I migliori agenti AI self-hosted del 2026

I migliori agenti AI self-hosted nel 2026, in breve

Nel 2026, i migliori agenti AI self-hosted sono OpenClaw come assistente personale accessibile dalle app di chat, Hermes Agent per lo stesso impiego su un server con risorse minime, Dify per i team che sviluppano applicazioni basate sui modelli linguistici, OpenHands per la programmazione autonoma e Agent Zero come framework general purpose in cui gli agenti avviano i propri sub-agent. Tutti e cinque sono open source e possono essere eseguiti su un VPS sotto il tuo controllo. Questo confronto li valuta in base allo scopo, all'architettura, ai requisiti del server e al livello di attività di sicurezza richiesto da ciascun design, così puoi scegliere quello più adatto prima di installare qualsiasi componente.

Eseguiamo ciascuno di questi strumenti su server reali e ogni sezione seguente contiene un link alla guida completa per la configurazione e l'hardening dello strumento.

Che cos'è un agente AI self-hosted

Un agente AI è un ciclo che avvolge un modello linguistico. Il modello analizza la situazione, decide quale azione eseguire, il server esegue l'azione e il risultato alimenta il passaggio successivo del ciclo. Le azioni sono strumenti: eseguire un comando shell, leggere o scrivere un file, controllare un browser, chiamare un'API. Per una descrizione completa del funzionamento, creare il proprio agente AI su un VPS illustra da zero il ciclo, gli strumenti e la memoria. La ricerca sul Web è un'estensione comune. Se esegui già una tua istanza SearXNG, puoi configurarla come backend di ricerca del tuo agente. In questo modo le query restano private, ma l'agente leggerà pagine che chiunque può scrivere.

Self-hosted significa che il runtime dell'agente, la sua memoria, i suoi strumenti e i suoi secret risiedono sul tuo server anziché sulla piattaforma di terzi. Il modello linguistico stesso è in genere ancora esposto tramite un'API ospitata, perché i modelli più avanzati non possono essere eseguiti nella memoria di un server di piccole dimensioni. Puoi eseguire tutto localmente servendo un modello con Ollama sullo stesso VPS, ma devi disporre di RAM sufficiente per un modello adeguato.

Il motivo per eseguire l'agente in modalità self-hosted è il controllo: la cronologia delle conversazioni, i tuoi file, le tue API key e ogni comando eseguito dall'agente restano su una macchina di tua proprietà. Lo stesso principio richiede cautela. Un agente che esegue comandi sul server è sicuro solo nella misura dei limiti che imponi. Per questo il confronto seguente considera il livello di sicurezza un criterio principale e non un dettaglio secondario.

I cinque agenti a confronto

[
  {
    "tool": "OpenClaw",
    "primary_use": "Personal assistant with full server access",
    "interface": "Chat apps (Telegram, WhatsApp, Slack, Discord)",
    "isolation_model": "One gateway process, on loopback by default",
    "ram_floor": "Small VPS; more if it drives a browser",
    "security_posture": "Safe network default; operator must harden the rest",
    "maturity": "380,000+ stars mid-2026; March 2026 CVE history"
  },
  {
    "tool": "Hermes Agent",
    "primary_use": "Lightweight personal assistant with memory",
    "interface": "Chat apps (Telegram, Discord)",
    "isolation_model": "Single process, runs fine under systemd",
    "ram_floor": "A $5 VPS is enough",
    "security_posture": "Connects outward only; no inbound port needed",
    "maturity": "New (February 2026), from Nous Research"
  },
  {
    "tool": "Dify",
    "primary_use": "LLM app platform for teams",
    "interface": "Web UI and API",
    "isolation_model": "Docker Compose stack of about six containers",
    "ram_floor": "2 GB free; 4 GB is comfortable",
    "security_posture": "Ships on plain HTTP port 80; needs TLS and a proxy in front",
    "maturity": "Established, fast release pace"
  },
  {
    "tool": "OpenHands",
    "primary_use": "Autonomous coding agent",
    "interface": "Web UI on port 3000",
    "isolation_model": "Per-task sandbox containers via the host Docker socket",
    "ram_floor": "4 GB",
    "security_posture": "Docker socket is root equivalent; run it on a disposable VPS",
    "maturity": "Established (formerly OpenDevin)"
  },
  {
    "tool": "Agent Zero",
    "primary_use": "General purpose multi-agent framework",
    "interface": "Web UI on port 50001",
    "isolation_model": "Subordinate agents in separate containers",
    "ram_floor": "2 GB to start",
    "security_posture": "Default run exposes the UI on every interface; bind it to loopback",
    "maturity": "Active, Docker-first"
  }
]

Due schemi in questa tabella determinano gran parte del lavoro di sicurezza. Gli agenti personali, OpenClaw e Hermes, comunicano con te tramite applicazioni di chat, quindi stabiliscono connessioni in uscita e non richiedono alcuna porta in ingresso. Gli strumenti orientati al web, Dify, OpenHands e Agent Zero, espongono ciascuno un'interfaccia HTTP. In tutti questi casi, la prima cosa da correggere dopo l'installazione è la configurazione di rete predefinita.

