OpenClaw 2.0 : l'agent open source à durcir

OpenClaw, c'est quoi ?

Un agent IA confie à un modèle de langage le choix de la prochaine action : répondre, lancer un outil, modifier un fichier. OpenClaw en est un. Son dépôt GitHub, lu le 24 octobre 2026, le présente comme un assistant personnel qui tourne sur votre propre ordinateur et vous parle là où vous écrivez déjà : Discord, iMessage, Slack, Teams, Telegram, WhatsApp et plus de vingt autres messageries. Des applications natives existent pour macOS, iOS, Android, Windows et Linux.

Le code est sous licence MIT. Le projet est gouverné par l'OpenClaw Foundation, une association indépendante de droit américain (statut 501(c)(3)), et n'a pas d'offre payante. Personne ne vous vend donc de support : l'installation et l'exploitation sont à votre charge, ou à celle d'un prestataire. Pour situer la notion d'agent, voir notre définition de l'agent IA.

Comment il fonctionne : la Gateway et les canaux

Le cœur d'OpenClaw est la Gateway, un service local qui gère les sessions, les outils et les connexions aux messageries. L'interface web (Control UI), la ligne de commande et l'interface en terminal s'y connectent. Les modèles et les « agent harnesses », les moteurs qui pilotent le modèle, sont des plugins interchangeables : vous choisissez le modèle, OpenClaw ne l'impose pas.

Le démarrage tient en trois commandes : openclaw onboard --install-daemon installe le service, openclaw gateway status vérifie qu'il tourne, openclaw dashboard ouvre le tableau de bord. Selon la presse (source tierce), l'installateur de la 2.0 détecte un accès ChatGPT ou Claude déjà présent sur la machine.

Côté données, le dépôt indique que l'état, la mémoire et les identifiants restent sur votre matériel, et que la télémétrie se limite à une vérification quotidienne de version, sauf si vous acceptez davantage. C'est un atout pour une PME qui ne veut pas confier ses échanges à un éditeur. C'est aussi une responsabilité : la machine qui héberge OpenClaw devient un poste sensible, à protéger comme un serveur.

OpenClaw 2.0 : ce que la version 2026.8.1 a changé

« OpenClaw 2.0 » n'est pas un numéro de version : le projet numérote ses versions par date (CalVer : année, mois, numéro). La version présentée comme 2.0 est la 2026.8.1, publiée le 31 août 2026 (annoncée le 30 selon la presse). Ce n'est pas la dernière : au 24 octobre 2026, la version stable est la 2026.10.7, publiée le jour même. D'après sa page de version, la 2.0 apporte cinq changements qui comptent pour une entreprise.

• Des demandes d'identifiants masquées. L'agent peut demander un mot de passe ou une clé sans que la valeur passe dans la conversation ni dans le contexte du modèle. C'est le bon réflexe : un secret qui entre dans le contexte peut en ressortir.
• La provenance des plugins. Installer un plugin exécutable depuis une source quelconque exige désormais l'option --force. Les sources de confiance (ClawHub, plugins intégrés, catalogue officiel) gardent la demande de consentement aux capacités du plugin.
• Un accès aux fichiers ancré à l'espace de travail. En accès restreint, l'agent reste dans le dossier de travail enregistré pour la session.
• Des sessions déplaçables. Une session peut passer sur un appareil appairé ou sur un worker cloud, avec son espace de travail. Selon la presse, des collègues peuvent suivre une session partagée et la reprendre ; un article signale que cette fonction n'a ni frontière réseau ni frontière de fichiers. À vérifier avant de l'activer.
• Des changements incompatibles. Le plugin OpenProse et la commande /prose sont supprimés ; les références de modèles codex/* et openai-codex/* se migrent avec openclaw doctor --fix. Une mise à jour peut donc casser une configuration : on la teste avant la production.

Toujours selon la presse (infoq.com, therundown.ai, decrypt.co), la 2.0 apporte aussi une application navigateur refaite, et le projet revendique 933 contributeurs et plus de 16 000 demandes de fusion. Ce sont des chiffres déclarés par le projet.

Depuis, le rythme ne faiblit pas. La 2026.10.6, du 22 octobre, exige un runtime Node corrigé : Node 24.22.1 ou plus, ou 26.12.1 ou plus. Le README indique encore 24.16 ou 26.1 : relisez la page de version avant d'installer, et retenez l'exigence la plus récente.

