読性のために設計しました。

アジアのメッセージングプラットフォームサポートが必要な場合。 nanobotはFeishu (Lark)、DingTalk、QQ、WeChat隣接プラットフォーム — 西洋に焦点を絞ったフレームワークが十分にカバーしないチャネル — に対するファーストクラスのサポートを持ちます。展開対象が中国エンタープライズメッセージングなら、nanobotのエコシステムは独自に位置づけられます。

Raspberry Pi上でエージェントを動かしたい場合。 nanobotはシングルボードコンピュータに十分軽量です。ローカル推論のためのOllamaと組み合わせれば、完全にオフラインのエージェント運用を得られます。

インフラよりシンプルさを重視する場合。 JSON設定、grepベースメモリ（ベクターデータベース不要）、pip install。Dockerなし、フリートモデル調整なし、ボルトセットアップなし。インストールから動作するエージェントまで5分未満。

コミュニティの勢いが重要な場合。 nanobotの218ポイントのHNローンチ、アクティブなDiscord、DataCamp統合、約20,000+スターは、重要なコミュニティ投資と問題を迅速に修正する大きなコントリビュータープールを表します（CVSS 10.0は数日以内にパッチが適用されました）。

OpenLegionを選ぶ場合...

セキュリティがアーキテクチャ的であり、オプションではない必要がある場合。 nanobotのrestrict_to_workspaceフラグは主要な隔離メカニズム — オフに切り替えられるブール値。APIキーは平文JSON設定ファイルに存在します。WebSocketサーバーは認証なしで出荷されました。これらは曖昧なエッジケースではなく、数週間以内にCVSS 10.0を生み出した根本的なアーキテクチャ判断です。OpenLegionは安全でない設定を構造的に不可能にします：コンテナ隔離は強制、ボルトプロキシは唯一のクレデンシャルパス、フリートモデル調整はエージェント単位のツールループ検出で有界です。

本番でCVSS 10.0を許容できない場合。 重大なWhatsAppブリッジ脆弱性は、認証なしのネットワーク隣接攻撃者がnanobotの保護されていないポート3001のWebSocketサーバーに接続してWhatsAppセッションを乗っ取れました。追加のシェルインジェクションとパストラバーサル脆弱性は、単一のセキュリティ研究者が単一の監査で発見しました。OpenLegionのボルトプロキシアーキテクチャは、乗っ取るクレデンシャルがないことを意味 — エージェントはネットワーク層でキーを注入するプロキシ経由で呼び出します。

エージェント単位のコスト制御が必要な場合。 nanobotには予算強制がありません。11+プロバイダーサポートとバックグラウンドサブエージェントをスポーンする能力により、制御されないAPI支出が静かに蓄積します。OpenLegionは自動ハードカットオフ付きのエージェント単位の日次・月次上限を強制します。

監査可能なマルチエージェントフリート調整が必要な場合。 nanobotはサブエージェントのスポーンをサポートしますが、オーケストレーションはLLM駆動で非決定論的です。OpenLegionのフリートモデル調整は、エージェントごとの明示的なハンドオフレコード、ツールアクセス、依存関係を定義 — 展開前に監査可能。

ステークホルダーにセキュリティ姿勢を証明する必要がある場合。 nanobotのCVE履歴は、セキュリティチーム、コンプライアンスレビュアー、エンタープライズ調達への売り込みを困難にします。OpenLegionのボルトプロキシアーキテクチャ、強制コンテナ隔離、エージェント単位のACLは実証可能なセキュリティ制御を提供します。

セキュリティモデル比較

シークレットの保管場所

nanobotはAPIキーを~/.nanobot/config.json — ディスク上の平文JSONファイル — に保管します。設定ファイルは当初0644パーミッション（誰でも読める）で書かれていました。これは後に0600にパッチが適用されました。ランタイム時、キーはPythonプロセスメモリにロードされます。エージェントのプロセス内で実行される任意のコードがそれらを読めます。

OpenLegionはエージェントがアクセスできないボルトにクレデンシャルを保管します。API呼び出しはネットワーク層でクレデンシャルを注入するボルトプロキシ経由でルーティングします。平文キー付き設定ファイル、シークレット付き環境変数、マウントされたクレデンシャルファイルはありません。エージェントプロセスはAPIキーを決して保持しません。

