Recenzja OpenClaw: instalacja, Docker i bezpieczeństwo przy samodzielnym hostowaniu

OpenClaw to domyślna odpowiedź, gdy ktoś pyta o open source’owego agenta AI, którego może uruchomić u siebie. Wystartował w listopadzie 2025, w dniu naszego sprawdzenia, 8 listopada 2026, miał 394,193 gwiazdek na GitHubie, a dziś działa pod skrzydłami fundacji non-profit bez płatnego planu. Ta popularność daje wiele: 29 kanałów czatowych, 64 dostawców modeli i mediów oraz 142 oficjalne wtyczki. Oznacza też, że mnóstwo osób uruchamia agenta z dostępem do powłoki na swoim głównym komputerze, nie przeczytawszy dokumentacji bezpieczeństwa. Ta recenzja dotyczy tego, czego naprawdę wymaga jego uruchomienie.

Dla kogo jest

OpenClaw pasuje programiście lub technicznemu hobbyście, który chce jednego agenta dostępnego z WhatsAppa, Telegrama, iMessage czy Slacka, chce wybierać (i zmieniać) model i jest gotów samodzielnie zadbać o konfigurację. Jeśli czytanie pliku konfiguracyjnego w celu włączenia sandboksa jest dla kogoś krępujące, sami opiekunowie ostrzegają, że to ryzykowne, i lepiej zacząć od bardziej zabezpieczonej opcji z listy poniżej.

Instalacja OpenClaw: trzy realne ścieżki

Dokumentacja instalacji podaje trzy praktyczne ścieżki:

• Skrypt instalacyjny. curl -fsSL https://openclaw.ai/install.sh | bash na macOS, Linuksie lub WSL2 albo jednolinijkowiec w PowerShellu na Windowsie. Instaluje Node, jeśli go brakuje, a potem uruchamia onboarding. Tę ścieżkę powinna wybrać większość osób.
• npm. npm install -g openclaw@latest, a potem openclaw onboard --install-daemon. Przydatne, jeśli samodzielnie zarządza się Node; potrzebny jest Node 24.16+ lub 26.1+.
• Aplikacje desktopowe na macOS, Windowsa i Linuksa, a także wdrożenie jednym kliknięciem na Railway, jeśli ma działać na serwerze bez dotykania terminala.

Onboarding prowadzi przez wybór dostawcy modelu i pierwszego kanału. Najwięcej dłubaniny będzie przy kanale, nie przy instalacji: iMessage ma na przykład osobną stronę konfiguracji.

OpenClaw w Dockerze

Istnieje oficjalna ścieżka dla Dockera: uruchamia się ./scripts/docker/setup.sh z repozytorium, a skrypt pyta o klucze API, zapisuje token bramki (gateway) i startuje ją przez Docker Compose. Można użyć gotowego obrazu ghcr.io/openclaw/openclaw; lokalne budowanie wymaga co najmniej 6 GB RAM. Interfejs sterowania nasłuchuje potem na 127.0.0.1:18789.

Kwestia, którą większość osób przeocza: uruchomienie bramki w Dockerze to nie to samo co sandboxing agenta. Dokumentacja Dockera mówi to wprost: sandboxing jest domyślnie wyłączony i „does not require the Gateway itself to run in a container.” Docker daje schludną instalację, którą łatwo wyrzucić. Sam w sobie nie decyduje jednak, czego mogą dotykać narzędzia agenta. To osobne ustawienie.

Bezpieczeństwo OpenClaw: co zmienić pierwszego dnia

Od razu po instalacji narzędzia OpenClaw działają na hoście. Dokumentacja sandboxingu wyjaśnia, że steruje tym agents.defaults.sandbox, z Dockerem jako domyślnym backendem oraz Podmanem, SSH, OpenShell i Crabbox jako alternatywami. Nawet przy włączonym sandboksie proces bramki zostaje na hoście, a tools.elevated to jawna furtka, która uruchamia polecenia poza nim. Dokumentacja nazywa sandbox „not a perfect security boundary.”

