给 Agent 开启沙箱，常被当作安全配置的最后一步。实际使用时，还要继续问三个问题：它能看到哪些文件、能调用哪些工具、哪些命令可以在沙箱外运行？这几项控制彼此相关，却不能互相替代。
OpenClaw 官方文档也把工具策略、沙箱和提升执行权限分开说明。理解这三道边界，有助于检查一个 Agent 的真实权限，而不是只看设置页里有没有打开“沙箱”。
第一层：沙箱能看到哪些文件
沙箱主要约束运行环境和文件访问范围。OpenClaw 文档描述了不同的工作区访问方式：不挂载 Agent 工作区、只读挂载，或允许读写。工作区挂载为只读时，文件工具的写入能力也会受限制；读写挂载则允许在相应工作区内修改文件。
配置前先盘点 Agent 是否需要读取整个工作目录。整理资料的任务可能只需要一个专用输入目录；如果只是回答问题，或许只需只读资料。把家庭目录、凭据目录或不相关项目一并暴露，会扩大误读、误改的影响范围。
第二层：Agent 实际能调用哪些工具
沙箱和工具允许/拒绝清单是两种独立限制。沙箱控制文件或进程运行边界，工具策略决定 Agent 能否使用读取、写入、执行命令、浏览器等具体工具。只开了沙箱，不代表危险工具自动消失；只禁用了某个工具，也不等于其他工具无法接触相同资源。
可以从任务反推最小工具集合：只需要查资料，就不要同时开放写文件和执行命令；需要编辑草稿时，把写入范围限制在专用目录；若不需要浏览器、跨 Agent 会话或外部服务，就不要默认开放这些入口。拒绝列表、允许列表和别名规则还可能有各自的优先关系，应以当前版本的官方说明和实际生效策略为准。
第三层：有没有沙箱外的执行通道
还要检查是否存在提升执行权限或其他可绕过常规沙箱的执行路径。OpenClaw 文档将 elevated execution 单独列为基线控制，并提醒应严格限制允许来源。也就是说，普通工具在沙箱内运行，并不能证明所有命令都受同样边界约束。
检查时要找出：哪些 Agent 或调用来源可以申请提升权限；命令是否需要人工批准；批准范围是单条命令还是更宽的执行模式；沙箱外执行使用哪台主机。对不需要执行命令的 Agent，关闭该能力通常更容易审计。确实需要时，保留明确的批准人与可追溯记录。
再检查会话权限模式
OpenClaw 的会话权限模式会影响文件边界和执行审批。例如只读模式限制在会话根目录内读取，并拒绝执行；受保护模式允许在会话根目录内读写，但执行可能要求人工审批；完整访问模式的权限更宽，且需要相应管理员权限。
这些模式不是对所有原生工具或外部连接的统一替代品。应同时核对会话模式、沙箱、工具策略以及主机侧限制。变更会话权限也不会撤销已经完成的写入，或自动停止已经开始的进程。
一张发布前检查表
- Agent 的工作区边界是否足够窄，挂载是只读还是读写？
- 工具允许/拒绝清单是否按任务逐项核对？
- 提升执行权限是否关闭，或仅限必要来源并保留审批？
- 会话根目录和权限模式是否符合预期？
- 配置变更后是否用非敏感资料验证实际可访问范围？
可以把结果记录成一张简表：任务需要什么、Agent 实际能做什么、超出范围时由谁批准、如何撤销或恢复。如果其中任何一项说不清，就先缩小权限，再用虚构或非敏感资料验证。
以上是基于 OpenClaw 官方文档整理的通用检查思路，不是对某个具体部署的安全审计。配置项和默认值可能随版本变化，实施前请对照正在使用的版本核验。
参考资料
AI 辅助说明：本文由 AI 辅助整理和润色，依据文末 OpenClaw 官方文档归纳。文中的检查问题属于一般性学习建议；具体配置应由部署维护者结合当前版本复核。
