NemoClaw 并不是 OpenClaw 的竞争对手，而是套在它外面的一层沙箱。截至 2026 年 10 月，这层沙箱到底能做什么、还留下了哪些缺口，以及无论你选哪个，该如何加固一个自托管的智能体。
2026 年 10 月更新：自初版以来有哪些变化
- 我曾把 NemoClaw 称为“具备企业级可用性”。这说得太宽厚了：NVIDIA 自己把它描述为一个面向单台主机上单个可信运维者的早期预览参考栈，而不是多租户的企业级控制平面。
- OpenShell 并不是 OpenClaw 的组件，而是 NVIDIA 的沙箱运行时。如今 OpenClaw 也可以直接把它用作沙箱后端。
- 我列出的那些 OpenClaw 默认配置已经过时了：在普通主机上，网关默认绑定到 loopback，大多数渠道会用配对码回应陌生发送者，
openclaw security audit会检查配置，会话会写入磁盘，如今存放在每个智能体各自的 SQLite 数据库中（较早的会话为 JSONL）。不过，沙箱依然默认关闭。 - 在当前的 NemoClaw 文档里，我找不到自动的 PII 过滤。文档中写明的是：秘密信息脱敏，以及一个针对记忆文件的秘密扫描器。
- 除 Linux 外，前置条件现在也把 macOS（Apple Silicon）和 WSL2 列为“有限制地经过测试”。Node.js 要求从 v20 提高到 22.19+。
OpenClaw、OpenShell 和 NemoClaw 如今分别是什么
OpenClaw（早先叫 Clawdbot，后来叫 Moltbot）是一个自托管的网关，把 WhatsApp、Telegram 或 Slack 这类聊天渠道连接到一个 AI 智能体上。按照它自己的文档，这个智能体可以执行 shell 命令、读写文件、访问网络服务，并向任何人发送消息（前提是拥有渠道访问权限）。此外还有来自 ClawHub 市场的 skill。2026 年 2 月，创始人 Peter Steinberger 加入了 OpenAI；按照他的公告，项目将迁入一个基金会并保持开放。超过 39 万个 GitHub star：绝不是小众项目。
OpenShell 是 NVIDIA 用于智能体沙箱的开源运行时：网络命名空间、seccomp、Landlock，一个所有对外连接都必须经过的代理，以及推理路由，让 API key 留在主机上。
NemoClaw 是 NVIDIA 架在它之上的参考栈，于 2026 年 3 月 16 日在 GTC 上发布。一个 CLI 加上一份带版本的 blueprint，通过 nemoclaw onboard 为 OpenClaw 构建一个加固过的 OpenShell 沙箱，如今也支持 Hermes 和 LangChain Deep Agents Code。当前状态：2026 年 10 月 1 日发布的 v0.0.130，仍处于早期预览。模型依然可以自由选择，从 NVIDIA、Anthropic、OpenAI 到通过 Ollama 运行的本地模型都行。
办公室类比
这个类比也揭示了它的边界：没有哪个闸机能阻止员工在电话里轻信一个骗子。
威胁模型：一个三条腿俱全的智能体
一个自托管的助手，几乎天生就是致命三要素。它读你的邮件、日历和文件：私有数据。它处理来自群聊、网页和 skill 描述的消息：不可信内容。而它存在的全部意义就是对外通信：发消息、调 API、请求 URL。对一个消息型智能体来说，第三条腿不是副作用，它就是产品本身。
OpenClaw 自己的文档说得很冷静：大多数故障并不是什么奇特的漏洞利用，而是“有人给机器人发了条消息，机器人就照做了”。那里给出的防御顺序是：先身份（谁能和机器人对话），再范围（它能在哪里行动），最后才是模型，并且假定模型是可以被操纵的。这正是贯穿这个系列的“架构优先于提示词”的立场。
2026 年实际发生了什么
- ClawHavoc（2 月）：Koi Security 审查了 ClawHub 上的 2,857 个 skill，发现其中 341 个是恶意的，其中 335 个来自同一场攻击活动。一段伪造的 “Prerequisites” 章节诱使用户安装了 Atomic Stealer 之类的恶意软件。此后 OpenClaw 用 VirusTotal 扫描 skill，但它自己也承认：一个用自然语言指示智能体去做恶意之事的 skill，不会触发任何病毒特征码。
