OpenClaw, le donjon ; NemoClaw, tout l’ouvrage de défense autour

OpenClaw fournit la base technique pour orchestrer des agents IA capables d’agir de manière autonome, de raisonner et d’utiliser des outils externes. Cette souplesse en fait un bon point de départ, mais elle impose aussi un cadre plus strict dès qu’on vise des usages sensibles, des données métiers ou un déploiement en environnement contrôlé. Des retours récents ont aussi montré que ce type d’architecture expose des risques réels.

Dans cette logique, NemoClaw agit comme une couche de sécurisation au-dessus d’OpenClaw. L’idée n’est pas de remplacer le socle existant, mais de l’encapsuler dans un environnement plus contrôlé, avec des règles d’exécution plus explicites et des garde-fous de confidentialité.

NemoClaw vise donc à sécuriser et simplifier le déploiement d’agents IA. Ce n’est pas une simple surcouche cosmétique : l’outil cherche à isoler l’exécution, à centraliser la configuration et à rendre les frontières de la sandbox plus lisibles.

Pourquoi choisir NemoClaw plutôt qu’OpenClaw ?

La question n’est pas seulement celle de la commodité. Elle touche surtout à la manière dont on veut exploiter un agent IA en production. Dans un contexte sérieux, les critères décisifs sont généralement la maîtrise du risque, la confidentialité et la capacité à faire évoluer l’infrastructure sans multiplier les bricolages.

• Sécurité plus explicite : l’outil introduit un cadre d’exécution qui réduit la surface d’exposition et limite les comportements non souhaités.
• Intégration NVIDIA : lorsque l’infrastructure NVIDIA est déjà présente, NemoClaw permet d’en tirer parti plus directement, sans enfermer complètement le déploiement dans un seul fournisseur.
• Confidentialité mieux cadrée : le routeur d’inférence permet de garder les secrets côté hôte et de mieux contrôler ce qui transite vers les services externes.
• Moins d’opérations manuelles : l’installation et l’onboarding cherchent à réduire le nombre d’étapes nécessaires pour démarrer un agent de façon propre.

Prérequis techniques et installation pas à pas

Avant de déployer quoi que ce soit, il faut vérifier que l’environnement est compatible. Les prérequis restent raisonnables, mais ils évitent les blocages au moment de l’installation ou du premier démarrage.

Prérequis

Les exigences sont modestes, mais il vaut mieux les respecter dès le départ pour éviter des erreurs de dépendances ou des soucis de performance.

Matériel recommandé

Logiciels requis

Configuration selon la plateforme

• Linux : Docker doit être installé et en cours d’exécution. Aucun réglage supplémentaire n’est nécessaire.
• macOS (Apple Silicon) :
  1. Installez les Xcode Command Line Tools avec xcode-select --install.
  2. Installez un runtime compatible comme Docker Desktop ou Colima.
  3. Lancez ensuite l’installateur NemoClaw.
• Windows : NemoClaw est pris en charge via Windows Subsystem for Linux 2 (WSL2), avec Docker Desktop en backend.

Exigences facultatives

• Pour l’inférence locale :
  • Un GPU NVIDIA permet d’activer l’inférence locale via Ollama ou NIM, selon la configuration retenue.
  • Ollama peut être installé automatiquement si un GPU est détecté.
• Pour l’inférence cloud par défaut :
  • Une clé API est nécessaire selon le fournisseur choisi :
    • NVIDIA_API_KEY
    • OPENAI_API_KEY
    • ANTHROPIC_API_KEY
    • GEMINI_API_KEY

Ce dont vous n’avez pas forcément besoin

• OpenClaw séparément : il est installé et géré automatiquement par NemoClaw.
• Un GPU NVIDIA : l’inférence cloud fonctionne sans GPU local.
• Linux obligatoirement : macOS via Docker Desktop et Windows via WSL2 sont également supportés.

Points d’attention

• L’installateur effectue des vérifications préalables pour valider les dépendances.
• Sur une machine avec moins de 8 Go de RAM, prévoyez au moins 8 Go de swap pour éviter les erreurs OOM pendant l’installation.
• Si vous utilisez nvm ou fnm, et que la commande nemoclaw n’est pas trouvée après l’installation, exécutez source ~/.bashrc ou source ~/.zshrc, puis ouvrez un nouveau terminal si nécessaire.

Guide d’installation rapide

L’intégration de NemoClaw a été pensée pour être la plus fluide possible. Voici les étapes clés :

1. Exécution du script d’installation : La première étape consiste à télécharger et exécuter le script d’installation officiel :

   curl -fsSL https://www.nvidia.com/nemoclaw.sh | bash
   

   Ce script installe automatiquement Node.js si besoin, configure l’assistant d’intégration et prépare l’environnement de sandbox nécessaire. OpenClaw est également installé lors de la configuration de NemoClaw.

