​

Persetujuan exec

​

Tempat ini berlaku

• host gateway → proses openclaw pada mesin gateway
• host node → runner node (aplikasi pendamping macOS atau host node headless)

• Pemanggil yang diautentikasi Gateway adalah operator tepercaya untuk Gateway tersebut.
• Node yang dipasangkan memperluas kemampuan operator tepercaya itu ke host node.
• Persetujuan exec mengurangi risiko eksekusi yang tidak disengaja, tetapi bukan batas autentikasi per pengguna.
• Proses host-node yang disetujui mengikat konteks eksekusi kanonis: cwd kanonis, argv yang tepat, pengikatan env bila ada, dan path executable yang dipin bila berlaku.
• Untuk skrip shell dan pemanggilan file interpreter/runtime langsung, OpenClaw juga mencoba mengikat satu operand file lokal konkret. Jika file yang diikat itu berubah setelah persetujuan tetapi sebelum eksekusi, proses ditolak alih-alih mengeksekusi konten yang berubah.
• Pengikatan file ini sengaja bersifat best-effort, bukan model semantik lengkap dari setiap jalur loader interpreter/runtime. Jika mode persetujuan tidak dapat mengidentifikasi tepat satu file lokal konkret untuk diikat, ia menolak membuat proses yang didukung persetujuan alih-alih berpura-pura cakupannya penuh.

• layanan host node meneruskan system.run ke aplikasi macOS melalui IPC lokal.
• aplikasi macOS menegakkan persetujuan + mengeksekusi perintah dalam konteks UI.

​

Pengaturan dan penyimpanan

{
  "version": 1,
  "socket": {
    "path": "~/.openclaw/exec-approvals.sock",
    "token": "base64url-token"
  },
  "defaults": {
    "security": "deny",
    "ask": "on-miss",
    "askFallback": "deny",
    "autoAllowSkills": false
  },
  "agents": {
    "main": {
      "security": "allowlist",
      "ask": "on-miss",
      "askFallback": "deny",
      "autoAllowSkills": true,
      "allowlist": [
        {
          "id": "B0C8C0B3-2C2D-4F8A-9A3C-5A4B3C2D1E0F",
          "pattern": "~/Projects/**/bin/rg",
          "lastUsedAt": 1737150000000,
          "lastUsedCommand": "rg -n TODO",
          "lastResolvedPath": "/Users/user/Projects/.../bin/rg"
        }
      ]
    }
  }
}

​

Mode “YOLO” tanpa persetujuan

• kebijakan exec yang diminta dalam konfigurasi OpenClaw (tools.exec.*)
• kebijakan approvals lokal host di ~/.openclaw/exec-approvals.json

• tools.exec.security: full pada gateway/node
• tools.exec.ask: off
• host askFallback: full

• tools.exec.host=auto memilih tempat exec berjalan: sandbox bila tersedia, jika tidak gateway.
• YOLO memilih bagaimana host exec disetujui: security=full plus ask=off.
• Dalam mode YOLO, OpenClaw tidak menambahkan gerbang persetujuan pengaburan perintah heuristik yang terpisah di atas kebijakan host exec yang dikonfigurasi.
• auto tidak membuat perutean gateway menjadi override bebas dari sesi yang disandbox. Permintaan per panggilan host=node diizinkan dari auto, dan host=gateway hanya diizinkan dari auto ketika tidak ada runtime sandbox yang aktif. Jika Anda ingin default non-auto yang stabil, setel tools.exec.host atau gunakan /exec host=... secara eksplisit.

openclaw config set tools.exec.host gateway
openclaw config set tools.exec.security full
openclaw config set tools.exec.ask off
openclaw gateway restart

openclaw approvals set --stdin <<'EOF'
{
  version: 1,
  defaults: {
    security: "full",
    ask: "off",
    askFallback: "full"
  }
}
EOF

openclaw exec-policy preset yolo

• tools.exec.host/security/ask lokal
• default ~/.openclaw/exec-approvals.json lokal

openclaw approvals set --node <id|name|ip> --stdin <<'EOF'
{
  version: 1,
  defaults: {
    security: "full",
    ask: "off",
    askFallback: "full"
  }
}
EOF

• openclaw exec-policy tidak menyinkronkan approvals node
• openclaw exec-policy set --host node ditolak
• persetujuan exec node diambil dari node saat runtime, jadi pembaruan yang menargetkan node harus menggunakan openclaw approvals --node ...

• /exec security=full ask=off hanya mengubah sesi saat ini.
• /elevated full adalah pintasan break-glass yang juga melewati persetujuan exec untuk sesi itu.

​

Kenop kebijakan

​

Security (exec.security)

• deny: blokir semua permintaan host exec.
• allowlist: izinkan hanya perintah yang ada di allowlist.
• full: izinkan semuanya (setara dengan elevated).