隔離モデル

nanobotは、ファイル操作をワークスペースディレクトリに制限するrestrict_to_workspaceフラグを使います。これはPythonコード内のアプリケーションレベルチェックです — エージェントが任意コード実行を達成すると（シェルインジェクション脆弱性が可能であることを実証）、ワークスペース制限を回避できます。OSレベルの隔離は強制されません。

OpenLegionはエージェントごとのDockerコンテナ隔離を使います。各エージェントは非root実行、Dockerソケットアクセスなし、no-new-privileges、コンテナごとのリソース上限を備えた別個のコンテナで動作します。エージェントがコンテナ内で任意コード実行を達成しても、他のエージェント、ホストシステム、クレデンシャルストアにアクセスできません。

CVE記録

nanobotは短い存在の中で重要なセキュリティ問題を蓄積しました：

• 重大なWhatsAppブリッジ脆弱性（CVSS 10.0）： WhatsApp WebSocketブリッジが認証なしで0.0.0.0:3001にバインド。ネットワーク隣接攻撃者がセッションを乗っ取れる。セキュリティ研究者によって発見。
• シェルコマンドインジェクション（中）： サニタイズされていないユーザー入力がシェル実行に渡される。
• パストラバーサルバイパス（中）： restrict_to_workspaceが回避可能。
• eval()経由のLiteLLM RCE（重大）： 依存から継承。細工された入力を介したリモートコード実行。
• セッションポイズニング（2026年2月26日パッチ）： メッセージ履歴操作。

OpenLegionにはv0.1.0時点で報告されたCVEはありません。そのアーキテクチャはnanobotの脆弱性クラスのいくつかを構造的に不可能にします：ボルトプロキシがクレデンシャル露出を排除、Docker隔離がパストラバーサルエスケープを防止、フリートモデル調整が明示的なツール付与なしの任意シェル実行を防止。

予算制御

nanobotは組み込みの支出制限を持ちません。バックグラウンドサブエージェントは上限なしにAPI呼び出しができます。

OpenLegionは自動ハードカットオフ付きのエージェント単位の日次・月次上限を強制します。

nanobotのエコシステム：得意なこと

教材スケルトン

nanobotの最大の貢献は教育的です。コアエージェントループ — メッセージ受信、コンテキスト取得、LLM呼び出し、ツールディスパッチ、応答返却 — がクリーンで読みやすいPythonで明らかにされています。RAGの代わりにgrepベースのメモリ検索を使う意図的な選択は、検索メカニズムを透明にします。JSON設定は人間可読です。すべてのアーキテクチャ判断は洗練よりも理解を優先します。

AIエージェントの内部の仕組みを学ぶ学生、研究者、開発者には、nanobotは間違いなく最良の出発点です。

アジアプラットフォーム統合

nanobotのチャネルサポートにはFeishu (Lark)、DingTalk、QQ、Matrix — 中国エンタープライズ通信を支配するプラットフォーム — が含まれます。OpenClawエコシステム内の他のフレームワークは比較可能なカバレッジを提供しません。プロジェクトの学術的由来がこの焦点を説明する可能性が高く、アジア市場で運用するチームに真の価値を表します。

ClawHubスキル互換性

nanobotはClawHubスキルエコシステムと統合し、コミュニティ寄贈のエージェントスキルへのアクセスを与えます。SKILL.mdドキュメンテーション形式はnanobot、PicoClaw、その他のClaw系プロジェクト間で共有されます。

迅速な対応文化

重大なWhatsAppブリッジ脆弱性が開示されたとき、nanobotチームは数日以内にパッチを適用しました。セッションポイズニング修正は2月26日に登場しました。シェルインジェクションとパストラバーサルは迅速に対処されました。コミュニティの応答性は真に印象的ですが — それはまた、問題がそもそも出荷されるべきではなかったことも浮き彫りにします。

