मल्टी-एजेंट सैंडबॉक्स और टूल्स

बहु-एजेंट सेटअप में प्रत्येक एजेंट वैश्विक सैंडबॉक्स और टूल नीति को ओवरराइड कर सकता है। यह पृष्ठ प्रति-एजेंट कॉन्फ़िगरेशन, प्राथमिकता नियमों और उदाहरणों को शामिल करता है।

सैंडबॉक्सिंग

बैकएंड और मोड — संपूर्ण सैंडबॉक्स संदर्भ।

सैंडबॉक्स बनाम टूल नीति बनाम एलिवेटेड

“यह अवरुद्ध क्यों है?” की डीबगिंग करें।

एलिवेटेड मोड

विश्वसनीय प्रेषकों के लिए एलिवेटेड निष्पादन।

प्रमाणीकरण का दायरा एजेंट के अनुसार निर्धारित होता है: प्रत्येक एजेंट का अपना agentDir प्रमाणीकरण स्टोर ~/.openclaw/agents/<agentId>/agent/openclaw-agent.sqlite में होता है। एजेंटों के बीच कभी भी agentDir का पुनः उपयोग न करें। स्थानीय प्रोफ़ाइल न होने पर एजेंट डिफ़ॉल्ट/मुख्य एजेंट की प्रमाणीकरण प्रोफ़ाइल पढ़ सकते हैं, लेकिन OAuth रीफ़्रेश टोकन द्वितीयक एजेंट स्टोर में क्लोन नहीं किए जाते। यदि आप क्रेडेंशियल मैन्युअल रूप से कॉपी करते हैं, तो केवल पोर्टेबल स्थिर api_key या token प्रोफ़ाइल कॉपी करें।

कॉन्फ़िगरेशन के उदाहरण

उदाहरण 1: व्यक्तिगत + प्रतिबंधित पारिवारिक एजेंट

{
  "agents": {
    "list": [
      {
        "id": "main",
        "default": true,
        "name": "Personal Assistant",
        "workspace": "~/.openclaw/workspace",
        "sandbox": { "mode": "off" }
      },
      {
        "id": "family",
        "name": "Family Bot",
        "workspace": "~/.openclaw/workspace-family",
        "sandbox": {
          "mode": "all",
          "scope": "agent"
        },
        "tools": {
          "allow": ["read", "message"],
          "deny": ["exec", "write", "edit", "apply_patch", "process", "browser"],
          "message": {
            "crossContext": {
              "allowWithinProvider": false,
              "allowAcrossProviders": false
            }
          }
        }
      }
    ]
  },
  "bindings": [
    {
      "agentId": "family",
      "match": {
        "provider": "whatsapp",
        "accountId": "*",
        "peer": {
          "kind": "group",
          "id": "120363424282127706@g.us"
        }
      }
    }
  ]
}

परिणाम:

main एजेंट: होस्ट पर चलता है, सभी टूल तक पूर्ण पहुँच।
family एजेंट: Docker में चलता है (प्रति एजेंट एक कंटेनर), केवल read और वर्तमान वार्तालाप में संदेश भेज सकता है।

उदाहरण 2: साझा सैंडबॉक्स वाला कार्य एजेंट

{
  "agents": {
    "list": [
      {
        "id": "personal",
        "workspace": "~/.openclaw/workspace-personal",
        "sandbox": { "mode": "off" }
      },
      {
        "id": "work",
        "workspace": "~/.openclaw/workspace-work",
        "sandbox": {
          "mode": "all",
          "scope": "shared",
          "workspaceRoot": "/tmp/work-sandboxes"
        },
        "tools": {
          "allow": ["read", "write", "apply_patch", "exec"],
          "deny": ["browser", "gateway", "discord"]
        }
      }
    ]
  }
}

उदाहरण 2b: वैश्विक कोडिंग प्रोफ़ाइल + केवल-संदेश एजेंट

{
  "tools": { "profile": "coding" },
  "agents": {
    "list": [
      {
        "id": "support",
        "tools": { "profile": "messaging", "allow": ["slack"] }
      }
    ]
  }
}

परिणाम:

डिफ़ॉल्ट एजेंटों को कोडिंग टूल मिलते हैं।
support एजेंट केवल-संदेश वाला है (+ Slack टूल)।