​

Ask (exec.ask)

• off: jangan pernah prompt.
• on-miss: prompt hanya ketika allowlist tidak cocok.
• always: prompt pada setiap perintah.
• kepercayaan tahan lama allow-always tidak menekan prompt ketika mode ask efektif adalah always

​

Ask fallback (askFallback)

• deny: blokir.
• allowlist: izinkan hanya jika allowlist cocok.
• full: izinkan.

​

Hardening eval interpreter inline (tools.exec.strictInlineEval)

• python -c
• node -e, node --eval, node -p
• ruby -e
• perl -e, perl -E
• php -r
• lua -e
• osascript -e

• perintah ini tetap memerlukan persetujuan eksplisit;
• allow-always tidak otomatis mempertahankan entri allowlist baru untuk perintah tersebut.

​

Allowlist (per agen)

• ~/Projects/**/bin/peekaboo
• ~/.local/bin/*
• /opt/homebrew/bin/rg

• id UUID stabil yang digunakan untuk identitas UI (opsional)
• terakhir digunakan timestamp
• perintah terakhir digunakan
• path terakhir yang diselesaikan

​

Mengizinkan otomatis CLI skill

• Ini adalah allowlist kemudahan implisit, terpisah dari entri allowlist path manual.
• Ini dimaksudkan untuk lingkungan operator tepercaya tempat Gateway dan node berada dalam batas kepercayaan yang sama.
• Jika Anda memerlukan kepercayaan eksplisit yang ketat, pertahankan autoAllowSkills: false dan gunakan hanya entri allowlist path manual.

​

Safe bins (khusus stdin)

• grep: --dereference-recursive, --directories, --exclude-from, --file, --recursive, -R, -d, -f, -r
• jq: --argfile, --from-file, --library-path, --rawfile, --slurpfile, -L, -f
• sort: --compress-program, --files0-from, --output, --random-source, --temporary-directory, -T, -o
• wc: --files0-from

​

Safe bins versus allowlist

• safeBins berasal dari config (tools.exec.safeBins atau per-agent agents.list[].tools.exec.safeBins).
• safeBinTrustedDirs berasal dari config (tools.exec.safeBinTrustedDirs atau per-agent agents.list[].tools.exec.safeBinTrustedDirs).
• safeBinProfiles berasal dari config (tools.exec.safeBinProfiles atau per-agent agents.list[].tools.exec.safeBinProfiles). Kunci profil per-agent menimpa kunci global.
• entri allowlist berada di ~/.openclaw/exec-approvals.json lokal host di bawah agents.<id>.allowlist (atau melalui Control UI / openclaw approvals allowlist ...).
• openclaw security audit memberi peringatan dengan tools.exec.safe_bins_interpreter_unprofiled ketika bin interpreter/runtime muncul di safeBins tanpa profil eksplisit.
• openclaw doctor --fix dapat membuatkan entri safeBinProfiles.<bin> kustom yang hilang sebagai {} (tinjau dan perketat setelahnya). Bin interpreter/runtime tidak dibuatkan otomatis.

​

Pengeditan Control UI

​

Alur persetujuan

• jalur exec node menyiapkan satu rencana kanonis di awal
• catatan persetujuan menyimpan rencana itu dan metadata pengikatannya
• setelah disetujui, pemanggilan system.run akhir yang diteruskan menggunakan kembali rencana yang tersimpan alih-alih mempercayai edit pemanggil yang dilakukan belakangan
• jika pemanggil mengubah command, rawCommand, cwd, agentId, atau sessionKey setelah permintaan persetujuan dibuat, gateway menolak proses yang diteruskan sebagai ketidakcocokan persetujuan

​

Perintah interpreter/runtime

• Konteks argv/cwd/env yang tepat selalu diikat.
• Bentuk skrip shell langsung dan file runtime langsung diikat secara best-effort ke satu snapshot file lokal konkret.
• Bentuk wrapper package-manager umum yang tetap diselesaikan menjadi satu file lokal langsung (misalnya pnpm exec, pnpm node, npm exec, npx) di-unwrapped sebelum pengikatan.
• Jika OpenClaw tidak dapat mengidentifikasi tepat satu file lokal konkret untuk perintah interpreter/runtime (misalnya skrip package, bentuk eval, rantai loader khusus runtime, atau bentuk multi-file yang ambigu), eksekusi yang didukung persetujuan ditolak alih-alih mengklaim cakupan semantik yang sebenarnya tidak dimilikinya.
• Untuk alur kerja tersebut, pilih sandboxing, batas host terpisah, atau alur allowlist/full tepercaya yang eksplisit ketika operator menerima semantik runtime yang lebih luas.

