NemoClaw レビュー：OpenClaw と Hermes のための NVIDIA のサンドボックス

NemoClaw は名前から誤解されやすいツールです。OpenClaw のクローンの一つではありません。既存のエージェント、つまりデフォルトの OpenClaw か、Hermes Agent か、LangChain の Deep Agents Code を、厳重に制限された OpenShell のサンドボックス内で動かすための、NVIDIA によるオープンソースの仕組みです。エージェントの機能は選んだエージェント次第です。NemoClaw が加えるのはその周りの箱、つまりネットワークポリシー、ファイルシステムのルール、そして外部に保管されたキーです。Apache-2.0 ライセンスで、2026 年 11 月 8 日に確認した時点で GitHub スターは 22,984、NVIDIA はアルファ版としています。背景については NemoClaw とは？をご覧ください。

どんな人に向いているか

NemoClaw は、OpenClaw や Hermes を使いたいけれどホスト上で動かすのは信用できない人や、常時稼働のエージェントがアクセスできる先を誰かが承認すべきチームに向いています。また、NVIDIA のハードウェアを持っていて、手作業で配線せずにローカル推論をしたい人にも合います。小さな VPS に軽量なインストールをしたいなら、後述の最低リソース要件のせいで対象外になります。

OpenClaw のセキュリティで何が改善されるか

素の OpenClaw は、サンドボックスをオンにするまでツールをホスト上で実行し、オンにした後もゲートウェイはホスト上に残ります（詳細は OpenClaw のレビューと OpenClaw は安全か？で解説しています）。NemoClaw はエージェント全体をコンテナに入れ、拒否から始めます。ネットワークポリシーのリファレンスによると、次のとおりです。

• ネットワークはデフォルトで拒否。 ベースラインで許可されるのは、NVIDIA の推論エンドポイント、ClawHub、OpenClaw 自身のサイトとドキュメント、そしてプラグインのインストール用の読み取り専用の npm だけです。GitHub やメッセージングプラットフォームは含まれておらず、プリセットかポリシーティアで追加します。
• 未知の接続先はブロックされ、あなたに表示される。 エージェントがリストにないホストに接続しようとすると、OpenShell がブロックしてログに記録し、ホスト、ポート、要求したバイナリをターミナル UI に表示して、オペレーターが承認または拒否できるようにします。承認はそのセッションの間だけ有効で、恒久的な変更はポリシーファイルか openshell policy コマンドで行います。
• ファイルシステムはほぼ読み取り専用。 エージェントが書き込めるのは /sandbox と /tmp で、/usr、/etc、/app などのシステムパスは読み取り専用です。エージェントは専用の sandbox ユーザーとして動作します。
• 認証情報は外部に保管される。 推論、メッセージング、MCP のキーはサンドボックス内ではなく OpenShell のゲートウェイが保持します。例外が 1 つあり、WhatsApp のように QR コードでペアリングしたセッションは、セッションの認証情報を内部に保持します。

看板機能は承認のプロンプトです。プロンプトインジェクションを受けたエージェントが新しい宛先にデータを送ろうとしても、黙って成功するのではなく、壁と人間に突き当たります。ドキュメントは、一部の強制（Landlock）がベストエフォートであることを率直に認めているので、保証ではなく強力な一層として扱ってください。

セットアップ

クイックスタートは 1 つのコマンドです。

curl -fsSL https://www.nvidia.com/nemoclaw.sh | bash

インストーラーはその後、順に次のことを尋ねます。サードパーティソフトウェアの通知への同意、エージェントの選択、推論プロバイダーとモデルの選択（NVIDIA Endpoints、OpenRouter、OpenAI、Anthropic、Gemini、ローカルの Ollama など）、サンドボックスの命名、必要に応じた Web 検索とメッセージングチャンネルの追加、そしてネットワークポリシーティアの選択（デフォルトは Balanced）です。ドキュメントは初回は検索とチャンネルを飛ばすよう勧めており、これはよいアドバイスです。まず動くサンドボックスを用意し、それから開放していきましょう。

日々の操作には nemoclaw CLI を使います。nemoclaw my-assistant status、内部のシェルに入る nemoclaw my-assistant connect、そしてポート 18789 のダッシュボードで、リモートのマシンでは SSH トンネル経由でアクセスします。ドキュメントは、ダッシュボードの URL をパスワードと同様に扱うよう警告しています。

ハードウェアと Docker

NemoClaw には、コンテナランタイム（Docker、Docker Desktop、Colima）と、少なくとも 4 vCPU、8 GB の RAM（推奨は 16 GB）、20 GB の空きディスクが必要で、サンドボックスイメージは 2.4 GB です。OpenClaw 単体で動かすより重量級です。主にテストされているプラットフォームは Linux と DGX Spark で、Apple Silicon の macOS と WSL2 経由の Windows は制限付きで動作します。ローカルモデルには Ollama、vLLM、NVIDIA NIM へルーティングし、NVIDIA の GPU が真価を発揮するのはここです。

テレメトリー

まず変更すべきデフォルトがこれです。CLI とインストーラーは、NEMOCLAW_DISABLE_TELEMETRY=1 を設定しない限り、操作のテレメトリーを NVIDIA に送信します。最初からオフにしたいなら、インストーラーを実行する前にこれを export するようクイックスタートに書かれています。プロンプトは選んだ推論プロバイダーに送られるか、ローカルモデルならマシン上に留まります。

成熟度と保守

アルファ版は文字どおりアルファ版です。メンテナーは Issue にベストエフォートで対応し、WhatsApp、Microsoft Teams、Google Chat、WeChat は実験的扱いです（サポートされているチャンネルは Telegram、Discord、Slack）。また、2 つのプロジェクトを追うことになります。NemoClaw のリリースと、エージェントのリリースです。ボットにできることは NemoClaw のサンドボックスイメージ内のエージェントのバージョンに左右されるため、エージェントの新機能は NemoClaw のスケジュールで届きます。

他のツールとの比較

• NVIDIA のスタックや最低リソース要件なしにコンテナ隔離が欲しいなら、NanoClaw が各エージェントを専用のコンテナで動かし、キーもエージェントから遠ざけます。ZeroClaw は 1 つの小さなバイナリの中でサンドボックス化します。
• 素の OpenClaw や Hermes Agent のままでいたいなら、どちらにも自分でオンにできる独自のサンドボックスやコンテナのバックエンドがあります。NemoClaw の魅力は、その上に重ねられるデフォルト拒否のネットワークポリシーとオペレーターによる承認です。

直接対決については NemoClaw vs OpenClaw をご覧ください。

結論

NemoClaw は、私たちのリストの中で OpenClaw や Hermes に首輪をつける最も徹底した方法です。オペレーターによるリアルタイムの承認付きのデフォルト拒否のネットワーク、読み取り専用のファイルシステム、そして箱の外に置かれたキー。代償は RAM、更新すべき追加のレイヤー、オフにするまでの NVIDIA へのテレメトリー、そしてアルファ品質のサポートです。信頼できない入力を読む共有の、あるいは常時稼働のエージェントにとっては、多くの場合妥当な取引です。