Безопасен ли OpenClaw? Безопасность OpenClaw и Hermes Agent и что настроить

OpenClaw достаточно безопасен, если относиться к нему как к тому, чем он является: программе, которая может читать ваши сообщения и почту, выполнять команды и действовать на основе прочитанного. Из коробки он склоняется в сторону возможностей. Команды выполняются на вашем хосте, потому что песочница по умолчанию выключена, и он ежедневно связывается с сервером проекта. И то и другое исправляется за несколько минут. То же верно и для Hermes Agent, только с другими настройками по умолчанию.

Что на самом деле может пойти не так

• Команды на вашем хосте. Без песочницы неудачная команда выполняется с доступом вашего пользователя к вашим файлам.
• Промпт-инъекции. Всё, что агент читает — письмо, веб-страница, общий документ, — может содержать адресованные ему инструкции. Чем больше аккаунтов, от имени которых он может действовать, тем больше может натворить внедрённая инструкция.
• Сторонние навыки. Навыки — это код, который вы устанавливаете. В январе 2026 года команда Cisco по безопасности ИИ сообщила о стороннем навыке для OpenClaw, который выкачивал данные и выполнял промпт-инъекции без ведома пользователя (сводка в Википедии).
• Открытый шлюз. Если интерфейс управления доступен из интернета без аутентификации, управлять вашим агентом может кто угодно.
• Секреты в хранилище. Та же статья в Википедии пересказывает обзор OpenClaw 2.0 от августа 2026 года, в котором критиковалось хранение секретов в незашифрованном виде.

Настройки по умолчанию у десяти агентов

Таблица-чек-лист выше показывает, какие агенты используют песочницу по умолчанию, а какие отправляют телеметрию. Вот что это значит на практике и как это изменить.

Агент	Изоляция из коробки	Телеметрия и как её отключить
OpenClaw	Выключена; доступна песочница Docker	Ежедневная проверка обновлений; update.checkOnStart: false
Hermes Agent	Выключена; одобрения smart, доступен бэкенд Docker	Нет, если вы не согласитесь сами
NemoClaw	Включена: песочница OpenShell с одобрением исходящего трафика	Телеметрия CLI; NEMOCLAW_DISABLE_TELEMETRY=1
NanoClaw	Включена: один контейнер на агента	Диагностика установки; NANOCLAW_NO_DIAGNOSTICS=1
ZeroClaw	Включена: песочница ОС и одобрения в профиле Balanced	Нет
Rakazo	Включена: у каждого бота свой изолированный компьютер	Нет с self-hosted-сервера; десктопное приложение проверяет обновления
Agent Zero	Включена: агент работает в собственном Docker-контейнере	Проверка обновлений; отключается в настройках
nanobot	Выключена; доступны bubblewrap или Seatbelt, на Windows нет	Нет
PicoClaw	Только проверки путей; изоляция процессов выключена, только Linux и Windows	Нет
QwenPaw	Выключена; внутри Docker изоляции нет	Данные установки при --defaults; можно отказаться в интерактивном qwenpaw init

Две оговорки по строкам «включена». Agent Zero выполняет код в том же контейнере, что и сам Agent Zero, поэтому контейнер защищает ваш компьютер, но не агента от его собственного кода. А профиль YOLO в ZeroClaw выключает всё, так что проверьте, какой профиль вы выбрали.

Как защитить OpenClaw

Примерно в порядке значимости, по документации по безопасности OpenClaw:

1. Запустите openclaw security audit. Он сообщает, где ваша конфигурация отошла от безопасных настроек по умолчанию, и может применить поддерживаемые исправления.
2. Держите шлюз на loopback. Обычная установка привязывается к loopback, но образы контейнеров по умолчанию открыты наружу, так что перед развёртыванием в Docker добавьте аутентификацию или спрячьте шлюз за частной сетью.
3. Не выключайте сопряжение для личных сообщений. По умолчанию незнакомые отправители в большинстве каналов получают код сопряжения вместо ответа. Не переводите канал в открытый режим.
4. Включите песочницу. Установите agents.defaults.sandbox.mode в all; non-main оставляет основную сессию агента на хосте (режимы песочницы). Бэкенд по умолчанию — Docker. В песочнице выполняются только инструменты: шлюз остаётся на хосте.
5. Запретите то, что не нужно. Запрет exec в политике инструментов полностью отключает доступ к shell. Избегайте tools.elevated, который выполняет команды вне песочницы.
6. Используйте отдельные аккаунты. Документация рекомендует отдельные номера для WhatsApp, Signal и Telegram и один шлюз на каждую границу доверия: не делите один шлюз между людьми, которые не доверяют друг другу.
7. Читайте навыки перед установкой и отдавайте предпочтение официальным плагинам.
8. Установите update.checkOnStart: false, если не хотите ежедневной связи с сервером (документация по телеметрии).

Если хотите, чтобы всё это обеспечивалось снаружи агента, запускайте OpenClaw внутри NemoClaw, который добавляет песочницу, одобрение исходящего трафика и хранение учётных данных.

Безопасен ли Hermes Agent?

Hermes Agent стартует с лучших позиций в плане приватности (нет телеметрии) и доступа через чаты: без заданного списка разрешённых он отказывает всем пользователям, а для незнакомых личных сообщений включается процедура сопряжения (документация по безопасности). Слабое место у него то же, что у OpenClaw: бэкенд терминала по умолчанию local.

Чтобы его защитить:

• Установите terminal.backend: docker. Контейнеры сбрасывают все Linux capabilities, кроме нескольких, а секреты хоста остаются снаружи, если вы не перечислите их в docker_forward_env, — так что оставьте его пустым.
• Не выключайте одобрения. Режим smart по умолчанию поручает оценку риска вспомогательной модели; manual спрашивает перед каждой опасной командой. Никогда не используйте off, это то же, что --yolo.
• Задайте списки разрешённых, например TELEGRAM_ALLOWED_USERS, и никогда не ставьте GATEWAY_ALLOW_ALL_USERS=true.
• Выполните chmod 600 ~/.hermes/.env и установите auth.adopt_external_logins: false, если не хотите, чтобы Hermes пользовался вашими входами в Codex CLI или Claude Code.

Правила для любого агента

• Дайте ему отдельную машину или пользователя ОС. Запасной компьютер или небольшой сервер ограничивает масштаб ущерба так, как не может ни одна настройка.
• Ограничивайте учётные данные. По возможности подключайте отдельный аккаунт почты или календаря и используйте API-ключи с лимитами расходов.
• Ограничьте круг тех, кто может с ним общаться, списком разрешённых в каждом канале.
• Проверяйте запланированные задачи. Агент, который работает в ваше отсутствие, в ваше отсутствие и ошибается.

Если безопасность для вас на первом месте

Выберите агента, который изолирует по умолчанию, а не того, которого придётся укреплять: ZeroClaw или NanoClaw для одного персонального агента или NemoClaw, если вам нужен именно OpenClaw или Hermes Agent. Наш рейтинг self-hosted-агентов придаёт безопасным настройкам по умолчанию большой вес, а остальные компромиссы описаны в статье что такое OpenClaw.