Sandbox Guard

OpenClawのサンドボックス設定生成ツールです。ユーザーが信頼できないスキルを実行したい場合、ホストシステムからスキルを隔離する安全なDockerベースのサンドボックスを生成します。

サンドボックスが必要な理由

OpenClawスキルはリクエストされたアクセス権限で実行されます。shellアクセスを持つ悪意のあるスキルはシステム全体を危険にさらします。サンドボックスはその影響を最小限に抑えます。

サンドボックスプロファイル

プロファイル: Minimal（読み取り専用スキル向け）

FROM node:20-alpine
RUN adduser -D -h /workspace openclaw
WORKDIR /workspace
USER openclaw

# No network, no elevated privileges
# Mount project as read-only

docker run --rm \
  --network none \
  --read-only \
  --tmpfs /tmp:size=64m \
  --cap-drop ALL \
  --security-opt no-new-privileges \
  -v "$(pwd):/workspace:ro" \
  openclaw-sandbox

プロファイル: Standard（読み取り/書き込みスキル向け）

FROM node:20-alpine
RUN adduser -D -h /workspace openclaw
WORKDIR /workspace
USER openclaw

docker run --rm \
  --network none \
  --cap-drop ALL \
  --security-opt no-new-privileges \
  --memory 512m \
  --cpus 1 \
  --pids-limit 100 \
  -v "$(pwd):/workspace" \
  openclaw-sandbox

プロファイル: Network（APIアクセスが必要なスキル向け）

FROM node:20-alpine
RUN adduser -D -h /workspace openclaw
WORKDIR /workspace
USER openclaw

docker run --rm \
  --cap-drop ALL \
  --security-opt no-new-privileges \
  --memory 512m \
  --cpus 1 \
  --pids-limit 100 \
  --dns 1.1.1.1 \
  -v "$(pwd):/workspace" \
  openclaw-sandbox

注記: ネットワーク有効のサンドボックスでも権限昇格を防ぎ、リソースを制限します。追加のセキュリティのため、特定のドメインへのアウトバウンドトラフィックを制限するカスタムDockerネットワークで--networkを使用してください。

設定生成ツール

ユーザーがスキルのアクセス権限を提供する場合、適切なサンドボックスを生成します：

入力

Skill: <name>
Permissions: fileRead, fileWrite, network, shell

出力

1. Dockerfile — 最小限のベースイメージ、非rootユーザー
2. docker run コマンド — セキュリティフラグをすべて含める
3. docker-compose.yml — 繰り返し使用可能

セキュリティフラグ（常に含める）

フラグ	目的
--cap-drop ALL	すべてのLinuxケーパビリティを削除
--security-opt no-new-privileges	権限昇格を防止
--read-only	ファイルシステムを読み取り専用に（fileWrite権限がない場合）
--network none	ネットワークを無効化（network権限がない場合）
--memory 512m	メモリ使用量を制限
--cpus 1	CPU使用量を制限
--pids-limit 100	プロセス数を制限
--tmpfs /tmp:size=64m	一時的な書き込み可能スペース
USER openclaw	非rootユーザーで実行

ルール

1. 常に最も制限的なプロファイルをデフォルトにする
2. --privilegedフラグを含むサンドボックスは生成しない
3. Dockerソケット（/var/run/docker.sock）をマウントしない
4. ホストの機密ディレクトリ（~/.ssh、~/.aws、/etc）をマウントしない
5. 常に--cap-drop ALLを使用する — 明示的な正当な理由がない限り個別のケーパビリティを付与しない
6. リソース制限を含めてDoS攻撃を防止する（メモリ、CPU、pids）
7. スキルがshellを必要とする場合、ユーザーに警告し、サンドボックス出力の監視を提案する
8. 生成されたファイルは専用出力フォルダにのみ書き込む（例：.openclaw/sandbox/）— 既存のプロジェクトファイルは上書きしない
9. ディスクにファイルを書き込む前にユーザー確認を要求する — 生成されたコンテンツをレビュー用に最初に提示する