NemoClawとは？OpenClaw・Hermesを安全に動かすNVIDIA製基盤の仕組み・料金・導入判断【2026年10月】

NemoClaw（ネモクロー）は、AIエージェントをNVIDIA OpenShellのサンドボックス（隔離された実行環境）の中で動かすための、NVIDIA製のオープンソース基盤です。2026年10月時点ではOpenClawのほかHermes Agent、LangChain Deep Agents Codeにも対応し、無料のアーリープレビュー（アルファ版）として週に数回のペースで更新が続いています。

2026年3月の発表当初は「OpenClawを安全に動かすための層」として紹介されていました。公式の現在の説明は「モデル・エージェントハーネス・ランタイムを組み合わせて再現可能なシステムにする、オープンなブループリントの集合」です。対応するエージェントは増えましたが、エージェントを外から縛るという役割は発表時から同じです。

この記事でわかること

• NemoClawの役割と、OpenClaw・Hermes・Deep Agents Codeとの関係
• 5層のポリシー（ネットワーク・ファイルシステム・プロセス・ゲートウェイ認証・推論）の仕組み
• 推論の振り分け（発表時のプライバシールーターと、現行のModel Router）
• 料金のかかりどころと、2026年10月時点の導入手順・動作要件
• 2026年8月の脆弱性修正、既定で有効になったテレメトリなど、使う前に知っておくべき制約
• NemoClawを使うべき人・まだ待つべき人の判断材料

対象読者： OpenClawなどのAIエージェントを業務で使いたいがセキュリティが不安な方、常時稼働のエージェントを社内で試したい開発者・情報システム担当者、NemoClawの現状を短時間で把握したい意思決定者。

NemoClawの基本情報とAIエージェントを「安全に包む」実行基盤としての役割

NemoClawはAIエージェントの「代わり」ではありません。OpenClawなどのエージェントはそのまま動かし、その外側にOpenShellのサンドボックスと推論の経路を用意する仕組みです。たとえるなら、エージェントを入れる「囲い」と、そこからAIモデルへつながる「決まった通り道」をセットで用意する道具です。

GitHubのREADMEでは「対応するAIエージェントをNVIDIA OpenShellのサンドボックス内でより安全に動かすための、オープンソースのリファレンススタック」と説明されています。初期設定、推論の管理、ネットワークポリシー、外部サービスとの連携、状態の保存、起動・停止は、すべてNemoClawのCLI（コマンドラインツール）から行います。

発表は2026年3月16日のGTC 2026（サンノゼ）で、NVIDIAのJensen Huang CEOはこのとき「OpenClaw is the operating system for personal AI.（OpenClawはパーソナルAIのOSだ）」と話しています。

既定のエージェントであるOpenClaw自体については「OpenClawとは？できること・料金・安全性を公式情報で整理」で詳しくまとめています。

NemoClawの4つのコアコンポーネント

出典: NVIDIA OpenShell 公式（GitHub）

NemoClawは、公式製品ページで次の4つの要素を組み合わせたものとして説明されています。発表時に紹介された「OpenShell＋OpenClaw＋Nemotron＋プライバシールーター」という組み合わせから、エージェントを差し替えられる形に整理し直されています。

1. NVIDIA OpenShell（ポリシーを強制するランタイム）

エージェントが触れるファイル、ネットワーク、認証情報、ツールを外側から制御する実行環境です。NemoClawとは別のオープンソース（Apache 2.0、0.1.x系）として公開されており、Python・TypeScript・Go・RustのSDKや、Kubernetes（Helm）での展開にも対応しています。カーネルのレベルでファイル・システムコール・ネットワークを制御し、外に出る通信はすべてポリシーで確認します。

2. エージェントハーネス（OpenClaw・Hermes・Deep Agents）

実際に考えて作業するエージェント本体です。2026年10月時点ではOpenClaw、Hermes Agent、LangChain Deep Agents Codeの3つから選べます。NemoClawはエージェントの機能を書き換えるのではなく、動く場所と通信の出口を管理します。

