2026年9月7日〜14日の週は、OpenClawにとってこれまでで最も密度の高いリリースサイクルとなりました。8日間で4つの安定版リリースです。しかし、より大きな話題は、AIエージェントエコシステム全体が同時に前進したことです。OpenAIはCodexハーネスをマネージドサービスとして公開しました。MCP専用の脆弱性が初めてCISAのKnown Exploited Vulnerabilities（KEV）カタログに掲載されました。GitHub Copilotはプルリクエストを承認できるようになりました。そしてMCP——Model Context Protocol——は9,700万件のSDKダウンロードとLinux Foundationによる運営支援を背景に、デフォルトの接続レイヤーとしての地位を固めました。

エンジニアリングリーダー向けTL;DR： (1) OpenClaw v2026.9.1〜9.4が驚異的なペースで出荷——まずNodeを24.16以上に更新してからアップグレード。(2) OpenAI Agents APIがパブリックベータで提供開始——9つのサンドボックスパートナーを備え、1回のAPI呼び出しで使えるCodexハーネス。(3) CISA KEVに初のMCP脆弱性（CVE-2026-59822）——今すぐMCPエンドポイントを監査。(4) GitHub Copilotが提案から自律的なPR承認へ移行、アンサンブルベースのコードレビューを採用。(5) エージェントセキュリティは理論からガバナンスへ——Visa/Mastercard/Antの「Know-Your-Agent」、Zscaler Agentic SOC、MCPA認定。

OpenClaw、8日間で4リリースを出荷

2026.9安定版ラインは、その機能投入の速さだけでなく、信頼性への注力という点でも異例です。v2026.9.1からv2026.9.4までの4つのリリースが9月3日から9月11日の間に登場し、それぞれが8月下旬の2.0基盤（プロジェクト史上最大のアップデート：933人のコントリビューター、16,000件超のPR）の上に積み重なっています。

v2026.9.2（9月5日）——GPT-6 AstraとTask Workspaces

GPT-6 AstraとMeta Muse Spark 1.3のモデルサポートが、Task Workspacesとともに登場しました。これはUXの根本的な転換であり、ダッシュボード、ブラウザ、ターミナル、ファイルビューをタスクの中心に据えつつ、会話をその脇に配置できます。Swap、Focus、Restoreの各コントロールがパネル配置を担い、ライブウィジェットの入力、チャットの下書き、ターミナルの状態、Reviewの状態が再配置をまたいで保持されます。

Swarmがデフォルトで有効化されました——構造化された結果とライブ進捗を伴う並行サブエージェントです。エージェント間のセッションアクセスもデフォルトで有効になっています。このリリースは232人のコントリビューターから1,245件のPRを取り込みました。

v2026.9.3（9月8日）——より安全なアップデートとNodeの破壊的変更

目玉機能は分離されたアップデート・リハーサルです。コアおよびプラグインの変更は、有効化される前に候補状態でリハーサルされます。中断されたアップデート記録は、健全なGatewayを妨げることなく復旧します。

破壊的変更： Node 24は24.16.0以上、またはNode 26は26.1.0以上が必要です（Node 26を推奨）。Node 22、25、およびそれ以前の24.x/26.xはサポートされなくなりました。OpenClawより先にNodeをアップグレードしてください——これを怠るとSQLiteのテキスト切り捨て問題が発生します。

LM Studioの信頼性は大幅に向上しました。チャットは、準備済みインスタンスの実際のコンテキスト予算を使ってルーティングされ（サイレントな切り捨てが減少）、退避された埋め込みモデルは自動的に再読み込みされます。リポジトリベースのクラウドセッションでは、GitHub URLをOpenClawに指定し、リースされたクラウドワーカー上でセッションを構築し、成果を保持する価値があると判断したときだけマネージドworktreeを持ち帰ることができます。規模：1,844件のPR、190人のコントリビューター。

v2026.9.4（9月11日）——統合プラグインと自動ロールバック

統合プラグイン・ワークスペースは、バンドル版およびClawHubプラグインの発見、インストール、設定、権限管理を単一のControl UI画面に集約します——CLIは不要です。インストール済みのスキルとClawHubのスキルはまとめて検索できます。

