NVIDIA NemoClawとは？OpenClawとの違い・WSL導入手順とポリシー設定

NemoClaw（ネモクロー）は、NVIDIAが2026年3月16日にGTC 2026で発表し、同日からアーリープレビューとして公開したオープンソースのリファレンススタックです。OpenClawのような常時稼働型AIエージェントを、NVIDIA OpenShellのサンドボックスに閉じ込めて動かすための導入ツール・ポリシー・推論経路をひとまとめにしています。

公開から半年で中身はかなり変わりました。対応エージェントにHermesとLangChain Deep Agents Codeが加わり、推論先もNVIDIAのほかOpenAI・Anthropic・Gemini・ローカルのOllamaなどから選べるようになりました。この記事では、2026年9月24日（UTC）に打たれたタグ v0.0.129 の公式ドキュメントとリポジトリ内の設定ファイルを読み、OpenClaw単体との違い、既定で開いている通信先、Windows（WSL2）での導入手順、まだ提供されていない企業向け機能を整理しました。

まとめ：NemoClawの正体と導入判断の要点

• 正体：AIエージェント本体ではなく、エージェントを OpenShell のサンドボックスで動かすための「導入CLI＋ポリシー＋ライフサイクル管理」。ライセンスは Apache-2.0 で、ソフトウェア自体は無料です（推論APIの料金は別途）。
• 状態：公式READMEが「alpha project」と明記。最新タグは v0.0.129（タグ作成は2026-09-24 UTC、リリースノートの日付は9月23日）で、インターフェースは版ごとに変わりえます。
• OpenClawとの違い：外向き通信を既定で拒否し、未許可の接続はオペレーターが承認します。APIキーはサンドボックスの外に置かれ、管理下の推論は inference.local を経由し、資格情報はOpenShell側で付与されます。
• 対応環境：検証済みは Linux（Ubuntu 24.04）と DGX Spark。macOS と Windows WSL2 は「制限付きで検証済み」、一般のGeForce RTX搭載PCは「Deferred（未検証）」です。
• 向かない用途：複数ユーザーでの共用、SSO連携、操作者ごとの権限分離。いずれも公式が「対象外」または「ロードマップのみ」としています。

NemoClawの定義とOpenClaw・OpenShellとの役割分担

NemoClawを理解する近道は、3つのプロジェクトの責任範囲を分けて見ることです。公式の Ecosystem ページは、次のように役割を分けています。

OpenClaw自体はNVIDIAの製品ではありません。旧名Clawdbot・Moltbotの時代を含む成り立ちはClawdbot（現OpenClaw）とは？できること・導入手順・危険性を解説で扱っています。NemoClawはその上に「安全に動かすための外枠」を足す位置づけです。

対応エージェントはOpenClaw・Hermes・Deep Agents Codeの3種

発表当初はOpenClaw専用でしたが、リポジトリの履歴では2026年4月にHermes（CLI名 nemohermes）、6月にLangChain Deep Agents Code（ターミナル型のコーディングエージェント dcode）の対応コードが追加されています。現在のREADMEは3種を対応エージェントとして並べ、OpenClawを既定にしています。サンドボックス名ごとに1種類のエージェントが割り当たるため、同じホストでOpenClawとHermesを並べて動かすことも可能です。

「OpenShell単体」との差はブループリントの有無

OpenShellだけでも openshell sandbox create --from openclaw でOpenClawのサンドボックスは作れます。NemoClawが足すのは、SHA-256ダイジェストで固定したイメージ、より絞ったポリシー、プロバイダーの自動登録、スナップショットと復元です。ランタイムイメージからは gcc・make・netcat が取り除かれ、エントリーポイントでプロセス数を ulimit -u 512 に制限します。ただしこの制限はベストエフォートで、確実に強制したい場合はコンテナランタイム側で上限を設定します。自前のイメージや独自の配置が必要ならOpenShell単体、NVIDIAの既定構成で早く安全に立ち上げたいならNemoClaw、というのが公式の使い分けです。

OpenShellのポリシー管理については、NVIDIAがCisco・CrowdStrike・Google Cloud・Microsoft Security・TrendAIと連携すると公式ブログで表明しています。NVIDIAが主導するAIセキュリティの業界連合はOpen Secure AI Allianceとは？NVIDIA主導37社のAIセキュリティ連合とNOOAの中身を解説で取り上げています。

