Magazine LLM Opensource · 2 November 2026

NemoClaw, l’armure percée : quand le wrapper de sécurité de Nvidia devient le vecteur d’attaque des agents OpenClaw

En août 2026, les chercheurs de Cyera’s Oasis Identity Research ont mis au jour une faille aussi ironique que redoutable : NemoClaw, le wrapper de sécurité signé Nvidia censé protéger les agents OpenClaw, contient lui-même une vulnérabilité d’empoisonnement par le réseau. L’outil conçu pour verrouiller la porte a laissé la fenêtre grande ouverte. Décryptage d’une attaque silencieuse qui pourrait bien redéfinir les règles de la sécurité agentique — et qui, à l’automne 2026, résonne d’autant plus fort que Nvidia a entre-temps transformé NemoClaw en véritable plateforme d’agents d’entreprise, et que l’écosystème open-weight a continué de grossir à un rythme qui rend chaque maillon de la chaîne critique.

Le paradoxe Nemo(Claw) : quand le garde du corps devient la faille

Il y a dans cette histoire un goût de tragédie grecque. OpenClaw, le framework open-source d’agents IA qui a conquis développeurs et entreprises par sa flexibilité — installable sur macOS, Linux et Windows, compatible avec n’importe quel modèle, pilotable depuis WhatsApp, Telegram ou n’importe quelle messagerie —, avait trouvé son chevalier servant en Nvidia. Le géant californien avait dévoilé NemoClaw lors du GTC 2026, un « security wrapper » destiné à ceinturer les ardeurs des agents : sandbox limitant les accès fichiers aux répertoires sandbox et tmp, Policy Engine basé sur des fichiers YAML pour définir les actions autorisées, les appels réseau et les demandes nécessitant une approbation explicite. Le tout présenté comme la réponse aux angoisses des entreprises — Salesforce, Cisco, Adobe sont citées comme cibles de ce déploiement sécurisé.

Comme le résume Frandroid, Jensen Huang ne souhaitait pas seulement « vendre des pelles et des pioches pendant la ruée vers l’or de l’IA » : Nvidia a travaillé main dans la main avec Peter Steinberger, le créateur d’OpenClaw, pour intégrer des garde-fous directement dans le moteur. Le vrai morceau de bravoure du stack, c’est Nvidia OpenShell, un runtime open source qui fait tourner les agents dans un sandbox isolé, complété par un privacy router qui décide si une tâche sensible est traitée en local par un modèle Nemotron ou déléguée à un modèle plus puissant. Sur le papier, l’architecture est élégante.

Sauf que le 30 août 2026, les chercheurs de Cyera’s Oasis Identity Research ont publié leurs travaux : NemoClaw, l’armure, est percée. Pire, c’est précisément dans l’armure que se cache le poignard. Une configuration réseau défaillante dans l’intégration d’Ollama — le runtime open-source d’inférence LLM locale — permet à un attaquant distant d’empoisonner silencieusement et durablement le template de chat du modèle, corrompant les instructions des agents OpenClaw sans la moindre interaction utilisateur.

Le paradoxe est total. L’outil censé apporter la sécurité devient le vecteur de l’attaque. Non pas par une faille exotique dans le code du framework, mais par une erreur de configuration aussi banale qu’une porte laissée entrouverte. Cette découverte, rapportée par Dark Reading et reprise par des blogs spécialisés comme Clawbeat (billet daté d’août 2026) ainsi que par le site polonais Security Bez Tabu, n’a pas encore reçu de confirmation officielle de Nvidia ni d’attribution CVE par NVD ou MITRE — le CVE-2026-65105 circule sur LinkedIn sans validation officielle. Mais la démonstration technique, elle, est suffisamment solide pour inquiéter.

Ce que NemoClaw est devenu : d’un wrapper à une plateforme d’agents

Pour mesurer la portée de la faille, il faut comprendre ce qu’est devenu NemoClaw depuis l’été. La page produit officielle de Nvidia ne parle plus d’un simple « security wrapper » : elle décrit une plateforme qui « centralise une vaste sélection de blueprints ouverts pour la création d’agents autonomes, c’est-à-dire des systèmes d’IA toujours actifs et spécialisés dans un domaine à même de raisonner, de planifier et d’agir ». Le glissement sémantique est important : on est passé d’un outil de confinement à un orchestrateur d’agents persistants.

