沙箱 vs 工具策略 vs 提权

OpenClaw 有三个相关（但不同）的控制机制：

沙箱（agents.defaults.sandbox.* / agents.list[].sandbox.*）决定工具的运行位置（Docker 与主机）。
工具策略（tools.*、tools.sandbox.tools.*、agents.list[].tools.*）决定哪些工具可用/被允许。
提升（tools.elevated.*、agents.list[].tools.elevated.*）是一个仅执行的应急方案，用于在处于沙箱环境中时在主机上运行。

快速调试

使用检查器查看 OpenClaw 实际在做什么：

openclaw sandbox explain
openclaw sandbox explain --session agent:main:main
openclaw sandbox explain --agent work
openclaw sandbox explain --json

它会打印：

沙箱由 agents.defaults.sandbox.mode 控制：

有关完整矩阵（作用域、工作区挂载、镜像），请参阅沙箱隔离。

有两个层级的因素：

工具配置文件：tools.profile 和 agents.list[].tools.profile（基本允许列表）
提供者工具配置文件：tools.byProvider[provider].profile 和 agents.list[].tools.byProvider[provider].profile
全局/每代理工具策略：tools.allow/tools.deny 和 agents.list[].tools.allow/agents.list[].tools.deny
Provider 工具策略：tools.byProvider[provider].allow/deny 和 agents.list[].tools.byProvider[provider].allow/deny
沙箱工具策略（仅在沙箱化时适用）：tools.sandbox.tools.allow/tools.sandbox.tools.deny 和 agents.list[].tools.sandbox.tools.*

经验法则：

deny 始终优先。
如果 allow 非空，其他所有内容都将被视为被阻止。
工具策略是硬性限制：/exec 无法覆盖被拒绝的 exec 工具。
/exec 仅更改经过授权的发送者的会话默认值；它不授予工具访问权限。提供商工具键接受 provider（例如 google-antigravity）或 provider/model（例如 openai/gpt-5.2）。

工具策略（全局、代理、沙箱）支持 group:* 条目，这些条目可扩展为多个工具：

{
  tools: {
    sandbox: {
      tools: {
        allow: ["group:runtime", "group:fs", "group:sessions", "group:memory"],
      },
    },
  },
}

可用组：

group:runtime：exec、bash、process
group:fs：read、write、edit、apply_patch
group:sessions：sessions_list、sessions_history、sessions_send、sessions_spawn、session_status
group:memory：memory_search、memory_get
group:ui：browser、canvas
group:automation：cron、gateway
group:messaging：message
group:nodes：nodes
group:openclaw：所有内置 OpenClaw 工具（不包括提供商插件）

提升权限不授予额外的工具；它仅影响 exec。

门槛条件：

启用方式：tools.elevated.enabled（以及可选的 agents.list[].tools.elevated.enabled）
发送方白名单：tools.elevated.allowFrom.<provider>（以及可选的 agents.list[].tools.elevated.allowFrom.<provider>）

修复关键点（任选其一）：

禁用沙盒：agents.defaults.sandbox.mode=off（或针对每个代理 agents.list[].sandbox.mode=off）
在沙盒内允许该工具：
- 将其从 tools.sandbox.tools.deny 中移除（或针对每个代理 agents.list[].tools.sandbox.tools.deny）
- 或将其添加到 tools.sandbox.tools.allow 中（或针对每个代理的允许列表）

在 "non-main" 模式下，群组/频道密钥不是主密钥。请使用主会话密钥（由 sandbox explain 显示）或将模式切换到 "off"。