著者 2026年版おすすめセルフホスト型AIエージェント比較
OpenClaw、Hermes、Dify、OpenHands、Agent Zeroの5つを徹底比較しました。用途別の最適なツール選びから、VPSでの安全な実行方法、必要なサーバーリソースまで解説します。各エージェントの特性を理解し、自身の環境に最適なセルフホスト構成を見つけてください。
2026年における最適なセルフホスト型AIエージェント（要約）
2026年において最適なセルフホスト型AIエージェントは、チャットアプリから利用できる個人アシスタント向けのOpenClaw、最小構成のサーバーで動作するHermes Agent、LLMを用いたアプリケーション開発チーム向けのDify、自律的なコーディングを行うOpenHands、そしてエージェントがサブエージェントを生成する汎用フレームワークのAgent Zeroです。これら5つはすべてオープンソースであり、自身が管理するVPS上で動作します。本記事では、インストール前に最適なツールを選択できるよう、用途、構成、必要なサーバーリソース、および設計ごとに求められるセキュリティ対策の観点から比較します。
各ツールは実際のサーバーで動作確認済みです。以下の各セクションには、そのツールの完全なセットアップおよび要塞化（hardening）ガイドへのリンクがあります。
セルフホスト型AIエージェントとは
AIエージェントとは、言語モデル（LLM）を囲むループ処理のことです。モデルが状況を読み取り、アクションを決定し、サーバーがそのアクションを実行し、その結果が次のループの入力となります。アクションとは、シェルコマンドの実行、ファイルの読み書き、ブラウザの操作、APIの呼び出しといった「ツール」を指します。仕組みの詳細については、VPSでのAIエージェントの構築にて、ループ、ツール、メモリについてゼロから解説しています。
セルフホストとは、エージェントの実行環境、メモリ、ツール、およびシークレットが、他社のプラットフォームではなく自身のサーバー上で管理されることを意味します。言語モデル自体は、高性能なモデルは小規模なサーバーのメモリに収まらないため、通常はホスト型のAPIが使用されます。同じVPS上でOllamaを使用することでモデルをローカル実行し、完全にローカル環境を構築することも可能ですが、その場合はモデルに必要な十分なRAMが必要です。
エージェントをセルフホストする理由は「制御」にあります。会話履歴、ファイル、APIキー、およびエージェントが実行するすべてのコマンドが、所有するマシン内に保持されます。一方で、注意が必要な理由も同じ点にあります。サーバー上でコマンドを実行するエージェントの安全性は、設定する制限に依存します。そのため、以下の比較ではセキュリティ体制を単なる注釈ではなく、主要な評価軸として扱います。
5つのエージェントの比較
The data behind this chart
[
{
"tool": "OpenClaw",
"primary_use": "Personal assistant with full server access",
"interface": "Chat apps (Telegram, WhatsApp, Slack, Discord)",
"isolation_model": "One gateway process, on loopback by default",
"ram_floor": "Small VPS; more if it drives a browser",
"security_posture": "Safe network default; operator must harden the rest",
"maturity": "380,000+ stars mid-2026; March 2026 CVE history"
},
{
"tool": "Hermes Agent",
"primary_use": "Lightweight personal assistant with memory",
"interface": "Chat apps (Telegram, Discord)",
"isolation_model": "Single process, runs fine under systemd",
"ram_floor": "A $5 VPS is enough",
"security_posture": "Connects outward only; no inbound port needed",
"maturity": "New (February 2026), from Nous Research"
},
{
"tool": "Dify",
"primary_use": "LLM app platform for teams",
"interface": "Web UI and API",
"isolation_model": "Docker Compose stack of about six containers",
