האם OpenClaw בטוח? אבטחת OpenClaw ו-Hermes Agent, ההגדרות שצריך לשנות

OpenClaw בטוח מספיק להרצה אם מתייחסים אליו כמו למה שהוא: תוכנה שיכולה לקרוא את ההודעות והאימייל שלכם, להריץ פקודות ולפעול לפי מה שהיא קוראת. מהקופסה הוא נוטה ליכולת. פקודות רצות על המחשב המארח כי ה-sandbox כבוי כברירת מחדל, והוא מדווח לשרת של הפרויקט מדי יום. את שניהם אפשר לתקן בכמה דקות. אותו דבר נכון לגבי Hermes Agent, עם ברירות מחדל אחרות.

מה באמת יכול להשתבש

• פקודות על המחשב המארח. בלי sandbox, פקודה גרועה רצה עם הגישה של המשתמש שלכם לקבצים שלכם.
• Prompt injection. כל מה שהסוכן קורא, אימייל, דף אינטרנט, מסמך משותף, יכול לשאת הוראות שמכוונות אליו. ככל שיש לו יותר חשבונות לפעול בהם, הוראה מוזרקת יכולה לעשות יותר.
• Skills של צד שלישי. Skills הם קוד שאתם מתקינים. בינואר 2026 צוות אבטחת ה-AI של Cisco דיווח על skill של צד שלישי ל-OpenClaw שהוציא נתונים והריץ prompt injection בלי שהמשתמש ידע (סיכום בוויקיפדיה).
• Gateway חשוף. אם ממשק הבקרה נגיש מהאינטרנט בלי אימות, כל אחד יכול להפעיל את הסוכן שלכם.
• סודות במנוחה. אותו ערך בוויקיפדיה מסכם סקירה מאוגוסט 2026 של OpenClaw 2.0 שמתחה ביקורת על כך שסודות נשמרים לא מוצפנים במנוחה.

ברירות מחדל בעשרה סוכנים

טבלת רשימת הבדיקה שלמעלה מראה אילו סוכנים רצים ב-sandbox כברירת מחדל ואילו שולחים טלמטריה. הנה מה זה אומר בפועל ואיך לשנות את זה.

סוכן	בידוד מהקופסה	טלמטריה ואיך לכבות אותה
OpenClaw	כבוי; sandbox של Docker זמין	בדיקת עדכונים יומית; update.checkOnStart: false
Hermes Agent	כבוי; אישורי smart, backend של Docker זמין	אין, אלא אם מסכימים
NemoClaw	פעיל: sandbox של OpenShell עם אישור תעבורה יוצאת	טלמטריית CLI; NEMOCLAW_DISABLE_TELEMETRY=1
NanoClaw	פעיל: קונטיינר אחד לכל סוכן	אבחון התקנה; NANOCLAW_NO_DIAGNOSTICS=1
ZeroClaw	פעיל: sandbox של מערכת ההפעלה ואישורים בפרופיל Balanced	אין
Rakazo	פעיל: לכל בוט מחשב ב-sandbox	אין משרת באירוח עצמי; אפליקציית הדסקטופ בודקת עדכונים
Agent Zero	פעיל: הסוכן עובד בקונטיינר Docker משלו	בדיקת עדכונים; כיבוי בהגדרות
nanobot	כבוי; bubblewrap או Seatbelt זמינים, אין ב-Windows	אין
PicoClaw	בדיקות נתיב בלבד; בידוד תהליכים כבוי, רק ב-Linux וב-Windows	אין
QwenPaw	כבוי; אין בידוד בתוך Docker	נתוני התקנה עם --defaults; לסרב ב-qwenpaw init האינטראקטיבי

שתי הסתייגויות לגבי השורות ה“פעילות”. Agent Zero מריץ קוד באותו קונטיינר כמו Agent Zero עצמו, כך שהקונטיינר מגן על המחשב שלכם אבל לא על הסוכן מפני הקוד של עצמו. ופרופיל ה-YOLO של ZeroClaw מכבה הכול, אז בדקו איזה פרופיל בחרתם.

