マルチエージェントサンドボックスとツール
エージェントごとのサンドボックス + ツール制限、優先順位、および例
マルチエージェント設定の各エージェントは、独自のものを持つことができるようになりました：
- ''サンドボックス設定'' (''agents.list[].sandbox'' は ''agents.defaults.sandbox'' をオーバーライドします)
- ''ツール制限'' (''tools.allow'' / ''tools.deny''、および ''agents.list[].tools'')
これにより、異なるセキュリティプロファイルで複数のエージェントを実行できます：
- 完全アクセス権を持つ個人アシスタント
- 制限されたツールを持つファミリー/ワークエージェント
- サンドボックス内のパブリックエージェント
~/.openclaw/agents/<agentId>/agent/auth-profiles.json
''setupCommand'' は ''sandbox.docker''（グローバルまたはエージェントごと）の下に属し、コンテナの作成時に 1 回実行されます。
認証はエージェントごとです：各エージェントは独自の ''agentDir'' 認証ストアから読み取ります。場所：
認証情報はエージェント間で共有され''ません''。エージェント間で ''agentDir'' を再利用しないでください。認証情報を共有する場合は、''auth-profiles.json'' を他のエージェントの ''agentDir'' にコピーします。
Configuration Examples
例 1：個人 + 制限されたファミリーエージェント
{
"agents": {
"list": [
{
"id": "main",
"default": true,
"name": "Personal Assistant",
"workspace": "~/.openclaw/workspace",
"sandbox": { "mode": "off" }
},
{
"id": "family",
"name": "Family Bot",
"workspace": "~/.openclaw/workspace-family",
"sandbox": {
"mode": "all",
"scope": "agent"
},
"tools": {
"allow": ["read"],
"deny": ["exec", "write", "edit", "apply_patch", "process", "browser"]
}
}
]
},
"bindings": [
{
"agentId": "family",
"match": {
"provider": "whatsapp",
"accountId": "*",
"peer": {
"kind": "group",
"id": "[email protected]"
}
}
}
]
}Result:
- ''main'' エージェント：ホスト上で実行、完全なツールアクセス
- ''family'' エージェント：Docker で実行（エージェントごとに 1 つのコンテナ）、''read'' ツールのみ
例 2：共有サンドボックスを持つワークエージェント
{
"agents": {
"list": [
{
"id": "personal",
"workspace": "~/.openclaw/workspace-personal",
"sandbox": { "mode": "off" }
},
{
"id": "work",
"workspace": "~/.openclaw/workspace-work",
"sandbox": {
"mode": "all",
"scope": "shared",
"workspaceRoot": "/tmp/work-sandboxes"
},
"tools": {
"allow": ["read", "write", "apply_patch", "exec"],
"deny": ["browser", "gateway", "discord"]
}
}
]
}
}例 2b：グローバルコーディングプロファイル + メッセージング専用エージェント
{
"tools": { "profile": "coding" },
"agents": {
"list": [
{
"id": "support",
"tools": { "profile": "messaging", "allow": ["slack"] }
}
]
}
}Result:
- デフォルトエージェントはコーディングツールを取得
- ''support'' エージェントはメッセージングのみ（+ Slack ツール）
{
"agents": {
"defaults": {
"sandbox": {
"mode": "non-main", // Global default
"scope": "session"
}
},
"list": [
{
"id": "main",
"workspace": "~/.openclaw/workspace",
"sandbox": {
"mode": "off" // Override: main never sandboxed
}
},
{
"id": "public",
"workspace": "~/.openclaw/workspace-public",
"sandbox": {
"mode": "all", // Override: public always sandboxed
"scope": "agent"
},
"tools": {
"allow": ["read"],
"deny": ["exec", "write", "edit", "apply_patch"]
}
}
]
}
}設定の優先順位
グローバル (''agents.defaults.*'') とエージェント固有 (''agents.list[].*'') の両方の設定が存在する場合：
サンドボックス設定
エージェント固有の設定がグローバル設定をオーバーライドします：
agents.list[].sandbox.mode > agents.defaults.sandbox.mode agents.list[].sandbox.scope > agents.defaults.sandbox.scope agents.list[].sandbox.workspaceRoot > agents.defaults.sandbox.workspaceRoot agents.list[].sandbox.workspaceAccess > agents.defaults.sandbox.workspaceAccess agents.list[].sandbox.docker.* > agents.defaults.sandbox.docker.* agents.list[].sandbox.browser.* > agents.defaults.sandbox.browser.* agents.list[].sandbox.prune.* > agents.defaults.sandbox.prune.*
Notes:
- agents.list[].sandbox.{docker,browser,prune}.* は、そのエージェントの agents.defaults.sandbox.{docker,browser,prune}.* をオーバーライドします（サンドボックススコープが "shared" に解決される場合は無視されます）。
ツール制限
フィルタリングの順序は次のとおりです：
1. ''ツールプロファイル'' (''tools.profile'' または ''agents.list[].tools.profile'')
2. ''プロバイダーツールプロファイル'' (''tools.byProvider[provider].profile'' または ''agents.list[].tools.byProvider[provider].profile'')
