サンドボックス vs ツールポリシー vs Elevated

OpenClaw には3つの関連するが異なる制御があります：

サンドボックス（agents.defaults.sandbox.* / agents.list[].sandbox.*）はツールの実行場所を決定します（Docker vsホスト）。
ツールポリシー（tools.*、tools.sandbox.tools.*、agents.list[].tools.*）はどのツールが利用可能/許可されるかを決定します。
Elevated（tools.elevated.*、agents.list[].tools.elevated.*）は、サンドボックス内からホスト上で実行するための exec 限定のエスケープハッチです。

クイックデバッグ

インスペクタを使って OpenClaw が_実際に_何をしているか確認できます：

openclaw sandbox explain
openclaw sandbox explain --session agent:main:main
openclaw sandbox explain --agent work
openclaw sandbox explain --json

表示内容：

サンドボックスは agents.defaults.sandbox.mode で制御されます：

マトリクスの全体像（スコープ、ワークスペースマウント、イメージ）についてはサンドボックスを参照してください。

docker.binds はサンドボックスのファイルシステムを_貫通_します。マウントした内容は設定したモード（:ro または :rw）でコンテナ内から見えます。
モードを省略するとデフォルトで読み書き可能になります。ソース/シークレットには :ro を推奨。
scope: "shared" ではエージェントごとのバインドは無視されます（グローバルバインドのみ適用）。
/var/run/docker.sock をバインドすると、事実上ホストの制御権をサンドボックスに渡すことになります。意図的にのみ実行してください。
ワークスペースアクセス（workspaceAccess: "ro"/"rw"）はバインドモードとは独立しています。

2つのレイヤーが重要です：

ツールプロファイル：tools.profile と agents.list[].tools.profile（ベース許可リスト）
プロバイダーツールプロファイル：tools.byProvider[provider].profile と agents.list[].tools.byProvider[provider].profile
グローバル/エージェントごとのツールポリシー：tools.allow/tools.deny と agents.list[].tools.allow/agents.list[].tools.deny
プロバイダーツールポリシー：tools.byProvider[provider].allow/deny と agents.list[].tools.byProvider[provider].allow/deny
サンドボックスツールポリシー（サンドボックス時のみ適用）：tools.sandbox.tools.allow/tools.sandbox.tools.deny と agents.list[].tools.sandbox.tools.*

基本ルール：

deny が常に優先。
allow が空でない場合、それ以外はすべてブロック扱い。
ツールポリシーは絶対的な制限です。/exec コマンドで拒否された exec ツールを上書きすることはできません。
/exec は権限のある送信者のセッションデフォルトを変更するだけで、ツールアクセスを付与するものではありません。プロバイダーツールキーは provider（例：google-antigravity）または provider/model（例：openai/gpt-5.2）のいずれかを受け付けます。

ツールポリシー（グローバル、エージェント、サンドボックス）は複数のツールに展開される group:* エントリをサポートします：

{
  tools: {
    sandbox: {
      tools: {
        allow: ["group:runtime", "group:fs", "group:sessions", "group:memory"],
      },
    },
  },
}

利用可能なグループ：

group:runtime：exec、bash、process
group:fs：read、write、edit、apply_patch
group:sessions：sessions_list、sessions_history、sessions_send、sessions_spawn、session_status
group:memory：memory_search、memory_get
group:ui：browser、canvas
group:automation：cron、gateway
group:messaging：message
group:nodes：nodes
group:openclaw：すべての組み込み OpenClaw ツール（プロバイダープラグインを除く）

Elevated はツールを追加するものではありません。exec にのみ影響します。

サンドボックス内にいる場合、/elevated on（または elevated: true 付きの exec）でホスト上で実行します（承認が必要な場合あり）。
/elevated full でセッション中の exec 承認をスキップします。
ダイレクト実行モードの場合、elevated は実質ノーオペレーション（ゲートは維持）。
Elevated はスキルスコープではなく、ツール許可/拒否を上書きしません。
/exec は elevated とは別です。権限のある送信者のセッションごとの exec デフォルトを調整するだけです。

ゲート：

有効化：tools.elevated.enabled（およびオプションで agents.list[].tools.elevated.enabled）
送信者許可リスト：tools.elevated.allowFrom.<provider>（およびオプションで agents.list[].tools.elevated.allowFrom.<provider>）

詳細は Elevated モードを参照してください。

修正キー（いずれか）：

サンドボックスを無効化：agents.defaults.sandbox.mode=off（またはエージェントごとに agents.list[].sandbox.mode=off）
サンドボックス内でツールを許可：
- tools.sandbox.tools.deny から削除（またはエージェントごとの agents.list[].tools.sandbox.tools.deny）
- または tools.sandbox.tools.allow に追加（またはエージェントごとの allow）

"non-main" モードでは、グループ/チャネルキーは main とは見なされません。main セッションキー（sandbox explain で表示）を使用するか、モードを "off" に切り替えてください。