"ram_floor": "2 GB free; 4 GB is comfortable",
"security_posture": "Ships on plain HTTP port 80; needs TLS and a proxy in front",
"maturity": "Established, fast release pace"
},
{
"tool": "OpenHands",
"primary_use": "Autonomous coding agent",
"interface": "Web UI on port 3000",
"isolation_model": "Per-task sandbox containers via the host Docker socket",
"ram_floor": "4 GB",
"security_posture": "Docker socket is root equivalent; run it on a disposable VPS",
"maturity": "Established (formerly OpenDevin)"
},
{
"tool": "Agent Zero",
"primary_use": "General purpose multi-agent framework",
"interface": "Web UI on port 50001",
"isolation_model": "Subordinate agents in separate containers",
"ram_floor": "2 GB to start",
"security_posture": "Default run exposes the UI on every interface; bind it to loopback",
"maturity": "Active, Docker-first"
}
]この表の2つのパターンが、セキュリティ対策の大部分を決定します。個人向けエージェントであるOpenClawとHermesは、チャットアプリを通じてユーザーに到達するため、外部への接続のみを行い、インバウンドポートを必要としません。Webインターフェースを主とするDify、OpenHands、Agent Zeroは、それぞれHTTP経由でインターフェースを提供します。これらの場合は、インストール直後にネットワーク設定を修正することが最初の作業となります。
OpenClaw: 最も多機能な個人向けエージェント
OpenClawは、自身のサーバーで実行し、Telegram、WhatsApp、Slack、Discordから操作できる個人用AIエージェントです。シェルコマンドの実行、ブラウザの制御、ファイルの読み書きが可能であり、このリストの中で最も多機能ですが、マシンへのアクセス権限も最も大きくなります。MITライセンスで、2026年中盤時点でGitHubのスター数は38万を超えており、プラットフォーム上で最も人気のあるプロジェクトの一つです。そのため、他のどのエージェントよりもエコシステムとコミュニティが充実しています。
決定を下す際に考慮すべき点が2つあります。第一に、ネットワーク面は初期状態で安全です。すべての制御を行う単一のプロセスであるゲートウェイは、デフォルトでloopbackアドレスで待機しているため、自身で公開しない限りインターネットからは到達できません。第二に、このプロジェクトには実際のセキュリティ履歴があります。2026年3月には、深刻な権限昇格の脆弱性（CVE-2026-32922、スコア9.9/10）を含む9件のセキュリティ問題が4日以内に報告されました。OpenClawのセキュリティモデルは、運用者に要塞化の責任を課しますが、これらは導入を避ける理由にはなりません。むしろ、VPSでOpenClawを安全に実行するの手順に従って、慎重にインストールすべき理由となります。
Hermes Agent: 最も軽量な個人向けエージェント
Hermes AgentはNous Researchによって開発され、2026年2月にリリースされた、この中で最も新しいツールです。プロジェクトの永続的なメモリを保持し、作業中に再利用可能なスキルを自ら書き込み、TelegramやDiscordなどのチャットアプリを通じてユーザーに到達する個人用エージェントです。モデルに依存しないため、好みの言語モデルを指定して使用できます。
最大の特徴は、要求リソースの少なさです。Hermesは単一のコマンドでインストールでき、5ドルのVPSでも快適に動作します。これは、エージェント自体は実行環境であり、重い計算は接続先のAPIで行われるためです。モデルとチャットアプリにアウトバウンドで接続するため、インバウンドポートを必要とせず、ネットワークの攻撃対象領域（attack surface）をほぼゼロに抑えられます。OpenClawと比較した際の欠点は、成熟度です。Hermesはリリースから数ヶ月しか経過しておらず、OpenClawの方が統合機能やコミュニティの規模がはるかに大きいです。セットアップの詳細（curlによるインストールスクリプトを実行する前に内容を確認すべき理由を含む）は、VPSでのHermes Agentのセルフホストに記載されています。