Nvidia y détaille les briques : des « contrôles d’exécution, un routage des modèles, une exécution des compétences et une observabilité », avec des agents spécialisés qui « intègrent votre expertise métier » et collaborent avec des agents généraux, « tout en veillant à ce que les actions sensibles et l’accès aux données restent conformes à la politique en vigueur ». Chaque modèle embarque des composants du NVIDIA Agent Toolkit — Nemotron pour l’inférence, NeMo pour la spécialisation et l’optimisation, et OpenShell pour le contrôle des politiques d’exécution.

La plateforme revendique désormais la prise en charge de plusieurs harnais d’agents : les agents Hermes de Nous Research (« capables de s’auto-optimiser » en combinant boucle de compétences et mémoire avec les contrôles d’OpenShell), les agents profonds LangChain (le harnais open source Deep Agents Code, « spécialement optimisé pour NVIDIA Nemotron 3 Ultra »), et bien sûr OpenClaw lui-même, aux côtés d’un agent Terminal. InformatiqueNews résume bien le mouvement : Nvidia « transforme le phénomène OpenClaw en plateforme d’agents IA sécurisée ». Techbox et Tecnobits abondent dans le même sens : le pari de Nvidia sur les agents d’IA d’entreprise.

Cette montée en puissance change la nature du risque. Une faille dans un wrapper qu’on installe à la marge est ennuyeuse ; une faille dans une plateforme qui orchestre des agents persistants, multi-harnais et connectés aux données métier devient systémique. Plus NemoClaw agrège de surfaces — Hermes, LangChain, OpenClaw, Terminal —, plus l’intégration Ollama au cœur du dispositif pèse lourd dans la balance. C’est précisément ce qui rend la découverte de Cyera si dérangeante : le composant compromis n’est pas un satellite, c’est le moteur d’inférence locale autour duquel tout s’articule.

Le cheval de Troie dans le réseau : comment Ollama a ouvert la porte

Plongeons dans les entrailles du mécanisme. Ollama, pour rappel, est un runtime d’inférence locale très prisé des développeurs d’agents : il permet d’exécuter des modèles LLM en local, sans dépendre d’API cloud, avec une simplicité déconcertante. C’est d’ailleurs devenu la brique par défaut de tout un écosystème : les guides d’installation en entreprise (FlowtAI, septembre 2026) comme les tutoriels grand public (IAforAll, septembre 2026) le présentent comme le point d’entrée standard pour un stack LLM souverain, étanche au RGPD et sans coût d’API. NemoClaw l’a intégré comme composant central pour l’inférence des agents OpenClaw. C’est cette intégration qui est devenue le point d’entrée.

Le problème réside dans la configuration réseau par défaut de cette intégration. Ollama expose une API HTTP locale, généralement sur le port 11434, qui permet de soumettre des requêtes d’inférence, de gérer les modèles, et surtout de définir le « template de chat » — le format dans lequel les messages sont structurés avant d’être envoyés au modèle. Ce template est un élément critique : c’est lui qui détermine comment les instructions système, les messages utilisateur et les réponses de l’assistant sont formatés. Corrompre ce template, c’est altérer la manière même dont l’agent interprète ses instructions.

L’attaque se déroule en plusieurs temps. Premièrement, l’attaquant identifie une instance OpenClaw dont l’intégration Ollama est joignable — soit parce que le port est exposé sur Internet, soit parce que la configuration réseau par défaut ne restreint pas suffisamment les connexions entrantes. Deuxièmement, il envoie des requêtes HTTP malveillantes à l’API Ollama, exploitant la configuration laxiste pour modifier le template de chat enregistré. Troisièmement, une fois le template corrompu, chaque future requête de l’agent — chaque nouvelle conversation, chaque exécution de tâche — intègre les instructions empoisonnées de l’attaquant.

La furtivité est remarquable. L’empoisonnement ne laisse aucune trace visible dans les journaux d’activité de l’agent : les conversations semblent normales, les réponses du modèle paraissent cohérentes. Mais sous le capot, les instructions cachées peuvent ordonner à l’agent d’exfiltrer des données, d’exécuter des commandes arbitraires, ou de rediriger des flux d’information vers des serveurs contrôlés par l’attaquant. La latence d’exploitation est quasi nulle : une fois le template corrompu, l’effet est immédiat lors de la prochaine inférence. Et la persistance est durable : tant que le template n’est pas restauré, l’empoisonnement continue de faire son œuvre silencieusement.

Surface d’exposition : qui est vraiment à portée de tir ?

La question qui fâche est simple : cette faille est-elle exploitable depuis Internet sur une configuration par défaut, ou nécessite-t-elle un prérequis local ? Les sources disponibles ne permettent pas de trancher avec certitude. Ce qui est documenté, c’est que l’intégration Ollama dans NemoClaw crée un vecteur réseau — et que la configuration par défaut d’Ollama, qui écoute sur toutes les interfaces et non seulement sur localhost, est un piège classique. Combiné à une exposition accidentelle du port sur un pare-feu ou un reverse proxy mal configuré, le vecteur devient exploitable à distance.