איך לנעול את OpenClaw

בסדר השפעה משוער, לפי תיעוד האבטחה של OpenClaw:

1. הריצו openclaw security audit. הפקודה מדווחת איפה ההגדרות שלכם סטו מברירות המחדל הבטוחות, ויכולה להחיל תיקונים נתמכים.
2. השאירו את ה-gateway על loopback. התקנה רגילה נקשרת ל-loopback, אבל images של קונטיינרים מוגדרים כברירת מחדל לקישור חשוף, אז הוסיפו אימות או שימו אותו מאחורי רשת פרטית לפני פריסה עם Docker.
3. השאירו את צימוד ה-DM פעיל. כברירת מחדל, שולחים לא מוכרים ברוב הערוצים מקבלים קוד צימוד במקום תשובה. אל תעבירו ערוץ למצב פתוח.
4. הפעילו את ה-sandbox. הגדירו את agents.defaults.sandbox.mode ל-all; non-main משאיר את הסשן הראשי של הסוכן על המחשב המארח (מצבי sandbox). Docker הוא ה-backend ברירת המחדל. רק הרצת כלים נכנסת ל-sandbox: ה-gateway נשאר על המחשב המארח.
5. חסמו את מה שאתם לא צריכים. חסימה של exec במדיניות הכלים מבטלת לגמרי גישת shell. הימנעו מ-tools.elevated, שמריץ פקודות מחוץ ל-sandbox.
6. השתמשו בחשבונות נפרדים. התיעוד ממליץ על מספרים נפרדים ל-WhatsApp, Signal ו-Telegram, ועל gateway אחד לכל גבול אמון: אל תשתפו gateway אחד בין אנשים שלא סומכים זה על זה.
7. קראו skills לפני שאתם מתקינים אותם, והעדיפו תוספים רשמיים.
8. הגדירו update.checkOnStart: false אם אתם לא רוצים את הדיווח היומי (תיעוד הטלמטריה).

אם אתם רוצים שכל זה ייאכף מחוץ לסוכן, הריצו את OpenClaw בתוך NemoClaw, שמוסיף sandbox, אישור תעבורה יוצאת ומשמורת אישורי גישה.

האם Hermes Agent בטוח?

Hermes Agent מתחיל ממקום טוב יותר בפרטיות (בלי טלמטריה) ובגישה בצ’אט: בלי רשימת היתרים מוגדרת, הוא חוסם כל משתמש, והודעות DM לא מוכרות מקבלות תהליך צימוד (תיעוד האבטחה). נקודת התורפה שלו זהה לזו של OpenClaw: ה-backend של הטרמינל מוגדר כברירת מחדל ל-local.

כדי לנעול אותו:

• הגדירו terminal.backend: docker. קונטיינרים מסירים את כל הרשאות ה-Linux (capabilities) מלבד כמה, וסודות מהמחשב המארח נשארים בחוץ אלא אם תפרטו אותם ב-docker_forward_env, אז השאירו אותו ריק.
• השאירו את האישורים פעילים. מצב ברירת המחדל smart נותן למודל עזר לשפוט סיכון; manual שואל לפני כל פקודה מסוכנת. לעולם אל תשתמשו ב-off, ששקול ל---yolo.
• הגדירו רשימות היתרים כמו TELEGRAM_ALLOWED_USERS ולעולם לא GATEWAY_ALLOW_ALL_USERS=true.
• הריצו chmod 600 ~/.hermes/.env, והגדירו auth.adopt_external_logins: false אם אתם לא רוצים ש-Hermes ישתמש בהתחברויות שלכם ל-Codex CLI או ל-Claude Code.

כללים שחלים על כל סוכן

• תנו לו מכונה או משתמש מערכת הפעלה משלו. מחשב פנוי או שרת קטן מגבילים את רדיוס הנזק באופן שאף הגדרה לא יכולה.
• צמצמו את היקף אישורי הגישה. חברו חשבון אימייל או יומן נפרד היכן שאפשר, והשתמשו במפתחות API עם מגבלות הוצאה.
• הגדירו רשימת היתרים של מי יכול לדבר איתו בכל ערוץ.
• בדקו משימות מתוזמנות. סוכן שעובד כשאתם לא שם גם טועה כשאתם לא שם.

אם בטיחות היא בראש סדר העדיפויות שלכם

בחרו בסוכן שמבודד כברירת מחדל ולא בכזה שצריך להקשיח: ZeroClaw או NanoClaw לסוכן אישי יחיד, או NemoClaw אם אתם רוצים דווקא את OpenClaw או את Hermes Agent. דירוג האירוח העצמי שלנו נותן משקל רב לברירות מחדל בטוחות, ומה זה OpenClaw מכסה את שאר הפשרות.