Instalar Agent Zero en un VPS y proteger su Web UI

Qué es Agent Zero y dónde está el peligro

Agent Zero es un framework de agentes de código abierto diseñado para Docker. Un agente principal puede crear agentes subordinados para dividir una tarea en partes concretas. Los agentes pueden ejecutar código, controlar un navegador y ejecutar comandos de shell, todo dentro del contenedor Docker de Agent Zero. Todo se controla desde una Web UI. Es una herramienta capaz y resulta práctica de usar. Además, funciona en hardware tan limitado como un VPS de seis dólares. Si busca la arquitectura multiagente y no el framework, dos sesiones de Claude Code en el mismo equipo pueden enviarse mensajes directamente. Es una solución mucho más pequeña de ejecutar y proteger.

El peligro está en la Web UI. Es el panel de control de un sistema que ejecuta comandos y escribe archivos. Por tanto, una Web UI expuesta y sin autenticación proporciona acceso remoto precisamente a ese sistema. Esta es la trampa en la que incurren directamente la mayoría de las guías de instalación: los ejemplos de docker run publican la interfaz sin especificar una dirección. A fecha de 2026-10-12, el comando directo del README asigna el puerto 80 del host (-p 80:80), el instalador de A0 usa el puerto 5080 y la guía de despliegue en VPS recomienda el puerto 50080. En cambio, las guías escritas para versiones hasta la rama v0.9.x usan el puerto 50001. Independientemente del puerto que elija, una asignación sin dirección escucha en todas las interfaces de red. En un VPS público, esto significa que la interfaz queda accesible desde todo Internet en cuanto se inicia el contenedor. Debe corregirlo antes que cualquier otra cosa, no al final.

Qué necesita

Necesita un VPS con Docker instalado, una clave de API para un modelo de lenguaje o un modelo local al que pueda conectarlo, y un par de gigabytes de RAM para empezar. Agent Zero se ejecuta en cualquier entorno compatible con Docker, desde un VPS pequeño hasta un servidor con GPU. Si Docker es nuevo para usted, la guía básica de Docker explica los supuestos de los comandos siguientes.

Instalar con Docker, enlazado a loopback

La guía de inicio rápido documentada usa un único docker run. El cambio importante respecto a la versión para copiar y pegar que encontrará en otros sitios es la dirección que publica. No publique en todas las interfaces, como hace -p 80:80. Publique en loopback:

docker run -d --name agent-zero \
  -p 127.0.0.1:5080:80 \
  -v a0_usr:/a0/usr \
  agent0ai/agent-zero

-p 127.0.0.1:5080:80 enlaza la interfaz web únicamente con la dirección loopback del servidor, por lo que no se puede acceder a ella desde Internet. Acceda desde su propio equipo mediante un túnel SSH:

ssh -L 5080:127.0.0.1:5080 you@your-vps

Después, abra http://127.0.0.1:5080 de forma local, configure el proveedor del modelo en la interfaz y establezca un usuario y una contraseña para iniciar sesión en Settings, Authentication. La documentación oficial indica que debe hacerlo antes de permitir el acceso de terceros a la instancia. Para una configuración multiusuario permanente, colóquela detrás de una VPN o de un reverse proxy con autenticación. No publique nunca la interfaz sin protección en Internet. Conviene aplicar esta práctica a cualquier otra herramienta del servidor cuya interfaz controle algo sensible. Así también debe acceder a un escáner open source autoalojado, mediante un túnel hasta su interfaz en lugar de publicar un puerto.

Dónde terminan las otras guías y por qué usted no debería detenerse ahí

Busque cómo instalar Agent Zero y encontrará muchas guías, incluidas algunas de empresas de hosting, que le dejan una interfaz web funcionando en un puerto publicado (50001 en las más antiguas, 80, 5080 o 50080 en las más recientes) y terminan ahí. Ese es precisamente el punto donde empieza el riesgo, no donde termina. Hay dos medidas que completan la configuración. Primero, mantenga la interfaz privada, como se explicó arriba. Segundo, coloque un firewall con política de denegación predeterminada delante del servidor para que un servicio olvidado no pueda responder a Internet:

sudo ufw default deny incoming
sudo ufw allow 22/tcp
sudo ufw enable

Conozca, no obstante, su limitación: Docker enruta el tráfico de los puertos publicados de los contenedores antes de que se apliquen las reglas de UFW, por lo que el firewall no cubre un puerto de contenedor publicado en todas las interfaces. Por eso es importante la asociación con loopback indicada arriba, y cómo los puertos de Docker evitan UFW explica los detalles. Consulte los conceptos básicos del firewall para entender el conjunto, y tenga en cuenta la brecha de IPv6, porque un servicio en :: es accesible mediante IPv6 aunque sus reglas de IPv4 parezcan estrictas.