OpenClaw: l'agente personale più avanzato

OpenClaw è un agente personale di IA che esegui sul tuo server e con cui interagisci tramite Telegram, WhatsApp, Slack o Discord. Può eseguire comandi shell, controllare un browser e leggere e scrivere i tuoi file. Questo lo rende lo strumento più avanzato di questo elenco, ma anche quello con il maggiore accesso al sistema. È distribuito con licenza MIT e, a metà del 2026, ha superato 380,000 stelle su GitHub. È quindi uno dei progetti con più stelle sulla piattaforma, con un ecosistema e una community molto più ampi rispetto a qualsiasi altro agente qui considerato.

Due aspetti devono guidare la decisione. Innanzitutto, il livello di rete parte in modo sicuro: il gateway, cioè l'unico processo che controlla tutto, è in ascolto sull'indirizzo di loopback per impostazione predefinita. Non è quindi raggiungibile da Internet, a meno che non sia tu a esporlo. In secondo luogo, il progetto ha una storia concreta di problemi di sicurezza. A marzo 2026 sono state divulgate nove vulnerabilità nell'arco di quattro giorni, tra cui una vulnerabilità critica di escalation dei privilegi, CVE-2026-32922, con una valutazione di 9.9 su 10. Il modello di sicurezza di OpenClaw affida a te, in qualità di operatore, il lavoro di hardening. Nessuno dei due aspetti è un motivo per evitarlo. Sono motivi per installarlo nel modo corretto, come spiegato passo passo in eseguire OpenClaw in sicurezza su un VPS.

Hermes Agent: l'agent personale più leggero

Hermes Agent è sviluppato da Nous Research ed è stato rilasciato nel febbraio 2026, quindi è lo strumento più recente qui descritto. È un agente personale che conserva una memoria persistente dei tuoi progetti, crea competenze riutilizzabili mentre lavora e ti raggiunge tramite applicazioni di chat come Telegram e Discord. È indipendente dal modello: puoi collegarlo al modello linguistico che preferisci.

Il suo principale vantaggio è il ridotto consumo di risorse. Hermes si installa con un solo comando e funziona senza problemi su un VPS da $5, perché l'agente costituisce il runtime, non il modello, mentre i calcoli più onerosi vengono eseguiti tramite l'API a cui lo colleghi. Comunica con il tuo modello e con le tue applicazioni di chat, quindi non richiede porte in ingresso e mantiene la superficie di rete quasi nulla. Il compromesso rispetto a OpenClaw riguarda la maturità: Hermes ha pochi mesi di vita, mentre le integrazioni e la community di OpenClaw sono molto più ampie. La procedura completa, inclusa la spiegazione del motivo per cui devi scaricare e leggere uno script di installazione curl prima di eseguirlo, è disponibile in self-hosting di Hermes Agent su un VPS.

Dify: la piattaforma per i team

Dify è uno strumento diverso. Invece di avere un agente che opera per una singola persona, offre una piattaforma self-hosted per creare applicazioni basate sui modelli linguistici: un'interfaccia web per progettare applicazioni di chat, agenti e pipeline di retrieval, un'API per richiamarli dal proprio codice e un unico punto per gestire prompt, dataset e chiavi dei modelli. Un piccolo team può installarla affinché tutti lavorino su una base privata condivisa, invece di distribuire le chiavi API tra vari script. Se l'esigenza del team consiste più nel fornire a ogni persona un agente isolato in una sandbox che nel creare applicazioni condivise, OneCLI adotta l'approccio di un agente per persona mantenendo comunque le chiavi dei modelli in un unico gateway.