Mais il faut être honnête : les détails précis de la configuration par défaut d’OpenClaw avec NemoClaw ne sont pas publics. Les chercheurs de Cyera n’ont pas publié de preuve de concept complète, et les blogs qui relayent l’information restent vagues sur ce point. Ce qui est certain, c’est que les composants architecturaux touchés sont les plus sensibles : l’orchestrateur (qui gère les flux de conversation et les décisions de l’agent), les exécuteurs d’outils (qui permettent à l’agent d’interagir avec le monde extérieur), et le sandbox lui-même — puisque c’est dans les répertoires restreints que le template empoisonné est stocké.

Les limites du sandbox de NemoClaw sont d’ailleurs un autre point d’attention. Le wrapper n’est disponible que sous Linux, restreint aux répertoires sandbox et tmp, et ne fonctionne qu’avec les modèles Nemotron de Nvidia. Autrement dit, les déploiements réels qui utilisent d’autres modèles — très nombreux, OpenClaw étant justement apprécié pour sa compatibilité multi-modèles — ne sont pas protégés par le sandbox, et donc potentiellement exposés à d’autres vecteurs. La surface d’exposition ne se limite donc pas à la seule faille Nemo(Claw) : elle englobe l’ensemble des configurations où la sécurité repose sur des rustines plutôt que sur une architecture robuste.

Cette fragilité n’est pas un accident isolé. En février 2026, MacGeneration documentait déjà comment les « skills » d’OpenClaw — ces modules que l’on installe pour étendre les capacités de l’agent — constituaient une porte d’entrée pour les malwares. La leçon est constante : dans un écosystème d’agents extensible par conception, chaque couche d’extension est une nouvelle surface d’attaque, et le sandbox n’est jamais qu’une frontière parmi d’autres.

Trois visages de l’empoisonnement : réseau, documents, données d’entraînement

Pour bien comprendre la gravité de cette faille, il faut la situer dans le paysage plus large des attaques par empoisonnement des LLM. Trois grandes familles existent, avec des caractéristiques radicalement différentes.

L’injection de prompt indirecte (IPI) est la plus connue : elle exploite le contenu de documents ou de pages web lus par l’agent pour injecter des instructions malveillantes dans le contexte de l’inférence. Sa détection est difficile car le contenu malveillant est noyé dans un flux légitime — une page web contient des centaines de tokens, et l’instruction cachée peut être formulée de manière à passer inaperçue. La latence d’exploitation est immédiate : dès que l’agent lit le document, l’effet se produit. La gravité est généralement limitée à l’exfiltration de données ou à des actions non autorisées dans le contexte de l’agent — mais pas au-delà.

L’empoisonnement des données d’entraînement (EDE) est plus insidieux encore : il modifie le jeu de données en amont, créant des backdoors persistantes dans le modèle lui-même. La détection nécessite une analyse forensique approfondie — inspection des poids, tests adversariaux — et la latence est différée : l’attaque n’a d’effet qu’après l’entraînement et le déploiement. La gravité peut être totale : un modèle backdooré peut obéir à des commandes cachées pendant des années sans que personne ne s’en aperçoive.

La faille Nemo(Claw) se situe entre les deux. Elle cible la couche de communication entre l’agent et le modèle — le template de chat —, ce qui la rend immédiate comme l’IPI, mais persistante comme l’EDE. Et surtout, elle ne nécessite aucune interaction avec un document ou une page web : l’attaquant agit directement sur le runtime, sans que l’utilisateur ou l’agent n’aient à faire quoi que ce soit. C’est cette combinaison — furtivité, persistance, absence d’interaction — qui la rend particulièrement redoutable.

Caractéristique	Injection de prompt indirecte	Faille Nemo(Claw)	Empoisonnement des données d’entraînement
Vecteur	Documents, pages web lus par l’agent	Configuration réseau de l’intégration Ollama	Modification du jeu de données d’entraînement
Détection	Difficile (contenu noyé dans le contexte)	Très difficile (aucune trace dans les journaux)	Nécessite une analyse forensique approfondie
Latence d’exploitation	Immédiate (lors de la lecture)	Immédiate (lors de la prochaine inférence)	Différée (après entraînement et déploiement)
Persistance	Non (le contexte est éphémère)	Oui (le template reste corrompu)	Oui (backdoor dans les poids)
Gravité	Exfiltration de données, actions limitées	Prise de contrôle potentielle de l’agent	Prise de contrôle totale du modèle
Interaction requise	L’agent doit lire le contenu malveillant	Aucune	Aucune (si l’attaquant contrôle le pipeline)

Cette typologie prend tout son sens à la lumière des travaux récents sur le red teaming autonome. Une prépublication académique d’août 2026 (arXiv 2607) documentait déjà des attaques par empoisonnement de template dans les stacks d’agents, confirmant que le vecteur n’a rien d’exotique : il est structurel à toute architecture qui sépare l’orchestrateur du runtime d’inférence sans authentifier la couche de configuration.

