​

Exec approvals

​

적용 위치

• gateway host → gateway 머신에서 실행되는 openclaw 프로세스
• node host → node runner(macOS companion app 또는 headless node host)

• Gateway 인증을 통과한 호출자는 해당 Gateway의 신뢰된 운영자입니다.
• 페어링된 노드는 그 신뢰된 운영자 권한을 node host까지 확장합니다.
• Exec approvals는 실수로 인한 실행 위험을 줄여 주지만, 사용자별 인증 경계는 아닙니다.
• 승인된 node-host 실행은 canonical cwd, 필요한 경우 고정된 실행 파일 경로, interpreter 스타일 스크립트 피연산자까지 포함한 canonical execution context도 함께 바인딩합니다. 승인 이후 실행 전에 바인딩된 스크립트가 바뀌면, 변경된 내용을 실행하지 않고 요청을 거부합니다.

• node host service 는 로컬 IPC를 통해 system.run을 macOS app으로 전달합니다.
• macOS app 은 UI 컨텍스트에서 승인 판단과 실제 명령 실행을 담당합니다.

​

설정 및 저장 위치

{
  "version": 1,
  "socket": {
    "path": "~/.openclaw/exec-approvals.sock",
    "token": "base64url-token"
  },
  "defaults": {
    "security": "deny",
    "ask": "on-miss",
    "askFallback": "deny",
    "autoAllowSkills": false
  },
  "agents": {
    "main": {
      "security": "allowlist",
      "ask": "on-miss",
      "askFallback": "deny",
      "autoAllowSkills": true,
      "allowlist": [
        {
          "id": "B0C8C0B3-2C2D-4F8A-9A3C-5A4B3C2D1E0F",
          "pattern": "~/Projects/**/bin/rg",
          "lastUsedAt": 1737150000000,
          "lastUsedCommand": "rg -n TODO",
          "lastResolvedPath": "/Users/user/Projects/.../bin/rg"
        }
      ]
    }
  }
}

​

정책 노브

​

Security (exec.security)

• deny: 호스트 exec 요청을 모두 차단합니다.
• allowlist: allowlist에 포함된 명령만 허용합니다.
• full: 모든 것을 허용합니다. elevated와 동일합니다.

​

Ask (exec.ask)

• off: 프롬프트를 띄우지 않습니다.
• on-miss: allowlist가 일치하지 않을 때만 프롬프트를 띄웁니다.
• always: 모든 명령에 대해 프롬프트를 띄웁니다.

​

Ask fallback (askFallback)

• deny: 차단
• allowlist: allowlist가 일치하는 경우에만 허용
• full: 허용

​

Allowlist(에이전트별)

• ~/Projects/**/bin/peekaboo
• ~/.local/bin/*
• /opt/homebrew/bin/rg

• id: UI 식별에 사용하는 안정 UUID(선택)
• last used: 마지막 사용 시각
• last used command: 마지막으로 사용한 명령
• last resolved path: 마지막으로 해석된 경로

​

Skill CLI 자동 허용

• 이것은 수동 경로 allowlist와 별개인 암묵적 편의 allowlist입니다.
• Gateway와 node가 같은 신뢰 경계 안에 있는 운영 환경을 전제로 합니다.
• 엄격한 명시적 신뢰가 필요하면 autoAllowSkills: false를 유지하고 수동 경로 allowlist만 사용하세요.

​

Safe bins(stdin 전용)

• grep: --dereference-recursive, --directories, --exclude-from, --file, --recursive, -R, -d, -f, -r
• jq: --argfile, --from-file, --library-path, --rawfile, --slurpfile, -L, -f
• sort: --compress-program, --files0-from, --output, --random-source, --temporary-directory, -T, -o
• wc: --files0-from

​

Safe bins와 allowlist 비교

• safeBins는 config(tools.exec.safeBins 또는 에이전트별 agents.list[].tools.exec.safeBins)에서 가져옵니다.
• safeBinTrustedDirs는 config(tools.exec.safeBinTrustedDirs 또는 에이전트별 agents.list[].tools.exec.safeBinTrustedDirs)에서 가져옵니다.
• safeBinProfiles는 config(tools.exec.safeBinProfiles 또는 에이전트별 agents.list[].tools.exec.safeBinProfiles)에서 가져옵니다. 에이전트별 프로필 키가 전역 키보다 우선합니다.
• allowlist 항목은 호스트 로컬 ~/.openclaw/exec-approvals.json의 agents.<id>.allowlist 아래에 저장됩니다. Control UI나 openclaw approvals allowlist ...로도 편집할 수 있습니다.
• openclaw security audit는 인터프리터/런타임 바이너리가 명시적 프로필 없이 safeBins에 들어 있으면 tools.exec.safe_bins_interpreter_unprofiled 경고를 냅니다.
• openclaw doctor --fix는 누락된 커스텀 safeBinProfiles.<bin> 항목을 {} 형태로 스캐폴딩할 수 있습니다. 이후 직접 검토하고 더 엄격하게 조정하세요. 인터프리터/런타임 바이너리는 자동 스캐폴딩 대상이 아닙니다.