3. NVIDIA Nemotronほかのモデル（推論を担うAI）

ローカルで動かすオープンモデル、クラウドのフロンティアモデル、その両方を切り替えるルーターのいずれかを使います。NVIDIAのNemotronシリーズが中心ですが、OpenAI・Anthropic・Googleなど他社のモデルも推論先に選べます。

4. NVIDIA NeMo（特化・最適化）

用途に合わせてモデルを調整（チューニング）するためのNVIDIAのツール群です。製品ページでは、特定業務向けにエージェントを仕上げる段階の部品として位置づけられています。

NemoClawが対応するエージェントはOpenClaw・Hermes・Deep Agents Code

出典: NVIDIA NemoClaw 公式（GitHub）

NemoClawはすでにOpenClaw専用ではありません。インストール時の環境変数 NEMOCLAW_AGENT で、動かすエージェントを選びます。リリースノートでは、それぞれの組み合わせが「NemoClaw」「NemoHermes」「NemoDeepAgents」という名前で管理されています。

Hermesの公開例（NVIDIA開発者ブログ、2026年6月2日）では、宣言的な policy.yaml で許可していない宛先への通信が403で拒否されること、スナップショットから .env やトークン・シークレットを含むファイルを除外することが示されています。Hermes自体の特徴は「Hermes Agentとは？」、LangChainを含むフレームワークの違いは「AIエージェントフレームワーク比較」で整理しています。

NemoClawのセキュリティの仕組み（5層のポリシーとdeny-by-default）

NemoClawの安全対策の要点は、エージェントに「ルールを守ってほしい」とお願いするのではなく、エージェントの外側から通信やファイル操作を止めることです。現行の公式ドキュメントでは、すべてを既定で拒否（deny-by-default）したうえで、5つの層で制御すると説明されています。

発表直後は「Landlock・seccomp・ネットワーク名前空間の3層防御」と紹介されることが多くありました。これらは現在もサンドボックスの下で使われている仕組みですが、公式の整理は次の5層です。

ネットワークポリシーの3段階と運用プロファイル

初期設定のウィザードでは、ネットワークの許可範囲を3段階から選びます。

• Restricted：最小限の通信だけを許可する
• Balanced（既定）：npm・PyPI・Hugging Face・Homebrewなど開発でよく使う宛先を追加で許可する
• Personal：80番・443番ポートへの広い通信を許可する。便利だが通信の中身までは確認しない

さらに公式は、使い方に合わせた運用プロファイルとして Locked-Down（常時稼働向け・最小限）、Development、Personal、Integration Testing を示しています。公式の推奨は「用途で許せる最も狭いプロファイルを選ぶ」ことです。

用途ごとの選び方の目安は次のとおりです（公式の推奨をもとに当編集部で整理）。

許可していない通信は止まり、運用者に承認を求める

登録していない宛先への通信はブロックされ、TUI（ターミナル画面）で運用者に承認を求めます。承認はそのサンドボックスが続く間だけ有効で、作り直すと元に戻ります。公式は、一時的な要求はこの承認で済ませ、基準のポリシーを安易に広げないよう勧めています。

ポリシーの各項目は「どの実行ファイルからの通信か」まで限定できます。実行中にファイルが差し替えられるとハッシュが一致しなくなり、通信は即座に拒否されます。

APIキーはエージェントに渡さない

OpenAIやAnthropicなどの認証情報はホスト側に置かれ、サンドボックス内のエージェントは生のAPIキーを受け取りません。エージェントはプレースホルダ（仮の値）で呼び出し、OpenShellが宛先・実行ファイル・パスを確認してから本物の認証情報を付けて送ります。仮にエージェントが乗っ取られても、キーそのものを読み出して外へ送ることが難しくなる設計です。

プライバシールーターの動作と、データをどこで処理するか

推論の振り分けについては、発表時の構想と現行ドキュメントの内容を分けて理解する必要があります。2026年10月時点の公式ドキュメントにあるModel Routerは、データの機密度ではなく「予測される回答の品質とコスト」でモデルを選ぶ仕組みです。