ホストに直接入れたOpenClawとNemoClawの違い

NemoClawが生まれた背景には、OpenClawを手元のPCへそのまま入れたときの権限の広さがあります。OpenClaw自身にもツール実行をサンドボックス化する設定（agents.defaults.sandbox）がありますが、既定では無効です。ここでは、その設定を使わずホストに直接入れた構成とNemoClaw経由の構成を比べます。2026年2月1日にNVDで公開された CVE-2026-25253（CVSS 8.8）は、OpenClaw 2026.1.29 より前の版が、クエリ文字列で渡された gatewayUrl へ確認なしにWebSocket接続し、トークンを送ってしまう脆弱性でした。開発元のアドバイザリによれば、流出したトークンからゲートウェイを乗っ取りコード実行まで至る攻撃でした。エージェントがホストの資格情報と外部ネットワークの両方に触れる構成では、1つの脆弱性の被害がそのユーザー権限で読めるデータ全体に及びます。

注意したいのは「サンドボックスに入れればエージェントの判断ミスが消える」わけではない点です。ClawHubから入れたスキルが悪意あるコードを含んでいても、許可済みの通信先とファイルの範囲では動けます。NemoClawが減らすのは被害の範囲であって、スキルの審査は引き続き利用者側の仕事です。

サンドボックスとネットワークポリシーの仕組み

NemoClawの防御の中心は、YAMLで書かれたポリシーです。OpenClaw用の基準ポリシーはリポジトリの nemoclaw-blueprint/policies/openclaw-sandbox.yaml にあり、ファイル冒頭に「deny by default, allow only what’s needed」という原則が書かれています。

既定で許可されている通信先

基準ポリシーで開いているのは、OpenClawが動くのに最低限必要な宛先だけです。下表は外部サービス向けのルールで、このほか管理下の推論経路 inference.local も基準に含まれます。いずれも443番ポートで、TLS終端のうえメソッドとパスまで照合されます（Network Policies）。

GitHub、Slack・Discord・Telegramなどのメッセージング先は基準ポリシーに含まれていません。これらは導入時にチャンネルを有効にするか、プリセットを追加して初めて通信できます。ポリシーにない宛先へのリクエストは遮断され、openshell term の画面にオペレーターの承認待ちとして表示されます。承認はそのサンドボックスが存在する間だけ有効で、destroy して新しく作り直すと基準に戻ります。

導入時に選ぶ4つのポリシーティア

オンボーディングの途中で、基準ポリシーに何を上乗せするかを「ティア」で選びます。

社内データや業務の資格情報を扱うなら、Personalは選ぶべきではありません。80番と443番への接続を宛先ホストを問わず通すため、公式ドキュメント自身が「エージェントはワークスペースのデータや見えている資格情報を、承認なしに任意のサービスへ送れる」と警告しています。Personalでもファイルシステムとプロセスの制限、APIキーのホスト側保管は残りますが、通信先の絞り込みと承認フローは80番・443番について失われます。

社内APIを足すカスタムプリセットの書き方

組み込みプリセットにない宛先は、同じ形式のYAMLを書いて policy add --from-file で追加します。次の例は、社内Wikiの読み取りだけを node 経由で許可するものです（形式は同梱の jira.yaml に合わせています）。

# presets/internal-wiki.yaml
preset:
  name: internal-wiki
  description: "社内Wikiの読み取りのみ"

network_policies:
  internal_wiki:
    name: internal_wiki
    endpoints:
      - host: wiki.example.co.jp
        port: 443
        protocol: rest
        enforcement: enforce
        rules:
          - allow: { method: GET, path: "/api/**" }
    binaries:
      - { path: /usr/local/bin/node }

適用前に --dry-run で開く範囲を確かめ、問題なければ本適用します。宛先がプライベートIPに解決される社内ホストの場合は、--trusted-private-host でホストを明示しないとSSRF対策で遮断されます。

nemoclaw my-assistant policy add --from-file ./presets/internal-wiki.yaml --dry-run
nemoclaw my-assistant policy add --from-file ./presets/internal-wiki.yaml

ファイルシステムと資格情報の扱い

基準ポリシーで書き込めるのは /sandbox（ホーム）、/tmp、/sandbox/.openclaw などに限られ、/usr・/etc・/lib は読み取り専用です。ただしLinuxカーネルのLandlockによる強制は現状 best_effort で、カーネルが対応していなければ制限が弱いまま起動します（Deep Agents Codeだけは strict で、強制できなければ起動しません）。APIキーはOpenShellのプロバイダーとしてホスト側に保存され、サンドボックス内にはプレースホルダーだけが渡ります。

推論プロバイダーとモデルの選び方

NemoClawは導入時に推論プロバイダーとモデルを検証してからサンドボックスを作ります。NVIDIA Endpoints を選んだ場合の既定モデルは、OpenClawとHermesが nvidia/nemotron-3-super-120b-a12b（Nemotron 3 Super）、Deep Agents Codeが Nemotron 3 Ultra です。既定モデルがカタログにないときはライブカタログの先頭の注目モデルが既定になり、別のモデルIDを入力することもできます（Nemotron 3 Superの性能はNemotron 3 Superのベンチマーク性能とQwen3.5・GPT-OSS比較｜NVFP4・VRAM・料金で比較しています）。

