Lokale Modelle reduzieren eine Risikoklasse: Prompts und Dokumente müssen Ihr LAN für Inferenz nicht verlassen. Sie reduzieren eine andere nicht: ein Agent mit Tools kann weiterhin Dateien lesen, Netzverbindungen öffnen und Aktionen ausführen, die Sie nicht beabsichtigt haben.
NVIDIA NemoClaw ist ein Open-Source-Referenz-Stack, mit dem sich Agenten durch NVIDIA OpenShell sicherer in Sandboxes ausführen lassen. Er umfasst eine geführte Einrichtung, Netzwerk-Policies, Lebenszyklusverwaltung und geroutete Inferenz. Auf unterstützten DGX-Plattformen kann das aktuelle Installationsprogramm einen Express-Pfad zu verwalteter lokaler Inferenz anbieten.
Mit Stand vom 10. August 2026 bezeichnet NVIDIAs maßgebliche Matrix zur Plattformunterstützung NemoClaw als Alpha-Projekt in einer frühen Vorschauphase. Die Maintainer reagieren nach bestem Bemühen, und es gibt kein SLA für den Produktivbetrieb. Auch das OpenShell-Repository bezeichnet die Runtime als Alpha und beschreibt das aktuelle Betriebsmodell als einen Entwickler, eine Umgebung und ein Gateway. Bewerten Sie beide Projekte entsprechend, selbst wenn eine einzelne Funktion oder Plattformzeile als Tested gekennzeichnet ist.
Offizielle Einstiege:
- Spark-Playbook: build.nvidia.com/spark/nemoclaw
- Quelle und Issues: github.com/NVIDIA/NemoClaw
- Dokumentationsübersicht: docs.nvidia.com/nemoclaw
- OpenShell: github.com/NVIDIA/OpenShell
Verwandte Themen: Was DGX Spark ist, die Praxis der lokalen Inferenz und Muster für die Bereitstellung privater KI.
NemoClaw und OpenShell begrenzen den Schadensradius, beseitigen das Risiko durch Agenten aber nicht. Beide Projekte sind Alpha-Software, und NVIDIAs eigenes Spark-Playbook beschreibt den Einsatz als Demonstrationspfad mit Restrisiken: Datenabfluss, Ausführung bösartigen Codes, unbeabsichtigte Aktionen und Prompt-Injection. Nutzen Sie für die erste Installation eine saubere Umgebung. Verbinden Sie keine Produktivzugangsdaten, Kundendatenbanken oder privilegierten Cloud-Konten, bevor Sie Policies, Protokollierung und menschliche Freigabeschritte bewusst gestaltet haben.
Was NemoClaw ist (und nicht ist)
| Es ist | Es ist nicht |
|---|---|
| Ein Referenz-Stack und eine CLI für Agenten in Sandboxes | Eine Compliance-Zertifizierung |
| OpenShell-gestützte Isolation mit Policy-Hooks | Eine Garantie gegen Prompt-Injection |
| Geroutete Inferenz zu kontrollierten Backends (einschließlich lokalem vLLM auf Spark) | Eine Pflicht, für immer nur ein Agentenprodukt zu nutzen |
| Ein Alpha-Stack in einer frühen Vorschauphase mit versionierten Releases | Ein Drop-in-Ersatz für Ihr IAM- und DLP-Programm |
Unterstützte Agenten (laut NemoClaw-README; prüfen Sie am Installationstag die aktuelle Dokumentation):
- OpenClaw, das standardmäßige Multi-Kanal-Agenten-Gateway
- Hermes Agent, die selbst gehostete Runtime von Nous Research für Terminal, Messaging, Werkzeuge und Gedächtnis
- LangChain Deep Agents Code, eine terminalorientierte Entwicklungs-Runtime ohne Gateway oder Dashboard in der Sandbox
NVIDIAs aktuelle Support-Matrix führt alle drei Agenten als Tested auf. Das bedeutet nicht, dass sie produktionsreif sind: Laut Matrix stehen eine breitere Abnahme in der laufenden Runtime und Diagnosen für Terminalagenten bei Deep Agents Code weiterhin aus. Sie behauptet außerdem keine Produktionsparität zwischen Hermes und OpenClaw.
Sie wählen den Agenten nach der Benutzerführung in den Kanälen und seinem Umgang mit Werkzeugen aus. NemoClaw stellt die Sandbox und den Einrichtungsweg darum bereit.
Aktuelles Onboarding auf DGX Spark (Konzept)
Der aktuelle OpenClaw-Quickstart installiert über NVIDIAs gehostetes Skript und schließt die Einrichtung dann mit nemoclaw onboard ab. Auf einem unterstützten DGX Spark mit aktuellem DGX OS kann das Installationsprogramm verwaltete lokale Express-Inferenz anbieten. Die Einrichtung umfasst im Wesentlichen:
- Abhängigkeiten wie Node.js, OpenShell und NemoClaw CLI nach Bedarf abrufen oder bestätigen.
