執行部の承認

​

適用される場所

• ゲートウェイ ホスト → ゲートウェイ マシン上の openclaw プロセス
• ノード ホスト → ノード ランナー (macOS コンパニオン アプリまたはヘッドレス ノード ホスト)

• ペアになったノードは、信頼できるオペレーターの機能をノード ホストに拡張します。
• 実行承認は偶発的な実行のリスクを軽減しますが、ユーザーごとの認証境界ではありません。
• 承認されたノードホストの実行は、正規の実行コンテキストもバインドします: 正規の cwd、ピン留めされた実行可能ファイル パス (該当する場合)、およびインタープリター スタイルのスクリプト オペランド。バインドされたスクリプトが後で変更された場合 承認されますが、実行前に、ドリフトされたコンテンツは実行されずに実行が拒否されます。

• ノード ホスト サービスは、ローカル IPC 経由で system.run を macOS アプリに転送します。
• macOS アプリ は承認を強制し、UI コンテキストでコマンドを実行します。

​

設定とストレージ

{
  "version": 1,
  "socket": {
    "path": "~/.openclaw/exec-approvals.sock",
    "token": "base64url-token"
  },
  "defaults": {
    "security": "deny",
    "ask": "on-miss",
    "askFallback": "deny",
    "autoAllowSkills": false
  },
  "agents": {
    "main": {
      "security": "allowlist",
      "ask": "on-miss",
      "askFallback": "deny",
      "autoAllowSkills": true,
      "allowlist": [
        {
          "id": "B0C8C0B3-2C2D-4F8A-9A3C-5A4B3C2D1E0F",
          "pattern": "~/Projects/**/bin/rg",
          "lastUsedAt": 1737150000000,
          "lastUsedCommand": "rg -n TODO",
          "lastResolvedPath": "/Users/user/Projects/.../bin/rg"
        }
      ]
    }
  }
}

​

ポリシーノブ

​

セキュリティ (exec.security)

• 拒否: すべてのホスト実行リクエストをブロックします。
• allowlist: 許可リストに登録されたコマンドのみを許可します。
• full: すべてを許可します (昇格と同等)。

​

質問してください (exec.ask)

• オフ: プロンプトを表示しません。
• on-miss: ホワイトリストが一致しない場合にのみプロンプトを表示します。
• 常に: すべてのコマンドでプロンプトを表示します。

​

フォールバックを要求する (askFallback)

• 拒否: ブロックします。
• 許可リスト: 許可リストが一致する場合にのみ許可します。
• フル: 許可します。

​

許可リスト (エージェントごと)許可リストはエージェントごとです。複数のエージェントが存在する場合は、どのエージェントを切り替えるか

• ~/Projects/**/bin/peekaboo
• ~/.local/bin/*
• /opt/homebrew/bin/rg

• id UI ID に使用される安定した UUID (オプション)
• 最後に使用されたタイムスタンプ
• 最後に使用したコマンド
• 最後に解決されたパス

​

スキル CLI の自動許可

• これは、手動のパス ホワイトリスト エントリとは別の 暗黙的な便利なホワイトリスト です。
• ゲートウェイとノードが同じ信頼境界内にある信頼できるオペレーター環境を対象としています。
• 厳密な明示的信頼が必要な場合は、autoAllowSkills: false を保持し、手動パス許可リスト エントリのみを使用してください。

​

金庫 (標準入力のみ)tools.exec.safeBins は stdin のみ バイナリの小さなリストを定義します (例: jq)

