OpenClaw en 5 minutes : sandbox isolée pour agent IA sur Mac cloud

Les besoins de permissions d'un Agent diffèrent fondamentalement de ceux d'un humain

Pour un humain en SSH, les ressources nécessaires sont claires ; pour un Agent IA, c'est différent. Les frameworks (LangGraph, AutoGen, Cursor Background Agent, etc.) héritent par défaut de tous les droits de l'utilisateur OS. Un Agent chargé de « lister les TODO du dépôt en tableau Markdown » n'a besoin que de lire /workspace et écrire un fichier de sortie, en réalité il peut aussi accéder à ~/Library/Keychains, lire le répertoire des clés SSH, ou exfiltrer des données via curl. L'Agent ne le fera pas volontairement, mais un shell générique ou un plugin externe peut — et vous n'êtes pas forcément devant l'écran.

L'architecture M4 rend le sujet plus urgent, pas moins. Neural Engine 38 TOPS abaisse le coût d'inférence locale ; la fréquence des Agents sur Mac a bondi — le risque aussi. OpenClaw part du principe : pas besoin de Docker (perte de la toolchain Xcode complète), ni de VM reconstruite à chaque tâche (trop cher) — interception au niveau syscall sur macOS réel ; la stratégie est un YAML versionné avec le code.

Avant de commencer : quatre prérequis indispensables

Aucune exigence sur votre machine locale — Windows, Linux ou macOS, un client SSH suffit. Mais ces quatre points doivent être prêts avant de commencer, sinon vous bloquerez en cours de route.

Instance M4 : pas encore activée ? Page de commande — nœud et durée, instance prête en 1–5 min après paiement, identifiants SSH dans « Informations d'accès ». Cinq nœuds (Singapour, Tokyo, Séoul, Hong Kong, côte est US) : mêmes specs et tarifs ; choisissez selon la latence réseau cible.

instance-token : généré à la première activation OpenClaw dans « Sécurité et sandbox », affiché une seule fois. Stockez-le immédiatement (1Password, Bitwarden, etc.). Une fois la page quittée, il n'est plus consultable ; vous pouvez seulement le faire tourner sur la même page (l'ancien expire aussitôt).

Activer OpenClaw dans la console

OpenClaw n'est pas activé par défaut — chaque instance est contrôlée séparément pour éviter le surcoût d'audit inutile. Le chemin console est court : confirmez visuellement l'état « activé » avant l'étape suivante.

1. 01
   Ouvrir la fiche instance

   Connectez-vous à la console VPSRox, ouvrez la fiche de l'instance. Sous l'onglet « Sécurité et sandbox », trouvez le commutateur OpenClaw.

2. 02
   Activer et sauvegarder l'instance-token

   Activez le commutateur ; une fenêtre affiche l'instance-token (oct-xxxxxxxx-xxxx-xxxx-xxxx-xxxxxxxxxxxx). Copiez-le dans votre coffre avant de fermer, confirmez l'enregistrement, puis « J'ai sauvegardé, continuer ».

3. 03
   Confirmer l'état « Activé »

   Après fermeture, la zone OpenClaw doit afficher le badge vert « Activé ». Si « Activation en cours » persiste après 30 s, actualisez la page. C'est la seule étape à faire dans le navigateur.

Installation CLI et trois vérifications de santé

Après connexion SSH, une commande installe OpenClaw CLI. Le script détecte macOS et l'architecture ; sur M4, l'installation prend en général moins de 30 secondes.

openclaw status doit afficher trois composants, tous healthy avant de continuer :

Trois verts : condition nécessaire, pas suffisante — Policy Engine healthy = processus OK, pas YAML valide. La validation stratégie est l'étape suivante. degraded ou unavailable : lancez openclaw doctor ; cause fréquente — extension noyau en attente d'approbation (Réglages système → Confidentialité et sécurité ; SSH seul ne suffit pas, VNC bref requis).

YAML à privilèges minimaux : analyse champ par champ

La stratégie définit ce que l'Agent peut ou non faire. Principe : strict d'abord — le premier YAML n'ouvre que le minimum, observez les deny, puis élargissez selon le besoin. Modèle lecture seule « cloner dépôt public → scan statique → rapport », enregistrez-le dans ~/policies/quickstart-readonly.yaml.

Quelques choix de conception.filesystem.deny prime sur allow : même avec /workspace en lecture/écriture, les chemins deny restent bloqués — le moteur vérifie deny avant allow. process.allow = liste blanche de noms : seuls les exécutables listés démarrent ; ajoutez node ou npm si besoin, sinon E_POLICY_DENY: process. network.egress: deny-all bloque aussi le DNS — volontaire en démo pour voir un deny et confirmer que le moteur agit.