- Verwaltetes vLLM oder den aktuellen lokalen Inferenzpfad des Playbooks auf dem Spark einrichten.
- Ein vom Installer empfohlenes lokales Standardmodell und ein anfängliches Policy- und Sandbox-Profil wählen.
- Die Sandbox erstellen und die vom gewählten Agenten unterstützte Oberfläche bereitstellen. OpenClaw und Hermes bieten Dashboard-Pfade; Deep Agents Code ist terminalorientiert und besitzt weder Gateway noch Dashboard in der Sandbox.
Schreiben Sie keinen Modellnamen als dauerhafte Vorgabe in die Architekturdokumentation. Das in Express Install aufgeführte Standardmodell kann sich zwischen Playbook-Versionen ändern. Schreiben Sie „vom Installer empfohlenes lokales Modell“, notieren Sie die genaue ID aus der Installer-Ausgabe im Runbook und prüfen Sie build.nvidia.com/spark/nemoclaw erneut, wenn Sie die Umgebung neu aufbauen.
Eine angepasste Einrichtung bleibt möglich, wenn Sie einen anderen Agenten, Inferenzanbieter oder eine andere Policy-Ausrichtung benötigen. Für Hermes empfiehlt die aktuelle NVIDIA-Dokumentation den Alias nemohermes onboard und unterstützt außerdem nemoclaw onboard --agent hermes. Setzen Sie NEMOCLAW_AGENT=hermes, wenn Sie Hermes über den gehosteten Installer auswählen. Prüfen Sie am Installationstag den aktuellen Hermes-Quickstart.
Voraussetzungen (Spark-Playbook)
- DGX Spark mit Tastatur/Monitor oder SSH.
- Frisches, aktualisiertes DGX OS.
- Funktionierende GPU-Erkennung und Docker. Das Playbook erwartet eine aktuelle Docker-Version; prüfen Sie
nvidia-smiunddocker info, bevor Sie NemoClaw debuggen.
Optional können Sie später Messaging-Kanäle wie Telegram und APIs für die Websuche hinzufügen. Sie erweitern die von der Netzwerk-Policy erfasste Oberfläche. Behandeln Sie sie als separates Änderungsfenster, nicht als Standardumfang.
Policy-Schichten: worauf es ankommt
Das OpenShell-README beschreibt vier Sandbox-Policy-Domänen: Dateisystem, Netzwerk, Prozesse und Inferenz. Die aktuelle NemoClaw-Sicherheitsdokumentation nennt fünf Schutzschichten, da sie die Gateway-Authentifizierung hinzunimmt, also die Grenze der Steuerungsebene, die festlegt, welche Geräte und Clients das Gateway oder Dashboard erreichen dürfen. Sie ist eine verwandte Sicherheitsschicht, keine fünfte Sandbox-Policy-Domäne.
| Schicht | Schützt vor | Aktuelle Änderbarkeit |
|---|---|---|
| Dateisystem | Lese-/Schreibzugriffen außerhalb erlaubter Pfade und auf geschützten Runtime-Zustand | Erfordert die Neuerstellung der Sandbox |
| Netzwerk | Unautorisierten ausgehenden Verbindungen und Datenabfluss | Per Policy-Änderung oder Betreiberfreigabe im Betrieb aktualisierbar |
| Prozess | Rechteausweitung, Forkbomben und gefährlichen Systemaufrufen | Erfordert die Neuerstellung der Sandbox |
| Inferenz | Offenlegung von Zugangsdaten und unautorisiertem Modellzugriff | Über NemoClaws Befehl zum Wechseln der Inferenz änderbar |
Die Gateway-Authentifizierung schützt, sofern vorhanden, den Zugriff auf Gateway und Dashboard. NVIDIA dokumentiert derzeit, dass sie beim Image-Build oder Onboarding festgelegt wird, nicht als im laufenden Betrieb änderbare Sandbox-Policy.
Folgen für die Gestaltung:
- Legen Sie die Dateisystem-Mounts fest, bevor Sie die Sandbox erstellen, die Sie behalten möchten. „Wir öffnen das Home-Verzeichnis später“ führt schnell dazu, dass lokale Agenten alle SSH-Schlüssel auf dem System erhalten.
- Nutzen Sie die Netzwerk-Policy als laufend gepflegte Allowlist: Webhooks für Messaging, Such-APIs und interne HTTP-Endpunkte sollten ausdrücklich aufgeführt sein. Halten Sie das OpenShell-Gateway und jedes weitergeleitete Dashboard auf Loopback oder einer anderen bewusst zugriffsbeschränkten Grenze. Die Gateway-Authentifizierung allein schützt ein öffentlich erreichbares Agenten-Dashboard nicht ausreichend.
