​

Exec-Freigaben

​

Wo dies gilt

• gateway host → openclaw-Prozess auf der Gateway-Maschine
• node host → Node-Runner (macOS-Begleit-App oder headless Node-Host)

• Über das Gateway authentifizierte Aufrufer sind vertrauenswürdige Operatoren für dieses Gateway.
• Gekoppelte Nodes erweitern diese vertrauenswürdige Operator-Fähigkeit auf den Node-Host.
• Exec-Freigaben verringern das Risiko versehentlicher Ausführung, sind aber keine Authentifizierungsgrenze pro Benutzer.
• Freigegebene Ausführungen auf dem Node-Host binden den kanonischen Ausführungskontext: kanonisches cwd, exaktes argv, Env- Binding, wenn vorhanden, und gepinnter Pfad zur ausführbaren Datei, falls zutreffend.
• Für Shell-Skripte und direkte Interpreter-/Runtime-Dateiaufrufe versucht OpenClaw außerdem, genau einen konkreten lokalen Dateioperanden zu binden. Wenn sich diese gebundene Datei nach der Freigabe, aber vor der Ausführung ändert, wird der Lauf abgelehnt, statt veränderten Inhalt auszuführen.
• Diese Dateibindung ist absichtlich Best-Effort und kein vollständiges semantisches Modell für jeden Loader-Pfad von Interpretern/Runtimes. Wenn der Freigabemodus nicht genau eine konkrete lokale Datei zur Bindung identifizieren kann, verweigert er die Ausstellung einer freigabegestützten Ausführung, statt vollständige Abdeckung vorzutäuschen.

• node host service leitet system.run über lokales IPC an die macOS-App weiter.
• macOS-App erzwingt Freigaben + führt den Befehl im UI-Kontext aus.

​

Einstellungen und Speicherung

{
  "version": 1,
  "socket": {
    "path": "~/.openclaw/exec-approvals.sock",
    "token": "base64url-token"
  },
  "defaults": {
    "security": "deny",
    "ask": "on-miss",
    "askFallback": "deny",
    "autoAllowSkills": false
  },
  "agents": {
    "main": {
      "security": "allowlist",
      "ask": "on-miss",
      "askFallback": "deny",
      "autoAllowSkills": true,
      "allowlist": [
        {
          "id": "B0C8C0B3-2C2D-4F8A-9A3C-5A4B3C2D1E0F",
          "pattern": "~/Projects/**/bin/rg",
          "lastUsedAt": 1737150000000,
          "lastUsedCommand": "rg -n TODO",
          "lastResolvedPath": "/Users/user/Projects/.../bin/rg"
        }
      ]
    }
  }
}

​

Modus ohne Freigabe „YOLO“

• angeforderte Exec-Richtlinie in der OpenClaw-Konfiguration (tools.exec.*)
• host-lokale Freigaberichtlinie in ~/.openclaw/exec-approvals.json

• tools.exec.security: full auf gateway/node
• tools.exec.ask: off
• host askFallback: full

• tools.exec.host=auto wählt, wo Exec läuft: in der Sandbox, wenn verfügbar, andernfalls auf dem Gateway.
• YOLO wählt, wie Host-Exec freigegeben wird: security=full plus ask=off.
• auto macht Gateway-Routing nicht zu einer freien Überschreibung aus einer in der Sandbox laufenden Sitzung. Eine Anfrage pro Aufruf mit host=node ist aus auto erlaubt, und host=gateway ist aus auto nur erlaubt, wenn keine Sandbox-Runtime aktiv ist. Wenn Sie einen stabilen Standardwert ohne auto möchten, setzen Sie tools.exec.host oder verwenden Sie /exec host=... explizit.

openclaw config set tools.exec.host gateway
openclaw config set tools.exec.security full
openclaw config set tools.exec.ask off
openclaw gateway restart

openclaw approvals set --stdin <<'EOF'
{
  version: 1,
  defaults: {
    security: "full",
    ask: "off",
    askFallback: "full"
  }
}
EOF

openclaw approvals set --node <id|name|ip> --stdin <<'EOF'
{
  version: 1,
  defaults: {
    security: "full",
    ask: "off",
    askFallback: "full"
  }
}
EOF

• /exec security=full ask=off ändert nur die aktuelle Sitzung.
• /elevated full ist eine Break-Glass-Abkürzung, die für diese Sitzung auch Exec-Freigaben überspringt.