​

Perilaku pengiriman followup

• Jika ada target pengiriman eksternal yang valid (channel dapat dikirim plus target to), pengiriman followup menggunakan channel itu.
• Dalam alur khusus webchat atau sesi internal tanpa target eksternal, pengiriman followup tetap khusus sesi (deliver: false).
• Jika pemanggil secara eksplisit meminta pengiriman eksternal ketat tanpa channel eksternal yang dapat diselesaikan, permintaan gagal dengan INVALID_REQUEST.
• Jika bestEffortDeliver diaktifkan dan tidak ada channel eksternal yang dapat diselesaikan, pengiriman diturunkan menjadi khusus sesi alih-alih gagal.

• perintah + argumen
• cwd
• ID agen
• path executable yang diselesaikan
• metadata host + kebijakan

• Allow once → jalankan sekarang
• Always allow → tambahkan ke allowlist + jalankan
• Deny → blokir

​

Penerusan persetujuan ke channel chat

​

Penerusan persetujuan plugin

​

Persetujuan chat yang sama di channel mana pun

​

Pengiriman persetujuan native

• kebijakan host exec tetap menentukan apakah persetujuan exec diperlukan
• approvals.exec mengontrol penerusan prompt persetujuan ke tujuan chat lain
• channels.<channel>.execApprovals mengontrol apakah channel tersebut bertindak sebagai klien persetujuan native

• channel mendukung pengiriman persetujuan native
• approver dapat diselesaikan dari execApprovals.approvers yang eksplisit atau dari sumber fallback terdokumentasi channel tersebut
• channels.<channel>.execApprovals.enabled tidak disetel atau bernilai "auto"

• Discord: channels.discord.execApprovals.*
• Slack: channels.slack.execApprovals.*
• Telegram: channels.telegram.execApprovals.*

• Slack, Matrix, Microsoft Teams, dan chat lain yang dapat dikirim menggunakan model autentikasi channel normal untuk /approve di chat yang sama
• ketika klien persetujuan native aktif otomatis, target pengiriman native default adalah DM approver
• untuk Discord dan Telegram, hanya approver yang berhasil diselesaikan yang dapat menyetujui atau menolak
• approver Discord dapat bersifat eksplisit (execApprovals.approvers) atau diinferensikan dari commands.ownerAllowFrom
• approver Telegram dapat bersifat eksplisit (execApprovals.approvers) atau diinferensikan dari konfigurasi owner yang ada (allowFrom, ditambah direct-message defaultTo bila didukung)
• approver Slack dapat bersifat eksplisit (execApprovals.approvers) atau diinferensikan dari commands.ownerAllowFrom
• tombol native Slack mempertahankan jenis approval ID, sehingga ID plugin: dapat menyelesaikan persetujuan plugin tanpa lapisan fallback lokal Slack kedua
• perutean DM/channel native Matrix dan pintasan reaction menangani persetujuan exec maupun plugin; otorisasi plugin tetap berasal dari channels.matrix.dm.allowFrom
• peminta tidak harus menjadi approver
• chat asal dapat menyetujui langsung dengan /approve ketika chat itu sudah mendukung perintah dan balasan
• tombol persetujuan native Discord merutekan berdasarkan jenis approval ID: ID plugin: langsung menuju persetujuan plugin, selebihnya menuju persetujuan exec
• tombol persetujuan native Telegram mengikuti fallback exec-ke-plugin terbatas yang sama seperti /approve
• ketika target native mengaktifkan pengiriman origin-chat, prompt persetujuan menyertakan teks perintah
• persetujuan exec yang tertunda kedaluwarsa setelah 30 menit secara default
• jika tidak ada UI operator atau klien persetujuan terkonfigurasi yang dapat menerima permintaan, prompt akan fallback ke askFallback

• Discord
• Telegram

​

Alur IPC macOS

• Mode Unix socket 0600, token disimpan di exec-approvals.json.
• Pemeriksaan peer dengan UID yang sama.
• Challenge/response (nonce + token HMAC + hash permintaan) + TTL pendek.

​

Peristiwa sistem

• Exec running (hanya jika perintah melebihi ambang notifikasi berjalan)
• Exec finished
• Exec denied

​

Perilaku persetujuan yang ditolak

​

Implikasi

• full sangat kuat; pilih allowlist bila memungkinkan.
• ask membuat Anda tetap terlibat sambil tetap memungkinkan persetujuan cepat.
• Allowlist per agen mencegah persetujuan satu agen bocor ke agen lain.
• Persetujuan hanya berlaku untuk permintaan host exec dari pengirim yang berwenang. Pengirim yang tidak berwenang tidak dapat mengeluarkan /exec.
• /exec security=full adalah kemudahan tingkat sesi untuk operator yang berwenang dan secara desain melewati persetujuan. Untuk memblokir host exec sepenuhnya, setel security approvals ke deny atau tolak alat exec melalui kebijakan alat.

• Exec tool
• Elevated mode
• Skills

​

Terkait

• Exec — alat eksekusi perintah shell
• Sandboxing — mode sandbox dan akses workspace
• Security — model keamanan dan hardening
• Sandbox vs Tool Policy vs Elevated — kapan menggunakan masing-masing