​

Exec ツール

​

パラメータ

• command（必須）
• workdir（デフォルトは cwd）
• env（キー / 値のオーバーライド）
• yieldMs（デフォルト 10000）：遅延後に自動でバックグラウンド化
• background（bool）：即時にバックグラウンド化
• timeout（秒、デフォルト 1800）：期限到達時に終了
• pty（bool）：利用可能な場合は疑似端末で実行（TTY 専用 CLI、コーディングエージェント、ターミナル UI）
• host（sandbox | gateway | node）：実行場所
• security（deny | allowlist | full）： gateway / node の強制モード
• ask（off | on-miss | always）： gateway / node の承認プロンプト
• node（string）： host=node 用のノード id / 名称
• elevated（bool）：昇格モード（Gateway ホスト）を要求。 security=full は、昇格が full に解決される場合にのみ強制されます

• host のデフォルトは sandbox です。
• サンドボックス化が無効な場合、 elevated は無視されます（exec はすでにホスト上で実行されます）。
• gateway / node の承認は ~/.openclaw/exec-approvals.json により制御されます。
• node には、ペアリングされたノード（コンパニオンアプリまたはヘッドレスノードホスト）が必要です。
• 複数のノードが利用可能な場合、 exec.node または tools.exec.node を設定して 1 つを選択します。
• Windows 以外のホストでは、設定されている場合 exec は SHELL を使用します。 SHELL が fish の場合、 fish 非互換スクリプトを避けるため、 PATH から bash（または sh）を優先し、どちらも存在しない場合は SHELL にフォールバックします。
• ホスト実行（gateway / node）では、バイナリのハイジャックや注入コードを防ぐため、 env.PATH およびローダーのオーバーライド（LD_* / DYLD_*）を拒否します。
• 重要: サンドボックス化は 既定ではオフです。 重要: サンドボックス化は 既定ではオフです。 重要: サンドボックス化は デフォルトで無効 です。サンドボックス化が無効な場合、 host=sandbox は Gateway ホスト上で直接（コンテナなし）実行され、 承認は不要 です。承認を必須にするには、 host=gateway で実行し、 exec の実行承認を設定する（またはサンドボックス化を有効にする）必要があります。 承認を必要とするには、 host=gateway で実行し、exec 承認を設定します (またはサンドボックスを有効にします)。 承認を必要とするには、 host=gateway で実行し、exec 承認を設定します (またはサンドボックスを有効にします)。

​

Config

• tools.exec.notifyOnExit（デフォルト: true）： true の場合、バックグラウンド化された exec セッションはシステムイベントをキューに入れ、終了時にハートビートを要求します。
• tools.exec.approvalRunningNoticeMs（デフォルト: 10000）：承認ゲート付き exec がこれを超えて実行された場合に、単一の「実行中」通知を発行します（0 で無効）。
• tools.exec.host（デフォルト: sandbox）
• tools.exec.security（デフォルト: サンドボックスでは deny、未設定時の Gateway + ノードでは allowlist）
• tools.exec.ask（デフォルト: on-miss）
• tools.exec.node（デフォルト: 未設定）
• tools.exec.pathPrepend： exec 実行時に PATH の先頭に追加するディレクトリの一覧。
• tools.exec.safeBins：明示的な許可リストのエントリがなくても実行できる、 stdin 専用の安全なバイナリ。

{
  tools: {
    exec: {
      pathPrepend: ["~/bin", "/opt/oss/bin"],
    },
  },
}

​

PATH の取り扱い

• host=gateway：ログインシェルの PATH を exec 環境にマージします。ホスト実行では env.PATH のオーバーライドは拒否されます。デーモン自体は引き続き最小限の PATH で実行されます: env.PATH オーバーライドは ホスト実行時に拒否されます。 デーモン自体は最小限の PATH で動作します。
  • macOS: /opt/homebrew/bin, /usr/local/bin, /usr/bin, /bin
  • Linux: /usr/local/bin, /usr/bin, /bin
• host=sandbox：コンテナ内で sh -lc（ログインシェル）を実行するため、 /etc/profile により PATH がリセットされる場合があります。 OpenClaw は、内部の env 変数（シェル展開なし）を介してプロファイル読み込み後に env.PATH を先頭に追加します。 tools.exec.pathPrepend もここに適用されます。 OpenClawはenv.PATHの先頭に、内部env var (シェル補間なし)を介したプロファイル・ソーシングの後に追加します。 tools.exec.pathPrepend もここに適用されます。 OpenClawはenv.PATHの先頭に、内部env var (シェル補間なし)を介したプロファイル・ソーシングの後に追加します。 tools.exec.pathPrepend もここに適用されます。
• host=node: ブロックされていないenvオーバーライドのみがノードに送信されます。 env.PATH オーバーライドは ホスト実行時に拒否されます。 host=node：渡した非ブロックの環境変数オーバーライドのみがノードに送信されます。ホスト実行では env.PATH のオーバーライドは拒否されます。ヘッドレスノードホストは、ノードホストの PATH を先頭に追加する場合にのみ PATH を受け入れます（置換は不可）。 macOS ノードでは PATH のオーバーライドは完全に破棄されます。 macOS ノードは PATH を完全に上書きします。 env.PATH の上書きは、 ホスト実行では拒否され、node ホストでは無視されます。 node に追加の PATH エントリが必要な場合は、 node ホストサービスの環境（systemd/launchd）を設定するか、ツールを標準の場所にインストールしてください。

openclaw config get agents.list
openclaw config set agents.list[0].tools.exec.node "node-id-or-name"

​

セッションオーバーライド（/exec）

/exec host=gateway security=allowlist ask=on-miss node=mac-1

​

認可モデル

​

Exec の実行承認（コンパニオンアプリ / ノードホスト）

​

許可リスト + 安全なバイナリ

​

例

{ "tool": "exec", "command": "ls -la" }

{"tool":"exec","command":"npm run build","yieldMs":1000}
{"tool":"process","action":"poll","sessionId":"<id>"}

{"tool":"process","action":"send-keys","sessionId":"<id>","keys":["Enter"]}
{"tool":"process","action":"send-keys","sessionId":"<id>","keys":["C-c"]}
{"tool":"process","action":"send-keys","sessionId":"<id>","keys":["Up","Up","Enter"]}

{ "tool": "process", "action": "submit", "sessionId": "<id>" }

{ "tool": "process", "action": "paste", "sessionId": "<id>", "text": "line1\nline2\n" }

​

apply_patch（実験的）

{
  tools: {
    exec: {
      applyPatch: { enabled: true, allowModels: ["gpt-5.2"] },
    },
  },
}

• OpenAI / OpenAI Codex モデルでのみ利用可能です。
• ツールポリシーは引き続き適用されます。 allow: ["exec"] は暗黙的に apply_patch を許可します。
• 設定は tools.exec.applyPatch 配下にあります。
• tools.exec.applyPatch.workspaceOnly の既定値は true（workspace 内に限定）です。 apply_patch に workspace ディレクトリ外への書き込み／削除を意図的に許可する場合にのみ、これを false に設定してください。