מאת איך לבנות סוכן AI אישי בסגנון OpenClaw
למדו כיצד לבנות סוכן AI עצמאי שמריץ פקודות על השרת שלכם. המדריך מפרט את רכיבי המערכת ומתמקד בהקשחה קריטית לאחר פרצת האבטחה CVE-2026-32922 שדורגה בציון 9.9.
מהו OpenClaw בפועל
OpenClaw הוא סוכן AI אישי בניהול עצמי (self-hosted). אתם מריצים אותו על השרת שלכם, מחברים אותו לאפליקציות הצ'אט שבהן אתם כבר משתמשים, והוא מסוגל להריץ פקודות shell, לשלוט בדפדפן, לקרוא ולכתוב קבצים ולפעול בהתאם להודעות שאתם שולחים לו. הפרויקט מופץ תחת רישיון MIT, מבוסס על עבודה מקומית (local-first), וצבר מעל 380,000 כוכבים ב-GitHub נכון לאמצע שנת 2026, מה שהופך אותו לאחד הפרויקטים בעלי מספר הכוכבים הגבוה ביותר בפלטפורמה. מתחת לרעש, מדובר באוסף רכיבים קטן למדי המחוברים זה לזה בצורה הגיונית. פוסט זה סוקר את הרכיבים הללו כדי שתבינו כיצד כלי כזה בנוי, ואיפה נמצאים הסיכונים המרכזיים.
אזהרה אחת מראש, שכן היא מעצבת כל בחירה עיצובית בהמשך. במרץ 2026 נחשפו ב-OpenClaw תשע פרצות אבטחה בתוך ארבעה ימים, כולל פגם קריטי של הסלמת הרשאות שקיבל דירוג 9.9 מתוך 10 (CVE-2026-32922). הפרויקט מתוכנן כך שאתם, המפעילים, תבצעו בו הקשחה (hardening). סוכן שמסוגל להריץ כל פקודה בטוח בדיוק כמו השרת שעליו הוא רץ והמגבלות שאתם מציבים סביבו. קחו זאת בחשבון בזמן הקריאה.
ה־daemon של ה־gateway: תהליך יחיד, שמור בפרטיות
במרכז המערכת נמצא תהליך יחיד שרץ לאורך זמן, המכונה בדרך כלל gateway. זהו מישור הבקרה (control plane). הוא מקבל הודעות, מחליט על פעולות, מריץ את הכלים ושולח תשובות בחזרה. כל שאר הרכיבים מתחברים אליו.
העובדה החשובה ביותר לגבי ה־gateway היא היכן הוא מאזין. כברירת מחדל, OpenClaw קושר אותו לכתובת ה-loopback, הלא היא 127.0.0.1, כך שהוא אינו נגיש מהאינטרנט אלא אם תבצעו פעולה יזומה כדי לחשוף אותו. השאירו אותו שם. זהו התהליך היחיד שמריץ פקודות באופן שוטף, לכן gateway חשוף מעניק לכל מי שמוצא אותו דריסת רגל מרחוק בשרת שלכם. כאשר עליכם לגשת אליו מהמחשב הנייד, עשו זאת דרך VPN או SSH tunnel במקום לפתוח פורט. איש אינו יכול לתקוף פורט שהוא אינו יכול להגיע אליו.
מחברי ערוצים: קבלת הודעה ושליחת תשובה
סוכן אישי הוא שימושי רק אם ניתן לתקשר איתו מתוך היישומים שבהם אתם כבר משתמשים. זהו תפקידם של מחברי הערוצים (channel connectors). כל מחבר מתקשר עם פלטפורמה אחת, כגון Telegram, WhatsApp, Slack או Discord, באמצעות ה-bot API או ה-webhooks של אותה פלטפורמה.
המבנה זהה עבור כולם. המחבר רושם בוט מול הפלטפורמה, מקבל את ההודעה הנכנסת שלכם (על ידי ביצוע polling לפלטפורמה או על ידי קבלת webhook שהפלטפורמה דוחפת אליו), מעביר את ההודעה ל-gateway, ומפרסם את התשובה של ה-gateway בחזרה דרך אותו API. המחבר הוא שכבת תרגום דקה. הוא ממיר "הגיעה הודעת Telegram" ל-"הנה טקסט עבור הסוכן" ובחזרה. בניית מחבר משלכם היא בעיקרה עניין של קריאת תיעוד הבוטים של פלטפורמה מסוימת ומיפוי פורמט ההודעות שלה לזה של ה-gateway.
המוח ולולאת הכלים
בתוך ה-gateway נמצא הרכיב שהופך אותו לסוכן (agent) ולא רק לצ'אט-בוט. מדובר בלולאה.
הודעה מגיעה. ה-gateway שולח אותה למודל שפה יחד עם רשימת כלים שהמודל רשאי להשתמש בהם. המודל קורא את ההודעה ומחליט: להשיב ישירות, או להפעיל כלי. אם הוא מפעיל כלי, ה-gateway מריץ את הכלי, לוכד את התוצאה ושולח אותה בחזרה למודל. המודל בוחן את התוצאה ומחליט שוב. תהליך זה חוזר על עצמו עד שלמודל אין יותר מה לעשות והוא מפיק תשובה סופית.