उदाहरण 3: प्रत्येक एजेंट के लिए अलग-अलग सैंडबॉक्स मोड

{
  "agents": {
    "defaults": {
      "sandbox": {
        "mode": "non-main",
        "scope": "session"
      }
    },
    "list": [
      {
        "id": "main",
        "workspace": "~/.openclaw/workspace",
        "sandbox": {
          "mode": "off"
        }
      },
      {
        "id": "public",
        "workspace": "~/.openclaw/workspace-public",
        "sandbox": {
          "mode": "all",
          "scope": "agent"
        },
        "tools": {
          "allow": ["read"],
          "deny": ["exec", "write", "edit", "apply_patch"]
        }
      }
    ]
  }
}

कॉन्फ़िगरेशन की प्राथमिकता

जब वैश्विक (agents.defaults.*) और एजेंट-विशिष्ट (agents.entries.*.*) दोनों कॉन्फ़िगरेशन मौजूद हों:

सैंडबॉक्स कॉन्फ़िगरेशन

एजेंट-विशिष्ट सेटिंग वैश्विक सेटिंग को ओवरराइड करती हैं:

agents.entries.*.sandbox.mode > agents.defaults.sandbox.mode
agents.entries.*.sandbox.scope > agents.defaults.sandbox.scope
agents.entries.*.sandbox.workspaceRoot > agents.defaults.sandbox.workspaceRoot
agents.entries.*.sandbox.workspaceAccess > agents.defaults.sandbox.workspaceAccess
agents.entries.*.sandbox.docker.* > agents.defaults.sandbox.docker.*
agents.entries.*.sandbox.browser.* > agents.defaults.sandbox.browser.*
agents.entries.*.sandbox.prune.* > agents.defaults.sandbox.prune.*

agents.entries.*.sandbox.{docker,browser,prune}.* उस एजेंट के लिए agents.defaults.sandbox.{docker,browser,prune}.* को ओवरराइड करता है (जब सैंडबॉक्स का दायरा "shared" के रूप में निर्धारित होता है, तो इसे अनदेखा कर दिया जाता है)।

टूल प्रतिबंध

फ़िल्टर करने का क्रम यह है:

टूल प्रोफ़ाइल

tools.profile या agents.entries.*.tools.profile।

प्रदाता टूल प्रोफ़ाइल

tools.byProvider[provider].profile या agents.entries.*.tools.byProvider[provider].profile।

वैश्विक टूल नीति

tools.allow / tools.deny।

प्रदाता टूल नीति

tools.byProvider[provider].allow/deny।

एजेंट-विशिष्ट टूल नीति

agents.entries.*.tools.allow/deny।

एजेंट प्रदाता नीति

agents.entries.*.tools.byProvider[provider].allow/deny।

सैंडबॉक्स टूल नीति

tools.sandbox.tools या agents.entries.*.tools.sandbox.tools।

उप-एजेंट टूल नीति

यदि लागू हो, तो tools.subagents.tools।

प्राथमिकता नियम

प्रत्येक स्तर टूल को और प्रतिबंधित कर सकता है, लेकिन पहले के स्तरों पर अस्वीकृत टूल को वापस अनुमति नहीं दे सकता।
यदि agents.entries.*.tools.sandbox.tools सेट है, तो यह उस एजेंट के लिए tools.sandbox.tools को प्रतिस्थापित करता है।
यदि agents.entries.*.tools.profile सेट है, तो यह उस एजेंट के लिए tools.profile को ओवरराइड करता है।
प्रदाता टूल कुंजियाँ provider (उदाहरण के लिए google-antigravity) या provider/model (उदाहरण के लिए openai/gpt-5.4) में से किसी एक को स्वीकार करती हैं।

खाली अनुमति-सूची का व्यवहार

यदि इस श्रृंखला की कोई भी स्पष्ट अनुमति-सूची रन को बिना किसी कॉल किए जा सकने वाले टूल के छोड़ देती है, तो OpenClaw मॉडल को प्रॉम्प्ट भेजने से पहले रुक जाता है। यह जानबूझकर किया गया है: agents.entries.*.tools.allow: ["query_db"] जैसे अनुपलब्ध टूल के साथ कॉन्फ़िगर किए गए एजेंट को तब तक स्पष्ट रूप से विफल होना चाहिए, जब तक query_db पंजीकृत करने वाला Plugin सक्षम न हो जाए; उसे केवल-पाठ एजेंट के रूप में जारी नहीं रहना चाहिए।