GTC 2026の発表文では「privacy router」により、利用者が決めたプライバシー・セキュリティのルールの範囲でクラウドのフロンティアモデルを使える、と説明されていました。ただ、「機密データを自動で見分けてローカルに回す」機能は、現行の公式ドキュメントでは確認できません。機密データをクラウドに出したくない場合は、推論先そのものをローカルモデルに固定するのが確実です。

Model Routerの動き

Model Routerはホスト側で動き、リクエストのたびにモデルの候補（プール）から1つを選びます。既定の許容幅（tolerance）は0.20で、「最も良いと予測されたモデルから20ポイント以内で、いちばん安いモデル」を選びます。判定には小型のエンコーダモデル（Qwen3.5-0.8B）が使われます。

対応する推論プロバイダ

v0.0.136ではNemotron 3.5 Super VLの画像入力（OpenClaw）と、128GBメモリのDGX Spark向けローカルプロファイル（実験的）が追加されました。ローカル推論向けのNemotronについては「NVIDIA Nemotron 3.5 Lightningとは？」も参考になります。

NemoClawの料金はソフトウェアが無料で、コストは推論とハードウェア

NemoClaw本体はApache 2.0のオープンソースで無料です。製品ページにもbuild.nvidia.comにも料金表はなく、有償プランやエンタープライズ版の価格は2026年10月時点で公表されていません。実際にかかるのは、推論のAPI利用料と、ローカルで動かす場合のハードウェア代です。

コストの内訳

クラウドのAPIだけで推論する構成なら、NVIDIAのGPUは必要ありません。最小要件（4 vCPU・メモリ8GB）を満たすPCやクラウドのVMで動かせます。一方、データを外に出さずに推論したい場合は、ローカルモデルを動かせるGPU搭載機が必要です。対応機種のひとつである「NVIDIA RTX Spark」のノートPCも製品ページに挙がっています。

参考までに、LangChainとNVIDIAは2026年7月、Nemotron 3 UltraとDeep Agentsの組み合わせがLangChainの評価で総合0.86、1回あたりの推論コストが$4.48（次点モデルは$43.48）だったと発表しています。これはベンダー自身の評価で、手法や比較相手の詳細は公開されていません。

NemoClawの導入方法（ワンコマンドインストール）

出典: NVIDIA NemoClaw 公式ドキュメント

導入は、公式のクイックスタートにある次のコマンドから始めます。

curl -fsSL https://www.nvidia.com/nemoclaw.sh | bash

インストールの流れ

1. サードパーティソフトウェアの通知に同意する
2. 初期設定のウィザードで、エージェント、推論プロバイダとモデル、認証情報、サンドボックス名（既定は my-assistant）を選ぶ
3. Web検索やメッセージング連携を選ぶ（公式は初回はスキップを推奨）
4. ネットワークポリシーの階層（Restricted / Balanced / Personal）を選ぶ
5. nemoclaw my-assistant status で状態を確認する
6. nemoclaw my-assistant dashboard-url --quiet でブラウザの画面を開くか、nemoclaw my-assistant connect で入って openclaw tui を起動する

設定をやり直すときは nemoclaw onboard（途中から再開は --resume、一から作り直しは --fresh）を使います。DGX Spark、対象のDGX Station、WindowsのWSLでは、より手早く入れるエクスプレスインストールが提案されます。

自動化のために NEMOCLAW_NON_INTERACTIVE=1 などの変数を付けるときは、curl 側ではなくパイプの後ろの bash 側に置かないと反映されません。また、NemoClawの管理下では openshell self-update や openshell sandbox create を直接実行せず、nemoclaw onboard を使うよう公式は案内しています。

システム要件

サンドボックスのイメージは圧縮時で約2.4GBあります。メモリが8GB未満だとメモリ不足で落ちるおそれがあり、8GB以上のスワップで回避はできますが動作は遅くなります。

