実行ツール

​

パラメータ

• host は auto、sandbox、gateway、node のみを受け付けます。これはホスト名セレクターではありません。ホスト名のような値は、コマンド実行前に拒否されます。
• 呼び出しごとの host=node は auto から許可されます。呼び出しごとの host=gateway は、サンドボックスランタイムがアクティブでない場合にのみ許可されます。
• 追加設定がなくても、host=auto はそのまま動作します。サンドボックスがない場合は gateway に解決され、稼働中のサンドボックスがある場合はサンドボックス内に留まります。
• elevated はサンドボックスを抜けて設定済みホストパス上で実行します。デフォルトでは gateway、または tools.exec.host=node の場合（またはセッションデフォルトが host=node の場合）は node です。現在のセッション/プロバイダーで昇格アクセスが有効な場合にのみ利用できます。
• gateway/node の承認はホスト承認ファイルで制御されます。
• node にはペアリング済み Node（コンパニオンアプリまたはヘッドレス Node ホスト）が必要です。複数の Node が利用可能な場合は、exec.node または tools.exec.node を設定して 1 つを選択します。
• exec host=node は Node の唯一のシェル実行パスです。従来の nodes.run ラッパーは削除されました。
• Windows 以外のホストでは、exec は SHELL が設定されている場合にそれを使用します。SHELL が fish の場合、fish と互換性のない bashism を避けるため、PATH から bash（または sh）を優先し、どちらも存在しない場合に SHELL へフォールバックします。
• Windows ホストでは、exec は PowerShell 7（pwsh）の検出（Program Files、ProgramW6432、その後 PATH）を優先し、その後 Windows PowerShell 5.1 へフォールバックします。
• Windows 以外の Gateway ホストでは、bash および zsh の exec コマンドは起動時スナップショットを使用します。OpenClaw は、shell 起動ファイルから source 可能なエイリアス/関数と小さな安全な環境セットを $OPENCLAW_STATE_DIR/cache/shell-snapshots/ に取り込み、各 exec コマンドの前にそのスナップショットを source します。シークレットのように見える変数は除外されます。サンドボックスと node exec はこのスナップショットを使用しません。このスナップショットパスを無効にするには、Gateway プロセス環境で OPENCLAW_EXEC_SHELL_SNAPSHOT=0 を設定します。
• ホスト実行（gateway/node）は、バイナリの乗っ取りやコード注入を防ぐため、env.PATH とローダーオーバーライド（LD_*/DYLD_*）を拒否します。
• OpenClaw は、生成されるコマンド環境（PTY とサンドボックス実行を含む）に OPENCLAW_SHELL=exec を設定し、shell/profile ルールが exec ツールのコンテキストを検出できるようにします。
• チャネル起点の実行では、チャネルがそれらの ID を提供した場合、OpenClaw は狭い範囲の送信者/チャット ID JSON ペイロードも OPENCLAW_CHANNEL_CONTEXT で公開します。
• exec は openclaw channels login または /approve シェルコマンドを実行できません。openclaw channels login は対話型のチャネル認証フローであり、/approve はシェルではなく承認コマンドハンドラーを通る必要があります。チャネルログインは gateway ホスト上のターミナルで実行するか、存在する場合はチャネル固有のログインエージェントツール（例: whatsapp_login）を使用します。
• 重要: サンドボックス化はデフォルトでオフです。サンドボックス化がオフの場合、暗黙の host=auto は gateway に解決されます。明示的な host=sandbox は、gateway ホスト上で黙って実行されるのではなく、引き続き fail closed します。サンドボックス化を有効にするか、承認付きで host=gateway を使用してください。
• スクリプトの事前チェック（一般的な Python/Node のシェル構文ミス向け）は、有効な workdir 境界内のファイルのみを検査します。スクリプトパスが workdir の外に解決される場合、そのファイルの事前チェックはスキップされます。また、host=gateway で有効なポリシーが security=full かつ ask=off の場合、事前チェックは完全にスキップされます。
• すぐに開始する長時間実行の作業では、一度だけ開始し、自動完了 wake が有効で、コマンドが出力を発するか失敗した場合はそれに依存します。ログ、ステータス、入力、介入には process を使用してください。sleep ループ、timeout ループ、繰り返しポーリングでスケジューリングを模倣しないでください。
• 後で実行する必要がある作業、またはスケジュール上で実行する必要がある作業には、exec の sleep/delay パターンではなく cron を使用してください。