{
  tools: {
    exec: {
      safeBins: ["jq", "myfilter"],
      safeBinProfiles: {
        myfilter: {
          minPositional: 0,
          maxPositional: 0,
          allowedValueFlags: ["-n", "--limit"],
          deniedFlags: ["-f", "--file", "-c", "--command"],
        },
      },
    },
  },
}

​

Control UI에서 편집

​

승인 흐름

​

Interpreter/runtime 명령

• 정확한 argv/cwd/env 컨텍스트는 항상 바인딩됩니다.
• 직접 실행하는 shell script와 직접 런타임 파일 형태는 best-effort로 하나의 구체적인 로컬 파일 스냅샷에 바인딩됩니다.
• OpenClaw가 interpreter/runtime 명령에 대해 정확히 하나의 구체적인 로컬 파일을 식별할 수 없으면, 예를 들어 package script, eval 형태, runtime별 loader chain, 모호한 multi-file 형태 같은 경우에는 semantic coverage를 가장하지 않고 승인 기반 실행을 거부합니다.
• 이런 워크플로라면 sandboxing, 별도 host boundary, 또는 운영자가 더 넓은 런타임 의미를 명시적으로 수용하는 trusted allowlist/full 워크플로를 고려하세요.

• command + args
• cwd
• agent id
• resolved executable path
• host + policy metadata

• Allow once → 지금 한 번 실행
• Always allow → allowlist에 추가하고 실행
• Deny → 차단

​

채팅 채널로 승인 전달

{
  approvals: {
    exec: {
      enabled: true,
      mode: "session", // "session" | "targets" | "both"
      agentFilter: ["main"],
      sessionFilter: ["discord"], // substring or regex
      targets: [
        { channel: "slack", to: "U12345678" },
        { channel: "telegram", to: "123456789" },
      ],
    },
  },
}

/approve <id> allow-once
/approve <id> allow-always
/approve <id> deny

​

내장 채팅 승인 클라이언트

• Discord: channels.discord.execApprovals.*
• Telegram: channels.telegram.execApprovals.*

• 구성된 approver만 approve 또는 deny할 수 있습니다.
• 요청자는 approver일 필요가 없습니다.
• channel delivery가 켜져 있으면 승인 프롬프트에 command text가 포함됩니다.
• operator UI나 구성된 approval client가 아무도 요청을 받을 수 없으면 프롬프트는 askFallback으로 돌아갑니다.

• Discord
• Telegram

​

macOS IPC 흐름

Gateway -> Node Service (WS)
                 |  IPC (UDS + token + HMAC + TTL)
                 v
             Mac App (UI + approvals + system.run)

• Unix 소켓 모드 0600, 토큰은 exec-approvals.json에 저장
• 동일 UID 피어 확인
• challenge/response(논스 + HMAC 토큰 + 요청 해시) + 짧은 TTL

​

시스템 이벤트

• Exec running(명령이 running notice threshold를 초과할 때만)
• Exec finished
• Exec denied

​

의미와 영향

• full은 강력하므로 가능하면 allowlist를 우선하세요.
• ask는 빠른 승인 흐름을 유지하면서도 사용자가 개입할 수 있게 합니다.
• 에이전트별 allowlist를 쓰면 한 에이전트의 승인이 다른 에이전트로 새지 않습니다.
• 승인은 인증된 발신자의 호스트 exec 요청에만 적용됩니다. 인증되지 않은 발신자는 /exec를 실행할 수 없습니다.
• /exec security=full은 인증된 운영자를 위한 세션 수준 편의 기능이며 설계상 approvals를 건너뜁니다. 호스트 exec를 강제로 막고 싶다면 approvals security를 deny로 두거나 tool policy에서 exec tool을 거부하세요.

• Exec tool
• Elevated mode
• Skills