一般的な本番運用上の落とし穴

根本的な問題はアーキテクチャ的です。 nanobotは本番人気になった教材ツールとして設計されました。そのセキュリティモデル — アプリケーションレベルのワークスペース制限、平文設定、ネットワーク隔離なし — はローカル実験に適切ですが、本番では危険です。CVSS 10.0は複雑なコード内のバグではなく、認証なしのWebSocketサーバーでした。これはアーキテクチャ的セキュリティ制約が防ぐ種類の見落としです。

依存関係チェーンのリスク。 LiteLLM RCE（eval()経由）は、最小限のコードベースでも依存関係から脆弱性を継承することを実証しています。nanobotの約4,000行は監査可能ですが、完全な依存関係ツリーはそうではありません。

ネットワークセキュリティモデルなし。 nanobotにはネットワークポリシー、イングレス制御、サービスメッシュ隔離の概念がありません。エージェントは任意のアウトバウンド接続を行えます。シェルアクセスと組み合わせると、広い攻撃面を作ります。

OpenLegionが異なる方法でカバーするもの

OpenLegionのアーキテクチャは設計上nanobotの脆弱性クラスを防ぎます：

• 重大なWhatsAppブリッジ脆弱性（認証なしのネットワークサービス）： OpenLegionエージェントはデフォルトで公開ポートなしのDockerコンテナで動作。ネットワークアクセスはエージェント単位で明示的に付与されます。
• シェルインジェクション： OpenLegionのフリートモデル調整は明示的なツール付与を要求します。シェルアクセスはエージェントのACLで特に有効化されない限り利用できません。
• パストラバーサル： 読み取り専用マウントとDockerソケットなしのDockerコンテナ隔離は、意味のある攻撃ベクトルとしてパストラバーサルを排除します。
• クレデンシャル露出： ボルトプロキシは盗むエージェントの環境にクレデンシャルが存在しないことを意味します。
• 依存関係RCE： コンテナ隔離が影響範囲を制限 — 依存関係にRCEがあっても、攻撃者はクレデンシャルなしのサンドボックスコンテナ内に封じ込められます。

ホスティング vs セルフホストのトレードオフ

nanobotはローカルセルフホスト用に設計されています。pip install、JSON設定、数分で動作するエージェント。ホスト型サービスは存在しません。軽量な性質により、任意のLinuxシステム、macOS、Raspberry Piでさえもホストできます。

OpenLegionはPython、SQLite、Dockerを必要とします。ホスト型プラットフォーム（近日公開）は月額$19のユーザー単位VPSインスタンスを提供します。Docker要件はインフラオーバーヘッドを加えますが、本番展開を安全にする隔離層を提供します。

想定ユーザー

nanobotは、クリーンで読みやすいコードベースを通じてAIエージェントアーキテクチャを理解したい学生、研究者、個人開発者向けです。アジアメッセージングプラットフォーム（Feishu、DingTalk、QQ）を対象とするチームにも価値があります。理想的なユーザーは個人タスクのためにnanobotをローカルで動かし、信頼できないネットワークに公開しません。

OpenLegionは、セキュリティインシデントがビジネス上の影響を持つ環境にエージェントを展開するエンジニアリングチーム向けです。理想的なユーザーはステークホルダーにクレデンシャル隔離、コスト制御、監査証跡を実証する必要があり、本番でCVSS 10.0のリスクを取れません。

正直なトレードオフ

nanobotは4,000行でAIエージェントランタイムを再構築できることを証明しました。その成果は本物で、エコシステムにとって価値があります。しかし重大なWhatsAppブリッジ脆弱性は、シンプルさとセキュリティが同じものではないことを証明します。CVSS 10.0を持つ4,000行のコードベースは、そのような脆弱性クラスを不可能にするアーキテクチャ的制約を持つ約77,000行のコードベースよりも安全性が低いです。

エージェントの仕組みを学びたいなら、nanobotのソースを読みます。エージェントを安全に展開したいなら、安全でない設定が発生し得ないフレームワークを使います。

全体像はAIエージェントフレームワーク比較をご覧ください。

よくある質問

nanobotとは？

nanobotは学術研究ラボによって作成された約4,000行のPythonによるOpenClaw再実装です。11+のLLMプロバイダーと8+のメッセージングチャネル（Feishu、DingTalk、QQなどのアジアプラットフォーム含む）をサポートします。2026年2月2日にローンチされ、約20,000〜26,000のGitHubスターを持ちます。OpenClaw代替の中で最も強いHacker News反応（218ポイント、111コメント）を受けました。