टूल नीतियाँ group:* संक्षिप्त रूपों का समर्थन करती हैं, जो कई टूल में विस्तारित होते हैं। पूरी सूची के लिए टूल समूह देखें। प्रति-एजेंट एलिवेटेड ओवरराइड (agents.entries.*.tools.elevated) विशिष्ट एजेंटों के लिए एलिवेटेड निष्पादन को और प्रतिबंधित कर सकते हैं। विवरण के लिए एलिवेटेड मोड देखें।

एकल एजेंट से माइग्रेशन

पहले (एकल एजेंट)
बाद में (बहु-एजेंट)

{
  "agents": {
    "defaults": {
      "workspace": "~/.openclaw/workspace",
      "sandbox": {
        "mode": "non-main"
      }
    }
  },
  "tools": {
    "sandbox": {
      "tools": {
        "allow": ["read", "write", "apply_patch", "exec"],
        "deny": []
      }
    }
  }
}

{
  "agents": {
    "list": [
      {
        "id": "main",
        "default": true,
        "workspace": "~/.openclaw/workspace",
        "sandbox": { "mode": "off" }
      }
    ]
  }
}

पुरानी agents.defaults.*/agents.entries.*.* कॉन्फ़िगरेशन कुंजियाँ (जैसे sandbox.perSession, agentRuntime, embeddedPi) को openclaw doctor द्वारा माइग्रेट किया जाता है; आगे से agents.defaults + agents.entries को प्राथमिकता दें।

टूल प्रतिबंध के उदाहरण

केवल-पठन एजेंट
फ़ाइल-सिस्टम टूल अक्षम रखते हुए शेल निष्पादन
केवल-संचार

{
  "tools": {
    "allow": ["read"],
    "deny": ["exec", "write", "edit", "apply_patch", "process"]
  }
}

{
  "tools": {
    "allow": ["read", "exec", "process"],
    "deny": ["write", "edit", "apply_patch", "browser", "gateway"]
  }
}

यह नीति OpenClaw के फ़ाइल-सिस्टम टूल को अक्षम करती है, लेकिन exec फिर भी एक शेल है और चयनित होस्ट या सैंडबॉक्स फ़ाइल-सिस्टम द्वारा अनुमत किसी भी स्थान पर फ़ाइलें लिख सकता है। केवल-पठन एजेंट के लिए, exec और process को अस्वीकार करें, या शेल पहुँच को agents.defaults.sandbox.workspaceAccess: "ro" अथवा "none" जैसे सैंडबॉक्स फ़ाइल-सिस्टम नियंत्रणों के साथ संयोजित करें।

{
  "tools": {
    "sessions": { "visibility": "tree" },
    "allow": ["sessions_list", "sessions_send", "sessions_history", "session_status"],
    "deny": ["exec", "write", "edit", "apply_patch", "read", "browser"]
  }
}

इस प्रोफ़ाइल में sessions_history अभी भी कच्चे ट्रांसक्रिप्ट डंप के बजाय सीमित, स्वच्छीकृत स्मरण दृश्य लौटाता है। सहायक स्मरण, संपादन/काट-छाँट से पहले चिंतन टैग, <relevant-memories> स्कैफ़ोल्डिंग, सादा-पाठ टूल-कॉल XML पेलोड (जिसमें <tool_call>...</tool_call>, <function_call>...</function_call>, <tool_calls>...</tool_calls>, <function_calls>...</function_calls> और काटे गए टूल-कॉल ब्लॉक शामिल हैं), निम्नीकृत टूल-कॉल स्कैफ़ोल्डिंग, लीक हुए ASCII/पूर्ण-चौड़ाई मॉडल नियंत्रण टोकन और विकृत MiniMax टूल-कॉल XML हटा देता है।

सामान्य समस्या: “non-main”

agents.defaults.sandbox.mode: "non-main" सत्र कुंजी की जाँच मुख्य सत्र कुंजी से करता है (हमेशा "main"; session.mainKey उपयोगकर्ता द्वारा कॉन्फ़िगर करने योग्य नहीं है और OpenClaw किसी अन्य मान के लिए चेतावनी देकर उसे अनदेखा करता है), एजेंट आईडी से नहीं। समूह/चैनल सत्रों को हमेशा अपनी अलग कुंजियाँ मिलती हैं, इसलिए उन्हें गैर-मुख्य माना जाता है और सैंडबॉक्स में रखा जाएगा। यदि आप चाहते हैं कि किसी एजेंट को कभी सैंडबॉक्स में न रखा जाए, तो agents.entries.*.sandbox.mode: "off" सेट करें।