Questo perimetro comporta più componenti. Dify viene distribuito come stack Docker Compose formato da circa mezza dozzina di container, tra cui un database Postgres, una cache Redis e un database vettoriale. È quindi necessario prevedere almeno 2 GB di RAM libera, preferibilmente 4 GB. Anche le attività di messa in sicurezza sono diverse: il web server incluso in Dify è in ascolto sulla porta HTTP 80 non cifrata su tutte le interfacce e il primo visitatore della pagina di installazione può creare l'account amministratore. Associatelo all'interfaccia loopback, mettete davanti un reverse proxy TLS e create subito l'account amministratore. Installare Dify in self-hosting su un VPS descrive l'installazione e ciascuna di queste correzioni.

OpenHands: l'agente di sviluppo autonomo

OpenHands, precedentemente denominato OpenDevin, è un agente autonomo per l'ingegneria del software. Gli assegni un'attività in linguaggio naturale e l'agente pianifica il lavoro, scrive il codice, esegue comandi, legge l'output e itera finché l'attività non è completata. Funziona con Docker, pubblica un'interfaccia web sulla porta 3000, supporta decine di backend per modelli e richiede almeno 4 GB di RAM.

Una decisione progettuale deve guidare l'intera configurazione. Per eseguire ogni attività in un container sandbox nuovo, il controller monta il socket Docker dell'host. Qualsiasi processo che può comunicare con quel socket può avviare un container che monta l'intero filesystem dell'host. L'accesso al socket equivale quindi di fatto all'accesso root sulla macchina. Non puoi isolare completamente OpenHands dal suo host. La mitigazione corretta riguarda il posizionamento: assegnagli un VPS dedicato e usa e getta che non contenga altri dati o servizi importanti, crea uno snapshot del server prima di iniziare e ricostruiscilo dallo snapshot invece di affidarti a un server che ha eseguito codice generato dall'agente per settimane. La configurazione, il tunnel SSH per la relativa interfaccia web e il ragionamento sono descritti in self-hosting di OpenHands su un VPS.

Agent Zero: il framework per uso generale

Agent Zero è un framework per agenti progettato prima di tutto per Docker. Un agente principale può avviare agenti subordinati, ciascuno in esecuzione nel proprio container isolato. Ogni agente può eseguire codice, controllare un browser ed eseguire comandi shell. Tutto viene gestito da un'interfaccia web. Il framework può funzionare anche su hardware economico, come un VPS da sei dollari, e questo lo rende il modo più semplice per sperimentare configurazioni multi-agente con un budget limitato.

Due precauzioni aiutano a mantenerlo sicuro. Il comando docker run standard della maggior parte delle guide pubblica l'interfaccia web sulla porta 50001 su tutte le interfacce di rete. Su un VPS pubblico, quindi, il pannello di controllo di un sistema in grado di eseguire comandi è raggiungibile da Internet non appena il container viene avviato. Pubblicalo invece sull'interfaccia di loopback e accedi tramite un tunnel SSH. Interpreta inoltre correttamente l'isolamento dei container: gli agenti subordinati sono separati tra loro, ma questa protezione riguarda gli agenti, non il server. La gestione delle operazioni sul sistema host resta a tuo carico. La guida self-hosting di Agent Zero su un VPS descrive anche il binding sull'interfaccia di loopback, spesso omesso dai tutorial.

Quale agente AI self-hosted fa al caso tuo

• Vuoi un assistente personale capace nelle tue applicazioni di chat e accetti di svolgere un hardening approfondito: OpenClaw.
• Vuoi un agente personale sul server più piccolo ed economico possibile, con una superficie di attacco quasi nulla: Hermes Agent.
• Il tuo team vuole una base condivisa e privata per le applicazioni LLM, con un'interfaccia che anche i non sviluppatori possano usare: Dify.
• Vuoi che il codice venga scritto mentre sei assente e puoi assegnare all'agente un server usa e getta: OpenHands.
• Vuoi sperimentare con agenti che delegano attività ad altri agenti: Agent Zero.

Un caso non rientra in questo elenco. Se cerchi un agente interattivo per la programmazione, che controlli dal terminale sessione per sessione, anziché un agente autonomo, questa categoria ha strumenti e guida dedicati: consulta eseguire OpenCode su un VPS per l'opzione open source con più stelle, oppure eseguire un agente AI per la programmazione su un VPS per una panoramica più ampia. Un secondo caso riguarda la disponibilità operativa, non le capacità: se lo scopo dell'agente è continuare a lavorare mentre sei assente, eseguire KiroCrew come agente sempre attivo mostra il modello basato su container fissato e systemd, che conserva memoria e job pianificati dopo un riavvio, cioè l'aspetto che la maggior parte delle installazioni di agenti lascia al caso.