3. ''グローバルツールポリシー'' (''tools.allow'' / ''tools.deny'')
4. ''プロバイダーツールポリシー'' (''tools.byProvider[provider].allow/deny'')
5. ''エージェント固有ツールポリシー'' (''agents.list[].tools.allow/deny'')
6. ''エージェントプロバイダーポリシー'' (''agents.list[].tools.byProvider[provider].allow/deny'')
7. ''サンドボックストールポリシー'' (''tools.sandbox.tools'' または ''agents.list[].tools.sandbox.tools'')
8. ''サブエージェントツールポリシー'' (''tools.subagents.tools''、該当する場合)
各レベルはツールをさらに制限できますが、以前のレベルで拒否されたツールを許可することはできません。
''agents.list[].tools.sandbox.tools'' が設定されている場合、そのエージェントの ''tools.sandbox.tools'' を置き換えます。
''agents.list[].tools.profile'' が設定されている場合、そのエージェントの ''tools.profile'' をオーバーライドします。
プロバイダーツールキーは ''provider''（例：''google-antigravity''）または ''provider/model''（例：''openai/gpt-5.2''）を受け入れます。
ツールグループ（簡略表記）
ツールポリシー（グローバル、エージェント、サンドボックス）は、複数の具体的なツールに展開される ''group:*'' エントリをサポートします：
- ''group:runtime''：''exec''、''bash''、''process''
- ''group:fs''：''read''、''write''、''edit''、''apply_patch''
- ''group:sessions''：''sessions_list''、''sessions_history''、''sessions_send''、''sessions_spawn''、''session_status''
- ''group:memory''：''memory_search''、''memory_get''
- ''group:ui''：''browser''、''canvas''
- ''group:automation''：''cron''、''gateway''
- ''group:messaging''：''message''
- ''group:nodes''：''nodes''
- ''group:openclaw''：すべての組み込み OpenClaw ツール（プロバイダープラグインを除く）
昇格モード
''tools.elevated'' はグローバルベースライン（送信者に基づく許可リスト）です。''agents.list[].tools.elevated'' は、特定のエージェントの昇格をさらに制限できます（両方が許可する必要があります）。
緩和パターン：
- 信頼されていないエージェントの ''exec'' を拒否 (''agents.list[].tools.deny: ["exec"]'')
- 制限されたエージェントにルーティングされる送信者を許可リストに追加しないでください
- サンドボックス実行のみが必要な場合は、昇格をグローバルに無効にします (''tools.elevated.enabled: false'')
- 機密プロファイルのエージェントごとの昇格を無効にします (''agents.list[].tools.elevated.enabled: false'')
- Deny `exec` for untrusted agents (`agents.list[].tools.deny: ["exec"]`)
- 制限されたエージェントにルーティングされる送信者を許可リストに追加しないでください
- Disable elevated globally (`tools.elevated.enabled: false`) if you only want sandboxed execution
- Disable elevated per agent (`agents.list[].tools.elevated.enabled: false`) for sensitive profiles
- Deny `exec` for untrusted agents (`agents.list[].tools.deny: ["exec"]`)
- 制限されたエージェントにルーティングされる送信者を許可リストに追加しないでください
- Disable elevated globally (`tools.elevated.enabled: false`) if you only want sandboxed execution
- Disable elevated per agent (`agents.list[].tools.elevated.enabled: false`) for sensitive profiles
- Deny `exec` for untrusted agents (`agents.list[].tools.deny: ["exec"]`)
- 制限されたエージェントにルーティングされる送信者を許可リストに追加しないでください
- Disable elevated globally (`tools.elevated.enabled: false`) if you only want sandboxed execution
ツール制限の例
読み取り専用エージェント
{
"tools": {
"allow": ["read"],
"deny": ["exec", "write", "edit", "apply_patch", "process"]
}
}安全な実行エージェント（ファイル変更なし）
{
"tools": {
"allow": ["read", "exec", "process"],
"deny": ["write", "edit", "apply_patch", "browser", "gateway"]
}
}通信専用エージェント
{
"tools": {
"allow": ["sessions_list", "sessions_send", "sessions_history", "session_status"],
"deny": ["exec", "write", "edit", "apply_patch", "read", "browser"]
}
}一般的な落とし穴：非メイン
''agents.defaults.sandbox.mode: "non-main"'' はエージェント ID ではなく、''session.mainKey''（デフォルト ''"main"''）に基づいています。グループ/チャネルセッションは常に独自のキーを取得するため、非メインエージェントとして扱われ、サンドボックス化されます。エージェントがサンドボックス化されないようにするには、''agents.list[].sandbox.mode: "off"'' を設定します。
テスト
マルチエージェントサンドボックスとツールを設定した後：
openclaw agents list --bindings
1. エージェントの解決を確認します：
docker ps --filter "name=openclaw-sbx-"
2. サンドボックスコンテナを確認します：
3. ツール制限をテストします：
- 制限されたツールを必要とするメッセージを送信します
- エージェントが拒否されたツールを使用できないことを確認します
tail -f "${OPENCLAW_STATE_DIR:-$HOME/.openclaw}/logs/gateway.log" | grep -E "routing|sandbox|tools"