​

Richtlinienregler

​

Security (exec.security)

• deny: blockiert alle Host-Exec-Anfragen.
• allowlist: erlaubt nur Befehle aus der Allowlist.
• full: erlaubt alles (entspricht Elevated).

​

Ask (exec.ask)

• off: niemals prompten.
• on-miss: nur prompten, wenn die Allowlist nicht passt.
• always: bei jedem Befehl prompten.
• Dauerhaftes Vertrauen per allow-always unterdrückt Prompts nicht, wenn der wirksame Ask-Modus always ist

​

Ask-Fallback (askFallback)

• deny: blockieren.
• allowlist: nur erlauben, wenn die Allowlist passt.
• full: erlauben.

​

Härtung für Inline-Interpreter-Eval (tools.exec.strictInlineEval)

• python -c
• node -e, node --eval, node -p
• ruby -e
• perl -e, perl -E
• php -r
• lua -e
• osascript -e

• benötigen diese Befehle weiterhin eine explizite Freigabe;
• persistiert allow-always nicht automatisch neue Allowlist-Einträge für sie.

​

Allowlist (pro Agent)

• ~/Projects/**/bin/peekaboo
• ~/.local/bin/*
• /opt/homebrew/bin/rg

• id stabile UUID für die Identität in der UI (optional)
• last used Zeitstempel
• last used command
• last resolved path

​

Skills-CLIs automatisch erlauben

• Dies ist eine implizite Komfort-Allowlist, getrennt von manuellen Allowlist-Einträgen für Pfade.
• Sie ist für vertrauenswürdige Operator-Umgebungen gedacht, in denen Gateway und Node innerhalb derselben Vertrauensgrenze liegen.
• Wenn Sie striktes explizites Vertrauen benötigen, belassen Sie autoAllowSkills: false und verwenden Sie nur manuelle Allowlist-Einträge für Pfade.

​

Safe Bins (nur stdin)

• grep: --dereference-recursive, --directories, --exclude-from, --file, --recursive, -R, -d, -f, -r
• jq: --argfile, --from-file, --library-path, --rawfile, --slurpfile, -L, -f
• sort: --compress-program, --files0-from, --output, --random-source, --temporary-directory, -T, -o
• wc: --files0-from

​

Safe Bins versus Allowlist

• safeBins kommt aus der Konfiguration (tools.exec.safeBins oder pro Agent agents.list[].tools.exec.safeBins).
• safeBinTrustedDirs kommt aus der Konfiguration (tools.exec.safeBinTrustedDirs oder pro Agent agents.list[].tools.exec.safeBinTrustedDirs).
• safeBinProfiles kommt aus der Konfiguration (tools.exec.safeBinProfiles oder pro Agent agents.list[].tools.exec.safeBinProfiles). Pro-Agent-Profilschlüssel überschreiben globale Schlüssel.
• Allowlist-Einträge liegen host-lokal in ~/.openclaw/exec-approvals.json unter agents.<id>.allowlist (oder über Control UI / openclaw approvals allowlist ...).
• openclaw security audit warnt mit tools.exec.safe_bins_interpreter_unprofiled, wenn Interpreter-/Runtime-Bins in safeBins ohne explizite Profile erscheinen.
• openclaw doctor --fix kann fehlende benutzerdefinierte safeBinProfiles.<bin>-Einträge als {} erzeugen (danach prüfen und verschärfen). Interpreter-/Runtime-Bins werden nicht automatisch erzeugt.