失敗したアップデートの自動ロールバックは、スキーマと設定のチェックによりロールバックが安全であると確認された場合に、以前のパッケージ、コマンドシム、サービス、およびアップデート前の設定を復元します。マイグレーションを伴う失敗については、依然として検証済みのアップデート前バックアップが必要です——これは重要なガードレールです。

その他の機能：準備済みクラウドセッション（対象となるLinuxセッションは、準備済みのローカルGitプロジェクトまたは再利用可能なスナップショット付きの公開GitHubリポジトリから開始可能）、GPT Image 2.5サポート（FlareおよびSunburstバリアント）、読み取り専用設定モード（OPENCLAW_CONFIG_READONLY=1）、およびキーボード駆動の複数選択と自由テキスト入力を備えた対話型ターミナルプロンプト。規模：293人のコントリビューター。

アクションアイテム： v2026.9.3のリリースノートを注意深く読んでください。Nodeランタイムの下限は交渉の余地がありません。OpenClawに触れる前に、Nodeのアップグレードを計画してください。

OpenAI Agents API：マネージドサービスとしてのCodexハーネス

9月10日、OpenAIはCodexハーネス——CodexとChatGPT for Workを支えるのと同じインフラ——を、パブリックベータのマネージドクラウドサービスとして公開しました。今週最大のプラットフォームに関する話題です。

4つのプリミティブ

このAPIは4つのプリミティブで構成されています：Agent（モデル、指示、ツール、MCPサーバー）、Environment（サンドボックスまたはコンピュート）、Session（永続的、マルチターン）、Events/Items（構造化レコード）。サンドボックスの選択肢には、OpenAIホスト型、codex exec-serverによるセルフホスト型、または9つのパートナーサンドボックス（Blaxel、Cloudflare、Daytona、DigitalOcean、E2B、Modal、Oracle、Runloop、Vercel）があります。

組み込み機能には、自動コンテキスト圧縮、ツール検索（必要時にツール定義を読み込む）、プログラムによる並列ツール呼び出し、および設定可能なmax_concurrent_subagentsを備えたマルチエージェントサブエージェントが含まれます。MCPサーバーはURLでエージェントのツールとして接続できます。

料金と制約

追加のAPI料金はありません——標準のモデルtoken料金、ツール料金、コンテナ料金を支払います。ホスト型サンドボックスは、メモリ層に応じて20分セッションあたり$0.03〜$1.92で実行されます。Web検索は1,000クエリあたり$10です。

ベータ期間中の制限：データレジデンシーは米国限定で、セルフホスト型サンドボックスであってもZero Data Retention（ZDR）はサポートされません。SDKはTypeScriptとPythonで利用可能です。

初期導入企業は具体的な成果を報告しています。Ciridaeはレイテンシが4分の1に削減され、Hyphaは失敗応答が86%減少したと報告しました。

なぜ重要なのか： 開発者は誰でも、サンドボックス実行、永続セッション、MCP接続性を備えた本番グレードのエージェントを、1回のAPI呼び出しで立ち上げられるようになりました。これはエージェントインフラにおける自作か購入かの判断を劇的に圧縮します。エージェントプラットフォームを評価しているなら、OpenAI Agents APIはその計算式を変えます。

MCP：初のCISA KEV脆弱性と成熟するセキュリティ

Model Context Protocolは今週、いくつかの成熟のマイルストーンに到達しました——その中には、政府の必須パッチリストへの初登場も含まれます。

CVE-2026-59822 — LiteLLM Proxy（CVSS 8.8）

CISAは9月2日、初のMCP専用脆弱性をKnown Exploited Vulnerabilitiesカタログに追加しました。欠陥は次のとおりです。BerriAIのLiteLLM proxy MCP Streamable HTTPエンドポイントにおける認証不備により、未認証の攻撃者が任意のベアラトークンを使って完全に認証されたMCPセッションを確立できます。これは実際に悪用されています。

付随する指令BOD 26-04は、重大な項目の修正期限を3〜7日に短縮します。これは画期的な出来事です——政府の必須パッチリストに載った、本番AIエージェントインフラにおける初の確認された活発な悪用済み欠陥です。