対応プラットフォーム

4月時点では「Ubuntu 22.04以降」「Node.js 22.16以上」とされていましたが、10月時点では表のとおり変わっています。古い手順書を見ながら入れる場合は注意してください。

テレメトリを止める方法

v0.0.136から、インストーラとCLIが匿名の完了テレメトリを既定で送るようになりました。止める場合は、インストール前と、使う各シェルで次の環境変数を設定します。

export NEMOCLAW_DISABLE_TELEMETRY=1

リリースノートには、現時点の送信先は固定のテスト用で、本番への送信は無効と書かれています。とはいえ社内のルールで外部送信を管理している場合は、最初から止めておくほうが無難です。

NemoClawの主な機能一覧

2026年10月時点で公式に確認できる主な機能です。

• サンドボックスでの実行：OpenShellがファイル・システムコール・ネットワークをカーネルのレベルで制御
• 5層のポリシー：ネットワーク・ファイルシステム・プロセス・ゲートウェイ認証・推論。既定はすべて拒否
• 運用者による承認：未登録の宛先への通信をTUIで止め、許可するかを人が決める
• 認証情報の隔離：APIキーはホスト側に置き、承認済みの宛先へのリクエストにだけ付与
• 複数エージェント対応：OpenClaw・Hermes Agent・LangChain Deep Agents Code
• 推論先の切り替え：クラウド・ローカル・Model Routerを選べる
• 設定のエクスポート：v0.0.128から設定を書き出して別環境で再現できる
• 既存イメージからの作成：v0.0.130の --from-image、v0.0.134の作成前のイメージ検証
• 通信の確認：openshell term でサンドボックスの通信状況を確認できる

発表当初の記事では「全操作の完全な監査ログ」と紹介されたこともありましたが、すべての操作を記録する仕組みは現行の公式ドキュメントでは確認できません。業務で監査記録が必要な場合は、別途ログの取り方を決めておく必要があります。

NemoClawの弱み・制約とアルファ版のリスク

NemoClawを入れればエージェントが安全になる、とは言い切れません。NemoClawが守るのはエージェントが動く「環境」であり、エージェントの判断が正しいかどうかまでは守らないためです。

アルファ版であることのリスク

• 設定やポリシーの書式が版ごとに変わる：APIや設定、ポリシーのスキーマはリリースのたびに変わる可能性があると明記されています
• 保証なし・ベストエフォート：ソフトウェアは現状のまま（AS IS）の提供で、保守者の対応はベストエフォート。ロードマップも「納期の約束ではない」とされています
• 正式版の時期は未定：GA（一般提供）のスケジュールは公表されていません
• ドキュメントは英語のみ：日本語の公式ドキュメントは確認できません

公式が認めている「残るリスク」

公式のセキュリティのベストプラクティスには、NemoClawを使っても残るリスクが列挙されています。主なものは次のとおりです。

2026年8月の脆弱性修正

2026年8月、NVIDIAはNemoClawとOpenShellの脆弱性を約20件まとめて修正しました。報道によると、CVSS 9.9の重大な脆弱性2件（OpenShellのLinux版でのサンドボックス脱出など）を含み、OpenShellはv0.0.34で修正されています。インストールスクリプトが整合性を確かめずにコードを取得する問題（CVSS 8.8）や、推論サーバーに認証なしでアクセスされうる問題（CVSS 8.1）も含まれていました。2026年8月下旬の報道の時点では、悪用の確認や攻撃コードの公開は報告されていません。

件数や対象バージョンの正確な情報は、NVIDIAのセキュリティ情報（NemoClaw and OpenShell – August 2026）で確認してください。

これより前の2026年4月には、プロンプトインジェクションでホストの環境変数を読み出されうる脆弱性（CVE-2026-24222、CVSS 8.6。報道では0.0.18未満が対象）も公開されています。春〜夏に入れた環境は最新版へ更新してください。

