Test d'IronClaw AI : l'agent Rust de NEAR AI, auto-hébergé ou en TEE

IronClaw est un agent IA personnel de NEAR AI, écrit en Rust et présenté comme une version d’OpenClaw axée sur la sécurité. La version 0.1.0 est sortie le 12 février 2026, et une 1.0 réécrite a suivi le 27 juillet 2026 (releases). Il comptait 12 716 étoiles GitHub lors de notre vérification du 8 novembre 2026. Ce test porte sur l’agent du dépôt nearai/ironclaw.

Le point intéressant est sa gestion des secrets. Le hic, c’est que son sandbox couvre les extensions, pas les commandes shell que l’agent exécute sur votre machine.

L’installer

Vous installez un seul binaire, sans pile Node ou Python. Le quickstart fournit un installateur shell pour macOS et Linux et un installateur PowerShell pour Windows (la dernière release inclut aussi un MSI). Ensuite, ironclaw onboard vous demande un fournisseur de modèles, crée ~/.ironclaw, place la clé de chiffrement maîtresse dans le trousseau de votre OS, et affiche un lien de connexion à l’interface web sur 127.0.0.1:3000.

Pour un seul utilisateur, il n’y a aucun serveur de base de données à faire tourner ; l’état réside dans des fichiers de base de données embarqués. Les configurations multi-utilisateurs passent à PostgreSQL. Sur macOS et Linux, ironclaw service install enregistre un service launchd ou systemd pour que l’agent continue de tourner après la fermeture du terminal (documentation du service). Windows n’a pas d’option de service : vous laissez ironclaw serve tourner au premier plan, ce qui fait de Windows un mauvais hôte pour un agent toujours actif.

Comparé à l’édition manuelle d’un fichier TOML, comme l’exige ZeroClaw, c’est l’un des premiers lancements les plus simples parmi les agents auto-hébergés.

Identifiants : le point le plus fort

Si le modèle d’un agent peut lire vos clés d’API, une injection de prompt peut tenter de le convaincre de les afficher. IronClaw chiffre les secrets en AES-256-GCM, garde la clé maîtresse dans le trousseau de l’OS et injecte les identifiants au niveau d’un proxy réseau. La documentation des outils sandboxés indique que les identifiants « ne sont jamais transmis à la mémoire du module WASM » : l’outil envoie une requête non authentifiée et le proxy ajoute l’en-tête. Le modèle ne voit jamais le jeton brut, il ne peut donc pas le divulguer. Cela compte surtout pour les extensions Gmail, Calendar, Drive et GitHub.

Ce que couvre le sandbox, et ce qu’il ne couvre pas

Les extensions s’exécutent dans un sandbox WebAssembly. Selon la même documentation, un outil WASM n’a aucun accès au système de fichiers sauf s’il déclare des chemins, ne peut ni lancer de processus ni exécuter de commandes shell, et ne peut joindre que les hôtes listés dans son capabilities.json. Le proxy rejette tout le reste avant l’ouverture de la connexion.

C’est une vraie frontière, mais elle s’applique aux extensions, pas à l’agent lui-même. Le profil par défaut, local-dev, correspond à l’espace de travail de votre hôte et à ses processus locaux (source). Les commandes shell et les modifications de fichiers s’exécutent directement sur votre machine, et l’agent ne demande confirmation qu’avant les actions destructrices. L’isolation Docker nécessite un autre profil, et la documentation de configuration précise qu’un profil « est une frontière de sécurité, pas un préréglage ». C’est pourquoi la checklist de cette page indique qu’IronClaw n’est pas sandboxé par défaut. Si vous voulez confiner le shell de l’agent, exécutez-le dans une VM ou un compte utilisateur séparé, ou choisissez un agent qui l’isole d’emblée, comme NanoClaw ou NemoClaw.

Télémétrie et modèles

Le README indique qu’il n’y a ni télémétrie, ni analytique, ni partage de données. Trace Commons, qui envoie des traces d’exécution expurgées en échange de crédits, est désactivé sauf si vous l’activez (documentation). Vos prompts vont tout de même au fournisseur que vous choisissez, et NEAR AI est celui que la documentation recommande par défaut. Vous pouvez passer à Anthropic, OpenAI, OpenRouter et une vingtaine d’autres, utiliser un abonnement ChatGPT via le fournisseur Codex, ou tout garder en local avec Ollama, vLLM ou LM Studio (fournisseurs).

Le logiciel est sous double licence MIT ou Apache-2.0.

La refonte 1.0 et les canaux

La réécriture 1.x a supprimé Discord, Signal et WhatsApp. Slack et Telegram sont les seuls canaux de messagerie restants (canaux), à côté de l’interface web, du terminal et d’une API Responses de type OpenAI. Les deux canaux fonctionnent par webhook : un ordinateur portable derrière une box domestique a donc besoin d’un hôte public ou d’un tunnel pour que Telegram puisse le joindre. Les réglages et les canaux ont aussi changé entre versions mineures depuis la 1.0, alors lisez le changelog avant de mettre à jour.

Travailler en votre absence

C’est là qu’IronClaw est le plus fort, après les identifiants. Il propose des routines cron, événementielles et webhook, des sous-agents en arrière-plan, et une checklist HEARTBEAT.md qu’il revoit toutes les 30 minutes (heartbeat). La mémoire réside dans un espace de travail consultable sur disque.

Instances hébergées par NEAR AI

Si vous préférez ne pas l’héberger vous-même, NEAR AI propose via son Agent Hub des instances hébergées qui tournent dans un Trusted Execution Environment sur NEAR AI Cloud. Les offres vont d’un niveau Starter gratuit avec une instance jusqu’à 200 $ par mois ; le tableau des tarifs de cette page les liste. Vous disposez d’un accès SSH et d’une passerelle navigateur, et NEAR AI gère les mises à jour.

Pour qui

IronClaw convient à ceux qui veulent un agent toujours actif avec des clés d’API que le modèle ne peut pas lire, travaillant surtout via Slack, Telegram ou le navigateur, sur un Mac ou une machine Linux. Il convient moins si vous avez besoin de WhatsApp, Discord ou iMessage, voulez des commandes shell confinées par défaut, ou souhaitez l’héberger sous Windows.

Comment il se compare

• ZeroClaw est aussi un binaire Rust unique sous MIT ou Apache-2.0, mais isole ses outils dans un sandbox par défaut et propose davantage de canaux.
• OpenClaw offre bien plus de canaux et une communauté beaucoup plus large, mais il envoie de la télémétrie par défaut et n’utilise pas non plus de sandbox par défaut. Voir OpenClaw est-il sûr ?
• Rakazo, que nous développons, est sandboxé par défaut sans télémétrie et ajoute WhatsApp, iMessage et des applications mobiles, mais il tourne sur Docker Compose plutôt que sous forme de binaire unique.

Pour plus d’options, consultez les alternatives à OpenClaw et le meilleur agent IA auto-hébergé.