Dify: チーム向けプラットフォーム
Difyは異なる性質のツールです。一人のためのエージェントではなく、言語モデル上でアプリケーションを構築するためのセルフホスト可能なプラットフォームです。チャットアプリやエージェント、リトリーバル・パイプラインを設計するためのWebインターフェース、自身のコードから呼び出すためのAPI、そしてプロンプト、データセット、モデルキーを管理する一元化された場所を提供します。小規模なチームがこれを利用することで、APIキーをスクリプトに分散させることなく、共有のプライベートな基盤上で開発を進めることができます。
機能が広範であるため、構成要素も多くなります。Difyは、Postgresデータベース、Redisキャッシュ、ベクトルデータベースを含む約6つのコンテナからなるDocker Composeスタックとして提供されます。そのため、少なくとも2 GB、理想的には4 GBの空きRAMを計画してください。セキュリティ対策も異なります。DifyのバンドルされたWebサーバーは、すべてのインターフェースのHTTPポート80で待機しており、インストールページに最初にアクセスしたユーザーが管理者アカウントを取得してしまいます。インターフェースをloopbackにバインドし、TLSリバースプロキシを配置し、直ちに管理者アカウントを作成してください。VPSでのDifyのセルフホストでは、インストールとこれらの修正手順を解説しています。
OpenHands: 自律型コーディングエージェント
OpenHands（旧OpenDevin）は、自律的なソフトウェアエンジニアリングエージェントです。自然言語でタスクを与えると、作業を計画し、コードを書き、コマンドを実行し、出力を読み取り、タスクが完了するまで反復処理を行います。Dockerで動作し、ポート3000でWeb UIを提供し、数十のモデルバックエンドをサポートしています。最低4 GBのRAMが必要です。
設計上の決定事項が、セットアップ全体に影響します。各タスクを新しいサンドボックスコンテナ内で実行するため、コントローラーはホストのDocker socketをマウントします。そのソケットと通信できるものであれば、ホストのファイルシステム全体をマウントしたコンテナを起動できてしまいます。つまり、ソケットへのアクセスは実質的にホストのroot権限と同等であり、OpenHandsをホストから完全にサンドボックス化することはできません。現実的な対策は、配置の工夫です。重要なデータが入っていない専用の使い捨てVPSを用意し、開始前にスナップショットを取得し、エージェントが書いたコードを数週間実行し続けるサーバーを信頼するのではなく、スナップショットから復元するようにしてください。セットアップ、UIへのSSHトンネル、およびその理由については、VPSでのOpenHandsのセルフホストで説明しています。
Agent Zero: 汎用フレームワーク
Agent Zeroは、Dockerを前提としたエージェントフレームワークです。プライマリエージェントがサブエージェントを生成でき、各サブエージェントは個別の隔離されたコンテナ内で動作し、コードの実行、ブラウザの操作、シェルコマンドの実行が可能です。すべてWeb UIから制御でき、6ドルのVPSのような低スペックなハードウェアでも動作するため、低予算でマルチエージェント構成を試すのに最も簡単な方法です。
安全性を保つための2つの注意点があります。多くのガイドの標準的な docker run では、Web UIがすべてのネットワークインターフェースのポート50001で公開されます。パブリックなVPSでは、コンテナが起動した瞬間にコマンドを実行するシステムのコントロールパネルがインターネット全体から到達可能になります。代わりにloopbackにバインドし、SSHトンネル経由でアクセスしてください。また、コンテナの隔離機能については、サブエージェント同士は隔離されていますが、これはエージェントを保護するためのものであり、サーバー自体を保護するものではないことに注意してください。ホスト側の管理は依然としてユーザーの責任であり、VPSでのAgent Zeroのセルフホストでは、多くのチュートリアルが省略しているloopbackバインドを含めて解説しています。
どのセルフホスト型AIエージェントが最適か
- チャットアプリで多機能な個人アシスタントを求め、本格的な要塞化作業を受け入れられる場合：OpenClaw
- 攻撃対象領域がほぼない、最小かつ最安のサーバーで個人用エージェントを動かしたい場合：Hermes Agent
- 開発者以外も利用できるUIを備えた、LLMアプリ用の共有プライベート基盤をチームが求める場合：Dify
- 外出中にコードを書いておいてほしい、かつ使い捨てのサーバーを用意できる場合：OpenHands