入手元と運用の注意

• インストールは公式（nvidia.com と github.com/NVIDIA/NemoClaw）からのみ行う
• ダッシュボードのURLにはゲートウェイのトークンが入っているため、パスワードと同じように扱う。SSH越しに使う場合はポート転送（例：ssh -L 18789:127.0.0.1:18789）を使う
• APIキーをエージェントとのチャットに貼らない
• Linuxでユーザーをdockerグループに入れるとroot相当の権限になるため、信頼できるアカウントに限る
• 侵害が疑われたら、信頼できる入力からサンドボックスを作り直す

AIエージェントが実際に起こした事故の例は「AIエージェントがデータを全削除した事故まとめ」にまとめています。サンドボックスが必要になる理由をつかむのに役立ちます。

NemoClawとOpenClawの違い（NemoClaw経由で何が変わるのか）

OpenClawを単体で使う場合とNemoClaw経由で使う場合の違いは、エージェントの機能ではなく「どこで・どの出口で動くか」です。

OpenClaw単体で守りを固める方法は「OpenClawセキュリティ設定ガイド」、OpenClaw自体のリスクは「OpenClawの危険性とは？」で解説しています。

NemoClawと他のセキュリティアプローチの比較

エージェントを隔離して動かす方法はNemoClawだけではありません。

NemoClawの利点は、ネットワーク・推論・認証情報の扱いがあらかじめ組み立てられていて、ウィザードだけで一通りそろう点です。反対に、自社開発のエージェントを動かしたい場合や細かくポリシーを書きたい場合は、OpenShellを直接使うほうが合います。SDKに組み込まれたサンドボックスを使う方法については「OpenAI Agents SDKの新ハーネスとsandbox」も参考にしてください。

NemoClawのパートナーシップとエコシステム

2026年10月時点で公式に確認できる連携は、エージェントの開発元や業界の団体が中心です。

• LangChain：2026年7月8日にNemoClaw Deep Agentsブループリントを共同発表。EY、Baseten、Fireworks、Nebius、Crusoe、DeepInfra、Together AIが協力として挙がっています
• Nous Research：Hermes AgentをNemoClawの対応エージェントとして提供
• Cadence：製品ページの活用例で「RTL検証を数週間から数時間に短縮した」と紹介されています（半導体設計の検証）
• Open Secure AI Alliance：NVIDIAが主導し、製品ページに「NVIDIA contributes to this alliance」と記載。詳しくは「Open Secure AI Allianceとは？」

製品ページには、ほかに製品設計・製造（形状の検討、熱設計、射出成形）や、BlenderやOmniverseの操作をサンドボックス内のローカルモデルで行う例も載っています。

なお、発表直後にはSalesforce、Cisco、Google、Adobe、CrowdStrikeなどとの連携が国内外のメディアで報じられましたが、NVIDIAの発表文ではこれらの社名を確認できませんでした。具体的な連携内容も公表されていないため、導入判断の材料にはしないほうが安全です。

こんな方にNemoClawはおすすめ

• OpenClawやHermesを業務で試したいが、通信や認証情報の漏れが不安な方：エージェントの外側で通信を止め、APIキーも渡さない構成を、ウィザードだけで用意できます
• 常時稼働のエージェントを社内で検証したい情報システム部門・開発チーム：Locked-Downプロファイルと運用者の承認で、出口を絞った状態から検証を始められます
• データを外に出さずにエージェントを動かしたい方：推論先をローカルのNemotronなどに固定すれば、クラウドに送らない構成にできます
• NVIDIAのGPU搭載機（RTX・DGX Sparkなど）をすでに持っている方：追加のハードウェア投資なしでローカル推論まで試せます

社内導入を進めると、検証用のサンドボックスとは別に、業務システムとの連携・承認フロー・ログの保管といった開発が必要になることが多いです。新しいモデルやエージェントを自社の業務システムに組み込むときの方法と費用の目安は「AI開発の費用相場」で、改修・PoC・本開発に分けて整理しています。

