NemoClaw im Test: NVIDIAs Sandbox für OpenClaw und Hermes

NemoClaw wird anhand seines Namens leicht missverstanden. Es ist kein weiterer OpenClaw-Klon, sondern NVIDIAs Open-Source-Weg, einen bestehenden Agenten, standardmäßig OpenClaw oder alternativ Hermes Agent oder LangChains Deep Agents Code, in einer abgeriegelten OpenShell-Sandbox zu betreiben. Die Funktionen des Agenten kommen von dem, den Sie wählen. Was NemoClaw hinzufügt, ist der Käfig darum: Netzwerkrichtlinien, Dateisystemregeln und Schlüssel, die draußen bleiben. Es steht unter Apache-2.0, hatte bei unserer Prüfung am 8. November 2026 22.984 GitHub-Sterne, und NVIDIA bezeichnet es als Alpha. Hintergrund finden Sie unter Was ist NemoClaw?.

Für wen es sich eignet

NemoClaw passt zu Menschen, die OpenClaw oder Hermes ohnehin wollen, ihm aber auf ihrem Host nicht trauen, und zu Teams, in denen jemand freigeben sollte, was ein ständig laufender Agent erreichen darf. Es passt auch zu allen mit NVIDIA-Hardware, die lokale Inferenz wollen, ohne sie von Hand zu verdrahten. Wenn Sie eine schlanke Installation auf einem kleinen VPS wollen, schließen die unten genannten Mindestanforderungen das aus.

Was es an der Sicherheit von OpenClaw verbessert

Reines OpenClaw führt seine Tools auf dem Host aus, bis Sie seine Sandbox einschalten, und selbst dann bleibt das Gateway auf dem Host (Details in unserem OpenClaw-Test und in Ist OpenClaw sicher?). NemoClaw steckt den ganzen Agenten in den Container und beginnt mit Verweigerung. Laut der Referenz zu Netzwerkrichtlinien:

• Das Netzwerk ist standardmäßig gesperrt. Die Basis erlaubt nur NVIDIAs Inferenz-Endpunkt, ClawHub, OpenClaws eigene Website und Dokumentation sowie lesenden npm-Zugriff zum Installieren von Plugins. GitHub und Messaging-Plattformen sind nicht enthalten; Sie fügen sie über Presets oder eine Richtlinienstufe hinzu.
• Unbekannte Ziele werden blockiert und Ihnen angezeigt. Wenn der Agent einen nicht gelisteten Host ansteuert, blockiert OpenShell ihn, protokolliert ihn und zeigt Host, Port und anfragendes Binary in einer Terminal-Oberfläche an, damit ein Operator freigibt oder ablehnt. Eine Freigabe gilt für die Sitzung; dauerhafte Änderungen gehören in die Richtliniendatei oder laufen über openshell policy-Befehle.
• Das Dateisystem ist größtenteils schreibgeschützt. Der Agent kann nach /sandbox und /tmp schreiben; Systempfade wie /usr, /etc und /app sind schreibgeschützt, und er läuft als eigener Benutzer sandbox.
• Zugangsdaten bleiben draußen. Schlüssel für Inferenz, Messaging und MCP hält das OpenShell-Gateway, nicht die Sandbox. Eine Ausnahme: Per QR-Code gekoppelte Sitzungen wie WhatsApp behalten ihre Sitzungsdaten innen.

Die Freigabeabfrage ist das Hauptmerkmal: Ein per Prompt-Injection manipulierter Agent, der Daten an ein neues Ziel senden will, stößt auf eine Wand und einen Menschen, statt still erfolgreich zu sein. Die Dokumentation sagt offen, dass ein Teil der Durchsetzung (Landlock) nur nach bestem Bemühen greift; betrachten Sie es also als starke Schicht, nicht als Garantie.

