Обзор OpenClaw: установка, Docker и безопасность для self-hosting

OpenClaw — ответ по умолчанию, когда кто-то ищет open source AI-агента, которого можно запустить у себя. Он вышел в ноябре 2025 года, на момент нашей проверки 8 ноября 2026 года у него было 394 193 звезды на GitHub, а сейчас им управляет некоммерческий фонд без платного тарифа. Популярность даёт многое: 29 чат-каналов, 64 провайдера моделей и медиа и 142 официальных плагина. Она же означает, что множество людей запускает агента с доступом к shell на своём основном компьютере, не прочитав документацию по безопасности. Этот обзор о том, что на самом деле требуется для его запуска.

Кому он подходит

OpenClaw подойдёт разработчику или технически подкованному энтузиасту, которому нужен один агент, доступный из WhatsApp, Telegram, iMessage или Slack, который хочет сам выбирать (и менять) модель и готов взять настройку на себя. Если вам некомфортно читать конфигурационный файл, чтобы включить песочницу, сами мейнтейнеры предупреждают, что для вас он рискован, и лучше начать с более закрытого варианта из списка ниже.

Установка OpenClaw: три реальных пути

Документация по установке предлагает три практических варианта:

• Скрипт установки. curl -fsSL https://openclaw.ai/install.sh | bash на macOS, Linux или WSL2, либо однострочник PowerShell на Windows. Он установит Node, если его нет, и запустит onboarding. Этот путь подходит большинству.
• npm. npm install -g openclaw@latest, затем openclaw onboard --install-daemon. Удобно, если вы уже сами управляете Node; нужен Node 24.16+ или 26.1+.
• Десктопные приложения для macOS, Windows и Linux, а также развёртывание в Railway в один клик, если хотите запустить его на сервере, не открывая терминал.

Onboarding проведёт вас через выбор провайдера моделей и первого канала. Самой кропотливой частью, скорее всего, окажется канал, а не установка: у iMessage, например, есть собственная страница настройки.

OpenClaw в Docker

Есть официальный путь через Docker: запустите ./scripts/docker/setup.sh из репозитория — он запросит API-ключи, запишет токен шлюза и запустит шлюз через Docker Compose. Можно использовать готовый образ ghcr.io/openclaw/openclaw; для локальной сборки нужно не меньше 6 ГБ RAM. После этого интерфейс управления слушает на 127.0.0.1:18789.

Момент, который большинство упускает: запуск шлюза в Docker — это не то же самое, что изоляция агента в песочнице. В документации по Docker это сказано прямо: песочница по умолчанию выключена и «does not require the Gateway itself to run in a container». Docker даёт аккуратную одноразовую установку. Сам по себе он не определяет, к чему могут обращаться инструменты агента. Это отдельная настройка.

Безопасность OpenClaw: что изменить в первый же день

Из коробки инструменты OpenClaw выполняются на хосте. Документация по песочнице объясняет, что за это отвечает agents.defaults.sandbox, с Docker в качестве бэкенда по умолчанию и Podman, SSH, OpenShell и Crabbox как альтернативами. Даже с включённой песочницей процесс шлюза остаётся на хосте, а tools.elevated — явный «запасной выход», который выполняет команды вне её. Документация называет песочницу «not a perfect security boundary».

На практике разумная базовая конфигурация выглядит так:

1. Включите песочницу (в минимальном примере из документации используются mode: "non-main" и workspaceAccess: "none").
2. Запретите exec в политике инструментов, если агенту не нужен shell, и держите elevated выключенным.
3. Относитесь к сторонним навыкам как к любому другому устанавливаемому коду, ведь навык работает с правами агента.
4. Внимательно выбирайте, какие почтовые ящики подключать. Всё, что читает агент, включая письмо от незнакомца, может попытаться им управлять.

Более широкую картину рисков мы разбираем в статье Безопасен ли OpenClaw?. Если вам нужен сам OpenClaw, но со встроенной песочницей и подтверждением сетевых обращений, его оборачивает NemoClaw от NVIDIA; см. NemoClaw vs OpenClaw.

Телеметрия

По умолчанию OpenClaw не молчит. Из коробки он ежедневно проверяет обновления, отправляя версии OpenClaw, ОС и Node и архитектуру CPU, а также счётчик установок без идентификаторов и отчёты об обновлениях. Статистика по функциям — только с согласия (opt-in). Настройка update.checkOnStart: false отключает всё это, согласно документации по телеметрии. Для большинства self-hosted установок это приемлемое значение по умолчанию; для машины в изолированной сети переключите настройку.

Модели и стоимость работы

Само ПО бесплатно, а модель — нет, если только вы не запускаете её локально через Ollama, LM Studio или vLLM. С OpenClaw это важнее, чем с чат-приложением, потому что агент работает циклами: планирует, вызывает инструменты, читает результаты и вызывает снова. Notebookcheck сообщал о пользователях, тративших больше $100 в день на дорогие модели. Установите лимит расходов у провайдера, прежде чем оставлять агента работать, и запускайте проактивные задачи и задачи по расписанию на более дешёвой модели.

Поддержка и зрелость

Разработка идёт очень активно: проверенная нами версия — v2026.11.1, и релизы выходят часто. Это хорошо для исправлений и плохо для подхода «настроил и забыл». Планируйте регулярные обновления, читайте release notes на предмет изменений конфигурации и запускайте openclaw doctor после обновлений, чтобы выловить проблемы с конфигом (образ Docker делает это за вас при запуске). Плюс размера в том, что с большинством проблем, на которые вы наткнётесь, уже кто-то сталкивался, спрашивал и получил ответ.

Когда выбрать что-то другое

• Нужна изоляция по умолчанию: NanoClaw запускает каждого агента в собственном контейнере, а ZeroClaw поставляет песочницу ОС в одном бинарном файле на Rust. См. NanoClaw vs OpenClaw и ZeroClaw vs OpenClaw.
• Нужен агент, который сам пишет свои навыки: Hermes Agent, который к тому же умеет импортировать вашу настройку OpenClaw. См. Hermes Agent vs OpenClaw.
• Нужно несколько постоянно работающих ботов, у каждого свой компьютер: Rakazo.

Полный список — на нашей странице альтернатив OpenClaw.

Вердикт

OpenClaw — open source агент с наибольшим числом звёзд в нашем списке и большой экосистемой плагинов, а лицензия MIT без платного тарифа означает, что никаких допродаж впереди нет. Его слабое место — настройки по умолчанию: инструменты на хосте, телеметрия включена, а экосистему навыков нужно проверять самостоятельно. Настройте песочницу и политику инструментов до подключения почты — и это сильный выбор.