OpenLegion vs nanobot：違いは何ですか？

nanobotは教育的な教材スケルトン — 最小限で、読みやすく、学習用に設計されています。OpenLegionは本番セキュリティフレームワークです。nanobotはアプリケーションレベルのワークスペース制限と平文JSON設定を使い、OpenLegionはDockerコンテナ隔離とボルトプロキシ経由のクレデンシャルを使います。nanobotは重大なWhatsAppブリッジ脆弱性（CVSS 10.0）に加え3件の追加重大脆弱性を経験しました。OpenLegionにはv0.1.0時点で報告されたCVEはなく、それらの脆弱性クラスを構造的に不可能にするアーキテクチャを持ちます。

OpenLegionはnanobot代替ですか？

はい。両方ともPythonベースのAIエージェントフレームワークですが、異なる目的に応えます。nanobotは学習とローカル実験に最適です。OpenLegionは本番グレードのセキュリティ — ボルトプロキシ経由のクレデンシャル隔離、エージェント単位の予算強制、Dockerコンテナ隔離、フリートモデル調整（ブラックボード + パブ/サブ + ハンドオフ） — が必要なチームのための代替です。

OpenLegionとnanobotのクレデンシャル処理はどう比較できますか？

nanobotはAPIキーを~/.nanobot/config.jsonに保管します（パッチが適用されるまで当初は誰でも読めました）。キーはランタイム時にPythonプロセスメモリにロードされます。OpenLegionはボルトプロキシを使用 — エージェントはネットワーク層でクレデンシャルを注入するプロキシ経由でAPI呼び出しを行います。エージェントはいかなる形でもAPIキーを保持、読み取り、アクセスしません。

本番AIエージェントにはどちらが優れていますか？

OpenLegionは本番に大幅に適しています。nanobotは教材ツールとして設計され、ローンチの数週間以内に重大なWhatsAppブリッジ脆弱性（CVSS 10.0）、シェルインジェクション、パストラバーサル、依存関係RCE脆弱性を蓄積しました。OpenLegionの強制コンテナ隔離、ボルトプロキシ経由のクレデンシャル、エージェント単位の予算、監査可能なフリートモデル調整は、nanobotに影響した正確な脆弱性クラスに対処します。

nanobotはnanobot（Obot AI）と同じですか？

いいえ。名前を共有する完全に異なる2つのプロジェクトがあります。本ページで議論しているnanobotは、学術研究ラボの約4,000行のPython OpenClaw代替です。Obot AIのnanobotは、Rancher LabsチームからのシードファンディングでGoベースのMCPエージェントプラットフォームです。本ページはOpenLegionをPython OpenClaw代替バージョンと比較しています。

nanobotの重大なWhatsAppブリッジ脆弱性とは？

nanobotのWhatsAppブリッジには、WebSocketサーバーが認証なしで0.0.0.0:3001にバインドする重大な脆弱性（CVSS 10.0）が含まれていました。任意のネットワーク隣接攻撃者が接続してアクティブなWhatsAppセッションを乗っ取れました。迅速にパッチが適用されましたが、アーキテクチャ的なネットワーク隔離なしのエージェントフレームワーク展開のリスクを実証しています。

nanobotからOpenLegionに移行できますか？

nanobotのJSON設定とエージェントセットアップは、明示的なツール付与、予算制限、エージェント単位のACL付きフリートモデル調整として再構築されます。両方ともLiteLLM互換のプロバイダー設定を使うため、LLMプロバイダー設定は直接転送できます。AIエージェントオーケストレーションページをご覧ください。

---

関連比較

アンカーテキスト	遷移先
OpenLegion vs NanoClaw	/comparison/nanoclaw
OpenLegion vs PicoClaw	/comparison/picoclaw
OpenLegion vs ZeroClaw	/comparison/zeroclaw
OpenLegion vs OpenClaw	/comparison/openclaw
AIエージェントフレームワーク比較 2026	/learn/ai-agent-frameworks
AIエージェントセキュリティ分析	/learn/ai-agent-security