Ограничение некоторых команд для пользователя/группы с помощью sudoers (visudo)

Я бы предложил использовать ed, а не sed, с формой !его команды rдля чтения вывода команды генератора TOC в файл в виде текста, без возможности его интерпретируется.

Пр. (не проверено -, так как у меня нет скрипта ./gh-md-toc):

ed -s "$1" <<EOF
0r !./gh-md-toc "$1"
wq
EOF