- CVE-2026-25253（CVSS 8.8，已在 2026.1.29 修复）：Control UI 从查询字符串中接收一个
gatewayUrl，并在不询问的情况下把网关 token 发往那里。只要点击一个精心构造的链接，就足以接管网关；即使网关绑定在 loopback 上也一样，因为连接是由受害者的浏览器发起的。 - Claw Chain（5 月，已在 2026.4.22 修复）：四个可串联的漏洞，其中三个位于 OpenClaw 的 OpenShell 沙箱后端和 MCP loopback，包括一个竞态条件，可以把写操作重定向到沙箱之外；第四个则出在 exec 白名单中。起点是：在沙箱内获得代码执行，例如通过恶意插件或提示注入。
- CVE-2026-24222（NemoClaw，已在 v0.0.18 修复）：提示注入可以让智能体读取并外泄未被充分隔离的主机环境变量。
- 整体情况：OpenClaw 仓库列出了700 多条已发布的安全公告，其中 14 条为严重级别（截至 2026 年 10 月 6 日）。这也说明它的漏洞披露流程在正常运转，但同时意味着：要像对待浏览器一样及时打补丁。
两条教训。第一：沙箱本身也是代码，也有 bug。要为它被突破的情况做好准备。第二：这些攻击链都始于不可信内容与智能体或其用户相遇的地方，也就是一个 skill、一个链接、一条被注入的消息。我在《AI 智能体成为攻击面的这一年》里描述的正是这种模式。
NemoClaw 能缓解什么，不能缓解什么
把这些控制措施对应到致命三要素的三条腿上，画面就很清楚了。依据是 NVIDIA 自己的安全态势文档，它对残余风险的说明相当坦率。
| 腿 | NemoClaw 做了什么 | 仍然敞开的部分 |
|---|---|---|
| 对外通信 | 出站流量默认拒绝。未知目标会出现在终端 UI 中等待批准，规则可以限定到具体的二进制程序、HTTP 方法和路径。 强 | 按 NVIDIA 的说法，每个被允许的端点都是一条潜在的外泄路径。默认的 “Balanced” 档位会放行 npm、PyPI、Hugging Face 和 Homebrew。没有 L7 检查的端点，代理只按主机、端口和二进制程序来检查。而聊天渠道本身就是一个出口。 敞开 |
| 私有数据 | 模型和 MCP 服务器的密钥留在主机上，智能体只与 inference.local 通信。系统路径只读，可写的基本只有 /sandbox 和 /tmp。 强 |
你放进智能体工作区的任何东西，它都能读取并传出去。它的 OpenClaw 配置对它自己仍然可写，而且扫描器识别不了 Base64 编码的秘密信息。 敞开 |
| 不可信内容 | 很少。一个扫描器会阻止智能体把 14 种已知的凭据模式写进记忆文件。 | 通过消息、网页和 skill 进行的提示注入照样有效。NemoClaw 没有自己的插件白名单。 敞开 |
| 主机（影响范围） | seccomp、Landlock、权限降级，镜像中没有 gcc 也没有 netcat。 强 |
Landlock 以 “best effort” 方式运行，在 5.13 之前的内核上会被静默跳过。智能体、网关和 supervisor 共用同一个 UID。 |
归根结底：对于“一个被攻破的智能体能在我的主机上、用我的密钥干出什么”这个问题，NemoClaw 回答得非常好。但它回答不了“我该如何防止它被攻破”。用三要素的话来说：NemoClaw 保护的是凭据，而不是数据；它对通信这条腿的切断，只能做到你把白名单收得多紧的程度。
加固清单：不论你选哪个都适用
- 像对待浏览器一样打补丁。OpenClaw 至少 2026.4.22，NemoClaw 至少 v0.0.18，最好各自都用最新版本。
- 让网关保持私有。绑定到 loopback、token 认证、私信配对，在群里只在被 @ 时才回应。从外部访问走 SSH 隧道或 Tailscale，绝不公开暴露。注意：按 OpenClaw 文档的说法，容器镜像默认绑定为对外暴露。
- 定期运行
openclaw security audit，而不只是在初次搭建时运行。配置会漂移。 - 打开沙箱。在 OpenClaw 中它默认是关闭的；通过
agents.defaults.sandbox启用后，Docker 后端会在无网络的状态下启动。但只有工具执行会搬进沙箱，带着聊天渠道的网关仍然留在主机上。用 NemoClaw 时：选择 “Restricted” 档位，而不是默认的 “Balanced”；批准要逐条进行，而不是一揽子放行。 - 每个智能体的工具保持最少。凡是读取不可信内容的智能体，不给