Pourquoi l’écosystème open-weight rend la faille plus dangereuse

On pourrait croire que cette histoire ne concerne qu’une poignée d’entreprises ayant déployé NemoClaw. Ce serait une erreur d’analyse. La faille Nemo(Claw) frappe au moment précis où l’écosystème open-weight explose — et où chaque brique d’inférence locale devient un point de défaillance critique.

Regardons le calendrier. Le 15 octobre 2026, Meta a publié Muse Spark Open, « le modèle open-weight américain le plus capable à ce jour », avec 816 milliards de paramètres totaux, 42 milliards actifs (architecture MoE) et une fenêtre de contexte d’un million de tokens, taillé pour le code et le travail agentique. Le 3 octobre 2026, Aleph Alpha sortait Kolibri-1, un MoE de 78,1 milliards de paramètres (3,46 milliards actifs, soit ~4,4 %), sous Apache 2.0, avec un contexte maximal de 1 048 576 tokens et des scores Tau2-Bench solides (94,7 % en Telecom, 76,7 % en Airline). Et le 16 octobre, The Agent Report titrait sur « 816B, 560B, 120B en un jour : la vague open-weight se heurte désormais à un mur de mémoire ».

Ce mur de mémoire, c’est précisément ce qui pousse les équipes vers l’inférence locale et les runtimes comme Ollama. Quand un modèle de 816 milliards de paramètres ne tient pas sur une carte grand public en BF16, on recourt à la quantization — NVFP4, FP8, formats 4-bit — et à des runtimes locaux pour servir le modèle. Or c’est exactement cette couche locale, celle d’Ollama, que la faille Nemo(Claw) exploite. Plus l’écosystème se rabat sur l’inférence locale pour des raisons de coût et de souveraineté, plus la surface d’attaque du template de chat s’élargit.

Le mouvement est d’autant plus structurant que l’infrastructure de serving se professionnalise. Le 20 octobre 2026, à la PyTorch Conference North America, le projet llm-d a atteint sa version 1.0, une pile d’inférence distribuée native Kubernetes. Le même jour, Google annonçait les versions TPU de vLLM et SGLang. Autrement dit, la couche d’inférence se standardise, se distribue, se met à l’échelle — et avec elle, les vecteurs de configuration qui, mal maîtrisés, deviennent des portes d’entrée. La leçon de Nemo(Claw) n’est pas « Ollama est dangereux » : c’est « toute couche de configuration non authentifiée dans une pile d’inférence est une surface d’attaque ».

Il faut y ajouter la dimension réglementaire. Depuis le 2 août 2026, les règles de transparence de l’AI Act européen sont entrées en application. Un empoisonnement de template qui altère silencieusement le comportement d’un agent déployé en entreprise pose une question de conformité directe : comment prouver qu’un agent n’a pas été compromis si aucune trace n’est laissée dans les journaux ? La furtivité de l’attaque n’est pas seulement un problème technique, c’est un problème de traçabilité — et donc de responsabilité juridique.

Les autres fronts de l’automne 2026 : un écosystème sous tension

La faille Nemo(Claw) ne surgit pas dans un vide. L’automne 2026 est marqué par une accélération qui, à chaque annonce, élargit le périmètre des systèmes à sécuriser.

Côté modèles, la vague est continue. Mercury 3, le modèle à diffusion d’Inception sorti le 19 octobre 2026, revendique plus de 1 000 tokens par seconde (1 068 selon les mesures du développeur) avec un contexte d’un million de tokens, à un tarif d’entrée de 0,10 dollar par million de tokens d’entrée. Les tests pratiques de Mindstudio confirment des performances intéressantes en raisonnement et en codage agentique. Côté audio, Nvidia a publié le 28 octobre 2026 Nemotron 3.5 Transcribe, un modèle open-weight de 30 milliards de paramètres (dont ~4 milliards actifs) couvrant une quarantaine de langues, avec attribution des locuteurs et traduction — accompagné d’un jeu de données audio de 463 062 heures. TechCrunch précise une limite importante : le modèle ne fonctionne que sur des enregistrements, pas sur de l’audio en direct.