​

設定

{
  tools: {
    exec: {
      pathPrepend: ["~/bin", "/opt/oss/bin"],
    },
  },
}

​

モード

​

インライン eval (strictInlineEval)

​

PATH の扱い

• host=gateway: ログインシェルの PATH を exec 環境にマージします。env.PATH の上書きはホスト実行では拒否されます。デーモン自体は引き続き最小限の PATH で実行されます:
  • macOS: /opt/homebrew/bin, /usr/local/bin, /usr/bin, /bin
  • Linux: /usr/local/bin, /usr/bin, /bin
  • 起動中にユーザーのシェル設定（~/.zshenv や /etc/zshenv など）が優先パスを上書きしないように、tools.exec.pathPrepend エントリは実行直前、シェルコマンド内の最終的な PATH に安全に先頭追加されます。
• host=sandbox: コンテナ内で sh -lc（ログインシェル）を実行するため、/etc/profile が PATH をリセットする場合があります。OpenClaw は内部 env var（シェル補間なし）を介して profile の読み込み後に env.PATH を先頭追加します。tools.exec.pathPrepend もここに適用されます。
• host=node: 渡した env 上書きのうち、ブロックされていないものだけがノードへ送信されます。env.PATH の上書きはホスト実行では拒否され、node ホストでは無視されます。ノードに追加の PATH エントリが必要な場合は、node ホストサービス環境（systemd/launchd）を設定するか、標準の場所にツールをインストールしてください。

openclaw config get agents.list
openclaw config set 'agents.list[0].tools.exec.node' "node-id-or-name"

​

セッション上書き (/exec)

/exec host=auto security=allowlist ask=on-miss node=mac-1

​

Exec 承認（コンパニオンアプリ / node ホスト）

​

許可リスト + 安全な bin

• tools.exec.safeBins: 小さな stdin 専用ストリームフィルター。
• tools.exec.safeBinTrustedDirs: 安全な bin 実行可能パス用の明示的な追加信頼済みディレクトリ。
• tools.exec.safeBinProfiles: カスタムの安全な bin 用の明示的な argv ポリシー。
• allowlist: 実行可能パスへの明示的な信頼。

​

例

{ "tool": "exec", "command": "ls -la" }

{"tool":"exec","command":"npm run build","yieldMs":1000}
{"tool":"process","action":"poll","sessionId":"<id>"}

{"tool":"process","action":"send-keys","sessionId":"<id>","keys":["Enter"]}
{"tool":"process","action":"send-keys","sessionId":"<id>","keys":["C-c"]}
{"tool":"process","action":"send-keys","sessionId":"<id>","keys":["Up","Up","Enter"]}

{ "tool": "process", "action": "submit", "sessionId": "<id>" }

{ "tool": "process", "action": "paste", "sessionId": "<id>", "text": "line1\nline2\n" }

​

apply_patch

{
  tools: {
    exec: {
      applyPatch: { workspaceOnly: true, allowModels: ["gpt-5.5"] },
    },
  },
}

• ツールポリシーは引き続き適用されます。allow: ["write"] は暗黙的に apply_patch を許可します。
• deny: ["write"] は apply_patch を拒否しません。apply_patch を明示的に拒否するか、パッチ書き込みもブロックする必要がある場合は deny: ["group:fs"] を使用してください。
• Config は tools.exec.applyPatch の下にあります。
• tools.exec.applyPatch.enabled のデフォルトは true です。ツールを無効化するには false に設定します。
• tools.exec.applyPatch.workspaceOnly のデフォルトは true（ワークスペース内限定）です。apply_patch にワークスペースディレクトリ外への書き込み/削除を意図的に許可したい場合にのみ、false に設定してください。
• tools.exec.applyPatch.allowModels は、モデル id の任意の許可リストです（gpt-5.4 のような raw、または openai/gpt-5.4 のような full）。設定されている場合、一致するモデルだけがツールを取得します。未設定の場合、すべてのモデルが取得します。

​

関連

• Exec 承認 — シェルコマンドの承認ゲート
• サンドボックス化 — サンドボックス化された環境でコマンドを実行する
• バックグラウンドプロセス — 長時間実行される exec と process ツール
• セキュリティ — ツールポリシーと昇格アクセス