用途：管理 NemoClaw 沙箱的网络策略，新增、删除或修改沙箱允许访问的端点，用于自定义网络策略、调整出站规则或配置沙箱端点。策略以声明式 YAML 定义，由 NVIDIA OpenShell 在运行时强制执行。
主要能力：支持静态策略变更（修改基线策略文件，下次创建沙箱生效）和动态变更（通过 OpenShell CLI 对运行中的沙箱即时生效）。内置 brave、brew、discord、github、huggingface、jira、local-inference、npm、openclaw-pricing、outlook、pypi、slack、telegram、wechat、whatsapp 等预设，也可编写自定义预设。
使用方式：静态变更编辑 nemoclaw-blueprint/policies/openclaw-sandbox.yaml 后运行 nemoclaw onboard，用 nemoclaw <name> status 验证。动态变更推荐将预设文件放入 nemoclaw-blueprint/policies/presets/ 后执行 nemoclaw <name> policy-add；也可用 openshell policy get --full 导出、编辑后 openshell policy set 应用。自定义文件可用 nemoclaw <name> policy-add --from-file 或 --from-dir 应用，支持 --dry-run 预览、--yes 或 NEMOCLAW_NON_INTERACTIVE=1 跳过确认。用 policy-list 查看已应用预设，policy-remove 移除。
限制：openshell policy set 会整体替换而非合并，可能静默丢弃其他预设；动态变更仅对当前会话有效，沙箱停止后重置为基线。自定义预设主机绕过审查流程，可能扩大出站范围，应用前需审查每个主机。preset.name 须为小写 RFC 1123 标签且不得与内置预设重名。不要依赖 host.docker.internal 访问宿主服务。目录批量处理按字典序，遇错停止且不回滚已应用项。