- Routen Sie die Inferenz über den kontrollierten Pfad, damit der Agent vertrauliche Prompts nicht unbemerkt an eine öffentliche API sendet, sofern Sie diesen Anbieter nicht ausdrücklich zulassen.
- Lesen Sie NVIDIAs Netzwerk-Policies und Sicherheitsempfehlungen, bevor Sie die Balanced- oder Standardvorgaben lockern.
Eine Sandbox bedeutet nicht, dass keine Audit-Spur entsteht. Legen Sie fest, wer Agenten-Logs lesen darf, wie lange Werkzeugspuren aufbewahrt werden und ob Kanaltranskripte erhalten bleiben. Auch bei lokaler Inferenz können Cloud-Kanäle Inhalte nach außen übertragen.
OpenClaw vs. Hermes vs. „nur OpenShell“
| Wahl | Wann es passt |
|---|---|
| OpenClaw (Standard) | Sie benötigen ein Gateway für mehrere Kanäle; Control UI und Kanäle gehören zum Nutzungskonzept |
| Hermes | Sie benötigen eine selbst gehostete Runtime für Werkzeuge, Gedächtnis, Cron und Webhook-basierte Integration, einschließlich n8n-ähnlicher Verbindungen an anderer Stelle im Stack |
| Deep Agents Code | Sie benötigen den von NemoClaw dokumentierten, als Tested markierten reinen Terminalpfad von LangChain und akzeptieren die verbleibenden Vorbehalte der Matrix zur Live-Abnahme |
| OpenShell allein | Sie benötigen die Alpha-Sandbox-Runtime ohne NemoClaws Onboarding und Blueprint und bewerten deren aktuelle Betriebsgrenze für einen einzelnen Entwickler ausdrücklich |
NemoClaw ist eine optionale Integrationsschicht, keine Grundsatzentscheidung. Für produktionsnahe Demonstrationen sind Policies, geroutete Inferenz und Werkzeuge mit geringstmöglichen Rechten unverzichtbar, unabhängig davon, welches Agentenprogramm in der Sandbox läuft.
Die Quickstarts von Hermes und die Sicherheitsdokumentation von OpenClaw gelten weiterhin in der Sandbox: Kanal-Allowlists, Pairing und Regeln für Gruppenerwähnungen sind wichtig, weil die Werkzeuge Shell, Dateien und Browser umfassen können. OpenShell beschränkt den Host, schafft aber keine sichere Kanalhygiene für Sie. Prüfen Sie am Installationstag die aktuelle Agentendokumentation: OpenClaw-Dokumentation, offizielle Hermes-Dokumentation und den aktuellen NemoClaw-Hermes-Quickstart.
Fehlermodi und operative Grenzen
| Fehler | Was schiefgeht | Kontrolle |
|---|---|---|
| Einrichtung auf einem unsauberen Host | Agent kann sensible Dateien über breite Mounts erben | Saubere Testumgebung für die erste Inbetriebnahme |
| Zu breite Netzwerkfreigabe | Prompt-Injection → Datenabfluss über HTTP | Enge Policy für ausgehenden Verkehr; neue Ziele bewusst freigeben |
| Unauthentifiziertes lokales vLLM | Andere LAN-Nutzer fragen Ihr privates Modell ab | Privat binden; authentifizieren; Firewall |
| Kanal ohne Pairing-Regeln | Fremde lösen Werkzeugnutzung aus | OpenClaw-/Hermes-Allowlists, Pairing und Erwähnungsregeln |
| Alpha-Software als fertig behandeln | Ausfälle oder verändertes Verhalten nach einem Update | Versionen festschreiben; Release- und Sicherheitshinweise lesen; Upgrades stufenweise einführen |
| Keine menschliche Freigabe für Aktionen | Agent sendet E-Mails, führt Änderungen zusammen oder löscht | Freigabe für Tools mit hoher Auswirkung verlangen |
Prüfen Sie die aktuellen NemoClaw-Release-Notes und die SECURITY.md, schreiben Sie die getestete Version fest und nutzen Sie den dokumentierten privaten Meldekanal für Sicherheitsprobleme.
