マルチエージェントのサンドボックスとツール

{
  "agents": {
    "list": [
      {
        "id": "main",
        "default": true,
        "name": "Personal Assistant",
        "workspace": "~/.openclaw/workspace",
        "sandbox": { "mode": "off" }
      },
      {
        "id": "family",
        "name": "Family Bot",
        "workspace": "~/.openclaw/workspace-family",
        "sandbox": {
          "mode": "all",
          "scope": "agent"
        },
        "tools": {
          "allow": ["read"],
          "deny": ["exec", "write", "edit", "apply_patch", "process", "browser"]
        }
      }
    ]
  },
  "bindings": [
    {
      "agentId": "family",
      "match": {
        "provider": "whatsapp",
        "accountId": "*",
        "peer": {
          "kind": "group",
          "id": "[email protected]"
        }
      }
    }
  ]
}

結果:

• main エージェント: ホスト上で実行され、すべてのツールにアクセスできます。
• family エージェント: Docker で実行され（エージェントごとに 1 コンテナ）、read ツールのみを使用できます。

{
  "agents": {
    "list": [
      {
        "id": "personal",
        "workspace": "~/.openclaw/workspace-personal",
        "sandbox": { "mode": "off" }
      },
      {
        "id": "work",
        "workspace": "~/.openclaw/workspace-work",
        "sandbox": {
          "mode": "all",
          "scope": "shared",
          "workspaceRoot": "/tmp/work-sandboxes"
        },
        "tools": {
          "allow": ["read", "write", "apply_patch", "exec"],
          "deny": ["browser", "gateway", "discord"]
        }
      }
    ]
  }
}

{
  "tools": { "profile": "coding" },
  "agents": {
    "list": [
      {
        "id": "support",
        "tools": { "profile": "messaging", "allow": ["slack"] }
      }
    ]
  }
}

結果:

• デフォルトのエージェントはコーディングツールを取得します。
• support エージェントはメッセージ専用です（+ Slack ツール）。

{
  "agents": {
    "defaults": {
      "sandbox": {
        "mode": "non-main",
        "scope": "session"
      }
    },
    "list": [
      {
        "id": "main",
        "workspace": "~/.openclaw/workspace",
        "sandbox": {
          "mode": "off"
        }
      },
      {
        "id": "public",
        "workspace": "~/.openclaw/workspace-public",
        "sandbox": {
          "mode": "all",
          "scope": "agent"
        },
        "tools": {
          "allow": ["read"],
          "deny": ["exec", "write", "edit", "apply_patch"]
        }
      }
    ]
  }
}

• 各レベルはツールをさらに制限できますが、前のレベルで拒否されたツールを再度許可することはできません。
• agents.list[].tools.sandbox.tools が設定されている場合、そのエージェントでは tools.sandbox.tools を置き換えます。
• agents.list[].tools.profile が設定されている場合、そのエージェントでは tools.profile を上書きします。
• プロバイダーツールキーは、provider（例: google-antigravity）または provider/model（例: openai/gpt-5.4）のどちらも受け付けます。

そのチェーン内の明示的な許可リストのいずれかによって、実行で呼び出し可能なツールがなくなった場合、OpenClaw はプロンプトをモデルに送信する前に停止します。これは意図的です。agents.list[].tools.allow: ["query_db"] のように存在しないツールで設定されたエージェントは、query_db を登録する Plugin が有効になるまで明示的に失敗するべきであり、テキスト専用エージェントとして継続するべきではありません。

• それを上書きするグローバルな agents.defaults.sandbox.mode がないか確認します。
• エージェント固有設定が優先されるため、agents.list[].sandbox.mode: "all" を設定します。

• ツールのフィルタリング順序を確認します: グローバル → エージェント → サンドボックス → サブエージェント。
• 各レベルはさらに制限することだけができ、再度許可することはできません。
• ログで確認します: [tools] filtering tools for agent:${agentId}。

• エージェント固有のサンドボックス設定で scope: "agent" を設定します。
• デフォルトは "session" で、セッションごとに 1 つのコンテナを作成します。