AWS MCPデータベースサーバーの脆弱性

AWS Labsのセルフホスト型MCPサーバーからさらに2件のCVEがあります：

  • CVE-2026-87911（PostgreSQL MCPサーバー、1.1.7より前）：読み取り専用モードでPG_WIRE_PROTOCOLとスーパーユーザー権限を用いたCOPY ... TO PROGRAMによるOSコマンド実行。
  • CVE-2026-85788（MySQL MCPサーバー、1.0.21以下）：SQLインラインコメントが読み取り専用フィルタリングを回避。1.0.23で修正済み。

どちらも、AIからデータベースへのアクセスにおける最後の防御線として、文字列マッチングによる読み取り専用の強制が不十分であることを浮き彫りにしています。

MCP 2.1とOpenMCP 2.0

MCPコンソーシアムは双方向ストリーミングを備えた仕様2.1を公開しました——サーバーはポーリングなしでクライアントにコンテキスト更新をプッシュでき、エージェント間シナリオでレイテンシを最大80%削減します。Anthropic、Microsoft、Googleは2026年第4四半期までの実装を約束しました。OpenMCP 2.0は、標準化されたベクトルストア統合とプロバイダー間のコンテキストポータビリティを備えて批准されました。

MCPA認定とエンタープライズ導入

Agentic AI Foundationは**Model Context Protocol Associate（MCPA）**を立ち上げました——初のベンダー中立なMCP認定資格であり、MCP仕様リリース2026-07-28に準拠しています。一方、5つのエンタープライズベンダー（Broadcom、Citrix、CrowdStrike、ServiceNow、Genesys）が、2週間の間にほぼ同一の3層エージェントインフラスタックを独立して出荷しました。MCP SDKのダウンロード数は9,700万件に達しています。

アクションアイテム： スタック内のすべてのMCPエンドポイントを監査してください。導入済みならLiteLLMに直ちにパッチを適用してください。データベースMCPサーバーの読み取り専用強制を見直してください——文字列マッチングでは不十分です。チームの資格としてMCPA認定を検討してください。

GitHub Copilot：提案から自律承認へ

GitHub Copilotは今週、いくつかの閾値を越え、それらが相まってコーディングアシスタントから自律的なコーディングプラットフォームへと変貌を遂げました。

コードレビューがPRを承認可能に

Copilotのコードレビューがプルリクエストを承認できるようになりました——デフォルトではオフで、エンタープライズ、組織、リポジトリの各レベルで設定可能です。管理者はCopilotが承認するファイルパスを制限できます。承認は新しいコミットで取り消されます。またCopilotは、その後のプッシュでフィードバックに対応した場合、自身のコメントを解決し、提案を適用する際にスマートなコミットメッセージを生成するようになりました。

「Lite」エフォートレベルは、単一のエージェントではなくエージェントのアンサンブルを使うようになりました——重大度の高いコメントの対応が47%増、中が31%増、低が11%増となり、コストはおよそ8%削減されました。レビューエージェントは、エージェントファイアウォールの背後でCopilot SDKの完全なシェルツール（ビルド、テスト、対象を絞ったスクリプト、API）を使うようになりました。

その他のCopilotマイルストーン

  • Jira統合（Copilotアプリ内）——イシューを共有キャンバスに取り込み、調査、実装、PR準備を通じてコンテキストを引き継ぎます。
  • Project HydraFusion（実験的）——Copilot CLIにおいて、ローカル、クラウド、複合モデル間の適応的セマンティックルーティング。TerminalBench 2.1で4.9ポイントの品質向上、推定コストはClaude Opus 5比で67%削減と報告されています。
  • VS Codeでのスケジュールされたエージェント自動化（パブリックプレビュー）——毎時、毎日、毎週、またはオンデマンド。
  • 音声モード（実験的）——タスクの途中でCopilotに話しかけ、中断し、軌道修正できます。
  • エンタープライズ管理サンドボックス（Copilot for JetBrains）——ファイルシステム／ネットワークアクセス、プロキシ設定、macOS Keychainアクセス制御。
  • GPT-6 AstraがCopilotで一般提供開始（9月4日）。
  • Copilot Business/Enterpriseの登録が再開（9月3日）——10月1日以降、割り当てられた各シートは前払いで請求されます。