Setup

Der Quickstart ist ein einziger Befehl:

curl -fsSL https://www.nvidia.com/nemoclaw.sh | bash

Der Installer fragt dann der Reihe nach: Hinweis zu Software von Drittanbietern akzeptieren, Agent wählen, Inferenzanbieter und Modell wählen (NVIDIA Endpoints, OpenRouter, OpenAI, Anthropic, Gemini, lokales Ollama und andere), die Sandbox benennen, optional Websuche und Messaging-Kanäle hinzufügen und eine Netzwerkrichtlinienstufe wählen (standardmäßig Balanced). Die Dokumentation empfiehlt, Suche und Kanäle beim ersten Durchlauf zu überspringen, und das ist ein guter Rat: Erst eine funktionierende Sandbox, dann öffnen.

Im Alltag nutzen Sie die nemoclaw-CLI: nemoclaw my-assistant status, nemoclaw my-assistant connect für eine Shell im Inneren und ein Dashboard auf Port 18789, das Sie auf einem entfernten Rechner über einen SSH-Tunnel erreichen. Die Dokumentation warnt, die Dashboard-URL wie ein Passwort zu behandeln.

Hardware und Docker

NemoClaw braucht eine Container-Runtime (Docker, Docker Desktop oder Colima) und mindestens 4 vCPU, 8 GB RAM (16 GB empfohlen) und 20 GB freien Speicherplatz, bei einem 2,4 GB großen Sandbox-Image. Das ist schwerer als OpenClaw allein. Linux und DGX Spark sind die primär getesteten Plattformen; macOS auf Apple Silicon und Windows über WSL2 funktionieren mit Einschränkungen. Für lokale Modelle leitet es an Ollama, vLLM oder NVIDIA NIM weiter, und dort macht sich eine NVIDIA-GPU bezahlt.

Telemetrie

Das ist die Standardeinstellung, die Sie zuerst ändern sollten. CLI und Installer senden Betriebs-Telemetrie an NVIDIA, sofern Sie nicht NEMOCLAW_DISABLE_TELEMETRY=1 setzen, und der Quickstart sagt, Sie sollen die Variable vor dem Ausführen des Installers exportieren, wenn sie von Anfang an aus sein soll. Ihre Prompts gehen an den gewählten Inferenzanbieter oder bleiben mit einem lokalen Modell auf dem Rechner.

Reife und Pflege

Alpha heißt Alpha: Maintainer bearbeiten Issues nach bestem Bemühen, und WhatsApp, Microsoft Teams, Google Chat und WeChat sind als experimentell markiert (Telegram, Discord und Slack sind die unterstützten Kanäle). Außerdem verfolgen Sie zwei Projekte: die Releases von NemoClaw und die des Agenten. Was der Bot kann, hängt von der Agentenversion im Sandbox-Image von NemoClaw ab; neue Agenten-Features kommen also nach NemoClaws Zeitplan.

Im Vergleich

• Sie wollen Container-Isolation ohne NVIDIAs Stack oder die Mindestanforderungen? NanoClaw betreibt jeden Agenten in einem eigenen Container und hält ebenfalls Schlüssel von Agenten fern, und ZeroClaw nutzt eine Sandbox innerhalb eines kleinen Binarys.
• Sie wollen bei reinem OpenClaw oder Hermes Agent bleiben? Beide haben eigene Sandbox- oder Container-Backends, die Sie selbst einschalten können; NemoClaws Reiz sind die standardmäßig sperrende Netzwerkrichtlinie und die darüber gelegten Operator-Freigaben.

Den direkten Vergleich finden Sie unter NemoClaw vs. OpenClaw.

Fazit

NemoClaw ist auf unserer Liste der gründlichste Weg, OpenClaw oder Hermes an die Leine zu legen: standardmäßig gesperrtes Netzwerk mit Live-Freigabe durch einen Operator, ein schreibgeschütztes Dateisystem und Schlüssel außerhalb des Käfigs. Es kostet Sie RAM, eine zusätzliche Schicht zum Aktualisieren, NVIDIA-Telemetrie, bis Sie sie abschalten, und Support in Alpha-Qualität. Für einen geteilten oder ständig laufenden Agenten, der nicht vertrauenswürdige Eingaben liest, ist das oft ein fairer Tausch.