Обзор IronClaw AI: Rust-агент от NEAR AI — у себя или в TEE

IronClaw — персональный ИИ-агент от NEAR AI, написанный на Rust и позиционируемый как ориентированная на безопасность версия OpenClaw. Версия 0.1.0 вышла 12 февраля 2026 года, а переписанная 1.0 — 27 июля 2026 года (релизы). На момент нашей проверки 8 ноября 2026 года у него было 12 716 звёзд на GitHub. Этот обзор посвящён агенту из репозитория nearai/ironclaw.

Самое интересное — как он обращается с секретами. Подвох в том, что его песочница покрывает расширения, а не shell-команды, которые агент выполняет на вашей машине.

Установка

Вы устанавливаете один бинарник, без стека Node или Python. В кратком руководстве есть shell-установщик для macOS и Linux и установщик на PowerShell для Windows (последний релиз также содержит MSI). Затем ironclaw onboard спрашивает провайдера моделей, создаёт ~/.ironclaw, кладёт главный ключ шифрования в связку ключей ОС и выводит ссылку для входа в веб-интерфейс на 127.0.0.1:3000.

Для одного пользователя не нужно запускать сервер базы данных: состояние хранится во встроенных файлах БД. Многопользовательские установки переходят на PostgreSQL. На macOS и Linux ironclaw service install регистрирует службу launchd или systemd, чтобы агент продолжал работать после закрытия терминала (документация по службе). На Windows варианта со службой нет, так что ironclaw serve приходится держать запущенным на переднем плане, и Windows поэтому плохо подходит для постоянно работающего агента.

По сравнению с ручной правкой файла TOML, как в ZeroClaw, это один из самых простых первых запусков среди self-hosted-агентов.

Учётные данные: самая сильная сторона

Если модель агента может прочитать ваши API-ключи, промпт-инъекция может попытаться уговорить её их вывести. IronClaw шифрует секреты с помощью AES-256-GCM, хранит главный ключ в связке ключей ОС и подставляет учётные данные на сетевом прокси. В документации по изолированным инструментам сказано, что учётные данные «are never passed into the WASM module’s memory» («никогда не передаются в память WASM-модуля»): инструмент отправляет неаутентифицированный запрос, а прокси добавляет заголовок. Модель никогда не видит исходный токен, поэтому не может его слить. Это важнее всего для расширений Gmail, Calendar, Drive и GitHub.

Что покрывает песочница, а что нет

Расширения работают в песочнице WebAssembly. Согласно той же документации, у WASM-инструмента нет доступа к файловой системе, если он не объявил пути, он не может порождать процессы или выполнять shell-команды и может обращаться только к хостам, перечисленным в его capabilities.json. Всё остальное прокси отклоняет ещё до открытия соединения.

Это реальная граница, но она касается расширений, а не самого агента. Профиль по умолчанию, local-dev, разрешается в рабочее пространство на хосте и локальные процессы хоста (исходный код). Shell-команды и правки файлов выполняются прямо на вашей машине, а агент спрашивает разрешения только перед разрушительными действиями. Изоляция в Docker требует другого профиля, и документация по конфигурации говорит, что профиль «is a security boundary, not a preset» («это граница безопасности, а не пресет»). Поэтому в чек-листе на этой странице IronClaw отмечен как не изолированный по умолчанию. Если вы хотите ограничить shell агента, запускайте его в виртуальной машине или под отдельной учётной записью либо выберите агента, который изолирует его из коробки, например NanoClaw или NemoClaw.

Телеметрия и модели

В README сказано, что телеметрии, аналитики и обмена данными нет. Trace Commons, который отправляет отредактированные трассировки запусков в обмен на кредиты, выключен, если вы не включите его сами (документация). Ваши промпты всё равно уходят выбранному провайдеру, и по умолчанию документация рекомендует NEAR AI. Можно переключиться на Anthropic, OpenAI, OpenRouter и ещё примерно двадцать других, использовать подписку ChatGPT через провайдера Codex или держать всё локально с Ollama, vLLM или LM Studio (провайдеры).

Программа распространяется под двойной лицензией MIT или Apache-2.0.

Переписанная версия 1.0 и каналы

При переписывании 1.x убрали Discord, Signal и WhatsApp. Из чат-каналов остались только Slack и Telegram (каналы), наряду с веб-интерфейсом, терминалом и Responses API в стиле OpenAI. Оба канала доставляют сообщения через вебхуки, поэтому ноутбуку за домашним роутером нужен публичный хост или туннель, чтобы Telegram мог до него достучаться. Настройки и каналы также менялись между минорными релизами после 1.0, так что перед обновлением читайте список изменений.

Работа, пока вас нет

После учётных данных это самая сильная сторона IronClaw. В нём есть рутины по cron, событиям и вебхукам, фоновые субагенты и чек-лист HEARTBEAT.md, который он просматривает каждые 30 минут (heartbeat). Память хранится в рабочем пространстве на диске с поиском.

Облачные экземпляры от NEAR AI

Если вы не хотите запускать его сами, NEAR AI предлагает облачные экземпляры через свой Agent Hub, работающие в доверенной среде исполнения (TEE) на NEAR AI Cloud. Тарифы — от бесплатного Starter с одним экземпляром до $200 в месяц; они перечислены в таблице цен на этой странице. Вы получаете вход по SSH и браузерный шлюз, а обновлениями занимается NEAR AI.

Кому он подойдёт

IronClaw подходит тем, кому нужен постоянно работающий агент с API-ключами, которые модель не может прочитать, и кто работает в основном через Slack, Telegram или браузер на Mac или Linux. Он подходит хуже, если вам нужны WhatsApp, Discord или iMessage, вы хотите, чтобы shell-команды были изолированы по умолчанию, или хотите размещать его на Windows.

Сравнение с другими

• ZeroClaw — тоже один бинарник на Rust под MIT или Apache-2.0, но изолирует свои инструменты по умолчанию и поддерживает больше каналов.
• У OpenClaw гораздо больше каналов и намного более крупное сообщество, но он по умолчанию отправляет телеметрию и тоже не использует песочницу по умолчанию. См. безопасен ли OpenClaw?
• Rakazo, который делаем мы, изолирован по умолчанию, без телеметрии, и добавляет WhatsApp, iMessage и мобильные приложения, но работает на Docker Compose, а не как один бинарник.

Больше вариантов — в альтернативах OpenClaw и в списке лучших self-hosted ИИ-агентов.