Czy OpenClaw jest bezpieczny? Bezpieczeństwo OpenClaw i Hermes Agent, ustawienia do zmiany

OpenClaw jest wystarczająco bezpieczny, jeśli traktuje się go zgodnie z tym, czym jest: programem, który może czytać wiadomości i e-maile, uruchamiać polecenia i działać na podstawie tego, co przeczyta. Po instalacji przechyla się w stronę możliwości. Polecenia działają na hoście, bo sandbox jest domyślnie wyłączony, a program codziennie łączy się z serwerem projektu. Oba problemy można naprawić w kilka minut. To samo dotyczy Hermes Agent, choć z innymi ustawieniami domyślnymi.

Co realnie może pójść źle

• Polecenia na hoście. Bez sandboksa złe polecenie działa z uprawnieniami naszego użytkownika do naszych plików.
• Prompt injection. Wszystko, co agent czyta, czyli e-mail, strona internetowa czy udostępniony dokument, może zawierać skierowane do niego instrukcje. Im więcej kont agent może obsługiwać, tym więcej może zdziałać wstrzyknięta instrukcja.
• Umiejętności stron trzecich. Umiejętności to instalowany kod. W styczniu 2026 zespół Cisco ds. bezpieczeństwa AI zgłosił umiejętność OpenClaw od strony trzeciej, która wykradała dane i wykonywała prompt injection bez wiedzy użytkownika (podsumowanie w Wikipedii).
• Wystawiona bramka. Jeśli interfejs sterujący jest dostępny z internetu bez uwierzytelnienia, każdy może sterować naszym agentem.
• Sekrety w spoczynku. Ten sam artykuł w Wikipedii streszcza przegląd OpenClaw 2.0 z sierpnia 2026, który krytykował przechowywanie sekretów bez szyfrowania.

Ustawienia domyślne dziesięciu agentów

Tabela kontrolna powyżej pokazuje, którzy agenci domyślnie używają sandboksa, a którzy wysyłają telemetrię. Oto co to oznacza w praktyce i jak to zmienić.

Agent	Izolacja po instalacji	Telemetria i jak ją wyłączyć
OpenClaw	Wyłączona; dostępny sandbox Docker	Codzienne sprawdzanie aktualizacji; update.checkOnStart: false
Hermes Agent	Wyłączona; zatwierdzenia smart, dostępny backend Docker	Brak, chyba że się zgodzi
NemoClaw	Włączona: sandbox OpenShell z zatwierdzaniem ruchu wychodzącego	Telemetria CLI; NEMOCLAW_DISABLE_TELEMETRY=1
NanoClaw	Włączona: jeden kontener na agenta	Diagnostyka instalacji; NANOCLAW_NO_DIAGNOSTICS=1
ZeroClaw	Włączona: sandbox systemu i zatwierdzenia w profilu Balanced	Brak
Rakazo	Włączona: każdy bot ma odizolowany komputer	Brak z serwera hostowanego samodzielnie; aplikacja desktopowa sprawdza aktualizacje
Agent Zero	Włączona: agent pracuje we własnym kontenerze Docker	Sprawdzanie aktualizacji; wyłączane w ustawieniach
nanobot	Wyłączona; dostępny bubblewrap lub Seatbelt, brak na Windows	Brak
PicoClaw	Tylko sprawdzanie ścieżek; izolacja procesów wyłączona, tylko Linux i Windows	Brak
QwenPaw	Wyłączona; brak izolacji wewnątrz Dockera	Dane instalacji przy --defaults; można odmówić w interaktywnym qwenpaw init

Dwa zastrzeżenia do wierszy „włączona”. Agent Zero uruchamia kod w tym samym kontenerze co sam Agent Zero, więc kontener chroni nasz komputer, ale nie chroni agenta przed jego własnym kodem. A profil YOLO w ZeroClaw wyłącza wszystko, więc warto sprawdzić, który profil został wybrany.