Wie das in einen größeren privaten Stack passt
NemoClaw auf einem Spark ist oft Schritt eins einer längeren Architektur:
| Schicht | Beispiel |
|---|---|
| Inferenz | Lokales vLLM über Express Install oder eine eigene Einrichtung auf Spark; später TP über zwei Sparks |
| Agent | OpenClaw oder Hermes in OpenShell über NemoClaw |
| Automatisierung | n8n oder Ähnliches im LAN, das Webhooks von Hermes oder OpenClaw für deterministische Integration aufruft |
| Menschen | Freigabeschritte für CRM-Schreibvorgänge, ausgehende E-Mails und Shell-Zugriff im Produktivbetrieb |
Keine dieser Schichten muss Teil einer einheitlichen Herstellerlösung sein. Die dauerhafte Regel lautet: deterministische Integration außerhalb des Modells, Urteilsaufgaben im Agenten und Policy um beides. Gesamtskizzen, die Spark-Clustering, einen lokalen OpenAI-kompatiblen Modellserver, n8n und Hermes kombinieren, sind Architekturoptionen und keine Pflicht, jede Komponente vom ersten Tag an zu betreiben.
Vorgeschlagener erster Pfad (Spark)
- DGX OS aktualisieren;
nvidia-smiund Docker-GPU-Zugriff bestätigen. - Express Install im Spark-Playbook folgen und die vom Installer gewählte Modell-ID sowie das Policy-Profil notieren.
- Web-UI oder TUI nur mit nicht sensiblen Prompts nutzen, bis Dateisystem- und Netzwerk-Policies geprüft sind.
- Einen Kanal oder ein internes HTTP-Tool hinzufügen, nicht fünf.
- Ein einseitiges Runbook erstellen: wie Sie die Sandbox stoppen oder zerstören, Kanal-Tokens widerrufen, den unterstützten Zustand sichern oder wiederherstellen und den installierten agentenspezifischen Deinstallationsbefehl sicher verwenden. Die aktuelle Hermes-Dokumentation verwendet
nemohermes uninstall. - Den Agenten erst dann auf private Korpora zugreifen lassen und bei Qualitätsproblemen die Grenzen der lokalen Inferenz berücksichtigen.
Abnahmeprüfungen vor „echten“ Daten
- Die Dateisystem-Mounts entsprechen der vorgesehenen Allowlist; das Home-Verzeichnis wird nicht versehentlich freigegeben.
- Die Netzwerk-Policy lehnt unerwarteten ausgehenden Verkehr ab; ein Test mit curl zu einem nicht erlaubten Host schlägt fehl.
- Der Inferenzverkehr geht an das konfigurierte, geroutete lokale Backend und nicht versehentlich über einen öffentlichen API-Schlüssel.
- Kanal-Pairing und Allowlists lehnen einen unbekannten Absender ab.
- Sie können die Sandbox stoppen oder zerstören und den dokumentierten Deinstallationspfad ausführen; anschließend erfassen Sie die verbliebenen Container, Anbieter, Zugangsdaten und erhaltenen Zustände.
Laut aktueller NVIDIA-Deinstallationsdokumentation entfernt nemohermes uninstall --yes aktive NemoClaw-Runtime-Ressourcen, erhält aber standardmäßig rebuild-backups/, backups/ und sandboxes.json. Die erhaltenen Registry-Einträge sind nach einer Neuinstallation nicht automatisch verwendbar, weil die Deinstallation das Gateway, Anbieterregistrierungen und die referenzierten Images entfernt. Behandeln Sie erhaltene Metadaten nicht als Wiederherstellungsplan, ohne die aktuelle Referenz zu Hostdateien und Zustand zu prüfen.
Verwenden Sie --destroy-user-data nur, wenn Sie diese erhaltenen Backups und Registry-Metadaten absichtlich löschen möchten. --yes bestätigt die Deinstallationsabfragen; erhaltene Benutzerdaten werden dadurch nicht automatisch gelöscht. Testen Sie den genauen, versionsgebundenen Befehl in einer sauberen Umgebung und prüfen Sie, was zurückbleibt. Dieser Artikel hat diesen Rückbaupfad nicht ausgeführt.
Was Sie noch nicht tun sollten
- Fügen Sie keine Produktiv-API-Schlüssel in einen Chat mit einem Coding-Agenten ein, der „bei der Installation hilft“, wenn keine Regeln zur Maskierung gelten. Die ursprünglichen Start-Prompts warnen aus gutem Grund davor.
- Gehen Sie nicht davon aus, dass eine Sandbox die Lösung für regulierte Entscheidungen im Gesundheits- oder Rechtsbereich sicher macht.
- Überspringen Sie die Netzwerk-Policy nicht, weil „es nur im LAN ist“.
- Dokumentieren Sie keinen bestimmten Standardmodellnamen als dauerhaften Architekturstandard.
NVIDIA dokumentiert NemoClaw auf Spark als Alpha-Pfad in einer frühen Vorschauphase, um unterstützte Agenten mit gerouteter Inferenz hinter OpenShell zu betreiben. Prüfen Sie den vollständigen Pfad einschließlich Tests für verweigerte Zugriffe, Rückbau und Wiederherstellung, bevor Sie Ihr Deployment als funktionierend beschreiben.