OpenClaw sécurité : le bac à sable est désactivé par défaut

C'est le point à comprendre avant tout le reste. Sans configuration, les outils de la session principale tournent sur la machine hôte : une commande lancée par l'agent s'exécute avec les droits de l'utilisateur qui fait tourner OpenClaw. Le bac à sable (sandbox), un environnement isolé, existe, mais il faut l'activer. Même activé, il ne couvre que l'exécution des outils : la Gateway reste toujours sur l'hôte.

La commande openclaw security audit signale les réglages à risque. Lancez-la après l'installation et après chaque mise à jour.

Les messages entrants ne sont pas fiables

Le projet le pose lui-même : tout message reçu est une donnée non fiable. Un message peut contenir des instructions cachées que le modèle prendrait pour des ordres (injection de consignes). Pour limiter qui peut parler à l'agent, les canaux à messages privés appairent par défaut les expéditeurs inconnus : un inconnu n'est pris en compte qu'après approbation, avec openclaw pairing approve <canal> <code>. Avant d'exposer la Gateway à distance, le projet demande de lire son guide de sécurité.

Un opérateur de confiance, pas plusieurs clients

Une demande publique (issue n° 7827, ouverte le 3 février 2026, fermée le 7 mars 2026) a réclamé un durcissement par défaut. La réponse des mainteneurs fixe le cadre : OpenClaw suit un modèle d'assistant personnel avec un opérateur de confiance, pas une isolation entre plusieurs utilisateurs hostiles sur une même Gateway. Le bac à sable désactivé par défaut est un comportement documenté, pas une faille. Pour les déploiements partagés ou publics, ils recommandent un verrouillage supplémentaire : frontières de confiance séparées, politique d'outils plus stricte, bac à sable, listes d'autorisation, et réponse seulement quand l'agent est mentionné. L'installation locale isole désormais les messages privés par interlocuteur et par canal (dmScope sur per-channel-peer) si rien n'est configuré.

Ce que cela implique pour une PME. Une installation pour un dirigeant, sur une machine dédiée, correspond au modèle prévu. Une installation partagée par une équipe, ou exposée à des clients, en sort : chaque personne qui écrit à l'agent peut l'amener à agir avec les droits de l'opérateur. Dans ce cas, nous recommandons une instance par frontière de confiance (par exemple une par équipe), un bac à sable actif, des outils limités, et jamais d'accès client à un agent qui touche vos systèmes internes. Ce sont nos recommandations, tirées de la position publique des mainteneurs, pas des mesures.

ClawHub et la provenance des extensions

ClawHub est la place de marché des extensions d'OpenClaw. Selon des guides tiers, des extensions malveillantes y ont été publiées, puis la plateforme a été durcie ; nous n'avons pas de source primaire sur ces incidents, mais ils suffisent à justifier une règle simple. Une extension n'est installée que si l'on sait qui la publie, ce qu'elle peut faire et pourquoi on en a besoin. Certains guides tiers avertissent aussi que des protections sont livrées désactivées : vérifiez chaque réglage plutôt que de le supposer. La logique des droits accordés à un outil connecté est détaillée dans notre guide MCP pour dirigeants.

OpenClaw : quel coût réel pour une entreprise ?

Le logiciel est gratuit et la fondation ne vend rien : il n'existe pas d'offre hébergée ni de support éditeur. Le coût réel se répartit en quatre postes.

• Le modèle. À l'usage, facturé par le fournisseur si vous passez par une API ; en matériel (carte graphique, mémoire) si vous faites tourner un modèle local.
• La machine. Un ordinateur ou un serveur dédié, allumé en permanence si l'agent doit répondre à toute heure. Les workers cloud de la 2.0 ajoutent, si vous les utilisez, le coût de leur hébergement.
• Les services connectés. Les abonnements des messageries et outils reliés, en général déjà payés.
• L'exploitation. Le rythme des versions (2026.10.6 puis 2026.10.7 à deux jours d'écart) et les changements incompatibles demandent une personne qui lit les notes, teste et met à jour. C'est le poste le plus souvent sous-estimé.

Pour comparer ces postes avec un agent sur mesure, lisez combien coûte un agent IA pour une PME. Pour un modèle qui tourne sur vos machines, le billet IA auto-hébergée en PME donne un coût de location de serveur daté.

RGPD : où vont vos données avec OpenClaw ?

OpenClaw garde l'état, la mémoire et les identifiants sur votre matériel. C'est un bon point de départ, pas une conformité acquise. Quatre flux sont à cartographier.