Jak zabezpieczyć OpenClaw

Mniej więcej w kolejności wpływu, na podstawie dokumentacji bezpieczeństwa OpenClaw:

1. Uruchomić openclaw security audit. Raportuje, gdzie konfiguracja odbiega od bezpiecznych ustawień domyślnych, i może zastosować obsługiwane poprawki.
2. Trzymać bramkę na loopbacku. Zwykła instalacja nasłuchuje na loopbacku, ale obrazy kontenerów domyślnie nasłuchują na wystawionym adresie, więc przed wdrożeniem w Dockerze należy dodać uwierzytelnienie lub umieścić bramkę w sieci prywatnej.
3. Zostawić włączone parowanie DM. Domyślnie nieznani nadawcy na większości kanałów dostają kod parowania zamiast odpowiedzi. Nie należy przełączać kanału na otwarty.
4. Włączyć sandbox. Ustawić agents.defaults.sandbox.mode na all; non-main zostawia główną sesję agenta na hoście (tryby sandboksa). Docker jest domyślnym backendem. W sandboksie działa tylko wykonywanie narzędzi: bramka zostaje na hoście.
5. Zablokować to, co niepotrzebne. Reguła deny w polityce narzędzi dla exec całkowicie wyłącza dostęp do powłoki. Warto unikać tools.elevated, które uruchamia polecenia poza sandboksem.
6. Używać oddzielnych kont. Dokumentacja zaleca osobne numery dla WhatsApp, Signal i Telegrama oraz jedną bramkę na granicę zaufania: nie należy dzielić jednej bramki między osoby, które sobie nie ufają.
7. Czytać umiejętności przed instalacją i preferować oficjalne wtyczki.
8. Ustawić update.checkOnStart: false, jeśli codzienne łączenie się z serwerem jest niepożądane (dokumentacja telemetrii).

Aby wszystko to było wymuszane spoza agenta, można uruchomić OpenClaw w NemoClaw, który dodaje sandbox, zatwierdzanie ruchu wychodzącego i przechowywanie poświadczeń.

Czy Hermes Agent jest bezpieczny?

Hermes Agent startuje z lepszej pozycji pod względem prywatności (brak telemetrii) i dostępu przez czat: bez ustawionej listy dozwolonych odmawia każdemu użytkownikowi, a nieznane wiadomości prywatne przechodzą przez parowanie (dokumentacja bezpieczeństwa). Jego słaby punkt jest taki sam jak w OpenClaw: backend terminala domyślnie to local.

Jak go zabezpieczyć:

• Ustawić terminal.backend: docker. Kontenery odbierają wszystkie uprawnienia Linuksa poza kilkoma, a sekrety hosta zostają na zewnątrz, chyba że wymieni się je w docker_forward_env, więc warto zostawić je puste.
• Zostawić zatwierdzenia włączone. Domyślny tryb smart pozwala modelowi pomocniczemu oceniać ryzyko; manual pyta przed każdym niebezpiecznym poleceniem. Nigdy nie należy używać off, co jest równoznaczne z --yolo.
• Ustawić listy dozwolonych, takie jak TELEGRAM_ALLOWED_USERS, i nigdy nie ustawiać GATEWAY_ALLOW_ALL_USERS=true.
• Uruchomić chmod 600 ~/.hermes/.env i ustawić auth.adopt_external_logins: false, jeśli Hermes nie ma korzystać z logowań Codex CLI lub Claude Code.

Zasady dla każdego agenta

• Dać mu własną maszynę lub użytkownika systemu. Zapasowy komputer lub mały serwer ogranicza zasięg szkód w sposób, którego nie zapewni żadne ustawienie.
• Ograniczać poświadczenia. Tam, gdzie to możliwe, podłączyć osobne konto e-mail lub kalendarza i używać kluczy API z limitami wydatków.
• Ustawić listę dozwolonych rozmówców na każdym kanale.
• Przeglądać zaplanowane zadania. Agent, który pracuje pod nieobecność użytkownika, pod jego nieobecność także popełnia błędy.

Gdy bezpieczeństwo jest priorytetem

Warto wybrać agenta, który izoluje domyślnie, zamiast takiego, którego trzeba utwardzać: ZeroClaw lub NanoClaw dla jednego osobistego agenta albo NemoClaw, jeśli potrzebny jest konkretnie OpenClaw lub Hermes Agent. Nasz ranking agentów do samodzielnego hostingu przywiązuje dużą wagę do bezpiecznych ustawień domyślnych, a tekst czym jest OpenClaw omawia pozostałe kompromisy.