2. Configuration assistée : Suite à l’exécution du script, vous serez guidé par des invites dans le terminal. Il vous sera demandé de choisir un provider puis de renseigner la clé API correspondante si nécessaire. Par défaut, le système peut partir sur un modèle NVIDIA, mais d’autres backends restent sélectionnables.

3. Vérification de l’état : Une fois l’installation et la configuration initiales terminées, vous pouvez vérifier que tout est opérationnel avec la commande suivante :

   nemoclaw my-assistant status
   

   Cette commande vous confirmera que la sandbox et les services associés sont bien actifs et prêts à l’emploi.

Configuration initiale : Fichiers et variables

NemoClaw s’appuie principalement sur des fichiers YAML et des variables d’environnement. Cette approche facilite une gestion reproductible, versionnable et plus simple à relire dans le temps.

• Politiques réseau et accès aux données : le fichier openclaw-sandbox.yaml définit quels hôtes externes l’agent peut contacter et quels répertoires système sont accessibles en écriture.

• Variables d’environnement pour les configurations sensibles : vous pouvez injecter des informations critiques, comme des clés d’API ou des identifiants de messagerie, directement lors du lancement. Cela évite de les stocker en clair dans les fichiers de configuration.

  nemoclaw setup --env OPENAI_API_KEY=votre_cle_ici
  

Choix du fournisseur d’inférence

NemoClaw ne vous force pas à utiliser les modèles NVIDIA. Lors de l’onboarding, le système propose plusieurs fournisseurs d’inférence et route les requêtes via OpenShell, ce qui permet de garder les secrets côté hôte tout en limitant ce qui doit entrer dans la sandbox. Des endpoints locaux comme Ollama sont pris en charge, et certaines options expérimentales comme vLLM ou NVIDIA NIM local peuvent aussi être disponibles selon l’environnement.

Fournisseurs supportés

Options locales

NemoClaw sait aussi travailler avec des inférences locales :

• Systèmes OpenAI-compatible : par exemple Ollama ou LM Studio, en renseignant l’URL de base.
• vLLM : option expérimentale, activée avec NEMOCLAW_EXPERIMENTAL=1.
• NVIDIA NIM : option expérimentale, réservée aux GPU compatibles NIM.

Changement à chaud

Le changement de provider peut se faire sans redémarrer la sandbox grâce à la CLI OpenShell :

# Basculer vers OpenAI
openshell inference set --provider openai-api --model gpt-5.4

# Basculer vers Anthropic
openshell inference set --provider anthropic-prod --model claude-sonnet-4-6

# Basculer vers Ollama local
openshell inference set --provider ollama-local --model <model-name>

Configuration du routage

Chaque provider est mappé dans getProviderSelectionConfig, qui associe le nom du provider à sa configuration de routage. Dans la pratique, NemoClaw conserve un point d’entrée unique pour l’inférence, puis délègue vers le provider choisi via le routeur OpenShell. Cela permet de changer de modèle ou de backend sans exposer les credentials à la sandbox.

Utilisation de base : Gestion et surveillance

L’interaction avec NemoClaw passe surtout par une CLI. L’objectif est de rendre le cycle création, connexion et supervision assez direct pour rester utilisable au quotidien.

Gérer vos sandboxes

Une fois l’agent créé, il faut d’abord se connecter à la sandbox, puis choisir l’interface OpenClaw la plus adaptée à votre usage. NemoClaw orchestre l’environnement isolé, et OpenClaw sert de point d’entrée pour dialoguer avec l’agent.

Démarrage rapide

1. Connectez-vous à la sandbox :

   nemoclaw my-assistant connect
   

2. Choisissez votre mode d’interaction :

   • Chat interactif : openclaw tui
   • Prompt unique : openclaw agent --agent main --local -m "votre message" --session-id test

Méthode 1 : OpenClaw TUI pour l’échange interactif

La TUI est adaptée aux échanges en plusieurs tours avec l’agent. Elle offre une interface de chat en temps réel directement dans la sandbox :

# Dans le shell de la sandbox
openclaw tui

Cette approche est pratique pour affiner une consigne, reprendre une réponse ou explorer progressivement un problème sans relancer une commande à chaque étape.

Méthode 2 : OpenClaw CLI pour un prompt ponctuel

Quand vous voulez exécuter une tâche précise ou récupérer une sortie complète dans le terminal, la CLI est plus adaptée :

# Dans le shell de la sandbox
openclaw agent --agent main --local -m "votre prompt ici" --session-id test

L’argument --session-id permet de conserver le contexte d’une conversation. Utilisez un identifiant différent pour chaque fil d’échange afin d’éviter de mélanger les sessions.

