Você deu a um agent o seu terminal, suas chaves SSH, seu diretório home e a capacidade de instalar pacotes — e funciona, até o momento em que você quer rodá-lo numa máquina que importa. Um agent sempre ativo numa máquina compartilhada, uma workstation com credenciais de produção por perto, ou uma máquina que um colega também usa: aí cada “só roda isso” vira uma decisão sobre raio de impacto. A resposta da NVIDIA é parar de discutir permissões e colocar o agent inteiro em um container com uma allow-list de rede, mantendo as API keys no host, onde o agent não consegue lê-las.

O que é o NemoClaw

O NVIDIA NemoClaw é um reference stack open-source (Apache-2.0) para rodar agents de IA sempre ativos com mais segurança dentro de sandboxes do NVIDIA OpenShell. A própria descrição do projeto nomeia três agents suportados, e o Hermes é um deles:

Rode agents como Hermes, LangChain Deep Agents e OpenClaw com mais segurança dentro do NVIDIA OpenShell com inferência gerenciada

Não é um fork do Hermes e não muda como você usa o Hermes. É o empacotamento em volta dele: uma CLI de host (o nemohermes é a CLI do NemoClaw com o Hermes pré-selecionado), um blueprint de container versionado, um assistente de onboarding e uma camada de integração específica por agent. Vale repetir o enquadramento do próprio repositório antes de investir uma noite nisso:

O NemoClaw é um reference stack de preview inicial para um operador de confiança em um único host. Não é um serviço hospedado, um control plane empresarial multi-tenant nem um sistema de identidade corporativo.

O que o sandbox realmente impõe

Capacidade	O que isso significa na prática
Execução em sandbox	O agent roda no OpenShell com controles de filesystem, processo e rede aplicados desde o primeiro boot
Inferência roteada	O agent chama inference.local dentro do sandbox; o OpenShell encaminha para o provider que você escolheu. As credenciais de inferência ficam no host
Egress controlado pelo operador	Política de rede em YAML mais presets. Destinos não aprovados são bloqueados e exibidos como requisições para você revisar
Servidores MCP gerenciados	Servidores MCP HTTPS Streamable HTTP autenticados para o agent, com placeholders de credencial substituídos pelo OpenShell nos limites de egress aprovados
Ciclo de vida	Blueprints versionados e verificados por digest; status, logs, rebuild, recovery, snapshot e restore
Migração de estado	Mover o estado do agent entre máquinas com remoção de credenciais e verificação de integridade

A decisão de design que mais importa para quem usa o Hermes é o caminho da inferência. Sua chave de provider nunca está dentro do sandbox. O agent fala com um endpoint local, o OpenShell decide para onde isso realmente vai, e a chave fica com o operador — então um agent com prompt injection que despeja o próprio ambiente encontra um nome de endpoint, não um segredo.

Colocando o Hermes em um sandbox

Em um host suportado, o instalador é um único comando, e ele pergunta qual agent você quer. A instalação express usa OpenClaw por padrão, então responda n no prompt de preset para escolher o Hermes, um nome de sandbox, um provider e um modelo de forma interativa:

curl -fsSL https://www.nvidia.com/nemoclaw.sh | bash

Para uma instalação scriptada, defina as respostas antecipadamente em vez de responder aos prompts:

export NEMOCLAW_AGENT=hermes
export NEMOCLAW_NON_INTERACTIVE=1
export NEMOCLAW_ACCEPT_THIRD_PARTY_SOFTWARE=1
export NEMOCLAW_SANDBOX_NAME=my-hermes
export NVIDIA_INFERENCE_API_KEY=<your-key>
curl -fsSL https://www.nvidia.com/nemoclaw.sh | bash

Depois, nemohermes onboard entra novamente no assistente, que também é a forma mais rápida de ver as opções na sua máquina antes de fechar uma configuração.

A lista de providers é ampla, e uma entrada é específica do Hermes: além do NVIDIA Endpoints (NEMOCLAW_PROVIDER=build), OpenRouter, OpenAI, Anthropic, Gemini, o Model Router (routed), endpoints compatíveis com OpenAI e Anthropic e um servidor vLLM local pronto, existe NEMOCLAW_PROVIDER=hermes-provider, documentado como exclusivo do Hermes. O Ollama local é oferecido para OpenClaw e Hermes quando está instalado, rodando ou instalável.