परीक्षण

बहु-एजेंट सैंडबॉक्स और टूल कॉन्फ़िगर करने के बाद:

एजेंट निर्धारण जाँचें

openclaw agents list --bindings

सैंडबॉक्स कंटेनर सत्यापित करें

docker ps --filter "name=openclaw-sbx-"

टूल प्रतिबंधों का परीक्षण करें

प्रतिबंधित टूल की आवश्यकता वाला संदेश भेजें।
सत्यापित करें कि एजेंट अस्वीकृत टूल का उपयोग नहीं कर सकता।

लॉग की निगरानी करें

openclaw logs --follow | grep -E "routing|sandbox|tools"

समस्या निवारण

`mode: 'all'` के बावजूद एजेंट सैंडबॉक्स में नहीं है

जाँचें कि क्या कोई वैश्विक agents.defaults.sandbox.mode इसे ओवरराइड कर रहा है।
एजेंट-विशिष्ट कॉन्फ़िगरेशन को प्राथमिकता मिलती है, इसलिए agents.entries.*.sandbox.mode: "all" सेट करें।

अस्वीकरण सूची के बावजूद टूल अभी भी उपलब्ध हैं

पूर्ण फ़िल्टरिंग क्रम देखें: प्रोफ़ाइल → प्रदाता प्रोफ़ाइल → वैश्विक नीति → प्रदाता नीति → एजेंट नीति → एजेंट प्रदाता नीति → सैंडबॉक्स → उप-एजेंट।
प्रत्येक स्तर केवल और अधिक प्रतिबंध लगा सकता है, अनुमति वापस नहीं दे सकता।
चरण-दर-चरण डीबगिंग के लिए सैंडबॉक्स बनाम टूल नीति बनाम एलिवेटेड देखें।

कंटेनर प्रत्येक एजेंट के लिए पृथक नहीं है

डिफ़ॉल्ट scope, "agent" है (प्रत्येक एजेंट आईडी के लिए एक कंटेनर)।
प्रत्येक सत्र के लिए एक कंटेनर हेतु scope: "session" सेट करें, या सभी एजेंटों में एक कंटेनर का पुनः उपयोग करने के लिए scope: "shared" सेट करें।

Overview

Plugins

Plugin guides

Building plugins

Skills

Automation

Tools

Agent coordination

मल्टी-एजेंट सैंडबॉक्स और टूल्स

सैंडबॉक्सिंग

सैंडबॉक्स बनाम टूल नीति बनाम एलिवेटेड

एलिवेटेड मोड

कॉन्फ़िगरेशन के उदाहरण

कॉन्फ़िगरेशन की प्राथमिकता

सैंडबॉक्स कॉन्फ़िगरेशन

टूल प्रतिबंध

एकल एजेंट से माइग्रेशन

टूल प्रतिबंध के उदाहरण

सामान्य समस्या: “non-main”

परीक्षण

समस्या निवारण

संबंधित

सैंडबॉक्सिंग

सैंडबॉक्स बनाम टूल नीति बनाम एलिवेटेड

एलिवेटेड मोड

​कॉन्फ़िगरेशन के उदाहरण

​कॉन्फ़िगरेशन की प्राथमिकता

​सैंडबॉक्स कॉन्फ़िगरेशन

​टूल प्रतिबंध

​एकल एजेंट से माइग्रेशन

​टूल प्रतिबंध के उदाहरण

​सामान्य समस्या: “non-main”

​परीक्षण

​समस्या निवारण

​संबंधित

कॉन्फ़िगरेशन के उदाहरण

कॉन्फ़िगरेशन की प्राथमिकता

सैंडबॉक्स कॉन्फ़िगरेशन

टूल प्रतिबंध

एकल एजेंट से माइग्रेशन

टूल प्रतिबंध के उदाहरण

सामान्य समस्या: “non-main”

परीक्षण

समस्या निवारण

संबंधित