提案から修正、そして承認への進展は、根本的な転換を示しています。エンジニアリングリーダーは、どのリポジトリがCopilotのPR承認に適しているかを評価し、それに応じてパス制限を設定すべきです。

エージェントのセキュリティと信頼：理論からガバナンスへ

エージェントのセキュリティは今週、複数の面で学術的な関心事から能動的なガバナンスへと移行しました。

Visa、Mastercard、Ant Internationalは9月10日、ユーザーに代わって購入を行うAIエージェントを識別・検証するための共通基準を策定する共同イニシアチブを立ち上げました。「Know-Your-Agent」相互運用性フレームワークは、VisaのTrusted Agent Protocol、MastercardのVerifiable Intent、AntのAgentic Mobile Protocolを基盤としています。

Zscalerは9月13日にAgentic SOCを発表し、AIエージェントを監視・制御するためにZero Trust Exchangeを適応させました——マルチターンのやり取りのプロキシベースの検査、データ漏洩防止、および検出・調査・対応に特化したエージェントによる脅威検知です。

Protectt.aiはBFSIセクター向けにMCP Security Solutionを立ち上げました——MCPスキャナー、セキュリティテストスイート、インラインプロキシです。

Cloud Security Allianceは、2026年5月のキャンペーンに関するリサーチノートを公開しました。そこでは2,000件を超えるRubyGemsパッケージがOpenAI自身のテストエージェントによって氾濫させられました——人為的な脅威アクターではなく、自動化されたエージェント活動が大規模なセキュリティインシデントを生み得るという厳しい警鐘です。

フレームワークの動向：何が伸び、何が退くか

エージェントフレームワークの動向は引き続き収束しています：

  • AutoGenはメンテナンスモードに移行——Microsoft Agent Frameworkがその後継です。
  • OpenHandsが1.0に到達——本番運用可能なDockerサンドボックス化、セキュリティポリシー、プラグインシステム、SWE-bench Verifiedで約68%の達成率。
  • **browser-use**がMCP統合を備え、GitHubスター11.3万を突破。
  • TradingAgentsがスター10.4万を突破、v0.4.2でKimiモデルのサポートを追加。
  • Salesforce Agentforceが7つの名前付き実務対応エージェントを出荷、マルチエージェントオーケストレーションが一般提供に。
  • Abacus.AI Smaugモデル——エージェントワークロード向けに調整されたオープンウェイトファミリーで、追加の推論コストなしに長時間ループで15〜20%の性能向上。

主な要点

  1. OpenClawより先にNodeをアップグレード。 v2026.9.3の下限はNode 24.16以上またはNode 26.1以上です。SQLiteの切り捨て問題を避けるため、まずこれを実施してください。

  2. OpenAI Agents APIを評価する。 エージェントインフラを構築しているなら、9つのサンドボックスパートナーと追加API料金なしを備えた、マネージドサービスとしてのCodexハーネスが自作か購入かの計算式を変えます。ベータの制限（米国限定、ZDRなし）は一時的なものです。

  3. MCPエンドポイントにパッチを適用する。 CVE-2026-59822は活発に悪用されており、CISA KEVに掲載されています。LiteLLMプロキシとAWS MCPデータベースサーバーを監査してください。文字列マッチングによる読み取り専用の強制はセキュリティ境界になりません。

  4. CopilotのPR承認ガードレールを設定する。 Copilotは今やPRを承認できます。どのリポジトリが適切かを判断し、パス制限を設定し、ポリシーをチームに周知してください。

  5. エージェントセキュリティは今やガバナンスの一分野です。 Know-Your-Agentフレームワーク、Agentic SOC、MCPA認定——ツールは既に存在します。次のCVEが来る前にオーナーシップを割り当ててください。

AIエージェントと開発者ツールに関する日次の解説は https://x.com/kkaminsk をフォローしてください。OpenClaw Weeklyシリーズは毎週月曜日に公開されます。