2026 diskutieren Betreiber von OpenClaw seltener, ob Agenten überhaupt nützen — sie klären,wie viel Macht jede Session tragen darf. Tool-Allowlists, explizite tools.profile-Zuordnung und abgesicherte sessions_spawn-Pfade entscheiden, ob parallele Sub-Agenten Zeit sparen oder Fehler multiplizieren. maxSpawnDepth wirkt als Sicherungsautomatik gegen tiefe Rekursion. Dieses FAQ ordnet typische Ablehnmeldungen den passenden Fixes zu, liefert einekopierbare Minimal-Rechte-Vorlage und schließt mit einemMehrregion-Muster für Mac mini M4 Cloud Macsab, damit lange macOS-Jobs nicht an einem Gateway hängen bleiben.
1. Mentalmodell: zuerst Profile, dann Spawn, zuletzt Tiefe
Betrachten Sietools.profileals Vertrag, welche Built-ins, Skills und OS-Zugriffe eine Session nutzen darf.sessions_spawnbeantwortet, ob diese Session eine weitere Session mit eigenem Budget starten darf.maxSpawnDepthbegrenzt, wie tief der Baum wachsen darf. Wenn Fehler „falsch herum“ auftauchen — etwa Spawn klappt, Tools scheitern — liegt die Ursache oft in einemProfil-Mismatch zwischen Eltern- und Kind-Session, nicht in einem generischen OpenClaw-Defekt. Manifeste auf demselben Host angleichen, dann Health-Checks aus beiden Shells vergleichen. Workspace-Vertrauen, Skills-Onboarding und TCC gehören in dieselbe Story; vertiefen Sie das in der OpenClaw-2026-Skills- und Workspace-FAQ.
2. Minimal-Rechte-Vorlage rund um tools.profile
Starten Sie mit einemreinen Lese-Research-Profil: Dateisystem nur unterhalb des Workspace-Wurzelverzeichnisses, Netzwerk-Egress auf Paket-Registry und Modell-Endpunkt begrenzt, Shell auf wenige Verben wie in Ihrer CI. Erweitern Sie pro Fähigkeit ein benanntes Profil, damit Reviews per Diff nachvollziehen können. Geheimnisse gehören nicht in Prompts; mounten Sie sie wie auf einem selbst gehosteten Runner. Ein brauchbares Skelett: Default deny → explizite Allowlist für git, curl/wget, Ihren Build-Treiber und skill-spezifische Binaries → separates „Release“-Profil, das Signatur-Werkzeuge nur auf Hosts ergänzt, die Identitäten bereits halten.
Profilwechsel sollten denselben Change-Prozess wie Runner-Images haben: Tag im Versionskontrollsystem, Review-Pflicht und ein Rollback-Hook, wenn Health-Checks nach dem Rollout rot werden. So bleibt nachvollziehbar, wer wann breitere Rechte freigeschaltet hat — entscheidend, sobald mehrere Regionen parallel laufen.
3. sessions_spawn: typische Ablehnungen und Bedeutung
Häufig trifft man„Spawn für dieses Profil nicht erlaubt“, wenn das Elternprofil die Spawn-Fähigkeit vergisst oder ein Orchestrator noch auf eine alte Policy-Datei zeigt.„Session-Budget überschritten“heißt: Sie fächern schneller auf als die konfigurierte Parallelität des Gateways erlaubt — beheben durch Warteschlangen oder durch Verlagerung embarrassingly parallel Teile auf zusätzliche dedizierte Hosts.„Kind-Session scheitert beim Bootstrap“deutet meist auf PATH, Locale oder Workspace-Env hin, die zwischen Login- und Nicht-Login-Shell divergieren; exportieren Sie dieselben Snippets wie in CI, bevor Sie spawnen. Für Instanzen, Speicher und SSH/VNC-Hygiene auf vpszap-Metal lohnt der Leitfaden OpenClaw in der vpszap-Cloud: Instanz, Speicher, SSH/VNC und Observability. Parallele Remote-Builds mit Cache-Druck diskutieren wir ergänzend in der Bazel-/Gradle-Remote-Build-FAQ.
4. maxSpawnDepth: Rekursion, Fan-out und relevante Fehler
Tiefe überschrittenbedeutet fast immer: Ein Agent delegiert an einen weiteren Agenten ohne klaren Abschluss — Prompts straffen, Tiefe zum Debuggen senken oder tiefe Ketten durch eine Koordinator-Session plus idempotente Skripte ersetzen.Flache Tiefe, große Breiteist oft gesünder: ein Elternteil, viele Geschwister, jedes mit schmalem Profil. Konkurrieren Geschwister um Festplatte oder Xcode-Derivate, planen Sie NVMe-Reserve und Remote-Cache wie in jedem parallelen CI-Pool, damit Tool-Aufrufe nicht um denselben Checkout ringen.
- Eltern und Kind referenzieren denselben Policy-Pfad auf der Platte
- Spawn-Budget dokumentiert neben Gateway-CPU- und SSD-Zielen
- Tiefe im Incident herunterdrehen, nach stabilen Graphen wieder anheben
- Pro Kind eine klare Owner-Queue, um doppelte Planung desselben Repos zu vermeiden
5. Fallstudie: lange Jobs über sechs Regionen mit M4-Cloud-Macs
Stellen Sie sich nächtliche Analysen vor: Klonen, statische Analyse und mehrstündige Builds. Statt jede Phase auf einem Gateway-Mac zu stapeln, setzen Siephasenspezifische dedizierte Mac mini M4in Singapur, Tokio, Seoul, Hongkong, US-West und US-Ost — dort, wo Daten, Reviewer und Artefakt-Registry liegen. Eine Koordinator-Session (strenges Profil, Spawn erlaubt) startet Kind-Sessions auf Regionalhosts mit Profilen, die nur die Werkzeuge der jeweiligen Phase enthalten: Klone nahe der Registry, Builds nahe den größten Working Trees. Das Gateway bleibt Control Plane; schwere I/O passiert neben der NVMe mit dem Checkout. Messen Sie RTT und Cache-Treffer, bevor Sie Parallelität feiern.
6. Kreislauf schließen
Veröffentlichen Sie eine Ein-Pager-Matrix: Profilname, erlaubte Tools, Spawn ja/nein, maximale Tiefe, welche Region welche Phase besitzt. Health-Checks nach jedem Upgrade erneut fahren und vor Profilverbreiterungen einen SSD-Snapshot ziehen. Bleibt die Matrix langweilig, bleiben parallele Agenten sicher.
Auf vpszap-Cloud-Hardware fällt dieses Playbook leichter
Die obigen Abläufe setzendedizierte Apple-Silicon-Hostsvoraus, die Sie Ende-zu-ende steuern, mit klaren SSH-Grenzen pro Region. vpszap stelltphysische M4 Mac minibereit — ohne Virtualisierung, ohne „laute Nachbarn“ — mit etwafünf Minutenvon der Bestellung bis zu funktionierendemSSH und VNC. Abrechnung flexibel nach Tag, Woche, Monat oder Quartal,ohne langfristigen Vertrag, Knoten inSingapur, Tokio, Seoul, Hongkong, US-West und US-Ost, damit Koordinatoren und Worker dort sitzen, wo Latenz und Speicher stimmen.
Wenn spawn-freundliche Automatisierung auf derselben Metallklasse laufen soll, der Ihre Release-Strecke bereits vertraut, ist vpszap Cloud Mac mini ein pragmatischer Einstieg.