exec、不给文件访问、不给tools.elevated。Hardened Baseline 是一个不错的起点。 - 在前面放一个阅读型智能体。由一个没有工具的智能体来总结邮件和网页，只有总结才交给拥有权限的智能体。OpenClaw 自己也推荐这样做。不过，这份总结依然是不可信的。
- 让秘密信息远离智能体的触及范围。工作区里不放
.env文件，给机器人单独的账号和单独的号码，token 只给最小权限。 - 像对待依赖一样对待 skill。安装前先读
SKILL.md，绝不执行 skill 描述里的 “prerequisites”。VirusTotal 扫描只是一层防护，不是免检通行证。 - 盯住记忆。秘密扫描器挡得住密钥，挡不住被投毒的“事实”。记忆投毒有多便宜，我用两条聊天消息演示过。
- 在模型提供商那里设置花费上限。NemoClaw 不会限制 token 成本。
- 一旦起疑就推倒重来。从可信状态重新构建沙箱，轮换密钥。在 NemoClaw 中，已批准的端点只有在销毁并重新创建沙箱后才会消失；
nemoclaw <sandbox> rebuild会沿用当前策略，包括已批准的端点。
什么时候两者都不够
两个项目都坦率地说明了自己的边界：OpenClaw 是每个网关一个信任边界，NemoClaw 是每台主机一个可信运维者。因此在以下四种情况下，两者都不够：
- 多个互不信任的用户。任何能给一个带工具的 OpenClaw 智能体发消息的人，都共享它的权限。NemoClaw 同样不做租户隔离。解决办法：分开的网关、分开的操作系统用户或主机。
- 企业级需求。按照 NVIDIA 的企业就绪说明页，SSO 还只在路线图上，运维者 RBAC 和租户隔离不在范围之内，审计导出、SIEM 和集群级策略都要手工完成。对一个有合规义务的团队来说，NemoClaw 是一块积木，而不是一个平台。
- 一个需要带着敏感数据同时具备三条腿的智能体。如果同一个智能体既读客户邮件、又写 CRM、还发邮件，那么任何沙箱都帮不上忙：外泄路径本身就是一项被允许的功能。把任务拆分给各自缺一条腿的多个智能体，并在每一个对外动作之前加上人工审批。
- 没有打补丁的流程。如果没人看安全公告，一个带 shell 权限、全天候运行的智能体就是一个任何配置都弥补不了的风险。
我的决策指南
在自己的电脑上做实验，不接真实账号
开启沙箱并套用 Hardened Baseline 的 OpenClaw 就够了。如果你想在日常使用中熟悉出站白名单，NemoClaw 值得一试。
在服务器上全天候运行、接入真实账号的助手
使用 “Restricted” 档位的 NemoClaw；如果你需要自己的镜像和策略，就直接用 OpenShell。再加上上面那份完整的清单。
团队、客户数据、合规
架构优先：按任务拆开三要素的各条腿，对外动作需要审批，自建监控。NemoClaw 可以是其中的沙箱层，但不是安全方案本身。
你自己的智能体目前处在什么位置，可以用我的智能体安全自评量表来判断。
结论
“OpenClaw 还是 NemoClaw？”这个问题依然问错了，只是错的方式和我春天时想的不一样。NemoClaw 不是“安全版的 OpenClaw”，而是围绕一个决策依旧可被操纵的智能体，划出的一道很好的网络与凭据边界。这能限制影响范围。但它取代不了我向每个部署智能体的人提出的那个问题：如果它听从了一次注入，它实际上能造成什么后果？
你没法靠提示词走出致命三要素，单靠沙箱也不行。一个沙箱充其量切断一条腿，而且只能做到你维护白名单的那个程度。剩下的部分，你得靠架构去搭建。具体怎么做，可以看《AI 智能体的防御手册终于开始成形》，以及对247 篇智能体安全论文的梳理。
来源（截至 2026 年 10 月 6 日）：NVIDIA NemoClaw 文档：Ecosystem、Security Posture、Filesystem Controls、Enterprise Readiness、Release Notes；OpenClaw 文档：Trust Model、Sandboxing、Prompt Injection；OpenClaw 安全公告。
使用到的工具：
正在运行或计划部署一个自托管的智能体，想知道它在最坏情况下能造成什么后果？联系我，我可以在威胁建模、加固和架构方面提供帮助。