• La machine hôte. Elle contient l'historique et la mémoire de l'agent : durée de conservation, sauvegarde et suppression sont à décider par vous.
• Le modèle. Avec une API, le texte des demandes et le contexte joint partent chez le fournisseur, sous ses conditions. Avec un modèle local, le calcul reste chez vous.
• Les messageries. Un échange par WhatsApp, Slack ou Teams passe par ces services, avec leurs propres règles.
• Les workers cloud et sessions partagées. Une session déplacée vers un worker cloud emporte son espace de travail : les données sortent alors de la machine hôte.

Pour la base légale, le registre, les contrats et les transferts hors de l'Union, suivez la checklist RGPD des agents IA, et écrivez les règles d'usage dans une charte. Ce guide n'est pas un avis juridique.

OpenClaw, Hermes Agent, agent d'éditeur ou agent sur mesure ?

OpenClaw n'est pas seul sur ce terrain. Quatre voies se présentent à une PME.

• OpenClaw : quand vous voulez un assistant présent dans de nombreuses messageries et sur tous vos appareils, que les données doivent rester sur votre matériel, et que l'usage reste celui d'un opérateur de confiance.
• Hermes Agent, de Nous Research, l'autre moteur ouvert sous licence MIT : moins de canaux (cinq messageries et la ligne de commande), mais un bac à sable mis par défaut depuis sa v0.22.0, une mémoire consultable et des skills qu'il crée lui-même. Sa v0.22.5 annonce une migration depuis OpenClaw : commencer sur OpenClaw n'est donc pas un cul-de-sac. Voir le guide Hermes Agent et le comparatif Hermes Agent ou OpenClaw.
• Un agent d'éditeur, comme Claude Duet chez Anthropic ou ChatGPT dots chez OpenAI : rien à installer, mais un assistant par personne, dans ses propres comptes. Selon les sources lues le 24 octobre 2026, ni l'un ni l'autre n'est clairement ouvert à un abonné français. Voir Claude Duet ou ChatGPT dots et le billet agent IA toujours actif : propriétaire ou open source.
• Un agent sur mesure, construit sur l'API de Claude ou d'OpenAI pour une mission d'entreprise précise, avec journal et validation humaine : voir nos agents IA sur mesure.

Et si la tâche suit une règle fixe, une automatisation n8n reste moins chère et plus prévisible qu'un agent.

Ce que Waimia met en place autour d'OpenClaw

OpenClaw fournit un assistant puissant, pensé pour un opérateur. En faire un outil d'entreprise demande du travail d'intégration : c'est l'objet de notre offre d'agents IA sur moteur ouvert. Ce que nous mettons en place :

• Le choix du moteur. OpenClaw, Hermes Agent, ou Claude et OpenAI en direct, selon la mission, le nombre d'utilisateurs, les canaux et la sensibilité des données. Si OpenClaw n'est pas adapté à votre usage (un agent ouvert à des clients, par exemple), nous le disons.
• Un déploiement durci. La liste de contrôle ci-dessus appliquée point par point : machine dédiée, bac à sable actif, droits minimaux, secrets en saisie masquée ou dans un coffre, appairage, journal, validation humaine pour ce qui engage l'entreprise.
• La connexion à vos outils. Par MCP, par API ou par un workflow n8n placé entre l'agent et vos logiciels, selon ce que la version installée prend en charge, vérifié au cadrage.
• L'exploitation et les mises à jour. Version stable épinglée, notes de version relues, mise à jour testée hors production, openclaw doctor --fix et openclaw security audit à chaque passage.
• La réversibilité. Vos agents, vos accès et la documentation restent à vous.

Ce sont des recommandations et une offre, pas un retour d'expérience : nous ne citons pas de client sur ce moteur. Quand Claude est le modèle retenu, la mise en place s'appuie sur notre intégration de Claude en entreprise. Le point de départ est l'audit IA gratuit de 45 minutes, en visio et sans engagement.

Articles pour aller plus loin

• OpenClaw 2.0 : changements et migration
• Sécuriser OpenClaw : checklist avant production
• Installer Hermes Agent : un premier agent prudent
• Sept missions pour un agent toujours actif
• Combien coûte un agent toujours actif

Sources

• OpenClaw, dépôt GitHub (README), lu le 24 octobre 2026
• OpenClaw, page des versions, lue le 24 octobre 2026
• OpenClaw 2026.8.1, dite « OpenClaw 2.0 » (31 août 2026)
• OpenClaw 2026.10.6, runtime Node corrigé (22 octobre 2026)
• OpenClaw 2026.10.7, version stable (24 octobre 2026)
• OpenClaw, issue n° 7827, posture de sécurité par défaut (ouverte le 3 février, fermée le 7 mars 2026)
• Nous Research, Hermes Agent v0.22.5 (migration depuis OpenClaw, 22 octobre 2026)