こんな方にはNemoClawをおすすめしない

• 重要な業務の本番環境ですぐ使いたい方：アルファ版で保証はなく、設定の書式も版ごとに変わりえます。2026年8月には重大な脆弱性がまとめて修正されました
• OpenClawを個人PCで少し触るだけの方：短時間の試用なら、OpenClaw側の権限設定と隔離したPCで足りるケースが多いです
• Intel Macで使いたい方：対応表に記載がなく、導入手順も示されていません
• コンテナやコマンド操作に慣れていない方：DockerなどのコンテナとNode.jsの準備が前提です
• 英語のドキュメントを読むのが難しい方：公式ドキュメントは英語のみで、更新も速いため日本語の解説が追いつきにくい状況です

よくある質問（FAQ）

Q1. NemoClawはOpenClawの代わりになるものですか？

いいえ。NemoClawはエージェントを置き換えるものではなく、エージェントを動かす環境と推論の経路を用意する基盤です。中ではOpenClaw（またはHermes、Deep Agents Code）がそのまま動きます。

Q2. NVIDIA GPUがないと使えませんか？

GPUがなくても使えます。推論をクラウドのAPIに任せる構成なら、GPUのないPCやクラウドのVMでも動きます。ローカルでモデルを動かしたい場合にだけ、RTXやDGXなどのGPU搭載機が必要です。

Q3. 2026年3〜4月に入れた環境はそのまま使っても大丈夫ですか？

更新をおすすめします。4月に公開されたCVE-2026-24222や、8月にまとめて修正された脆弱性（CVSS 9.9を含む）は古い版が対象です。公式の手順で最新版に入れ直したうえで、ネットワークポリシーと推論先の設定も見直してください。

Q4. 社内の機密データを扱わせても安全ですか？

NemoClawだけで安全とは言えません。守るのは通信やファイルの出口で、許可した宛先からの流出やエージェントの誤操作は残ります。機密データは推論先をローカルに固定し、サンドボックスには必要最小限のデータと認証情報だけを置く運用が前提です。社内向けの対策全体は「AIエージェントのセキュリティ対策」も参考にしてください。

Q5. 日本語で使えますか？

エージェントとのやり取りは、選んだモデルが日本語に対応していれば日本語で行えます。一方、NemoClawの公式ドキュメントやCLIの表示は英語です。

Q6. 正式版（GA）はいつリリースされますか？

2026年10月時点で公式のスケジュールは発表されていません。READMEは引き続き「alpha project」と記載しており、ロードマップも納期の約束ではないとされています。

まとめ：NemoClawは「AIエージェントを外側から縛るための選択肢」

NemoClawは、OpenClaw・Hermes Agent・LangChain Deep Agents Codeを、NVIDIA OpenShellのサンドボックス内で動かすための無料のオープンソース基盤です。

• OpenClaw専用ではなくなった：対応エージェントは3つ。インストール時に NEMOCLAW_AGENT で選ぶ
• 守りは5層のポリシーとAPIキーの隔離：既定はすべて拒否。常時稼働ならRestricted／Locked-Downから始める
• 推論の振り分けは品質とコスト基準：機密データを自動で見分ける機能は現行ドキュメントでは確認できないため、機密データは推論先をローカルに固定する
• まだアルファ版：8月に重大な脆弱性がまとめて修正され、10月からはテレメトリも既定で有効。最新版に保ち、必要ならテレメトリを止める

使い方の目安としては、個人なら隔離したPCで最新版を試しながら動きを追う、チームや業務で使うなら検証環境でLocked-Downから評価を始め、正式版の発表と脆弱性の対応状況を見て本番化を判断する、という進め方が現実的です。

関連記事

• OpenClawとは？できること・料金・安全性を公式情報で整理
• OpenClawの危険性とは？
• OpenClaw 使い方・インストール完全ガイド
• Hermes Agentとは？
• AIエージェントとは？
• AIエージェントおすすめ比較
• 生成AIのセキュリティリスクとは？