Validez le YAML avant de créer le sandbox pour détecter les erreurs de syntaxe :

Soumettre la première tâche Agent : créer le sandbox et exécuter

Avant LangGraph ou un framework maison, testez une boucle complète avec un script shell déterministe. Comportement prévisible : vous séparez « décision de stratégie » et « logique Agent » ; en cas d'erreur, vous savez s'il faut ajuster la stratégie ou le code Agent.

1. 01
   Créer le sandbox

   openclaw sandbox create --name quickstart --policy ~/policies/quickstart-readonly.yaml
   Succès : ID sandbox et statut ready. Création idempotente — même nom : existe déjà, pas d'erreur.

2. 02
   Autre terminal : suivi temps réel des logs d'audit

   openclaw audit tail --sandbox quickstart --follow
   Gardez cette fenêtre ouverte — observez Agent et audit en parallèle. Chaque décision apparaît en général 50–200 ms après l'action Agent.

3. 03
   Dans le premier terminal, exécuter le script d'entrée Agent

   Placez d'abord le script ci-dessous dans /workspace/agent-entry.sh (sur l'hôte, mappé automatiquement), puis :
   openclaw sandbox exec quickstart -- /bin/zsh /workspace/agent-entry.sh

4. 04
   Arrêter le sandbox après la tâche

   openclaw sandbox stop quickstart
   Les données workspace restent sur l'hôte /workspace, remontées au prochain sandbox create. Nettoyage complet : ajoutez --rm.

Avec network.egress: deny-all, git clone est bloqué — sortie « clone blocked (expected) » ; but : un événement network decision: deny dans l'audit pour vérifier la structure. Si le script atteint rg, les droits /workspace sont corrects. Sur nœud M4 Singapour : script complet ~2,3 s, surcoût cumulé du moteur de stratégie < 80 ms.

Lecture des journaux d'audit : sens de chaque ligne

Les journaux d'audit différencient OpenClaw des autres sandbox : ce n'est pas un rapport a posteriori, mais un flux d'événements synchrone avec les décisions, consultable en direct ou exportable. Chaque entrée a un jeu de champs fixe — les comprendre permet de diagnostiquer depuis les logs.

Format typique d'un enregistrement allow (lecture fichier) :

latency_us : microsecondes de décision du moteur de stratégie ; policy_rule : index de la règle YAML déclenchée, pour repérer rapidement quelle règle allow ou deny s'applique.

Format d'un enregistrement deny (réseau bloqué) :

Cet enregistrement correspond au git clone bloqué du script Agent. dst=140.82.113.4:443 est l'IP GitHub — liste blanche précise : passez network.egress en allow-list avec github.com:443, re-validez puis openclaw sandbox update --name quickstart --policy ..., sans recréer le sandbox.

Commandes courantes de requête de logs :

Tous les deny de la dernière heure : openclaw audit query --decision deny --since 1h.
Filtrer par chemin : openclaw audit query --resource filesystem --path "/workspace/**".
Export JSON (SIEM / scripts) : openclaw audit export --sandbox quickstart --since 24h --format json > audit.json.

Six erreurs courantes et méthode de diagnostic

Au premier essai, presque tout le monde rencontre au moins une de ces erreurs. Table triée par fréquence, avec cause racine et correctif le plus court — sans parcourir toute la doc.

De l'essai rapide au workflow Agent stable

Cinq minutes en lecture seule valident l'environnement ; la production est plus riche : xcodebuild (plus de processus et répertoires temporaires), npm ou PyPI (listes blanches réseau fines), sandbox par PR en CI (API REST ou GitHub Actions). Chemin commun : itérer la stratégie via les deny des logs, pas partir large au hasard.

Puissance : sur Mac mini M4 · 16 Go, mesure réelle — 2 sandbox xcodebuild avec cache DerivedData en parallèle stable, ~4 Go restants pour audit OpenClaw et services système. Charge croissante : le service parallèle Thunderbolt 5 VPSRox forme un cluster 80 Gbps multi-Mac mini ; stratégies et logs d'audit restent isolés par instance.

Sans Mac cloud dédié, les alternatives ont des limites claires. Agent 24 h/24 sur la machine de dev perturbe le quotidien et la thermique sous charge ; VM macOS cloud (Runner GitHub) : pool partagé, pas d'OpenClaw natif, files d'attente aux heures de pointe ; Mac mini au bureau : amortissement, maintenance, IP publique fixe.

VPSRox propose Mac mini M4 physique dédié (CPU 10 cœurs · 16 Go unifiés · 256 Go NVMe · Neural Engine 38 TOPS), OpenClaw inclus sur l'instance standard, cinq nœuds (Singapour, Tokyo, Séoul, Hong Kong, côte est US) avec IPv4 dédiée et 1 Gbps, livraison 1–5 minutes, à partir de 21,8 $/jour. Phase expérimentale à la journée, puis mensuel 109,1 $ sans contrat.