W praktyce rozsądna konfiguracja bazowa wygląda tak:

1. Włączyć sandbox (minimalny przykład w dokumentacji używa mode: "non-main" z workspaceAccess: "none").
2. Zablokować exec w polityce narzędzi, jeśli agent nie potrzebuje powłoki, i trzymać elevated wyłączone.
3. Traktować umiejętności od zewnętrznych autorów jak każdy inny instalowany kod, bo umiejętność działa z uprawnieniami agenta.
4. Uważać, które skrzynki się podłącza. Wszystko, co agent czyta, łącznie z e-mailem od nieznajomego, może próbować nim sterować.

Szerszy obraz ryzyka opisujemy w artykule Czy OpenClaw jest bezpieczny?. Jeśli chce się samego OpenClaw, ale z wbudowanym sandboksem i zatwierdzaniem ruchu sieciowego, opakowuje go NemoClaw od NVIDII; zob. NemoClaw vs OpenClaw.

Telemetria

OpenClaw domyślnie nie milczy. Od razu po instalacji codziennie sprawdza aktualizacje, wysyłając wersje OpenClaw, systemu i Node oraz architekturę procesora, a do tego licznik instalacji bez identyfikatorów i raporty z aktualizacji. Statystyki funkcji są opcjonalne (opt-in). Ustawienie update.checkOnStart: false wyłącza to wszystko, zgodnie z dokumentacją telemetrii. Dla większości osób hostujących samodzielnie to akceptowalne ustawienie domyślne; na maszynie odciętej od sieci warto je przestawić.

Modele i koszty działania

Oprogramowanie jest darmowe; model już nie, chyba że uruchamia się go lokalnie przez Ollama, LM Studio lub vLLM. W przypadku OpenClaw ma to większe znaczenie niż w aplikacji czatowej, bo agent działa w pętli: planuje, wywołuje narzędzia, czyta wyniki i wywołuje znowu. Notebookcheck informował o użytkownikach wydających ponad $100 dziennie na drogich modelach. Zanim zostawi się go włączonego, warto ustawić limit wydatków u dostawcy, a zadania proaktywne i zaplanowane zaczynać na tańszym modelu.

Utrzymanie i dojrzałość

Rozwój jest bardzo aktywny: sprawdzana przez nas wersja to v2026.11.1, a wydania pojawiają się często. To dobrze dla poprawek i źle dla podejścia „ustaw i zapomnij”. Trzeba planować regularne aktualizacje, czytać informacje o wydaniach pod kątem zmian w konfiguracji i po aktualizacji uruchamiać openclaw doctor, żeby wyłapać problemy z konfiguracją (obraz Dockera robi to sam przy starcie). Zaletą rozmiaru projektu jest to, że większość napotkanych problemów ktoś już miał, zapytał o nie i dostał odpowiedź.

Kiedy wybrać coś innego

• Izolacja ma być domyślnie włączona: NanoClaw uruchamia każdego agenta we własnym kontenerze, a ZeroClaw dostarcza sandbox systemu operacyjnego w jednym pliku binarnym w Rust. Zob. NanoClaw vs OpenClaw i ZeroClaw vs OpenClaw.
• Potrzebny jest agent, który sam pisze swoje umiejętności: Hermes Agent, który potrafi też zaimportować konfigurację OpenClaw. Zob. Hermes Agent vs OpenClaw.
• Potrzebnych jest kilka stale działających botów, każdy z własnym komputerem: Rakazo.

Pełne zestawienie znajduje się na naszej stronie alternatyw dla OpenClaw.

Werdykt

OpenClaw to najczęściej oznaczany gwiazdką open source’owy agent na naszej liście, z dużym ekosystemem wtyczek, a licencja MIT bez płatnego planu oznacza, że nikt nie czeka z upsellem. Jego słabym punktem są ustawienia domyślne: narzędzia na hoście, włączona telemetria i ekosystem umiejętności, które trzeba weryfikować samodzielnie. Jeśli skonfiguruje się sandbox i politykę narzędzi przed podłączeniem poczty, to mocny wybór.