​

Bearbeiten in der Control UI

​

Freigabeablauf

• der Exec-Pfad auf dem Node bereitet vorab einen kanonischen Plan vor
• der Freigabedatensatz speichert diesen Plan und seine Binding-Metadaten
• nach der Freigabe verwendet der endgültig weitergeleitete system.run-Aufruf erneut den gespeicherten Plan, statt späteren Änderungen des Aufrufers zu vertrauen
• wenn der Aufrufer command, rawCommand, cwd, agentId oder sessionKey ändert, nachdem die Freigabeanfrage erstellt wurde, lehnt das Gateway die weitergeleitete Ausführung als Freigabe-Fehlpassung ab

​

Interpreter-/Runtime-Befehle

• Exakter argv-/cwd-/Env-Kontext ist immer gebunden.
• Direkte Shell-Skripte und direkte Runtime-Dateiformen werden bestmöglich an genau einen konkreten lokalen Dateisnapshot gebunden.
• Häufige Paketmanager-Wrapper-Formen, die sich trotzdem in genau eine direkte lokale Datei auflösen (zum Beispiel pnpm exec, pnpm node, npm exec, npx), werden vor dem Binden entpackt.
• Wenn OpenClaw bei einem Interpreter-/Runtime-Befehl nicht genau eine konkrete lokale Datei identifizieren kann (zum Beispiel Paketskripte, Eval-Formen, runtime-spezifische Loader-Ketten oder mehrdeutige Formen mit mehreren Dateien), wird die freigabegestützte Ausführung abgelehnt, statt semantische Abdeckung zu behaupten, die nicht vorhanden ist.
• Für diese Workflows sollten Sie Sandboxing, eine separate Host-Grenze oder einen expliziten vertrauenswürdigen Allowlist-/Full-Workflow bevorzugen, bei dem der Operator die breitere Runtime-Semantik akzeptiert.

​

Verhalten bei der Zustellung von Follow-ups

• Wenn ein gültiges externes Zustellziel existiert (zustellbarer Kanal plus Ziel to), verwendet die Follow-up-Zustellung diesen Kanal.
• In Webchat-only- oder internen Sitzungsabläufen ohne externes Ziel bleibt die Follow-up-Zustellung nur sitzungsintern (deliver: false).
• Wenn ein Aufrufer ausdrücklich strikte externe Zustellung ohne auflösbaren externen Kanal anfordert, schlägt die Anfrage mit INVALID_REQUEST fehl.
• Wenn bestEffortDeliver aktiviert ist und kein externer Kanal aufgelöst werden kann, wird die Zustellung statt eines Fehlers auf nur sitzungsintern herabgestuft.

• Befehl + Argumente
• cwd
• Agent-ID
• aufgelösten Pfad zur ausführbaren Datei
• Host- + Richtlinienmetadaten

• Allow once → jetzt ausführen
• Always allow → zur Allowlist hinzufügen + ausführen
• Deny → blockieren

​

Weiterleitung von Freigaben an Chat-Kanäle

​

Weiterleitung von Plugin-Freigaben

​

Freigaben im selben Chat auf jedem Kanal

​

Native Freigabezustellung

• die Richtlinie für Host-Exec entscheidet weiterhin, ob eine Exec-Freigabe erforderlich ist
• approvals.exec steuert die Weiterleitung von Freigabe-Prompts an andere Chat-Ziele
• channels.<channel>.execApprovals steuert, ob dieser Kanal als nativer Freigabe-Client fungiert

• der Kanal unterstützt native Freigabezustellung
• Freigeber lassen sich aus expliziten execApprovals.approvers oder den dokumentierten Fallback-Quellen dieses Kanals auflösen
• channels.<channel>.execApprovals.enabled ist nicht gesetzt oder "auto"

• Discord: channels.discord.execApprovals.*
• Slack: channels.slack.execApprovals.*
• Telegram: channels.telegram.execApprovals.*