Méthode 3 : passer par Telegram

Si vous avez configuré le pont Telegram, vous pouvez aussi envoyer vos prompts à distance :

1. Lancez le bot avec /start
2. Envoyez votre message dans Telegram
3. Le bot transfère la requête à l’agent OpenClaw et vous renvoie la réponse

Exemple de workflow

# 1. Connexion à la sandbox
nemoclaw my-assistant connect

# 2. Démarrage du chat interactif
openclaw tui
# Tapez votre message puis validez

# OU envoi d'un prompt unique
openclaw agent --agent main --local -m "Write a Python script to fetch weather data" --session-id weather

# 3. Sortie de la sandbox une fois terminé
exit

À ce stade, il faut garder un point important en tête : le script Python généré par l’agent vit dans le système de fichiers de la sandbox, pas directement sur votre machine hôte. En pratique, NemoClaw le place dans le workspace dédié de la sandbox, généralement sous /sandbox/.openclaw-data/workspace/, avec un accès plus simple via le lien symbolique /sandbox/.openclaw/workspace/ depuis l’intérieur de l’environnement isolé.

Pour l’inspecter ou le modifier, connectez-vous d’abord à la sandbox puis travaillez dans ce répertoire :

# Depuis la sandbox dans mon cas
ls /sandbox/.openclaw/workspace/
cat /sandbox/.openclaw/workspace/weather/weather.py

Si vous voulez le récupérer sur l’hôte, il faut le copier explicitement hors de la sandbox ou rediriger sa sortie depuis l’intérieur de l’environnement. Cette isolation est volontaire : elle permet de garder les artefacts produits par l’agent dans un espace contrôlé, tant que la sandbox existe.

Points à retenir

• La TUI est idéale pour les conversations interactives et les allers-retours.
• La CLI est préférable pour les réponses longues, les automatisations ou les scripts.
• Toutes les requêtes passent par votre fournisseur d’inférence configuré, qu’il s’agisse de NVIDIA, OpenAI, Anthropic ou d’un backend local.
• Si une requête nécessite un accès réseau non autorisé, la sandbox peut demander une approbation explicite avant l’exécution.

Surveillance en temps réel

NemoClaw intègre l’interface TUI (Terminal User Interface) proposée par OpenShell. Cela offre une visibilité directe sur ce que votre agent est en train d’exécuter :

openshell term

Pour un diagnostic plus approfondi et pour suivre l’évolution des opérations, l’utilisation du suivi des logs est recommandée :

nemoclaw my-assistant logs --follow

Cela vous permet de réagir plus vite à un comportement inattendu ou à d’éventuels problèmes.

Fonctionnalités avancées : Automatisation et Scraping

NemoClaw ne se limite pas à répondre à des requêtes. Son intérêt devient plus net dès qu’on veut faire exécuter des actions concrètes par un agent, dans un cadre qui reste contrôlé.

• Automatisation Web : avec une bibliothèque d’automatisation comme Puppeteer, les agents peuvent interagir avec des sites web, cliquer, remplir des formulaires et naviguer sur des interfaces dynamiques.
• Scraping de données structurées : utile pour la veille, le suivi de marché ou l’extraction d’informations depuis des pages riches en JavaScript.
• Tests fonctionnels : pour une équipe produit ou QA, ce type de sandbox permet de rejouer des parcours utilisateurs et de repérer des régressions plus tôt.

Sécurité et Gouvernance : Une approche rigoureuse

Pour obtenir un déploiement robuste en milieu professionnel, il faut poser quelques règles simples dès le départ. L’objectif n’est pas de tout verrouiller, mais de rendre le système auditable et prévisible.

• Principe du moindre privilège : accordez à chaque agent uniquement les accès strictement nécessaires. Limitez les domaines web autorisés dans les politiques réseau pour réduire la surface d’attaque.
• Audits réguliers : consultez les logs d’audit. Ils fournissent une trace utile des actions entreprises par l’agent, surtout quand l’automatisation web est activée.
• Versioning des configurations : versionnez les fichiers YAML pour pouvoir revenir à une configuration antérieure stable si le comportement observé s’écarte de ce qui était attendu.

Ressources complémentaires et commandes CLI

Pour accompagner l’usage de NemoClaw, voici un aperçu des commandes utiles et des liens vers la documentation officielle.

Tableau récapitulatif des commandes

Liens utiles

Pour approfondir le sujet, vous pouvez consulter les ressources suivantes :

• Documentation officielle : NVIDIA NemoClaw Developer Guide
• Dépôt GitHub : NVIDIA/NemoClaw
• Communauté : Les forums officiels NVIDIA et les salons Discord dédiés à NeMo constituent des lieux d’échange utiles.

Conclusion

NemoClaw peut être une brique intéressante pour déployer des agents IA autonomes dans un cadre plus maîtrisé. Son intérêt principal tient à l’équilibre entre isolation, routage d’inférence et intégration à une infrastructure déjà existante. Si vous cherchez à industrialiser ce type d’usage sans laisser l’exécution partir dans tous les sens, c’est précisément le genre de couche qui mérite d’être évaluée.