• grep: --dereference-recursive、--directories、--exclude-from、--file、--recursive、-R、 -d、-f、-r
• jq: --argfile、--from-file、--library-path、--rawfile、--slurpfile、-L、 -f
• sort: --compress-program、--files0-from、--output、--random-source、--temporary-directory、-T、 -o
• wc: --files0-from セーフ ビンは、実行時に argv トークンを リテラル テキストとして強制的に処理します (グロビングは行われません)。 $VARS 拡張なし) は標準入力専用セグメントの場合、* や $HOME/... のようなパターンは使用できません。 ファイルの読み取りを密かに行うために使用されます。 セーフ ビンは、信頼できるバイナリ ディレクトリ (システムのデフォルトとオプション) からも解決される必要があります。 tools.exec.safeBinTrustedDirs)。 PATH エントリは自動信頼されません。 デフォルトの信頼できるセーフ ビン ディレクトリは意図的に最小限になっています: /bin、/usr/bin。 セーフ ビンの実行可能ファイルがパッケージ マネージャー/ユーザー パスに存在する場合 (たとえば、 /opt/homebrew/bin、/usr/local/bin、/opt/local/bin、/snap/bin)、明示的に追加します。 tools.exec.safeBinTrustedDirs まで。 ホワイトリスト モードでは、シェル チェーンとリダイレクトは自動的に許可されません。すべての最上位セグメントが許可リストを満たす場合、シェル チェーン (&&、||、;) が許可されます。 (金庫やスキルの自動許可を含む)。ホワイトリスト モードでは、リダイレクトは引き続きサポートされません。 コマンド置換 ($() / バッククォート) は、内部を含むホワイトリストの解析中に拒否されます。 二重引用符。リテラルの $() テキストが必要な場合は一重引用符を使用してください。 macOS コンパニオン アプリの承認では、シェル コントロールまたは拡張構文を含む生のシェル テキスト (&&、||、;、|、 “, $, <**OC_I18N_0096**>, (, )) は、次の場合を除き、ホワイトリスト ミスとして扱われます。 シェル バイナリ自体はホワイトリストに登録されています。 シェル ラッパー (bash|sh|zsh ... -c/-lc) の場合、リクエスト スコープの環境オーバーライドは、 小規模な明示的な許可リスト (TERM、LANG、LC\_\*、COLORTERM、NO_COLOR、FORCE_COLOR)。 ホワイトリスト モードでの常に許可の決定については、既知のディスパッチ ラッパー (env、nice、nohup、stdbuf、timeout) ラッパーの代わりに内部実行可能パスを保持します パス。シェル マルチプレクサ (busybox、toybox) もシェル アプレット (sh、ash、など）そのため、マルチプレクサーバイナリの代わりに内部実行可能ファイルが永続化されます。ラッパーや マルチプレクサを安全にラップ解除することはできず、許可リストのエントリは自動的に保持されません。

​

安全なビンと許可リスト|トピック | tools.exec.safeBins |許可リスト (exec-approvals.json) |

• safeBinTrustedDirs は構成 (tools.exec.safeBinTrustedDirs またはエージェントごとの agents.list[].tools.exec.safeBinTrustedDirs) から取得されます。
• safeBinProfiles は構成 (tools.exec.safeBinProfiles またはエージェントごとの agents.list[].tools.exec.safeBinProfiles) から取得されます。エージェントごとのプロファイル キーはグローバル キーをオーバーライドします。
• ホワイトリスト エントリは、ホストローカルの agents.<id>.allowlist の下の ~/.openclaw/exec-approvals.json (またはコントロール UI / openclaw approvals allowlist ... 経由) に存在します。
• openclaw security audit は、明示的なプロファイルなしでインタープリター/ランタイム ビンが safeBins に表示される場合、tools.exec.safe_bins_interpreter_unprofiled で警告します。
• openclaw doctor --fix は、欠落しているカスタム safeBinProfiles.<bin> エントリを {} としてスキャフォールディングできます (後で確認して修正します)。インタプリタ/ランタイム ビンは自動スキャフォールディングされません。

{
  tools: {
    exec: {
      safeBins: ["jq", "myfilter"],
      safeBinProfiles: {
        myfilter: {
          minPositional: 0,
          maxPositional: 0,
          allowedValueFlags: ["-n", "--limit"],
          deniedFlags: ["-f", "--file", "-c", "--command"],
        },
      },
    },
  },
}

​

コントロール UI の編集

​

承認フロー

• コマンド + 引数 -CWD
• エージェントID
• 解決された実行可能パス
• ホスト + ポリシーのメタデータ

• 一度許可 → 今すぐ実行
• 常に許可 → 許可リストに追加して実行
• 拒否 → ブロック

​

チャットチャネルへの承認の転送

{
  approvals: {
    exec: {
      enabled: true,
      mode: "session", // "session" | "targets" | "both"
      agentFilter: ["main"],
      sessionFilter: ["discord"], // substring or regex
      targets: [
        { channel: "slack", to: "U12345678" },
        { channel: "telegram", to: "123456789" },
      ],
    },
  },
}

/approve <id> allow-once
/approve <id> allow-always
/approve <id> deny

​

macOS IPC フロー

Gateway -> Node Service (WS)
                 |  IPC (UDS + token + HMAC + TTL)
                 v
             Mac App (UI + approvals + system.run)

• 同じUIDピアチェック。
• チャレンジ/レスポンス (ノンス + HMAC トークン + リクエスト ハッシュ) + 短い TTL。

​

システムイベント

• Exec running (コマンドが実行通知しきい値を超えた場合のみ)
• Exec finished
• Exec denied

​

影響

• フルは強力です。可能であればホワイトリストを優先します。
• ask により、迅速な承認を可能にしながら、最新情報を常に把握できます。
• エージェントごとの許可リストにより、あるエージェントの承認が他のエージェントに漏洩するのを防ぎます。
• 承認は、承認された送信者からのホスト実行リクエストにのみ適用されます。不正な送信者は /exec を発行できません。
• /exec security=full は、承認されたオペレーターにとってセッションレベルの利便性を提供し、設計により承認をスキップします。 ホスト実行をハードブロックするには、承認セキュリティを deny に設定するか、ツール ポリシーで exec ツールを拒否します。

• 実行ツール
• 昇格モード
• スキル