הלולאה הזו היא המהות של סוכן, והיא זהה בין אם הסוכן פועל בתוך אפליקציית צ'אט ובין אם הוא פועל בטרמינל. למידע על האופן שבו כלים מתחברים ללולאה הזו בדרך סטנדרטית, חיבור כלים באמצעות Model Context Protocol הוא קריאת המשך מומלצת, ועבור צד המודל, הרצת המודל עצמו על חומרה מקומית משלים את התמונה.
מערך הכלים הוא העיקר, והוא גם הסכנה
הכלים הם מה שהופך את OpenClaw לעוצמתי. כלי שמריץ פקודת shell, כלי שמפעיל דפדפן, כלי שקורא וכותב קבצים. אם תעניקו ללולאה שלעיל גישה לכלים אלו, היא תוכל לבצע כמעט כל פעולה שאתם מסוגלים לבצע מול המקלדת. טווח פעולה זה הוא כל מהות המוצר, אך הוא גם מהווה את מלוא הסיכון.
סוכן שמסוגל להריץ כל פקודה, בהתבסס על הוראות שמגיעות מאפליקציית צ'אט, מהווה שטח תקיפה נרחב. הוראה זדונית, התקפת prompt-injection המוסתרת בדף אינטרנט שהכלי של הדפדפן מבקר בו, או באג דוגמת הפרצות של מרץ 2026, עלולים להפוך בקשה כמו "קרא את היומן שלי" ל-"מחק את הקבצים שלי". לכן, המגבלות אינן תוספות אופציונליות. הריצו את הסוכן כמשתמש ייעודי וחסר הרשאות ללא sudo, כדי שפריצה לא תוכל להסלים. הגבילו כלים מסוכנים באמצעות שלב אישור, כך שהסוכן יבקש רשות לפני ביצוע פעולה הרסנית. בצעו sandbox להרצת כלים כדי שפקודה שיצאה משליטה תישאר מבודדת. בודדו את ה-API key של המודל כדי שדליפה לא תעניק לתוקף גישה לחשבון שלכם.
לפני שאתם חושפים רכיב כלשהו שמריץ פקודות shell, עבדו על היסודות בצורה מחושבת. צרו רשימת תיוג עבור השרת שלכם כאן, ולאחר מכן פעלו לפיה מהסוף להתחלה:
נושא המשתמש חסר ההרשאות מכוסה לעומק ב-הרצת שירותים כמשתמש ללא הרשאות, והמדריך המלא להגדרה בטוחה עבור הפרויקט האמיתי נמצא ב-הרצת OpenClaw בצורה בטוחה על גבי VPS.
זיכרון כקבצים פשוטים
רוב האנשים מצפים שהזיכרון של סוכן (agent) יישמר בתוך מסד נתונים. הזיכרון של OpenClaw אינו פועל כך. הוא מאחסן זיכרון כקבצי Markdown פשוטים על הדיסק, ובחירה זו ראויה לחיקוי.
קבצים הם פשוטים. אין סכימה (schema) שצריך להעביר, אין שירות שצריך להשאיר פעיל, ואין שפת שאילתות שצריך ללמוד. הם ניתנים לבדיקה: ניתן לפתוח את התיקייה ולקרוא בדיוק מה הסוכן חושב עליך, לתקן הערה שגויה על ידי עריכת קובץ, או למחוק זיכרון על ידי הסרת קובץ. הם גם ניידים, כיוון שהעברת הסוכן לשרת חדש מסתכמת בהעתקת תיקייה. עבור סוכן אישי למשתמש יחיד, תיקייה של קובצי טקסט היא די והותר, והיא שומרת על המערכת כולה פשוטה להבנה.
Skills: דרך ניידת להוספת יכולות
מעבר לכלים המובנים, OpenClaw משתמש בפורמט מיומנויות (skills) נייד, המאפשר לקהילה להרחיב את יכולות המערכת מבלי לשנות את הליבה שלה. מיומנות היא חבילה עצמאית של הוראות, ולעיתים גם קוד, המלמדת את הסוכן לבצע משימה חדשה. הסוכן טוען מיומנות כאשר המשימה דורשת זאת. חיפוש באינטרנט הוא בדרך כלל המיומנות הראשונה שאנשים מוסיפים, ו־הפניית מיומנות זו למופע SearXNG משלכם שומרת על השאילתות שלכם מחוץ ל־API של מנועי חיפוש מסחריים, תוך הבהרה היכן עובר גבול האמון של המיומנות, שכן כל מה שהיא מחזירה הוא טקסט שנכתב על ידי גורם חיצוני.
הערך בפורמט כזה הוא שהיכולות הופכות לשיתופיות. מישהו כותב מיומנות למשימה ספציפית, מפרסם אותה, ואחרים יכולים להטמיע אותה בקלות. אם אתם בונים סוכן משלכם, הגדרה מוקדמת של פורמט הרחבה קטן וברור תחסוך לכם את הצורך בקידוד קשיח (hard-coding) של כל יכולת לתוך הליבה בשלב מאוחר יותר.