Côté sécurité, le cadre de référence reste le Top 10 OWASP des risques pour les applications LLM, qui classe l’injection de prompt et l’empoisonnement parmi les menaces majeures. La faille Nemo(Claw) coche plusieurs cases à la fois : injection indirecte par la configuration, empoisonnement persistant, défaut de contrôle d’accès sur une interface d’administration. C’est un cas d’école qui devrait figurer dans toutes les formations de sécurité agentique.

Côté gouvernance, la licence devient elle aussi un enjeu de sécurité. Comme le détaillent nos précédents articles sur les licences des LLM open-weight, le mot « ouvert » recouvre des réalités juridiques très différentes — Apache 2.0 troué d’exceptions, poids téléchargeables sous conditions, cadres de gestion du risque. Un déploiement NemoClaw qui s’appuie sur un modèle sous licence restrictive peut voir sa capacité de correctif limitée : si vous ne pouvez pas auditer ni patcher le modèle, vous dépendez entièrement du wrapper — celui-là même qui vient de montrer ses limites.

Que faire concrètement : la checklist de survie

La bonne nouvelle, c’est que la faille Nemo(Claw) est, dans son principe, corrigeable par des mesures d’hygiène bien connues. Voici ce qu’il faut retenir pour les équipes qui déploient des agents OpenClaw ou NemoClaw.

Verrouiller l’API Ollama. Par défaut, Ollama écoute sur toutes les interfaces. Il faut le lier explicitement à 127.0.0.1 et n’exposer le port 11434 qu’à un reverse proxy authentifié. Toute instance joignable depuis Internet sans authentification doit être considérée comme compromise.

Authentifier la couche de configuration. Le template de chat est un actif critique. Il doit être protégé par une authentification, versionné, et son intégrité vérifiée à chaque démarrage. Un template qui change sans déploiement explicite est un signal d’alerte.

Journaliser les modifications de configuration. L’absence de trace dans les journaux d’activité de l’agent est le point faible de l’attaque. Il faut journaliser séparément les appels à l’API de configuration d’Ollama, pas seulement les conversations.

Segmenter le réseau. Le sandbox de NemoClaw ne protège que les répertoires sandbox et tmp et ne fonctionne qu’avec les modèles Nemotron. Pour les déploiements multi-modèles, il faut une segmentation réseau qui isole le runtime d’inférence du reste du système.

Restaurer périodiquement les templates. Un template de chat de référence, stocké hors de portée de l’agent, permet de détecter et de corriger un empoisonnement. C’est la seule parade vraiment fiable contre la persistance.

Auditer les skills et les harnais. La leçon de février 2026 sur les skills d’OpenClaw vaut pour les harnais Hermes et LangChain désormais intégrés à NemoClaw : chaque extension est une surface d’attaque.

Le mot de la fin : la sécurité agentique n’est pas un wrapper

L’histoire de Nemo(Claw) est un avertissement. Elle nous dit que la sécurité des agents ne s’achète pas sous forme de wrapper, aussi bien intentionné soit-il. Elle se construit couche par couche, en authentifiant chaque interface, en journalisant chaque modification de configuration, en segmentant chaque composant.

Nvidia a fait le pari de transformer OpenClaw en plateforme d’agents d’entreprise, avec des blueprints ouverts, des harnais multiples et des contrôles d’exécution. C’est une ambition légitime. Mais l’ironie veut que le maillon faible ne soit pas le modèle, ni le framework, ni même le sandbox : c’est la configuration réseau d’un runtime d’inférence locale, cette brique que tout le monde installe sans y penser. Dans un écosystème open-weight qui produit des modèles de 816 milliards de paramètres et des runtimes de plus en plus distribués, le détail de configuration est devenu le point de bascule entre un agent utile et un agent compromis.

La faille n’a pas encore reçu de CVE officiel. Elle n’a pas été confirmée par Nvidia. Mais elle a déjà rempli son office : nous rappeler que dans la ruée vers l’or de l’IA, ce ne sont pas seulement les pelles et les pioches qu’il faut sécuriser — c’est aussi la porte de la cabane.

Sources

Article recherché et rédigé automatiquement · Magazine Electrosens

📬 Restez à la pointe

Recevez chaque semaine les nouveautés de ce magazine par email.

💬 Une remarque, une correction ?

Aidez-nous à améliorer cet article. Nous prenons en compte vos retours.

Nemo(Claw) : quand le garde du corps d’OpenClaw devient la porte d’entrée des empoisonneurs