以下は主な選択肢の抜粋です。Hermes専用のHermes Provider、OpenAI互換・Anthropic互換のカスタムエンドポイント、実験的なllama.cppもあり、対応条件は公式のChoose an Inference Providerで確認できます。

Azure OpenAI・Vertex AI・SageMakerは正式な選択肢にありません。AWS Bedrockは「Anthropic互換エンドポイント」の経路で動作確認されています。機密データを外に出したくない場合はローカルのOllamaかvLLMを選びますが、Ollamaの検証済みモデルは qwen3.6:35b・nemotron-3-nano:30b・qwen3.5:9b の3つで、VRAM量に応じて選ぶ形です。ローカルNIMは NEMOCLAW_EXPERIMENTAL=1 を立てないと選択肢に出ません。

導入要件とインストール手順

ハードウェアと対応プラットフォーム

クラウドの推論APIを使うなら、GPUは不要です。公式の要件は次のとおりで、サンドボックスイメージは圧縮状態で約2.4GBあります。

メモリ8GB未満ではイメージ展開中にOOM killerが走ることがあり、公式は8GB以上のスワップを回避策に挙げています。Platform Support によると、プラットフォームごとのステータスは Linux（Ubuntu 24.04）と DGX Spark が Tested、macOS（Apple Silicon）・Windows WSL2・DGX Station が Tested with limitations です。一般のGeForce RTXやRTX Proを積んだLinux機は Deferred（ロードマップ上で未検証）に分類されており、発表時の「RTX搭載PCで動く」という印象とは異なります。ネイティブWindowsは非対応で、WSL2が必須です。

LinuxとmacOSでのインストール

ホスト型インストーラーを実行すると、そのまま対話式のオンボーディングに入ります。エージェントの種類、推論プロバイダーとモデル、サンドボックス名（既定は my-assistant）、ポリシーティアの順に聞かれます。

curl -fsSL https://www.nvidia.com/nemoclaw.sh | bash

# 完了後の確認と起動
nemoclaw my-assistant status
nemoclaw launch my-assistant          # OpenClawのTUIを起動
nemoclaw my-assistant dashboard-url --quiet   # ブラウザ用のURLを表示

インストーラーは実行時点の最新版を入れるため、画面や質問の順序が本記事の対象版（v0.0.129）とずれる場合があります。SSH越しなどTTYがない環境では、v0.0.34以降サードパーティソフトウェアの同意が自動では通りません。環境変数は curl 側ではなく bash 側に付けます。

curl -fsSL https://www.nvidia.com/nemoclaw.sh | NEMOCLAW_ACCEPT_THIRD_PARTY_SOFTWARE=1 bash

macOSでColimaを使う場合は、DockerのCLIも入れたうえで、インストール前にColimaを起動しておきます。

brew install colima docker
colima start --cpu 4 --memory 8
docker info

WindowsでWSL2を使う手順

Windows 10（ビルド19041以降）または Windows 11 が前提で、NVIDIAの検証はx86-64のみです。WSLの基本設定はWSLで開発環境を構築する手順｜.wslconfig調整とDocker連携・肥大化の対処も参照してください。NemoClawはWindows側で実行するブートストラップスクリプトを用意しており、WSL2の有効化、Ubuntu 24.04の導入、Docker DesktopのWSL連携までをまとめて行います。

# Windows PowerShell（WSLの中ではなくWindows側）で実行
Invoke-WebRequest -Uri 'https://raw.githubusercontent.com/NVIDIA/NemoClaw/main/scripts/bootstrap-windows.ps1' -OutFile "$env:TEMP\bootstrap-windows.ps1"
powershell.exe -ExecutionPolicy Bypass -File "$env:TEMP\bootstrap-windows.ps1"

再起動が必要な場合、スクリプトは次回サインイン時に続きを実行するよう登録します。その後はWSLのUbuntuで上のLinux手順を実行します。Run express install with these settings? [Y/n] でEnterを押すと、WSL向けの推奨設定（ローカル推論はWSL内のOllama）が選ばれます。クラウドの推論APIを使いたい場合は n を入力し、対話式の画面でプロバイダーとモデルを選びます。Docker Desktopを使わずrootless Podmanを選ぶ経路もありますが、その場合はブートストラップを使わず手作業で準備します。