• Slack, Matrix, Microsoft Teams und ähnliche zustellbare Chats verwenden das normale Kanal-Auth-Modell für /approve im selben Chat
• wenn ein nativer Freigabe-Client automatisch aktiviert wird, ist das Standardziel für native Zustellung Freigeber-DMs
• für Discord und Telegram können nur aufgelöste Freigeber freigeben oder ablehnen
• Discord-Freigeber können explizit (execApprovals.approvers) sein oder aus commands.ownerAllowFrom abgeleitet werden
• Telegram-Freigeber können explizit (execApprovals.approvers) sein oder aus bestehender Owner-Konfiguration abgeleitet werden (allowFrom, plus direktnachrichtenbasiertes defaultTo, wo unterstützt)
• Slack-Freigeber können explizit (execApprovals.approvers) sein oder aus commands.ownerAllowFrom abgeleitet werden
• native Slack-Schaltflächen behalten die Art der Freigabe-ID bei, sodass plugin:-IDs Plugin-Freigaben auflösen können ohne eine zweite Slack-lokale Fallback-Ebene
• natives DM-/Kanal-Routing von Matrix gilt nur für Exec; Plugin-Freigaben in Matrix bleiben beim gemeinsamen /approve im selben Chat und optionalen Weiterleitungspfaden über approvals.plugin
• der Anfordernde muss kein Freigeber sein
• der Ursprungs-Chat kann direkt mit /approve freigeben, wenn dieser Chat bereits Befehle und Antworten unterstützt
• native Discord-Freigabeschaltflächen routen nach der Art der Freigabe-ID: plugin:-IDs gehen direkt zu Plugin-Freigaben, alles andere zu Exec-Freigaben
• native Telegram-Freigabeschaltflächen folgen demselben begrenzten Exec-zu-Plugin-Fallback wie /approve
• wenn natives target die Zustellung in den Ursprungs-Chat aktiviert, enthalten Freigabe-Prompts den Befehlstext
• ausstehende Exec-Freigaben laufen standardmäßig nach 30 Minuten ab
• wenn keine Operator-UI oder kein konfigurierter Freigabe-Client die Anfrage annehmen kann, fällt der Prompt auf askFallback zurück

• Discord
• Telegram

​

macOS-IPC-Ablauf

• Unix-Socket-Modus 0600, Token gespeichert in exec-approvals.json.
• Peer-Prüfung mit derselben UID.
• Challenge/Response (Nonce + HMAC-Token + Request-Hash) + kurze TTL.

​

Systemereignisse

• Exec running (nur wenn der Befehl den Schwellenwert für die Running-Meldung überschreitet)
• Exec finished
• Exec denied

​

Verhalten bei abgelehnter Freigabe

​

Auswirkungen

• full ist mächtig; bevorzugen Sie nach Möglichkeit Allowlists.
• ask hält Sie im Loop und erlaubt trotzdem schnelle Freigaben.
• Allowlists pro Agent verhindern, dass Freigaben eines Agenten auf andere übergehen.
• Freigaben gelten nur für Host-Exec-Anfragen von autorisierten Sendern. Nicht autorisierte Sender können kein /exec ausführen.
• /exec security=full ist eine Abkürzung auf Sitzungsebene für autorisierte Operatoren und überspringt Freigaben absichtlich. Um Host-Exec hart zu blockieren, setzen Sie die Security der Freigaben auf deny oder verweigern Sie das Tool exec über die Tool-Richtlinie.

• Exec-Tool
• Elevated-Modus
• Skills

​

Verwandte Themen

• Exec — Tool zur Ausführung von Shell-Befehlen
• Sandboxing — Sandbox-Modi und Workspace-Zugriff
• Sicherheit — Sicherheitsmodell und Härtung
• Sandbox vs Tool Policy vs Elevated — wann was verwendet werden sollte