用途：管理 NemoClaw 沙箱的网络策略，即增删改沙箱被允许访问的端点。策略定义在 NemoClaw 仓库的声明式 YAML 文件中，由 NVIDIA OpenShell 在运行时执行。
主要能力：支持两类变更。静态变更修改基线策略文件 openclaw-blueprint/policies/openclaw-sandbox.yaml，重跑 nemoclaw onboard 后生效，并在下次创建沙箱时应用；动态变更通过 OpenShell CLI 应用到运行中的沙箱，无需重启。可用预设策略（如 github、pypi、slack、brave、npm、huggingface、local-inference、outlook、jira、telegram 等）快速开通常见集成，也支持用户自定义 preset YAML。
使用方式：应用预设可运行 nemoclaw <name> policy-add（省略预设名时交互选择）或 nemoclaw my-assistant policy-add pypi --yes；移除用 policy-remove。列出已应用预设用 policy-list。应用单个自定义文件用 nemoclaw my-assistant policy-add --from-file ./presets/my-internal-api.yaml，可加 --dry-run 预览、--yes 跳过确认，或用 NEMOCLAW_NON_INTERACTIVE=1。应用目录用 --from-dir，按字典序处理，首个失败即停止且不回滚。也可用 openshell policy get --full、openshell policy set --policy 快照编辑后写回，或通过 openshell term 在 TUI 中逐条审批阻断请求。
限制与注意：openshell policy set 是整体替换而非合并，若文件只含基线或单个预设，会静默丢弃其他已生效预设。动态变更仅对当前会话有效，沙箱停止后回退到基线加已记录预设。自定义预设主机绕过 NemoClaw 审查流程，可能将出口放宽到任意目标，应用前须逐条核对主机。host.docker.internal 不应作为通用宿主服务路径。自定义 preset.name 须为小写 RFC 1123 标签，且不得与内置预设重名。