El aislamiento del contenedor protege a los agentes, no al servidor

El diseño de Agent Zero gestiona correctamente un tipo de aislamiento: el framework y todos los agentes que inicia se ejecutan dentro de su contenedor Docker, no directamente en el host. Por tanto, el código que escriben y ejecutan queda en el contenedor, no en el directorio personal. Esto es importante. Los agentes subordinados comparten ese contenedor con el agente principal. La separación está entre los agentes y el host, no entre los propios agentes. Es fácil interpretar todo esto como «está aislado, así que estoy seguro» y no ir más allá. El aislamiento del contenedor mantiene el trabajo de los agentes fuera del host. No protege el servidor frente a Internet ni impide que una Web UI expuesta entregue el control a un desconocido. Esas tareas corresponden al host y son responsabilidad suya. Decida de antemano qué puede hacer un agente mientras nadie lo supervisa. Es el mismo criterio que se aplica a los modos de permisos de Claude Code, donde un servidor sin supervisión requiere una configuración más restrictiva que el portátil que tiene delante.

Secretos, usuarios y el host

Guarde la clave de API del modelo y cualquier otra credencial en la configuración de Agent Zero o en un archivo de entorno que sólo pueda leer la cuenta adecuada. Manténgalas fuera del historial del shell y de cualquier repositorio. El mismo criterio se aplica a cualquier otro componente del servidor que proteja secretos, porque una revisión de seguridad de Vaultwarden se centra en su token de administrador y en su archivo de copia de seguridad, no en el cifrado que la aplicación ya implementa correctamente. Administre el servidor con un usuario sin privilegios en lugar de root, siguiendo el principio de mínimo privilegio, y configure SSH para usar sólo autenticación mediante claves, como se explica en la guía de seguridad de SSH. Después, revise la lista siguiente para no omitir ningún punto.

Si está comparando agentes, esta es la misma postura de seguridad que adoptan la guía de seguridad de OpenClaw y la guía de OpenHands: mantenga privada la superficie de control, ejecute el servicio con un usuario sin privilegios, aplique el firewall por defecto y trate el host como un sistema que ejecuta código que no ha escrito. Para comparar los cinco agentes, consulte los mejores agentes de IA autoalojados en 2026.

Los conceptos en los que se basan todos ellos se explican en cómo crear su propio agente de IA en un VPS, y Dify es otra plataforma autoalojable que merece la pena comparar.

FAQ

¿Es seguro alojar Agent Zero en sus propios servidores?

Sí, si mantiene su Web UI privada y refuerza la seguridad del host. Agent Zero ejecuta código, un navegador y un shell, y se controla desde una Web UI en el puerto del host que publique. Por tanto, el riesgo está en exponer la interfaz, no en el framework en sí. Enlace la UI a loopback y acceda a ella mediante SSH o una VPN. Configure un usuario y una contraseña para la UI, coloque un firewall con denegación predeterminada delante y ejecútelo con un usuario sin privilegios.

¿Agent Zero expone una Web UI a Internet de forma predeterminada?

Los comandos documentados de docker run publican la interfaz sin especificar una dirección (el README usa -p 80:80). Una asignación de ese tipo escucha en todas las interfaces de red. En un VPS público, esto significa que la interfaz queda accesible desde Internet en cuanto se inicia el contenedor. UFW no lo impide porque Docker enruta los puertos publicados por fuera de sus reglas. Añada 127.0.0.1 a la dirección publicada para que la UI escuche sólo en loopback. Después, acceda a ella mediante un túnel SSH o una VPN.

¿Puede Agent Zero ejecutarse en un VPS pequeño?

Sí. Agent Zero se ejecuta donde se ejecute Docker, incluido un VPS pequeño y económico, aunque las tareas más pesadas y los modelos locales más grandes requieren más memoria. Si lo conecta a un modelo alojado por usted en lugar de una API alojada, dimensione el servidor para el modelo, no sólo para Agent Zero.

¿En qué se diferencia Agent Zero de OpenClaw o Hermes?

Se solapan, pero tienen objetivos diferentes. Agent Zero es un framework basado en Docker que gira en torno a un agente principal. Este crea agentes subordinados dentro de su contenedor y se controla desde una Web UI. OpenClaw y Hermes son asistentes personales a los que se accede mediante aplicaciones de chat. La postura de seguridad es la misma en todos: mantenga privada la superficie de control y refuerce la seguridad del host.