Nvidia NemoClaw : plugin OpenClaw pour OpenShell

• Plugin open source de NVIDIA permettant d’installer et d’exécuter en toute sécurité des agents OpenClaw, en fournissant un environnement sandbox sécurisé basé sur le runtime OpenShell
• Structure reposant sur l’installation de NVIDIA OpenShell et du modèle Nemotron, avec contrôle basé sur des politiques pour toutes les requêtes réseau, les accès fichiers et les appels d’inférence
• Configuration facile de l’environnement via un script d’installation, avec possibilité d’interagir directement avec les agents dans la sandbox via des interfaces CLI et TUI
• Les requêtes d’inférence ne sortent pas directement de la sandbox et sont routées en toute sécurité via la NVIDIA Cloud API ; l’inférence locale (Ollama, vLLM) est prise en charge à titre expérimental
• En intégrant couches de sécurité, contrôle par politiques et onboarding automatisé, le projet fournit une base importante pour les développeurs souhaitant déployer et exploiter en toute sécurité des agents IA autonomes

---

Vue d’ensemble

• NemoClaw est une stack open source de NVIDIA pour exploiter en toute sécurité des assistants IA persistants basés sur OpenClaw
  • Installe le runtime OpenShell et configure une sandbox sécurisée dans l’environnement NVIDIA Agent Toolkit
  • L’inférence est routée via le NVIDIA Cloud et toute l’exécution est gérée selon des politiques
• Le projet est actuellement au stade alpha (Alpha) ; l’interface et les API peuvent changer, et il n’est pas encore recommandé en production

Démarrage rapide (Quick Start)

• Prérequis avant installation : Ubuntu 22.04 ou version ultérieure, Node.js 20+, npm 10+ et un runtime de conteneur
• Configuration matérielle minimale : 4 vCPU, 8 Go de RAM, 20 Go d’espace disque ; configuration recommandée : 16 Go de RAM ou plus
• Exemple de commande d’installation :

  curl -fsSL https://www.nvidia.com/nemoclaw.sh | bash
  

  • Après l’installation, vous pouvez vous connecter à la sandbox avec la commande nemoclaw my-assistant connect
• Une fois l’installation terminée, le résumé de l’environnement affiche notamment le nom de la sandbox, le modèle et les commandes d’état

Interaction avec l’agent

• Il est possible d’échanger avec l’agent OpenClaw via la TUI (interface texte) ou la CLI
  • La TUI est adaptée aux échanges interactifs de messages
  • La CLI affiche directement dans le terminal les réponses longues (par ex. résultats de génération de code)
• Exemple de commande :

  openclaw agent --agent main --local -m "hello" --session-id test
  

Fonctionnement (How It Works)

• NemoClaw installe le runtime OpenShell et le modèle Nemotron, puis configure l’environnement sandbox via des blueprints versionnés
• Composants principaux :
  • Plugin : commandes CLI en TypeScript (launch, connect, status, etc.)
  • Blueprint : artefact Python gérant la création de la sandbox, les politiques et la configuration de l’inférence
  • Sandbox : conteneur OpenShell limitant par politique l’accès au réseau et au système de fichiers
  • Inference : appels de modèles via la NVIDIA Cloud API
• En cas d’erreur, il est possible de vérifier l’état avec nemoclaw <name> status ou openshell sandbox list

Inférence (Inference)

• Toutes les requêtes d’inférence sont routées depuis la sandbox vers le NVIDIA Cloud Provider
  • Modèle par défaut : nvidia/nemotron-3-super-120b-a12b
  • Une clé d’API NVIDIA est requise
• L’inférence locale (Ollama, vLLM) est expérimentale et nécessite, sur macOS, la prise en charge du routage hôte OpenShell

Couches de protection (Protection Layers)

• NemoClaw renforce l’isolation de la sandbox grâce à quatre couches de sécurité

  Couche	Élément protégé	Moment d’application
  Network	Blocage des connexions externes non autorisées	Pendant l’exécution
  Filesystem	Blocage des accès hors de /sandbox et /tmp	À la création
  Process	Blocage de l’élévation de privilèges et des syscall dangereux	À la création
  Inference	Routage des appels d’API de modèle vers un backend contrôlé	Pendant l’exécution

• En cas d’accès hôte non autorisé, OpenShell bloque la requête et l’affiche dans la TUI

Commandes clés (Key Commands)

• Commandes hôte (nemoclaw)
  • nemoclaw onboard : lance l’assistant d’installation interactif
  • nemoclaw <name> connect : connexion à la sandbox
  • nemoclaw start/stop/status : gestion du service
• Commandes du plugin (openclaw nemoclaw)
  • openclaw nemoclaw launch : bootstrap d’OpenClaw dans une sandbox OpenShell
  • openclaw nemoclaw status : vérification de l’état et du blueprint
  • openclaw nemoclaw logs : streaming des logs
• Les commandes du plugin sont encore en développement ; l’utilisation de la CLI nemoclaw est actuellement recommandée

Documentation et licence

• Documentation officielle : docs.nvidia.com/nemoclaw/latest
  • Détails disponibles sur Architecture, Network Policies, CLI Commands, Troubleshooting, etc.
• Licence : Apache License 2.0
• Le projet est présenté comme un plugin d’installation sécurisée pour NVIDIA OpenClaw