Cara Menonaktifkan Sandbox OpenClaw dan Beralih ke Full Host Mode (DWYOR)

Full host mode di OpenClaw berarti agent bisa menjalankan command langsung di host, bukan di sandbox. Ini berguna untuk operator pribadi yang memang ingin agent mengelola server, repo, PM2, systemd, deploy, dan file lokal. Tetapi ini juga berisiko. Kalau salah konfigurasi, command dari chat bisa menyentuh host produksi.

Artikel ini versi terbaru untuk OpenClaw 4.xx dan 5.xx. Fokusnya bukan sekadar "matikan sandbox", tetapi membuat host exec jelas, approval layer sinkron, dan policy Telegram tetap sesuai trust boundary.

Ringkasan perubahan update Mei 2026

Perubahan penting dibanding versi lama:

1. Full host mode sekarang harus dibaca sebagai kombinasi tools.exec.host, tools.exec.security, dan tools.exec.ask.
2. tools.exec.host=auto tidak sama dengan full host. auto memilih sandbox saat sandbox tersedia.
3. Jika memaksa tools.exec.host=sandbox tetapi sandbox runtime tidak ada, OpenClaw modern fail closed.
4. Approval host tersimpan di ~/.openclaw/exec-approvals.json, jadi config saja belum tentu cukup.
5. Elevated access dipisah ke tools.elevated.*.
6. Security audit versi terbaru memberi warning saat exec terbuka tanpa sandbox atau workspace guard.
7. Versi 5.xx memperketat exec parsing, node exec, inline eval, heredoc, dan sandbox media path.

Versi aman untuk mengikuti artikel ini:

• OpenClaw 4.xx: gunakan April akhir.
• OpenClaw 5.xx: gunakan 2026.5.12 atau 2026.5.18 jika memungkinkan.

Kapan full host mode masuk akal

Full host mode masuk akal kalau:

• OpenClaw dipakai hanya oleh owner atau operator tepercaya.
• Host memang server operasional yang perlu dikelola dari chat.
• Anda butuh menjalankan deploy, restart service, cek log, edit file, atau menjalankan migration.
• Channel masuknya terkunci, misalnya Telegram DM owner, bukan grup terbuka.

Jangan pakai full host mode kalau bot ada di grup besar, sender tidak dibatasi, ada banyak user yang bisa memicu agent, host menyimpan secret banyak dan tidak dipisah, atau tidak ada backup/rollback.

Cek kondisi saat ini

Mulai dari:

openclaw status
openclaw config get tools.exec
openclaw config get tools.elevated
openclaw exec-policy show
openclaw approvals get --gateway

Kalau config belum punya tools.exec, jangan panik. Bisa jadi OpenClaw masih memakai default. Patch saja field yang diperlukan.

Config full host mode untuk private operator

Patch config:

{
 "tools": {
 "exec": {
 "host": "gateway",
 "security": "full",
 "ask": "off"
 },
 "elevated": {
 "enabled": true
 }
 }
}

Terapkan:

cat > /tmp/openclaw-full-host.patch.json <<'JSON'
{
 "tools": {
 "exec": {
 "host": "gateway",
 "security": "full",
 "ask": "off"
 },
 "elevated": {
 "enabled": true
 }
 }
}
JSON

openclaw config patch --file /tmp/openclaw-full-host.patch.json
openclaw config validate
openclaw gateway restart

Lalu sinkronkan approval host:

openclaw approvals set --gateway --stdin <<'EOF'
{
 version: 1,
 defaults: {
 security: "full",
 ask: "off",
 askFallback: "full"
 }
}
EOF

Kalau semuanya berjalan di mesin yang sama:

openclaw exec-policy preset yolo

Shortcut ini berguna, tetapi tetap pahami artinya: command host bisa jalan tanpa prompt approval.

Config yang lebih aman untuk Telegram group

Kalau OpenClaw masih harus hadir di grup, jangan jadikan grup sebagai jalur full host. Gunakan allowlist:

{
 "tools": {
 "exec": {
 "host": "gateway",
 "security": "allowlist",
 "ask": "on-miss",
 "strictInlineEval": true
 },
 "elevated": {
 "enabled": true,
 "allowFrom": {
 "telegram": [
 "USER_ID_OWNER"
 ]
 }
 }
 }
}

Dengan setup ini, command rutin bisa di-approve atau di-allowlist, tetapi command baru tetap tertahan.

Perbedaan OpenClaw 4.xx dan 5.xx

Di 4.xx, config tools.exec.host, tools.exec.security, dan tools.exec.ask sudah menjadi jalur modern. Untuk install yang masih sangat lama, cek schema dulu:

openclaw config schema > openclaw.schema.json

Di 5.xx, perilaku makin tegas:

• host=sandbox fail closed jika sandbox tidak tersedia.
• host=auto memilih sandbox saat ada sandbox runtime.
• Approval command lebih ketat terhadap command yang berubah setelah approval.
• Inline eval seperti node -e dan python -c bisa diminta approval walau binary-nya pernah diallow.
• Security audit makin aktif memberi warning pada kombinasi exec terbuka dan sandbox off.

Jangan salah memahami sandbox

Sandbox bukan cuma container. Sandbox adalah batas kerja agent. Saat sandbox aktif, agent bisa dibatasi ke workspace tertentu. Saat full host mode aktif, command bisa menyentuh host sesuai user yang menjalankan gateway.

Jadi full host mode bukan upgrade kualitas. Ini tradeoff: lebih cepat dan leluasa, tetapi risiko lebih besar.

Verifikasi setelah perubahan

Jalankan:

openclaw config validate
openclaw exec-policy show
openclaw approvals get --gateway
openclaw security audit
openclaw status

Lalu test command ringan dari channel owner:

cek hostname dan pwd

Kalau command berjalan di host yang benar, lanjut test:

cek pm2 status

Jika masih masuk sandbox, cek:

openclaw config get tools.exec.host

Nilainya harus gateway untuk full host gateway, bukan auto atau sandbox.

Rollback ke mode lebih aman

Kalau ingin kembali ke mode konservatif:

openclaw config set tools.exec.security allowlist
openclaw config set tools.exec.ask on-miss
openclaw config set tools.exec.strictInlineEval true
openclaw config validate
openclaw gateway restart

Atau block host exec:

openclaw config set tools.exec.security deny
openclaw config validate
openclaw gateway restart

Kesimpulan

Untuk full host mode di OpenClaw 4.xx dan 5.xx, jangan hanya mencari tombol disable sandbox. Yang perlu diatur adalah tools.exec.host=gateway, tools.exec.security=full, dan tools.exec.ask=off.

Setelah itu sinkronkan ~/.openclaw/exec-approvals.json.

Untuk private owner workflow, setup ini enak dan cepat. Untuk grup atau shared runtime, lebih baik tetap pakai allowlist dan approval. Full host mode sebaiknya jadi keputusan sadar, bukan efek samping dari copy-paste config lama.