Обзор NemoClaw: песочница NVIDIA для OpenClaw и Hermes

По названию NemoClaw легко понять неправильно. Это не очередной клон OpenClaw; это открытый способ от NVIDIA запускать существующего агента — по умолчанию OpenClaw, либо Hermes Agent или Deep Agents Code от LangChain — внутри закрытой песочницы OpenShell. Возможности агента зависят от того, какого вы выберете. NemoClaw добавляет коробку вокруг него: сетевую политику, правила для файловой системы и ключи, хранящиеся снаружи. Лицензия Apache-2.0, на момент нашей проверки 8 ноября 2026 года — 22 984 звезды на GitHub, и NVIDIA называет его альфа-версией. Предыстория — в статье Что такое NemoClaw?.

Кому он подходит

NemoClaw подходит тем, кто уже хочет OpenClaw или Hermes, но не доверяет им на своём хосте, и командам, где кто-то должен одобрять, к чему может обращаться постоянно работающий агент. Он подходит и всем, у кого есть железо NVIDIA и кто хочет локальный инференс без ручной настройки. Если вам нужна лёгкая установка на маленьком VPS, минимальные требования ниже это исключают.

Что он исправляет в безопасности OpenClaw

Обычный OpenClaw выполняет инструменты на хосте, пока вы не включите его песочницу, и даже тогда шлюз остаётся на хосте (подробности — в нашем обзоре OpenClaw и статье Безопасен ли OpenClaw?). NemoClaw помещает в контейнер весь агент и начинает с запрета. Согласно справочнику по сетевым политикам:

• Сеть запрещена по умолчанию. Базовая политика разрешает только эндпоинт инференса NVIDIA, ClawHub, собственный сайт и документацию OpenClaw и npm только для чтения для установки плагинов. GitHub и платформ обмена сообщениями в ней нет; их добавляют пресетами или уровнем политики.
• Неизвестные адреса блокируются и показываются вам. Когда агент пытается обратиться к хосту не из списка, OpenShell блокирует запрос, записывает его в лог и показывает хост, порт и запрашивающий бинарник в терминальном интерфейсе, чтобы оператор одобрил или отклонил его. Одобрение действует в течение сессии; постоянные изменения вносятся в файл политики или через команды openshell policy.
• Файловая система в основном только для чтения. Агент может писать в /sandbox и /tmp; системные пути вроде /usr, /etc и /app доступны только для чтения, и он работает от выделенного пользователя sandbox.
• Учётные данные остаются снаружи. Ключи для инференса, мессенджеров и MCP хранит шлюз OpenShell, а не песочница. Одно исключение: сессии, сопряжённые по QR-коду, такие как WhatsApp, хранят свои учётные данные сессии внутри.

Запрос на одобрение — главная функция: агент с промпт-инъекцией, пытающийся отправить данные в новое место, упирается в стену и в человека, а не добивается своего тихо. Документация честно признаёт, что часть ограничений (Landlock) работает по принципу «насколько возможно», так что считайте это сильным слоем защиты, а не гарантией.

Установка

Краткое руководство сводится к одной команде:

curl -fsSL https://www.nvidia.com/nemoclaw.sh | bash

Затем установщик по порядку просит: принять уведомление о стороннем ПО, выбрать агента, выбрать провайдера инференса и модель (NVIDIA Endpoints, OpenRouter, OpenAI, Anthropic, Gemini, локальный Ollama и другие), дать имя песочнице, по желанию добавить веб-поиск и каналы мессенджеров и выбрать уровень сетевой политики (по умолчанию Balanced). Документация советует при первом запуске пропустить поиск и каналы, и это хороший совет: сначала получите работающую песочницу, потом открывайте её.

В повседневной работе вы используете CLI nemoclaw: nemoclaw my-assistant status, nemoclaw my-assistant connect для shell внутри и панель управления на порту 18789, к которой на удалённой машине подключаются через SSH-туннель. Документация предупреждает, что URL панели надо беречь как пароль.

Железо и Docker

NemoClaw нужна среда выполнения контейнеров (Docker, Docker Desktop или Colima) и минимум 4 vCPU, 8 ГБ RAM (рекомендуется 16 ГБ) и 20 ГБ свободного места на диске, а образ песочницы весит 2,4 ГБ. Это тяжелее, чем запуск одного OpenClaw. Основные протестированные платформы — Linux и DGX Spark; macOS на Apple Silicon и Windows через WSL2 работают с ограничениями. Для локальных моделей он направляет запросы в Ollama, vLLM или NVIDIA NIM — тут GPU от NVIDIA и окупается.

Телеметрия

Это настройку по умолчанию стоит поменять первой. CLI и установщик отправляют в NVIDIA телеметрию операций, если не задать NEMOCLAW_DISABLE_TELEMETRY=1, и краткое руководство советует экспортировать эту переменную до запуска установщика, если хотите отключить её с самого начала. Ваши промпты уходят выбранному провайдеру инференса или остаются на машине с локальной моделью.

Зрелость и поддержка

Альфа значит альфа: мейнтейнеры разбирают issues по мере возможности, а WhatsApp, Microsoft Teams, Google Chat и WeChat помечены как экспериментальные (поддерживаемые каналы — Telegram, Discord и Slack). Кроме того, вы следите за двумя проектами: релизами NemoClaw и релизами агента. Что умеет бот, зависит от версии агента внутри образа песочницы NemoClaw, так что новые функции агента приходят по графику NemoClaw.

Сравнение с другими

• Нужна контейнерная изоляция без стека NVIDIA и высоких требований к ресурсам? NanoClaw запускает каждого агента в своём контейнере и тоже держит ключи подальше от агентов, а ZeroClaw изолирует всё внутри одного небольшого бинарника.
• Хотите остаться на обычном OpenClaw или Hermes Agent? У обоих есть собственные песочницы или контейнерные бэкенды, которые можно включить самостоятельно; привлекательность NemoClaw — в запрещающей по умолчанию сетевой политике и одобрениях оператора поверх этого.

Прямое сравнение — в статье NemoClaw vs OpenClaw.

Вердикт

NemoClaw — самый основательный способ из нашего списка посадить OpenClaw или Hermes на поводок: запрещённая по умолчанию сеть с одобрением оператора в реальном времени, файловая система только для чтения и ключи вне коробки. Платите вы за это оперативной памятью, дополнительным слоем для обновления, телеметрией в NVIDIA, пока её не отключите, и поддержкой альфа-уровня. Для общего или постоянно работающего агента, который читает недоверенный ввод, это часто честный обмен.