Recenzja NemoClaw: sandbox NVIDIA dla OpenClaw i Hermesa

Nazwa NemoClaw łatwo wprowadza w błąd. To nie kolejny klon OpenClaw, lecz otwartoźródłowy sposób NVIDIA na uruchamianie istniejącego agenta, domyślnie OpenClaw, ewentualnie Hermes Agent lub Deep Agents Code od LangChain, w szczelnie zamkniętym sandboksie OpenShell. Funkcje agenta pochodzą z tego, którego się wybierze. NemoClaw dodaje pudełko wokół niego: politykę sieciową, reguły systemu plików i klucze trzymane na zewnątrz. Ma licencję Apache-2.0, gdy sprawdzaliśmy 8 listopada 2026, miał 22,984 gwiazdek na GitHubie, a NVIDIA określa go jako wersję alfa. Kontekst zawiera tekst Czym jest NemoClaw?.

Dla kogo

NemoClaw pasuje osobom, które już chcą używać OpenClaw lub Hermesa, ale nie ufają im na swoim hoście, oraz zespołom, w których ktoś powinien zatwierdzać, do czego może sięgać stale działający agent. Pasuje też każdemu, kto ma sprzęt NVIDIA i chce lokalnego wnioskowania bez ręcznego podłączania. Lekka instalacja na małym VPS nie wchodzi w grę ze względu na minimalne wymagania opisane niżej.

Co poprawia w bezpieczeństwie OpenClaw

Zwykły OpenClaw uruchamia narzędzia na hoście, dopóki nie włączy się sandboksa, a nawet wtedy bramka zostaje na hoście (szczegóły w naszej recenzji OpenClaw i tekście Czy OpenClaw jest bezpieczny?). NemoClaw umieszcza całego agenta w kontenerze i zaczyna od blokady wszystkiego. Według dokumentacji polityk sieciowych:

• Sieć jest domyślnie zablokowana. Bazowa konfiguracja dopuszcza tylko endpoint wnioskowania NVIDIA, ClawHub, stronę i dokumentację OpenClaw oraz npm w trybie tylko do odczytu do instalowania wtyczek. Nie ma w niej GitHuba ani platform komunikacyjnych; dodaje się je przez presety lub poziom polityki.
• Nieznane adresy są blokowane i pokazywane użytkownikowi. Gdy agent próbuje połączyć się z hostem spoza listy, OpenShell blokuje połączenie, zapisuje je w logu i pokazuje host, port oraz żądający plik binarny w interfejsie terminalowym, aby operator mógł zatwierdzić lub odrzucić. Zatwierdzenie obowiązuje do końca sesji; trwałe zmiany wprowadza się w pliku polityki lub poleceniami openshell policy.
• System plików jest w większości tylko do odczytu. Agent może zapisywać w /sandbox i /tmp; ścieżki systemowe, takie jak /usr, /etc i /app, są tylko do odczytu, a agent działa jako dedykowany użytkownik sandbox.
• Poświadczenia zostają na zewnątrz. Klucze do wnioskowania, komunikatorów i MCP trzyma bramka OpenShell, a nie sandbox. Jeden wyjątek: sesje parowane kodem QR, takie jak WhatsApp, trzymają swoje poświadczenia sesji w środku.

Monit o zatwierdzenie to główna funkcja: agent poddany prompt injection, który próbuje wysłać dane w nowe miejsce, trafia na ścianę i na człowieka, zamiast cicho odnieść sukces. Dokumentacja otwarcie przyznaje, że część egzekwowania (Landlock) działa na zasadzie best-effort, więc warto traktować to jako mocną warstwę, a nie gwarancję.

Instalacja

Quickstart to jedno polecenie:

curl -fsSL https://www.nvidia.com/nemoclaw.sh | bash

Instalator pyta następnie po kolei o: akceptację informacji o oprogramowaniu stron trzecich, wybór agenta, wybór dostawcy wnioskowania i modelu (NVIDIA Endpoints, OpenRouter, OpenAI, Anthropic, Gemini, lokalny Ollama i inne), nazwę sandboksa, opcjonalne dodanie wyszukiwania w sieci i kanałów komunikacji oraz wybór poziomu polityki sieciowej (domyślnie Balanced). Dokumentacja sugeruje pominięcie wyszukiwania i kanałów przy pierwszym uruchomieniu, co jest dobrą radą: najpierw działający sandbox, potem jego otwieranie.

Na co dzień używa się CLI nemoclaw: nemoclaw my-assistant status, nemoclaw my-assistant connect do powłoki w środku oraz panelu na porcie 18789, do którego na zdalnej maszynie dociera się przez tunel SSH. Dokumentacja ostrzega, by traktować adres URL panelu jak hasło.

Sprzęt i Docker

NemoClaw wymaga środowiska kontenerowego (Docker, Docker Desktop lub Colima) oraz co najmniej 4 vCPU, 8 GB RAM (zalecane 16 GB) i 20 GB wolnego miejsca na dysku, przy obrazie sandboksa o rozmiarze 2.4 GB. To więcej niż samo uruchomienie OpenClaw. Linux i DGX Spark to główne testowane platformy; macOS na Apple Silicon i Windows przez WSL2 działają z ograniczeniami. Dla modeli lokalnych kieruje ruch do Ollama, vLLM lub NVIDIA NIM i tu GPU NVIDIA naprawdę się przydaje.

Telemetria

To ustawienie domyślne, które warto zmienić w pierwszej kolejności. CLI i instalator wysyłają telemetrię operacji do NVIDIA, chyba że ustawi się NEMOCLAW_DISABLE_TELEMETRY=1, a quickstart zaleca wyeksportowanie tej zmiennej przed uruchomieniem instalatora, jeśli telemetria ma być wyłączona od początku. Prompty trafiają do wybranego dostawcy wnioskowania albo zostają na maszynie przy modelu lokalnym.

Dojrzałość i utrzymanie

Alfa oznacza alfę: opiekunowie zajmują się zgłoszeniami na zasadzie best-effort, a WhatsApp, Microsoft Teams, Google Chat i WeChat są oznaczone jako eksperymentalne (obsługiwane kanały to Telegram, Discord i Slack). Śledzi się też dwa projekty: wydania NemoClaw i wydania agenta. Możliwości bota zależą od wersji agenta w obrazie sandboksa NemoClaw, więc nowe funkcje agenta przychodzą zgodnie z harmonogramem NemoClaw.

Porównanie

• Izolacja w kontenerach bez stosu NVIDIA i wysokich wymagań? NanoClaw uruchamia każdego agenta we własnym kontenerze i również trzyma klucze z dala od agentów, a ZeroClaw ma sandbox w jednym małym pliku binarnym.
• Pozostanie przy zwykłym OpenClaw lub Hermes Agent? Oba mają własne backendy sandboksa lub kontenerów, które można włączyć samodzielnie; atutem NemoClaw jest domyślnie blokująca polityka sieciowa i zatwierdzenia operatora nałożone na wierzch.

Bezpośrednie porównanie zawiera tekst NemoClaw vs OpenClaw.

Werdykt

NemoClaw to najbardziej gruntowny sposób na naszej liście, by trzymać OpenClaw lub Hermesa na smyczy: sieć domyślnie zablokowana z zatwierdzaniem przez operatora na żywo, system plików tylko do odczytu i klucze poza pudełkiem. Kosztuje to RAM, dodatkową warstwę do aktualizowania, telemetrię do NVIDIA do czasu jej wyłączenia i wsparcie na poziomie wersji alfa. Dla współdzielonego lub stale działającego agenta, który czyta niezaufane dane wejściowe, to często uczciwa wymiana.