OpenClaw est-il sûr ? Sécurité d'OpenClaw et Hermes Agent, réglages à changer

OpenClaw est suffisamment sûr à utiliser si vous le traitez pour ce qu’il est : un programme capable de lire vos messages et vos e-mails, d’exécuter des commandes et d’agir sur ce qu’il lit. D’emblée, il privilégie les capacités. Les commandes s’exécutent sur votre hôte car le sandboxing est désactivé par défaut, et il contacte chaque jour le serveur du projet. Les deux points se corrigent en quelques minutes. C’est aussi vrai pour Hermes Agent, avec des réglages par défaut différents.

Ce qui peut réellement mal tourner

• Des commandes sur votre hôte. Sans sandbox, une mauvaise commande s’exécute avec les accès de votre utilisateur à vos fichiers.
• L’injection de prompt. Tout ce que l’agent lit, un e-mail, une page web, un document partagé, peut contenir des instructions qui le visent. Plus il a de comptes sur lesquels agir, plus une instruction injectée peut faire de dégâts.
• Les compétences tierces. Les compétences sont du code que vous installez. En janvier 2026, l’équipe de sécurité IA de Cisco a signalé une compétence OpenClaw tierce qui exfiltrait des données et effectuait une injection de prompt à l’insu de l’utilisateur (résumé sur Wikipédia).
• Une passerelle exposée. Si l’interface de contrôle est accessible depuis Internet sans authentification, n’importe qui peut piloter votre agent.
• Les secrets au repos. Le même article de Wikipédia résume une analyse d’OpenClaw 2.0 d’août 2026 qui critiquait le stockage des secrets non chiffrés au repos.

Réglages par défaut de dix agents

Le tableau de la checklist ci-dessus indique quels agents utilisent un sandbox par défaut et lesquels envoient de la télémétrie. Voici ce que cela signifie en pratique et comment le modifier.

Agent	Isolation d’emblée	Télémétrie et comment la désactiver
OpenClaw	Désactivée ; sandbox Docker disponible	Vérification quotidienne des mises à jour ; update.checkOnStart: false
Hermes Agent	Désactivée ; approbations smart, backend Docker disponible	Aucune sauf si vous l’activez
NemoClaw	Activée : sandbox OpenShell avec approbation des sorties réseau	Télémétrie de la CLI ; NEMOCLAW_DISABLE_TELEMETRY=1
NanoClaw	Activée : un conteneur par agent	Diagnostics d’installation ; NANOCLAW_NO_DIAGNOSTICS=1
ZeroClaw	Activée : sandbox de l’OS et approbations dans le profil Balanced	Aucune
Rakazo	Activée : chaque bot a un ordinateur isolé	Aucune depuis un serveur auto-hébergé ; l’application de bureau vérifie les mises à jour
Agent Zero	Activée : l’agent travaille dans son propre conteneur Docker	Vérification des mises à jour ; désactivable dans les réglages
nanobot	Désactivée ; bubblewrap ou Seatbelt disponibles, rien sous Windows	Aucune
PicoClaw	Contrôles de chemins uniquement ; isolation des processus désactivée, Linux et Windows uniquement	Aucune
QwenPaw	Désactivée ; aucune isolation dans Docker	Données d’installation avec --defaults ; refusez-les dans qwenpaw init en mode interactif

Deux réserves sur les lignes « activée ». Agent Zero exécute le code dans le même conteneur qu’Agent Zero lui-même : le conteneur protège votre ordinateur, mais pas l’agent contre son propre code. Et le profil YOLO de ZeroClaw désactive tout, alors vérifiez quel profil vous avez choisi.

