Análise do NemoClaw: o sandbox da NVIDIA para OpenClaw e Hermes

É fácil entender errado o NemoClaw pelo nome. Ele não é mais um clone do OpenClaw; é a forma de código aberto da NVIDIA de rodar um agente existente, o OpenClaw por padrão, ou então o Hermes Agent ou o Deep Agents Code da LangChain, dentro de um sandbox OpenShell travado. Os recursos do agente vêm daquele que você escolher. O que o NemoClaw acrescenta é a caixa em volta: política de rede, regras de sistema de arquivos e chaves mantidas do lado de fora. Tem licença Apache-2.0, tinha 22.984 estrelas no GitHub quando conferimos, em 8 de novembro de 2026, e a NVIDIA o classifica como alfa. Para o contexto, veja O que é o NemoClaw?.

Para quem é

O NemoClaw é indicado para quem já quer o OpenClaw ou o Hermes, mas não confia em deixá-lo no próprio host, e para equipes em que alguém deveria aprovar o que um agente sempre ligado pode acessar. Também serve para quem tem hardware da NVIDIA e quer inferência local sem montar tudo à mão. Se você quer uma instalação leve em uma VPS pequena, os requisitos mínimos abaixo descartam essa opção.

O que ele corrige na segurança do OpenClaw

O OpenClaw puro roda as ferramentas no host até você ativar o sandbox, e mesmo assim o gateway continua no host (detalhamos isso na nossa análise do OpenClaw e em O OpenClaw é seguro?). O NemoClaw coloca o agente inteiro no contêiner e parte do bloqueio total. Segundo a referência de políticas de rede:

• A rede nega por padrão. A base só permite o endpoint de inferência da NVIDIA, o ClawHub, o site e a documentação do OpenClaw, e o npm em modo somente leitura para instalar plugins. GitHub e plataformas de mensagens não estão incluídos; você os adiciona com presets ou com um nível de política.
• Destinos desconhecidos são bloqueados e mostrados a você. Quando o agente tenta um host fora da lista, o OpenShell o bloqueia, registra a tentativa e mostra o host, a porta e o binário solicitante em uma interface de terminal para que um operador aprove ou negue. Uma aprovação vale para a sessão; mudanças permanentes vão no arquivo de políticas ou por comandos openshell policy.
• O sistema de arquivos é quase todo somente leitura. O agente pode gravar em /sandbox e /tmp; caminhos do sistema como /usr, /etc e /app são somente leitura, e ele roda como um usuário dedicado, sandbox.
• As credenciais ficam do lado de fora. As chaves de inferência, mensagens e MCP ficam com o gateway OpenShell, não dentro do sandbox. Uma exceção: sessões pareadas por QR, como o WhatsApp, mantêm suas credenciais de sessão dentro.

O pedido de aprovação é o recurso principal: um agente vítima de injeção de prompt que tenta enviar dados para um lugar novo bate em um muro e em uma pessoa, em vez de ter sucesso em silêncio. A documentação admite com franqueza que parte da aplicação das regras (Landlock) é feita na base do melhor esforço, então trate isso como uma camada forte, não como uma garantia.

Instalação

O quickstart é um único comando:

curl -fsSL https://www.nvidia.com/nemoclaw.sh | bash

Em seguida, o instalador pede, nesta ordem: aceitar um aviso de software de terceiros, escolher o agente, escolher um provedor de inferência e um modelo (NVIDIA Endpoints, OpenRouter, OpenAI, Anthropic, Gemini, Ollama local e outros), dar nome ao sandbox, adicionar opcionalmente busca na web e canais de mensagens, e escolher um nível de política de rede (Balanced por padrão). A documentação sugere pular a busca e os canais na primeira execução, o que é um bom conselho: tenha um sandbox funcionando e depois abra o acesso.

No dia a dia, você usa a CLI nemoclaw: nemoclaw my-assistant status, nemoclaw my-assistant connect para abrir um shell lá dentro, e um painel na porta 18789, que você acessa por um túnel SSH em uma máquina remota. A documentação avisa para tratar a URL do painel como uma senha.

Hardware e Docker

O NemoClaw precisa de um runtime de contêineres (Docker, Docker Desktop ou Colima) e de pelo menos 4 vCPUs, 8 GB de RAM (16 GB recomendados) e 20 GB de disco livre, com uma imagem de sandbox de 2,4 GB. É mais pesado do que rodar o OpenClaw sozinho. Linux e DGX Spark são as principais plataformas testadas; macOS com Apple Silicon e Windows via WSL2 funcionam com limitações. Para modelos locais, ele roteia para Ollama, vLLM ou NVIDIA NIM, e é aí que uma GPU da NVIDIA mostra seu valor.

Telemetria

Este é o padrão a mudar primeiro. A CLI e o instalador enviam telemetria de operações para a NVIDIA, a menos que você defina NEMOCLAW_DISABLE_TELEMETRY=1, e o quickstart diz para exportar essa variável antes de rodar o instalador se você quiser a telemetria desligada desde o início. Seus prompts vão para o provedor de inferência que você escolher, ou ficam na máquina com um modelo local.

Maturidade e manutenção

Alfa significa alfa: os mantenedores tratam as issues na base do melhor esforço, e WhatsApp, Microsoft Teams, Google Chat e WeChat estão marcados como experimentais (Telegram, Discord e Slack são os canais suportados). Você também acompanha dois projetos: as versões do NemoClaw e as do agente. O que o bot consegue fazer depende da versão do agente dentro da imagem de sandbox do NemoClaw, então os novos recursos do agente chegam no ritmo do NemoClaw.

Comparação

• Quer isolamento em contêiner sem a stack da NVIDIA nem os requisitos mínimos? O NanoClaw roda cada agente no próprio contêiner e também mantém as chaves longe dos agentes, e o ZeroClaw aplica sandbox dentro de um único binário pequeno.
• Quer ficar com o OpenClaw ou o Hermes Agent puros? Os dois têm os próprios backends de sandbox ou contêiner que você mesmo pode ativar; o atrativo do NemoClaw é a política de rede que nega por padrão e as aprovações do operador por cima disso.

Veja NemoClaw vs OpenClaw para o confronto direto.

Veredito

O NemoClaw é a forma mais completa da nossa lista de colocar uma coleira no OpenClaw ou no Hermes: rede que nega por padrão com aprovação do operador em tempo real, um sistema de arquivos somente leitura e chaves fora da caixa. Ele custa RAM, uma camada a mais para atualizar, telemetria para a NVIDIA até você desligá-la e um suporte de qualidade alfa. Para um agente compartilhado ou sempre ligado que lê entradas não confiáveis, costuma ser uma troca justa.