Un collaborateur vous montre son téléphone. Il écrit sur Telegram à un assistant qui trie ses mails, lance des commandes sur son ordinateur et se souvient de ce qu’ils se sont dit la semaine dernière. L’assistant s’appelle OpenClaw, ou Hermes Agent. Et il vous demande : on l’installe pour l’équipe ?

Voici ce que sont ces deux projets, ce qu’ils savent faire, ce que leurs propres documentations disent des risques, et les précautions à prendre pour un essai.

Deux assistants personnels, open source

Les deux projets sont open source : leur code est public, chacun peut le lire, l’installer et le modifier gratuitement. Tous deux sont publiés sous licence MIT, l’une des plus permissives.

OpenClaw se présente comme un assistant IA qui tourne sur votre propre ordinateur et vous répond dans les messageries que vous utilisez déjà : WhatsApp, Telegram, Slack, Teams, Discord, iMessage, et une vingtaine d’autres. Peter Steinberger l’a lancé fin novembre 2025 sous le nom de Clawdbot. Le projet est devenu Moltbot, puis OpenClaw le 30 janvier 2026. Il est aujourd’hui porté par l’OpenClaw Foundation, une fondation américaine à but non lucratif. Le projet précise n’avoir ni offre payante, ni service hébergé, ni jeton de cryptomonnaie. Une offre qui prétend le contraire ne vient pas de lui.

Hermes Agent est publié par Nous Research, un laboratoire de recherche en IA. Il tourne sur un ordinateur, un serveur loué ou une infrastructure cloud, et se pilote depuis Telegram, Discord, Slack, WhatsApp ou Signal. Il propose d’importer les réglages, les mémoires, les compétences et les clés d’accès aux services d’une installation OpenClaw.

Tous deux s’appuient sur un modèle, le moteur d’IA qui comprend et rédige. C’est vous qui le choisissez : un service comme Claude ou ceux d’OpenAI, ou un modèle installé en local.

Ce qu’ils savent faire

Un programme tourne en permanence sur la machine : une passerelle qui relie vos messageries, le modèle et des outils. Vous écrivez un message, l’assistant décide quoi faire, puis il le fait. C’est ce qui en fait un agent IA, et pas un simple chatbot.

Selon leur documentation, ils peuvent :

  • agir sur la machine : lancer des commandes, lire et écrire des fichiers, piloter un navigateur, consulter le Web ;
  • se souvenir : la mémoire et l’historique des conversations sont gardés sur la machine, d’une session à l’autre. Hermes Agent va plus loin et construit, au fil des échanges, un portrait de son utilisateur ;
  • apprendre des compétences : une compétence (skill) est un fichier d’instructions, parfois accompagné de code, qui apprend à l’agent à se servir d’un outil. Des catalogues publics comme ClawHub en proposent, écrites par d’autres utilisateurs. Hermes Agent en crée aussi lui-même après une tâche complexe, et les modifie à l’usage ;
  • travailler sans vous : Hermes Agent planifie des tâches qui tournent seules, comme un rapport quotidien ou une sauvegarde nocturne.

Pour une personne à l’aise avec l’informatique, c’est un assistant puissant : on lui écrit comme à un collègue, et il agit.

Ce que disent leurs propres règles de sécurité

Les deux projets publient une politique de sécurité. À lire avant toute installation : elle dit franchement ce que l’outil ne protège pas.

Un seul utilisateur de confiance. OpenClaw se décrit comme une infrastructure prévue pour des « opérateurs de confiance ». Sa règle : toute personne qui peut piloter un agent peut lui faire faire tout ce que l’agent peut faire. Hermes Agent se définit comme un agent personnel, pour un seul utilisateur. Brancher l’assistant sur un canal Slack partagé, c’est donc confier ses droits à tous ceux qui peuvent lui écrire.

Les droits de votre poste, par défaut. Chez OpenClaw, les outils s’exécutent directement sur la machine tant que l’isolement n’est pas configuré, et il ne l’est pas par défaut. L’isolement (sandbox) fait travailler l’agent dans un espace fermé, conteneur ou machine virtuelle, où il ne voit que ce qu’on lui donne. Hermes Agent exécute aussi ses commandes sur la machine par défaut. Sa politique est nette : face à un modèle manipulé, la seule vraie frontière est le système d’exploitation. Sa demande d’approbation avant une commande dangereuse aide à éviter les accidents, mais elle n’arrête pas une attaque.

