2026 クラウド Mac：OpenClaw サンドボックスのツール許可リスト統治 — 自律コマンドの blast radius を縮小
OpenClaw がシェル補助、HTTP クライアント、ビルドツールを呼び出せると、最も痛いインシデントは「幻覚」ではなく無制限実行— プロンプトが rm、トークン窃取、Slack 大量投稿へ連鎖します。本稿の結論：ツールマニフェストをコードとして扱い、環境ごとに明示許可リストを既定とし、本番での拡張には二重承認を要求し、すべての MacLogin リースにファイルハッシュとゲートウェイのバージョンピンを添付する。統治マトリクス、7 ステップの展開、ポリシー漂移でビルドを落とす CI フック、香港・日本・韓国・シンガポール・米国のチーム向け FAQ をまとめました。
本ポリシーをTCC と exec 承認、コンプライアンス用 CLI フック、状態ディレクトリのバックアップと重ねてください。ヘルプ、価格、一回限りの同意には必要なときだけ VNC。
共有リースでツール統治がモデル選定より重要な理由
強力な LLM に弱いツール方針があると、すべての請負業者にコンパイルホストの root を渡すのと同義です。MacLogin のマルチテナント・リースはミスを増幅し、緩めた許可リストは同一 macOS ユーザー文脈のすべての launchd ジョブに影響します。
- セキュリティアーキテクトは「どのバイナリが無人で走るか」に決定的回答が必要です。
- プラットフォーム SREはチケットにマッピングできるマニフェスト差分が必要です。
- サポートリードは悪い金曜デプロイで
curl | shが本番に入った際のロールバック手順が必要です。
macOS ゲートウェイにおける許可と拒否のトレードオフ
拒否リストは攻撃者の創造性を追いかけ続けます；許可リストは表面積を上限化します。実務的な分割：明らかな危険はグローバル拒否ですが、ネットワーク、ワークスペース外削除、AppleScript UI などに触れるものは名前付きエントリを要求します。
統治マトリクス：クラウド Mac フリートでの所有権
| 役割 | 所有 | 証跡 | ケイデンス |
|---|---|---|---|
| 自動化オーナー | ユースケースごとのマニフェスト意図 | 設計ドキュメント + チケット | 機能単位 |
| セキュリティレビュアー | 新バイナリのリスク評価 | チェックリスト署名 | 週次オフィスアワー |
| プラットフォーム SRE | ゲートウェイ版と plist 健全性 | launchctl print + semver | 変更中は毎日 |
| 内部監査 | 拒否試行のサンプル | マスク済みログとタイムスタンプ | 四半期 |
本番ゲートウェイ向け 7 ステップのポリシー展開
- フリーズ：インシデント中はマニフェスト編集を停止；バックアップ手順に従い
~/.openclawをスナップショット。 - ツール棚卸し：staging からライブマニフェストをエクスポートし production と diff。
- 分類：各ツールを読み取り専用、外向きネットワーク、破壊的にタグ付け。
- ドラフト PR：本番は二名レビュー、staging は一名。
- ソーク：ポリシー拒否を狙う合成プロンプト；監査行はクリーンであるべき。
- デプロイ：メンテナンスバナー付きでゲートウェイをロール；統合ログを 30 分監視。
- 記録：ハッシュと承認者 ID をリース地域（HK/JP/KR/SG/US）の横に保存。
CI 検証フック：sshd に届く前に漂移を止める
マニフェストをパースする軽量ジョブを配線し、未知ツールやリンクされた例外チケットなしに production リストが staging より短い場合は失敗させます。承認済みワークスペース外の Downloads や temp への絶対パスを禁止する静的チェックも併用します。
| チェック | 合格条件 | 失敗症状 |
|---|---|---|
| マニフェスト schema | 必須キーをパーサが検証 | デプロイ成果物アップロード前にビルド失敗 |
| バイナリ許可リスト | すべてのパスがゴールデンイメージに存在 | CI が欠落ファイルと修正案を表示 |
| シークレットスキャナ | マニフェストに API トークンなし | パイプラインがマージをブロック |
FAQ
請負業者は SSH でマニフェストを編集すべき？ Git ベースの変更とレビューを推奨；SSH はブレークグラス限定。
動的パッケージマネージャは？ npm/brew インストールは別の変更イベントとして別リスク層で扱います。
Webhook 入口との関係？ インバウンドトリガーは Webhook TLS ガイダンス の TLS パターンの背後に置き、ツール実行前に自動化が偽装されないようにします。
規律あるツール方針に Mac mini M4 が合う理由
Apple Silicon のユニファイドメモリは、ゲートウェイが大きなプロンプトコンテキストを保持しつつ複数のツール子プロセスを応答性高く保つのに役立ちます。ベアメタルの MacLogin ノードは CPU steal によるポリシー拒否のフレークを避けます。環境ごとにリースすれば、シンガポールで「厳しい許可リスト」のカナリア、別リージョンで寛容なラボを誤ってマニフェストを共有せずに運用できます。
自動化ボリュームが増えたらデフォルトで緩めるのではなく 価格 から RAM/CPU を拡張—容量はスループット、許可リストは信頼を解決します。