- エージェントが他のエージェントにタスクを委譲する構成を試したい場合：Agent Zero
これらリストに含まれないケースが1つあります。自律型ではなく、ターミナルからセッションごとに操作するインタラクティブなコーディングエージェントを求めている場合は、別のツールとガイドがあります。最も人気のあるオープンソースの選択肢については VPSでのOpenCodeの実行を、より広い分野については VPSでのコーディングAIエージェントの実行を参照してください。
セキュリティ対策は5つすべて共通である
どのエージェントを選択しても、要塞化のパターンは変わりません。リスクの本質が変わらないからです。これらのツールはすべてサーバー上でコマンドまたはコードを実行するため、ミスが及ぶ範囲を制限しなければなりません。
主要な対策は4つの習慣に集約されます。まず、エージェントはrootではなく、専用の権限のないユーザー（unprivileged user）として実行してください。これにより、権限のないユーザーでのサービス実行で説明されているように、実行アカウントが被害の境界となります。次に、すべての制御インターフェースをプライベートに保ってください。Web UIやゲートウェイはloopbackにバインドし、アクセスが必要な場合はSSHトンネルまたはVPNを使用してください。到達できないポートを攻撃することはできません。サーバーの前には「デフォルト拒否（default-deny）」のファイアウォールを配置し、IPv4だけでなくIPv6も確認してください。IPv4のみのルールセットでは、IPv6で同じサービスが公開されたままになる IPv6ファイアウォールのギャップが発生し、多くのセルフホストユーザーがこれに陥っています。最後に、シークレットはエージェントのユーザーのみが読み取れるファイル（モード600）に保存し、コマンドラインに直接貼り付けるのではなく、サービス経由で読み込ませてください。
NoNewPrivileges、ProtectSystem=strict、PrivateTmp、ProtectHomeを備えた要塞化済みsystemdユニットを含む、このパターンの実例は OpenClaw要塞化ガイドにあり、同じレシピは本ページのどのエージェントにも適用可能です。もう一つの重要な習慣は、意図的なアップデートです。2026年3月のOpenClawの脆弱性公開は、エージェントにおける致命的な欠陥がいかに迅速に緊急事態となるかを示しました。エージェントはすでにコマンドを実行できるため、その権限昇格バグは、通常のWebアプリよりもはるかに深刻です。
FAQ
2026年における最適なセルフホスト型AIエージェントは？
用途によります。OpenClawは、2026年中盤時点で38万以上のGitHubスターを持つ、最も多機能で人気のある個人用エージェントです。Hermes Agentは、同じ用途における最も軽量な代替案です。Difyは、LLMアプリケーションを構築するチームにとって最適なプラットフォームであり、OpenHandsは最も強力な自律型コーディングエージェント、Agent Zeroは最も柔軟なマルチエージェントフレームワークです。まずユースケースで選び、次にどの程度の要塞化作業を行う意思があるかで選んでください。
安価なVPSでセルフホスト型AIエージェントを動かせますか？
はい、ほとんどのツールで可能です。Hermes Agentは5ドルのVPSで動作し、Agent Zeroは約2 GBのRAMから開始できます。Difyは2〜4 GBの空き容量を必要とし、OpenHandsは最低4 GBを必要とします。言語モデルは通常ホスト型のAPIで動作するため、エージェント自体は軽量です。モデルもセルフホストする場合は、エージェントよりもはるかに大きなリソースが必要になるため、モデルのサイズに合わせてサーバーを選定してください。
AIエージェントのセルフホストにGPUは必要ですか？
いいえ。エージェントは実行環境（runtime）です。ループ、ツール、メモリはすべて通常のコードであり、CPUのみのVPSで動作します。GPUが必要になるのは、ホスト型APIを呼び出す代わりに、言語モデル自体を自身のハードウェアで動かしたい場合のみです。その場合、モデルがメモリに収まる必要があるため、モデルをダウンロードする前にマシンを設計してください。
セルフホスト型AIエージェントの実行は安全ですか？
設定する制限の範囲内でのみ安全です。ここに挙げたすべてのエージェントはコマンドまたはコードを実行するため、リスクは「露出した制御インターフェース」「rootでのインストール」「APIキーの漏洩」です。対策は5つすべて共通です。権限のないユーザーの使用、SSHまたはVPN経由でアクセスするloopback限定のインターフェース、IPv4とIPv6の両方をカバーするデフォルト拒否のファイアウォール、シークレットのファイル権限、および迅速なアップデートです。そのようにインストールされたエージェントは運用に耐えうるものですが、パブリックポートにそのまま公開されたエージェントは危険です。