הבאת מודל משלך
OpenClaw הוא אגנוסטי למודלים. הוא אינו מגיע עם מודל שפה משלו. במקום זאת, הוא מתחבר למודל שתבחר, בין אם מדובר ב-API מאוחסן או במודל שאתה מריץ בעצמך.
להפרדה הזו יש משמעות מבחינת עלות, פרטיות ושליטה. API מאוחסן מספק לך את המודלים החזקים ביותר ללא צורך בניהול חומרה, במחיר לפי טוקן ועם יציאת ה-prompts מהשרת שלך. מודל בהרצה עצמית, המוגש באמצעות כלים כמו Ollama, שומר כל הודעה בשרת הפרטי שלך ועולה רק בעלות החומרה והחשמל, במחיר של הרצת מודל קטן או איטי יותר. משתמשים רבים משלבים בין השניים. אם ברצונך לשמור על סוכן פרטי לחלוטין, אירוח עצמי של המודל ב-VPS שלך הוא החלק שסוגר את הפער האחרון, ו-Hermes Agent הוא סוכן נוסף בהרצה עצמית שכדאי להשוות אליו.
האם כדאי לבנות אחד?
ניתן לבנות את כל המערכת הזו. הרכיבים אינם אקזוטיים: daemon, כמה מחברים (connectors) לצ'אט, לולאת מודל-וכלים, תיקיית Markdown, ומבנה תוספים. הבנת הרכיבים הללו מועילה באמת, כיוון שהיא מסירה את המסתורין מכל סוכן (agent) שתשתמש בו ומצביעה בדיוק על מקורות הסיכון.
אבל עבור רוב האנשים, התשובה הכנה היא להפעיל את הדבר האמיתי ולהקשיח אותו, במקום להמציא אותו מחדש. OpenClaw כבר פתר את נושא ה־connectors, את לולאת ההפעלה ואת פורמט ה־skills, והוא כבר עבר בחינה אבטחתית אמיתית. עדיף להשקיע את המאמץ בחלק שבאמת באחריותכם להגדיר כראוי: ההתקנה וההקשחה בשרת שלכם. אם אתם מעוניינים קודם במסלול הלימודי, התקדמות הדרגתית בין המושגים עדיפה על קריאת קוד המקור של ה־agent ללא הכנה, משום שכל שלב משאיר אתכם עם רכיב אחד שבניתם בפועל. בנו רכיב קטן כדי ללמוד. הפעילו את הרכיב האמיתי והקשיחו אותו כדי להשתמש בו.
היסודות הכלליים מפורטים ב-בניית סוכן AI משלך על גבי VPS, ו-בניית סוכן עם Claude מציג את אותם רעיונות תוך שימוש במודל ספציפי בתור ה"מוח".
FAQ
האם קשה לבנות סוכן (agent) כמו OpenClaw?
הרכיבים הבודדים אינם קשים. תהליך gateway, מחבר צ'אט, לולאת מודל-וכלים ותיקיית קבצים הם פשוטים כל אחד בפני עצמו. החלק הקשה הוא ביצוע העבודה בצורה מאובטחת. סוכן שמריץ פקודות shell מתוך הודעות צ'אט מהווה שטח תקיפה משמעותי, והקמה נכונה של סביבת sandbox, הרשאות ומשתמש ללא הרשאות (unprivileged user) דורשת עבודה רבה יותר מאשר חיבור התכונות עצמן.
מדוע OpenClaw שומר זיכרון כקבצי Markdown במקום במסד נתונים?
עבור סוכן אישי למשתמש יחיד, קבצים מספיקים והם פשוטים בהרבה. אין צורך להריץ שירות מסד נתונים, הזיכרון קריא וניתן לתיקון ידני, והעברת הסוכן לשרת אחר מסתכמת בהעתקת תיקייה. מסד נתונים מצדיק את קיומו בקנה מידה גדול יותר, לא כאן.
מהו החלק המסוכן ביותר בסוכן AI אישי?
הכלים המאפשרים לו לפעול: הרצת פקודות shell, שליטה בדפדפן וכתיבת קבצים. אלו הסיבות לבנייתו והסיבות לכך שהוא עלול להזיק לך. אירוע האבטחה של OpenClaw ממרץ 2026, שכלל תשע פרצות בארבעה ימים כולל אחת בדירוג קריטי של 9.9, הוא ההוכחה הברורה ביותר לכך שיש להתייחס לשכבת הכלים בזהירות: הרצה כמשתמש ללא הרשאות, הגבלת פעולות הרסניות וביצוע בתוך sandbox.
האם אני צריך מודל שפה משלי כדי לבנות אחד כזה?
לא. סוכנים כמו OpenClaw הם אגנוסטיים למודל, כך שניתן לחבר כל מודל שתבחר. זה יכול להיות API מאוחסן עבור המודלים החזקים ביותר, או מודל שאתה מריץ בעצמך עבור פרטיות מלאה. אירוח עצמי באמצעות Ollama שומר כל הודעה על השרת שלך, במחיר של הרצת מודל קטן יותר.