La sicurezza segue lo stesso approccio per tutti e cinque

Qualunque agente si scelga, il modello di hardening non cambia, perché il rischio è lo stesso: tutti questi strumenti eseguono comandi o codice sul server, quindi il sistema deve limitare ciò che un errore può raggiungere.

Quattro pratiche coprono la maggior parte dei rischi. Eseguire l'agente con un utente dedicato senza privilegi, mai come root, in modo che l'account usato dall'agente definisca il limite massimo dei danni, come spiegato in eseguire i servizi con un utente senza privilegi. Mantenere private tutte le superfici di controllo: associare le interfacce Web e i gateway al loopback e usare un tunnel SSH o una VPN quando è necessario raggiungerli, perché nessuno può attaccare una porta che non può raggiungere. Configurare davanti al server un firewall con criterio predefinito di negazione e controllare anche IPv6 oltre a IPv4, perché un insieme di regole che copre solo IPv4 può lasciare lo stesso servizio completamente esposto su IPv6: è il problema del firewall IPv6 che colpisce molti utenti che gestiscono autonomamente i propri servizi. Conservare i secret in file leggibili solo dall'utente dell'agente (mode 600) e caricarli tramite il servizio, invece di inserirli nelle righe di comando. La stessa regola vale ogni volta che un singolo file consente di controllare tutto il resto: la sicurezza effettiva di Vaultwarden dipende dal token amministrativo e dal file di backup, non dal vault crittografato che questi due elementi proteggono.

L'esempio completo di questo approccio, compresa un'unità systemd con hardening e NoNewPrivileges, ProtectSystem=strict, PrivateTmp e ProtectHome, è la guida all'hardening di OpenClaw. La stessa procedura si applica a qualsiasi agente descritto in questa pagina. Per tutti e cinque è importante anche un'altra pratica: aggiornare in modo pianificato. Le vulnerabilità rese pubbliche per OpenClaw nel marzo 2026 hanno mostrato quanto rapidamente una falla critica in un agente diventi urgente, perché un agente esegue già comandi: una vulnerabilità di escalation dei privilegi in un agente è quindi molto più grave rispetto alla stessa vulnerabilità in una normale applicazione Web.

FAQ

Qual è il migliore agente AI self-hosted nel 2026?

Dipende dall'attività. OpenClaw è l'agente personale più capace e più diffuso, con oltre 380,000 stelle su GitHub a metà del 2026, mentre Hermes Agent è l'alternativa più leggera per lo stesso ruolo. Dify è la piattaforma migliore per un team che sviluppa applicazioni LLM, OpenHands è l'agente di coding autonomo più potente e Agent Zero è il framework multi-agente più flessibile. Scegli prima in base al caso d'uso, quindi in base al livello di hardening che sei disposto a implementare.

Posso eseguire un agente AI self-hosted su un VPS economico?

Sì, per la maggior parte di questi agenti. Hermes Agent funziona su un VPS da $5 e Agent Zero richiede inizialmente circa 2 GB di RAM, mentre Dify richiede da 2 a 4 GB liberi e OpenHands almeno 4 GB. Gli agenti sono leggeri perché il modello linguistico viene normalmente eseguito tramite un'API hosted. Se esegui anche il modello in modalità self-hosted, dimensiona il server in base al modello, perché il requisito è molto superiore a quello dell'agente.

Serve una GPU per eseguire un agente AI self-hosted?

No. L'agente è un runtime: un ciclo, strumenti e memoria, costituiti da normale codice eseguito su un VPS con sola CPU. Una GPU serve soltanto se vuoi eseguire il modello linguistico direttamente sul tuo hardware invece di chiamare un'API hosted. In questo caso il modello deve entrare nella memoria disponibile e devi dimensionare la macchina in base al modello prima di scaricarlo.

È sicuro eseguire agenti AI self-hosted?

Sono sicuri quanto lo consentono i limiti che imposti loro. Tutti gli agenti descritti qui eseguono comandi o codice, quindi i rischi includono una superficie di controllo esposta, un'installazione con root e chiavi API compromesse. Le misure correttive sono le stesse per tutti e cinque: un utente non privilegiato, interfacce accessibili soltanto tramite loopback e raggiunte attraverso SSH o una VPN, un firewall con criterio default-deny per IPv4 e IPv6, permessi sui file che contengono i secret e aggiornamenti tempestivi. Un agente installato in questo modo è ragionevole da eseguire; un agente esposto direttamente su una porta pubblica non lo è.