Reseña de NemoClaw: el sandbox de NVIDIA para OpenClaw y Hermes

Es fácil malinterpretar NemoClaw por su nombre. No es otro clon de OpenClaw; es la forma de código abierto de NVIDIA de ejecutar un agente existente, OpenClaw por defecto, o bien Hermes Agent o Deep Agents Code de LangChain, dentro de un sandbox de OpenShell blindado. Las funciones del agente vienen del que usted elija. Lo que añade NemoClaw es la caja que lo rodea: política de red, reglas de sistema de archivos y claves guardadas fuera. Tiene licencia Apache-2.0, contaba con 22.984 estrellas en GitHub cuando lo comprobamos el 8 de noviembre de 2026, y NVIDIA lo considera alfa. Para el contexto, consulte ¿Qué es NemoClaw?.

Para quién es

NemoClaw encaja con quienes ya quieren OpenClaw o Hermes pero no se fían de tenerlo en su host, y con equipos en los que alguien debería aprobar a qué puede acceder un agente siempre encendido. También encaja con cualquiera que tenga hardware de NVIDIA y quiera inferencia local sin montarla a mano. Si quiere una instalación ligera en un VPS pequeño, los requisitos mínimos de más abajo lo descartan.

Qué arregla de la seguridad de OpenClaw

OpenClaw a secas ejecuta sus herramientas en el host hasta que usted activa su sandbox, e incluso entonces el gateway se queda en el host (lo detallamos en nuestra reseña de OpenClaw y en ¿Es seguro OpenClaw?). NemoClaw mete el agente entero en el contenedor y parte de denegarlo todo. Según la referencia de políticas de red:

• La red deniega por defecto. La base solo permite el endpoint de inferencia de NVIDIA, ClawHub, el sitio web y la documentación de OpenClaw, y npm en solo lectura para instalar plugins. GitHub y las plataformas de mensajería no están incluidos; usted los añade con presets o con un nivel de política.
• Los destinos desconocidos se bloquean y se le muestran. Cuando el agente intenta llegar a un host que no está en la lista, OpenShell lo bloquea, lo registra y muestra el host, el puerto y el binario que lo solicita en una interfaz de terminal para que un operador lo apruebe o lo deniegue. Una aprobación dura lo que dura la sesión; los cambios permanentes van en el archivo de políticas o mediante comandos openshell policy.
• El sistema de archivos es mayormente de solo lectura. El agente puede escribir en /sandbox y /tmp; las rutas del sistema como /usr, /etc y /app son de solo lectura, y se ejecuta como un usuario dedicado, sandbox.
• Las credenciales se quedan fuera. Las claves de inferencia, mensajería y MCP las guarda el gateway de OpenShell, no el sandbox. Una excepción: las sesiones emparejadas por QR, como WhatsApp, guardan sus credenciales de sesión dentro.

La solicitud de aprobación es la función estrella: un agente víctima de una inyección de prompt que intenta enviar datos a un sitio nuevo se topa con un muro y con una persona, en lugar de salirse con la suya en silencio. La documentación reconoce abiertamente que parte del control (Landlock) se aplica en la medida de lo posible, así que trátelo como una capa sólida, no como una garantía.

Instalación

El quickstart es un único comando:

curl -fsSL https://www.nvidia.com/nemoclaw.sh | bash

Después, el instalador le pide, por orden: aceptar un aviso de software de terceros, elegir el agente, elegir un proveedor de inferencia y un modelo (NVIDIA Endpoints, OpenRouter, OpenAI, Anthropic, Gemini, Ollama en local y otros), poner nombre al sandbox, añadir opcionalmente búsqueda web y canales de mensajería, y elegir un nivel de política de red (Balanced por defecto). La documentación sugiere omitir la búsqueda y los canales en el primer arranque, y es un buen consejo: consiga un sandbox que funcione y después ábralo.

En el día a día usa la CLI nemoclaw: nemoclaw my-assistant status, nemoclaw my-assistant connect para abrir una shell dentro, y un panel en el puerto 18789 al que accede mediante un túnel SSH en una máquina remota. La documentación advierte de que trate la URL del panel como una contraseña.

Hardware y Docker

NemoClaw necesita un runtime de contenedores (Docker, Docker Desktop o Colima) y al menos 4 vCPU, 8 GB de RAM (16 GB recomendados) y 20 GB de disco libre, con una imagen de sandbox de 2,4 GB. Es más pesado que ejecutar OpenClaw solo. Linux y DGX Spark son las principales plataformas probadas; macOS en Apple Silicon y Windows a través de WSL2 funcionan con limitaciones. Para modelos locales enruta a Ollama, vLLM o NVIDIA NIM, que es donde una GPU de NVIDIA se gana el sueldo.

Telemetría

Este es el valor por defecto que hay que cambiar primero. La CLI y el instalador envían telemetría de operaciones a NVIDIA salvo que configure NEMOCLAW_DISABLE_TELEMETRY=1, y el quickstart indica que la exporte antes de ejecutar el instalador si la quiere desactivada desde el principio. Sus prompts van al proveedor de inferencia que elija, o se quedan en la máquina con un modelo local.

Madurez y mantenimiento

Alfa significa alfa: los mantenedores atienden las incidencias en la medida de lo posible, y WhatsApp, Microsoft Teams, Google Chat y WeChat están marcados como experimentales (Telegram, Discord y Slack son los canales soportados). Además sigue dos proyectos: las versiones de NemoClaw y las del agente. Lo que puede hacer el bot depende de la versión del agente dentro de la imagen de sandbox de NemoClaw, así que las funciones nuevas del agente llegan al ritmo de NemoClaw.

Comparación

• ¿Quiere aislamiento en contenedores sin el stack de NVIDIA ni sus requisitos mínimos? NanoClaw ejecuta cada agente en su propio contenedor y también mantiene las claves lejos de los agentes, y ZeroClaw aplica sandbox dentro de un único binario pequeño.
• ¿Quiere quedarse con OpenClaw o Hermes Agent a secas? Ambos tienen sus propios backends de sandbox o de contenedores que puede activar usted mismo; el atractivo de NemoClaw es la política de red que deniega por defecto y las aprobaciones del operador por encima.

Consulte NemoClaw vs OpenClaw para la comparación directa.

Veredicto

NemoClaw es la forma más completa de nuestra lista de atar en corto a OpenClaw o Hermes: red que deniega por defecto con aprobación del operador en directo, un sistema de archivos de solo lectura y claves fuera de la caja. Le cuesta RAM, una capa más que actualizar, telemetría hacia NVIDIA hasta que la desactiva y un soporte de calidad alfa. Para un agente compartido o siempre encendido que lee entradas no fiables, suele ser un intercambio justo.