導入後によく使うコマンド

導入前に確認したい制約と採用判断

NemoClawの公式ドキュメントには、企業評価者向けに「今できること／手作業になること／対象外のこと」を仕分けた Enterprise Readiness のページがあります。導入を決める前に読むべきはここです。

企業向けに提供されていない機能

公式は自らを「1台のホストを1人の信頼できるオペレーターが扱うためのリファレンス」と定義しています。部署で1台のサーバーを共有し、複数人がそれぞれのエージェントを動かす使い方は想定外です。費用面でも、NemoClawは推論の使いすぎを止めません。無人で動かすエージェントには、プロバイダー側で利用上限を必ず設定してください。

OpenShellの対応バージョンと更新経路

v0.0.129のブループリントは、対応するOpenShellを min_openshell_version・max_openshell_version ともに 0.0.116 に固定しています。OpenShellは2026年9月25日に v0.1.0 を公開しましたが、NemoClaw管理下の環境で openshell self-update を実行すると組み合わせが崩れます。公式も、OpenShellの作り直しは nemoclaw onboard 経由で行うよう求めています。エージェント本体もイメージに固定されているため、サンドボックス内で直接アップデートせず、NemoClawを更新してから rebuild します。

採用を見送るべきケース

次のどれかに当てはまるなら、現時点のNemoClawは本番に入れず、評価環境に留めるのが妥当です。

• エージェントを複数の社員で共用し、利用者ごとに権限や監査を分けたい
• 社内のIDプロバイダーでログインを統制することが導入条件になっている
• 検証対象のハードウェアがDeferredのRTX搭載Linux機やWindows on ARMしかない
• 障害時の応答時間を保証してほしい（READMEはissue対応を「best effort」と明記）

逆に、個人または少人数の開発者が1台のLinux機やDGX Sparkで、社外APIへの通信先を絞りながらOpenClawを常時稼働させたいなら、ホストに直接入れる場合と比べて、書き込めるパス・通信先・APIキーの置き場所を設定ファイルで限定できます。Windowsのプロセス隔離をOS側で行う方式はMicrosoft Execution Containers（MXC）とは？9バックエンドの選び方とSDKの実装手順【2026年9月時点】で比較できます。

よくある質問

NemoClawの料金はかかりますか？

NemoClaw自体は Apache-2.0 のOSSで無料です。費用が発生するのは推論で、NVIDIA Endpoints・OpenAI・Anthropicなどのクラウドを使えば各社のAPI料金がかかります。ローカルのOllamaやvLLMを使えばAPI料金は不要です。OllamaはCPUだけでも推論できますが、検証済みモデルの規模を実用的な速度で動かすにはGPUのVRAMが事実上の条件になります。

SlackやMicrosoft Teamsと連携できますか？

OpenClawとHermesでは、Telegram・Discord・Slackに加え、実験的機能としてGoogle Chat・WeChat・WhatsApp・Microsoft Teamsに対応しています。導入時に選ぶか、あとから channels add で追加します。基準ポリシーには含まれないため、チャンネルを有効にすると対応するプリセットが追加されます。

CodexやClaude Codeとはどう違いますか？

NemoClawはコーディングエージェントではなく、エージェントを閉じ込めて動かす外枠です。CodexやClaude Codeは、NemoClawのスタータープロンプトを渡して導入作業を手伝わせる側として公式READMEに登場します。サンドボックス内でコーディングエージェントを動かしたい場合は、対応エージェントのLangChain Deep Agents Codeを選びます。

DGX SparkやGPUは必須ですか？

必須ではありません。クラウドの推論APIを使うなら、4 vCPU・メモリ8GB以上のLinux機やWSL2で動きます。DGX Sparkはローカル推論（管理下のvLLM）まで含めて検証済みのプラットフォームです。GPUの要否はローカル推論の方式とモデルの大きさで変わり、NVIDIA NIMや管理下のvLLMはGPUが前提です。

NemoClawは本番環境で使えますか？

公式READMEは「alpha project」、概要ページは「early-preview reference stack」としており、版ごとにインターフェースが変わりえます。マルチテナントやSSOも未提供のため、現時点では評価環境か、1人のオペレーターが管理する小規模な常時稼働用途に限るのが現実的です。

関連記事

• Clawdbot（現OpenClaw）とは？できること・導入手順・危険性を解説
• Nemotron 3 Superのベンチマーク性能とQwen3.5・GPT-OSS比較｜NVFP4・VRAM・料金
• Microsoft Execution Containers（MXC）とは？9バックエンドの選び方とSDKの実装手順【2026年9月時点】
• WSLで開発環境を構築する手順｜.wslconfig調整とDocker連携・肥大化の対処
• Open Secure AI Allianceとは？NVIDIA主導37社のAIセキュリティ連合とNOOAの中身を解説