Quando o onboarding termina, o assistente imprime os dois endereços que você realmente vai usar:

NemoHermes is ready

Sandbox:  my-hermes
Model:    nvidia/nemotron-3-super-120b-a12b (NVIDIA Endpoints)

  Hermes Agent Dashboard
  Port 18789 must be forwarded before opening this URL.
  http://127.0.0.1:18789/

  Hermes Agent OpenAI-compatible API
  Port 8642 must be forwarded before connecting.
  http://127.0.0.1:8642/v1

Ambas as portas são encaminhadas a partir do host, não publicadas pelo sandbox — então alcançar o dashboard de outra máquina é um passo explícito, não o padrão.

Dois detalhes específicos do Hermes que vale conhecer

A política de rede de base é escrita para o Hermes, não para um agent genérico. O NemoClaw traz uma política específica por agent que permite ao binário do Hermes e ao seu runtime Python alcançar os endpoints de que precisam: endpoints de serviço da Nous Research, PyPI, endpoints de inferência da NVIDIA e APIs de mensagens selecionadas. Se você habilitar canais de mensagens, leia a política antes de virar a chave — a documentação aponta para as páginas de canais de mensagens e de política de rede exatamente por isso.

Terminais de fundo claro ganham uma skin gerenciada. Quando você se conecta a um sandbox do Hermes a partir de um terminal com tratamento de contraste ruim, o NemoClaw pode instalar uma skin nemoclaw-light gerenciada do Hermes para que o texto do assistente continue legível. Ele remove esse estado gerenciado quando o terminal não precisa mais dele, e preserva uma skin que você mesmo escolheu.

Onde o preview termina

Ser claro sobre isso evita uma tarde ruim:

• Plataformas: Linux e DGX Spark são as plataformas principais testadas. macOS, WSL, DGX Station e servidores Linux headless são documentados com suas próprias limitações, em vez de prometidos.
• Escala: um operador de confiança, um host. Sem multi-tenancy, sem identidade corporativa.
• A imposição depende do host. A documentação diz que as limitações de enforcement variam por host; um sandbox é tão forte quanto os recursos de kernel por baixo dele.
• É um preview. Blueprints verificados por digest e um ciclo de vida documentado são reais, mas o stack é jovem e a própria documentação o chama de preview inicial.

Mais uma nota honesta: se o seu problema real é “o agent fica rodando comandos que eu não aprovei”, o Hermes já tem um approval gate e uma deny list para isso, e um sandbox é uma ferramenta diferente, voltada para outra ameaça. Os dois se compõem bem — o sandbox decide o que o agent pode tocar, as aprovações decidem o que ele tem permissão de fazer.

Vale a pena usar?

Se você roda o Hermes em um notebook onde acompanha cada turno, o NemoClaw é maquinário demais para o que você precisa. Ele começa a se pagar no momento em que o agent roda sem supervisão: um gateway de longa duração numa workstation, um servidor caseiro, ou uma máquina onde outras pessoas também fazem login. As partes que valem a pena adotar mesmo que você nunca o instale são as ideias de design — inferência roteada por um endpoint local para que a chave nunca entre no mundo do agent, egress como uma allow-list revisada em vez de nota de rodapé sobre firewall, e segredos substituídos na fronteira em vez de entregues ao processo.

A documentação do NemoClaw percorre a prontidão do host, as escolhas de provider e a política de rede. Mais perto de casa: o sandbox é ortogonal ao que o Hermes mesmo faz em relação a aprovações, e se você quer o Hermes rodando em algum lugar permanente, os textos sobre self-heal do gateway e loop watchdog cobrem as partes que mantêm uma instalação sem supervisão viva.

---

Fontes: o README do repositório NemoClaw e a documentação do NVIDIA NemoClaw (páginas de quickstart e visão geral do Hermes); metadados do repositório (Apache-2.0, ~22,7k stars, com pushes ativos em 16 de outubro de 2026); a política de rede de base do Hermes e os detalhes da CLI nemohermes vêm do quickstart do Hermes no NemoClaw.