L’injection de prompt. C’est une consigne cachée dans un contenu que l’IA lit : une page web, un mail, une pièce jointe. Selon l’OWASP, une référence sur les risques des applications d’IA, elle peut agir même invisible pour un humain. La documentation d’OpenClaw insiste : même si vous êtes le seul à écrire à l’assistant, tout ce qu’il lit peut porter des instructions hostiles. Les deux projets considèrent d’ailleurs qu’une injection seule n’est pas une faille de leur code. La protection doit venir des limites posées autour du modèle, pas du modèle lui-même. Il peut aussi se tromper sans aucune attaque : c’est le problème des hallucinations.

Les compétences tierces. OpenClaw demande de traiter les compétences tierces comme du « code non fiable », et de les lire avant de les activer. Hermes Agent rappelle qu’une compétence peut exécuter du code dès son chargement : la relire, c’est lire son code, pas seulement sa description. Les analyses automatiques des catalogues aident, sans dispenser de cette relecture.

Les secrets. Pour fonctionner, l’assistant garde sur la machine les clés du modèle, les jetons des messageries et l’historique des conversations. La documentation d’OpenClaw prévient que tout processus qui accède à ces fichiers peut les lire.

Les mises à jour. Au 10 octobre 2026, OpenClaw avait publié plus de 700 avis de sécurité depuis fin janvier, dont quatorze jugés critiques. Exemple : avant la version 2026.1.29, un simple clic sur un lien piégé pouvait livrer à un attaquant l’accès à la passerelle, même installée pour ne répondre qu’en local. Cette version l’a corrigé. Pour Hermes Agent, la base américaine des vulnérabilités (NVD) recense 39 failles référencées (CVE) publiées entre avril et septembre 2026. Ces chiffres montrent surtout qu’il faut quelqu’un pour suivre les avis et installer les correctifs.

Si une équipe veut essayer

Rien n’interdit un essai. La documentation d’OpenClaw admet un agent partagé dans une entreprise, à condition qu’il serve uniquement au travail, entre personnes qui se font confiance, sur une machine dédiée. Celle de Hermes Agent recommande d’isoler l’ensemble du processus pour tout usage partagé ou qui lit des contenus extérieurs. D’où ces précautions :

  1. Une machine dédiée, ou une machine virtuelle, avec son propre compte utilisateur. Aucun compte personnel connecté : ni messagerie privée, ni gestionnaire de mots de passe, ni navigateur du quotidien.
  2. Des comptes de test et, pour WhatsApp ou Telegram, un numéro séparé. Pas de données clients au départ. Si l’essai touche des données personnelles, le guide Agent IA et RGPD détaille les questions à poser.
  3. Des accès réduits : isolement activé, commandes et navigateur désactivés tant qu’ils ne servent pas, liste fermée des personnes autorisées à écrire à l’assistant.
  4. Aucune compétence tierce sans relecture de son code par quelqu’un qui sait le lire.
  5. Un responsable, qui suit les avis de sécurité, installe les mises à jour et lance l’audit fourni par le projet (openclaw security audit pour OpenClaw).
  6. Une durée fixée, puis un bilan : ce que l’assistant a vraiment fait, et ce qu’il a fallu corriger.

Un assistant personnel n’est pas un agent métier

OpenClaw et Hermes Agent sont pensés pour une personne qui confie à un assistant les clés de son poste et de ses comptes. C’est leur force, et c’est ce qui demande de la prudence en entreprise.

Un agent sur mesure suit la logique inverse : un badge qui n’ouvre qu’une pièce. Il traite une tâche précise, comme rapprocher des factures ou trier des tickets. Il n’accède qu’aux logiciels et aux données dont cette tâche a besoin, par les accès que ces logiciels prévoient, par exemple un connecteur MCP. Les calculs sont vérifiés par du code, chaque action laisse une trace, et ce qui engage l’entreprise attend une validation humaine. Quand il a un doute, il le signale au lieu de deviner.

Les grands éditeurs proposent aussi leurs propres assistants : le comparatif de Claude Cowork, Copilot Cowork et ChatGPT les présente.

Par où commencer

Partez du travail, pas de l’outil : que voulez-vous confier, précisément ?

  • Si c’est une curiosité, ou l’envie d’un collaborateur d’explorer : encadrez l’essai avec les précautions ci-dessus, sur une machine à part.
  • Si c’est une tâche récurrente dans vos logiciels, avec des règles connues et des décisions qui engagent : un agent limité à cette tâche, aux accès réduits et aux actions validées, est plus simple à maîtriser.

Pour voir à quoi ressemble ce second cas dans les outils d’une entreprise, la page Agents IA sur mesure montre ce qu’un agent fait seul, et ce qu’il vous laisse décider.