Comparatif entreprise : Hermès Agent vs OpenClaw (sécurité, gouvernance, maintenabilité, réversibilité)

Pour un décideur, la comparaison pertinente tient à quatre critères d'entreprise : sécurité par défaut, gouvernance, maintenabilité et réversibilité. Verdict synthétique : Hermès Agent offre la meilleure posture de sécurité par défaut et une gouvernance mieux documentée ; OpenClaw dispose d'un écosystème plus riche, au prix d'une dette de sécurité lourde. Un chemin de migration natif existe des deux côtés.

Hermès Agent ou OpenClaw : lequel choisir pour l'entreprise ?

Critère	Hermès Agent (Nous Research)	OpenClaw
Licence / modèle	MIT, self-hosted, model-agnostic	MIT, self-hosted, model-agnostic
Modèle de sécurité	OS = seul périmètre (documenté et assumé) ; expose et configure les couches au-dessus	OS = périmètre aussi, mais couches « scoped out » ; défaut permissif
Identité	Platform identity (Telegram/Discord), allowlists, pairing codes expirant en 1 h et rate-limités, tiers admin/regular	Gateway password partagé ; callers autorisés = confiance égale
RBAC intra-agent	Non (multi-tenant à l'OS)	Non (multi-tenant à l'OS)
Écosystème skills	~118 skills built-in ; auto-génération ; agentskills.io	5 700+ skills communautaires (ClawHub) — richesse mais supply chain risquée
Dette de sécurité	Faible ; politique de sécurité claire	512 vulnérabilités, 138 CVE, CVE-2026-25253, ClawHavoc, instances exposées
Gouvernance	Learning loop à auditer (boîte noire des skills) ; Skills Guard	openclaw security --audit ; SecureClaw/ClawBands/APort à ajouter
Maintenabilité	Releases fréquentes et documentées (v0.18.0 au 1er juil. 2026) ; hermes update	Renommages multiples (Clawdbot→Moltbot→OpenClaw) ; passage sous fondation post-OpenAI
Réversibilité	Migration bidirectionnelle native	Migration bidirectionnelle native

Quel projet a la meilleure posture de sécurité par défaut ?

Le verdict de XDA Developers est net : Hermès « ships the controls for the deployment OpenClaw refuses to defend ». Concrètement : identité via plateforme plutôt que mot de passe de gateway partagé, allowlists et pairing codes expirant en 1 h, tier admin vs regular restreignant les slash commands par rôle. La nuance honnête : ni l'un ni l'autre n'a de RBAC intra-agent. Les utilisateurs autorisés partagent un conteneur et accèdent aux mêmes services connectés, l'isolation multi-utilisateurs doit se faire au niveau OS/hôte. Comme le résume l'article : « The OS is still the boundary in both projects. Hermes documents and configures the layers above it; OpenClaw scopes them out. »

Comment migrer d'OpenClaw vers Hermès ? (chemin natif hermes claw migrate)

Hermès fournit une commande de migration native et mature (first-class depuis v0.14.0, complète depuis v0.3.0+) :

hermes claw migrate            # migration interactive (preset full, preview d'abord)
hermes claw migrate --dry-run  # aperçu sans modification
hermes claw migrate --preset user-data   # mémoire + skills, sans secrets
hermes claw migrate --preset full --migrate-secrets --yes

Caractéristiques clés pour un DSI :

• Non-destructif : lit ~/.openclaw (puis ~/.clawdbot, ~/.moltbot) mais ne le modifie jamais ; backup automatique dans ~/.hermes/migration/openclaw/<timestamp>/.
• Migre : SOUL.md, mémoire, skills (converties au format agentskills.io, rangées dans skills/openclaw-imports/), config (modèles, canaux, outils), et optionnellement les secrets.
• Le wizard hermes setup détecte ~/.openclaw et propose la migration.
• Les skills ClawHub communautaires nécessitent un remplacement manuel par des équivalents Hermès.

La migration inverse existe aussi (openclaw migrate hermes --dry-run / openclaw migrate apply hermes), ce qui garantit la réversibilité bidirectionnelle.

Réversibilité et absence de lock-in

Les deux projets sont MIT et self-hostables, model-agnostic (pas de lock-in fournisseur de modèle : hermes model ou config OpenClaw), et partagent le standard agentskills.io pour les skills. C'est un argument décisif pour une DSI : le choix Hermès ↔ OpenClaw reste réversible, ce qui autorise une stratégie d'expérimentation prudente, dans une logique de design to exit.

FAQ

Peut-on faire tourner les deux en parallèle ? Brièvement oui (runtimes et ports différents, routage de canaux distincts), mais ils partagent des hypothèses sur HOME et ne doivent pas posséder la même mémoire simultanément. Le bridge communautaire HermesClaw gère la coexistence sur un même compte WeChat.

Hermès est-il « le successeur » d'OpenClaw ? Non : ce sont deux projets distincts d'éditeurs différents (Nous Research vs fondation OpenClaw). Hermès offre un chemin de migration natif et une lignée de skills compatible.

Lequel pour un déploiement souverain local ? Les deux tournent en local ; NVIDIA fournit des playbooks pour Hermès (DGX Spark) et pour OpenClaw (NemoClaw). Voir Souveraineté et Déploiements durcis.

---

Sources

• xda-developers.com
• hermes-agent.nousresearch.com/docs/guides/migrate-from-openclaw
• docs.openclaw.ai/install/migrating-hermes
• github.com/NousResearch/hermes-agent
• medium.com/@tentenco