Comment verrouiller OpenClaw

Par ordre approximatif d’impact, d’après la documentation de sécurité d’OpenClaw :

1. Lancez openclaw security audit. Il signale où votre configuration s’est écartée des réglages sûrs par défaut, et peut appliquer les correctifs pris en charge.
2. Gardez la passerelle sur loopback. Une installation normale écoute sur loopback, mais les images de conteneur exposent l’écoute par défaut ; ajoutez donc une authentification ou placez-la derrière un réseau privé avant de déployer avec Docker.
3. Gardez l’appairage des messages privés activé. Par défaut, sur la plupart des canaux, les expéditeurs inconnus reçoivent un code d’appairage au lieu d’une réponse. Ne passez pas un canal en mode ouvert.
4. Activez le sandbox. Réglez agents.defaults.sandbox.mode sur all ; non-main laisse la session principale de l’agent sur l’hôte (modes de sandbox). Docker est le backend par défaut. Seule l’exécution des outils est sandboxée : la passerelle reste sur l’hôte.
5. Refusez ce dont vous n’avez pas besoin. Une politique d’outils qui refuse exec désactive entièrement l’accès au shell. Évitez tools.elevated, qui exécute des commandes hors du sandbox.
6. Utilisez des comptes séparés. La documentation recommande des numéros séparés pour WhatsApp, Signal et Telegram, et une passerelle par périmètre de confiance : ne partagez pas une passerelle entre des personnes qui ne se font pas confiance.
7. Lisez les compétences avant de les installer, et privilégiez les plugins officiels.
8. Réglez update.checkOnStart: false si vous ne voulez pas du contact quotidien (documentation de télémétrie).

Si vous voulez que tout cela soit imposé depuis l’extérieur de l’agent, exécutez OpenClaw dans NemoClaw, qui ajoute un sandbox, l’approbation des sorties réseau et la garde des identifiants.

Hermes Agent est-il sûr ?

Hermes Agent part sur de meilleures bases en matière de confidentialité (aucune télémétrie) et d’accès par messagerie : sans liste d’autorisation configurée, il refuse tous les utilisateurs, et les messages privés inconnus passent par un processus d’appairage (documentation de sécurité). Son point faible est le même que celui d’OpenClaw : le backend de terminal est local par défaut.

Pour le verrouiller :

• Réglez terminal.backend: docker. Les conteneurs retirent toutes les capabilities Linux sauf quelques-unes, et les secrets de l’hôte restent à l’extérieur sauf si vous les listez dans docker_forward_env ; laissez donc cette liste vide.
• Gardez les approbations activées. Le mode par défaut smart laisse un modèle auxiliaire évaluer le risque ; manual demande confirmation avant chaque commande dangereuse. N’utilisez jamais off, qui équivaut à --yolo.
• Définissez des listes d’autorisation comme TELEGRAM_ALLOWED_USERS et jamais GATEWAY_ALLOW_ALL_USERS=true.
• Lancez chmod 600 ~/.hermes/.env, et réglez auth.adopt_external_logins: false si vous ne voulez pas que Hermes utilise vos connexions Codex CLI ou Claude Code.

Règles valables pour tout agent

• Donnez-lui sa propre machine ou son propre utilisateur système. Un ordinateur de rechange ou un petit serveur limite les dégâts potentiels comme aucun réglage ne peut le faire.
• Restreignez les identifiants. Connectez un compte e-mail ou d’agenda séparé quand c’est possible, et utilisez des clés d’API avec des plafonds de dépenses.
• Limitez par liste d’autorisation qui peut lui parler sur chaque canal.
• Passez en revue les tâches planifiées. Un agent qui travaille en votre absence fait aussi des erreurs en votre absence.

Si la sécurité est votre priorité

Choisissez un agent qui isole par défaut plutôt qu’un agent que vous devez durcir : ZeroClaw ou NanoClaw pour un agent personnel unique, ou NemoClaw si vous voulez spécifiquement OpenClaw ou Hermes Agent. Notre classement des agents auto-hébergés accorde beaucoup de poids aux réglages sûrs par défaut, et ce qu’est OpenClaw couvre le reste des compromis.