Test de NemoClaw : le sandbox de NVIDIA pour OpenClaw et Hermes

Le nom de NemoClaw prête facilement à confusion. Ce n’est pas un énième clone d’OpenClaw ; c’est la solution open source de NVIDIA pour exécuter un agent existant, OpenClaw par défaut, ou Hermes Agent ou Deep Agents Code de LangChain, dans un sandbox OpenShell verrouillé. Les fonctionnalités de l’agent viennent de celui que vous choisissez. Ce qu’ajoute NemoClaw, c’est la boîte autour : politique réseau, règles de système de fichiers et clés gardées à l’extérieur. Il est sous Apache-2.0, comptait 22 984 étoiles GitHub lors de notre vérification du 8 novembre 2026, et NVIDIA le qualifie d’alpha. Pour le contexte, consultez Qu’est-ce que NemoClaw ?.

Pour qui

NemoClaw convient à ceux qui veulent déjà OpenClaw ou Hermes mais ne leur font pas confiance sur leur hôte, et aux équipes où quelqu’un doit approuver ce qu’un agent toujours actif peut joindre. Il convient aussi à toute personne disposant de matériel NVIDIA qui veut de l’inférence locale sans tout câbler à la main. Si vous voulez une installation légère sur un petit VPS, les ressources minimales ci-dessous l’excluent.

Ce qu’il corrige dans la sécurité d’OpenClaw

OpenClaw seul exécute ses outils sur l’hôte tant que vous n’activez pas son sandbox, et même alors la passerelle reste sur l’hôte (nous détaillons cela dans notre test d’OpenClaw et dans OpenClaw est-il sûr ?). NemoClaw place l’agent entier dans le conteneur et part d’un refus par défaut. D’après la référence des politiques réseau :

• Le réseau est refusé par défaut. La base n’autorise que l’endpoint d’inférence de NVIDIA, ClawHub, le site et la documentation d’OpenClaw, et npm en lecture seule pour installer des plugins. GitHub et les plateformes de messagerie n’en font pas partie ; vous les ajoutez avec des préréglages ou un niveau de politique.
• Les destinations inconnues sont bloquées et vous sont présentées. Quand l’agent tente de joindre un hôte non listé, OpenShell le bloque, le journalise et affiche l’hôte, le port et le binaire demandeur dans une interface en terminal pour qu’un opérateur approuve ou refuse. Une approbation vaut pour la session ; les changements permanents vont dans le fichier de politique ou passent par les commandes openshell policy.
• Le système de fichiers est essentiellement en lecture seule. L’agent peut écrire dans /sandbox et /tmp ; les chemins système comme /usr, /etc et /app sont en lecture seule, et il tourne sous un utilisateur dédié sandbox.
• Les identifiants restent à l’extérieur. Les clés d’inférence, de messagerie et MCP sont détenues par la passerelle OpenShell, pas dans le sandbox. Une exception : les sessions appairées par QR code comme WhatsApp conservent leurs identifiants de session à l’intérieur.

L’invite d’approbation est la fonctionnalité phare : un agent victime d’une injection de prompt qui tente d’envoyer des données vers une nouvelle destination se heurte à un mur et à un humain, au lieu de réussir en silence. La documentation reconnaît franchement qu’une partie de l’application des règles (Landlock) se fait au mieux : considérez-la comme une couche solide, pas comme une garantie.

Installation

Le quickstart tient en une commande :

curl -fsSL https://www.nvidia.com/nemoclaw.sh | bash

L’installateur vous demande ensuite, dans l’ordre : d’accepter un avis sur les logiciels tiers, de choisir l’agent, de choisir un fournisseur d’inférence et un modèle (NVIDIA Endpoints, OpenRouter, OpenAI, Anthropic, Gemini, Ollama en local et d’autres), de nommer le sandbox, d’ajouter éventuellement la recherche web et des canaux de messagerie, et de choisir un niveau de politique réseau (Balanced par défaut). La documentation suggère de sauter la recherche et les canaux lors d’un premier lancement, et c’est un bon conseil : obtenez d’abord un sandbox fonctionnel, puis ouvrez-le.

Au quotidien, vous utilisez la CLI nemoclaw : nemoclaw my-assistant status, nemoclaw my-assistant connect pour un shell à l’intérieur, et un tableau de bord sur le port 18789 que vous joignez via un tunnel SSH sur une machine distante. La documentation recommande de traiter l’URL du tableau de bord comme un mot de passe.

Matériel et Docker

NemoClaw nécessite un runtime de conteneurs (Docker, Docker Desktop ou Colima) et au moins 4 vCPU, 8 Go de RAM (16 Go recommandés) et 20 Go d’espace disque libre, avec une image de sandbox de 2,4 Go. C’est plus lourd que de faire tourner OpenClaw seul. Linux et DGX Spark sont les principales plateformes testées ; macOS sur Apple Silicon et Windows via WSL2 fonctionnent avec des limitations. Pour les modèles locaux, il route vers Ollama, vLLM ou NVIDIA NIM, et c’est là qu’un GPU NVIDIA prend tout son intérêt.

Télémétrie

C’est le réglage par défaut à changer en premier. La CLI et l’installateur envoient de la télémétrie d’opérations à NVIDIA sauf si vous définissez NEMOCLAW_DISABLE_TELEMETRY=1, et le quickstart indique de l’exporter avant de lancer l’installateur si vous voulez la désactiver dès le départ. Vos prompts vont au fournisseur d’inférence que vous choisissez, ou restent sur la machine avec un modèle local.

Maturité et maintenance

Alpha veut bien dire alpha : les mainteneurs traitent les problèmes au mieux, et WhatsApp, Microsoft Teams, Google Chat et WeChat sont marqués comme expérimentaux (Telegram, Discord et Slack sont les canaux pris en charge). Vous suivez aussi deux projets : les versions de NemoClaw et celles de l’agent. Ce que le bot sait faire dépend de la version de l’agent présente dans l’image de sandbox de NemoClaw, si bien que les nouvelles fonctionnalités de l’agent arrivent au rythme de NemoClaw.

Comment il se compare

• Vous voulez une isolation en conteneur sans la pile de NVIDIA ni ses ressources minimales ? NanoClaw exécute chaque agent dans son propre conteneur et garde lui aussi les clés hors de portée des agents, et ZeroClaw applique un sandbox au sein d’un petit binaire unique.
• Vous voulez rester sur OpenClaw ou Hermes Agent seuls ? Tous deux ont leurs propres backends de sandbox ou de conteneur que vous pouvez activer vous-même ; l’atout de NemoClaw est la politique réseau refusée par défaut et les approbations d’opérateur ajoutées par-dessus.

Voir NemoClaw vs OpenClaw pour le face-à-face.

Verdict

NemoClaw est la façon la plus complète de notre liste de tenir OpenClaw ou Hermes en laisse : réseau refusé par défaut avec approbation en direct par un opérateur, système de fichiers en lecture seule et clés hors de la boîte. Il vous en coûte de la RAM, une couche supplémentaire à mettre à jour, la télémétrie NVIDIA tant que vous ne la désactivez pas, et un support de qualité alpha. Pour un agent partagé ou toujours actif qui lit des entrées non fiables, c’est souvent un compromis raisonnable.