著者 2026年のセルフホストAIエージェント比較
OpenClaw、Hermes、Dify、OpenHands、Agent Zeroを比較します。得意な用途、必要な構成、VPSで安全に運用する方法を確認できます。
2026 年に最適なセルフホスト AI エージェントの概要
2026 年に最適なセルフホスト AI エージェントは、チャットアプリから利用する個人アシスタントなら OpenClaw、可能な限り小規模なサーバーで同じ用途に使うなら Hermes Agent、言語モデルを基盤にチームでアプリケーションを構築するなら Dify、自律的なコーディングなら OpenHands、エージェントが独自にサブエージェントを生成する汎用フレームワークなら Agent Zero です。5 つすべてがオープンソースで、管理下にある VPS で実行できます。この記事では、用途、構成、サーバー要件、設計ごとに必要となるセキュリティ対策を比較します。インストール前に適切なものを選べるようにするためです。
これらはすべて実際のサーバーで運用しています。以下の各セクションから、それぞれのツールの完全なセットアップおよびハードニングガイドにリンクしています。
セルフホスト型 AI エージェントとは
AI エージェントは、言語モデルを中心に構成したループです。モデルが状況を読み取り、1 つの操作を決定し、サーバーがその操作を実行します。その結果が、ループの次のターンに渡されます。操作には、シェルコマンドの実行、ファイルの読み書き、ブラウザーの操作、API の呼び出しなどがあります。仕組みを詳しく確認したい場合は、VPS 上で独自の AI エージェントを構築するで、ループ、ツール、メモリをゼロから説明しています。Web 検索はよく追加される機能です。すでに独自の SearXNG インスタンスを運用している場合は、エージェントの検索バックエンドとして接続することもできます。これにより検索クエリを非公開にできますが、エージェントが誰でも書き換えられるページを読むことになります。
セルフホストとは、エージェントのランタイム、メモリ、ツール、Secret を他社のプラットフォームではなく、自分のサーバー上で管理することです。言語モデル自体は、通常はホスト型 API を使用します。高性能なモデルは小規模なサーバーのメモリに収まらないためです。同じ VPS 上の Ollamaでモデルを提供すれば、完全にローカルで運用できます。ただし、高性能なモデルを動かすには十分な RAM が必要です。
エージェントをセルフホストする理由は、制御権を持てることです。会話履歴、ファイル、API キー、エージェントが実行するすべてのコマンドを、自分が所有するマシン内に保持できます。一方、注意が必要な理由も同じ事実にあります。サーバー上でコマンドを実行するエージェントの安全性は、エージェントに設けた制限の範囲に左右されます。そのため、以下の比較ではセキュリティ体制を補足事項ではなく、主要な評価軸として扱います。
5 つのエージェントを横並びで比較
The data behind this chart
[
{
"tool": "OpenClaw",
"primary_use": "Personal assistant with full server access",
"interface": "Chat apps (Telegram, WhatsApp, Slack, Discord)",
"isolation_model": "One gateway process, on loopback by default",
"ram_floor": "Small VPS; more if it drives a browser",
"security_posture": "Safe network default; operator must harden the rest",
"maturity": "380,000+ stars mid-2026; March 2026 CVE history"
},
{
"tool": "Hermes Agent",
"primary_use": "Lightweight personal assistant with memory",
"interface": "Chat apps (Telegram, Discord)",
"isolation_model": "Single process, runs fine under systemd",
"ram_floor": "A $5 VPS is enough",
"security_posture": "Connects outward only; no inbound port needed",
"maturity": "New (February 2026), from Nous Research"
},
{
"tool": "Dify",
"primary_use": "LLM app platform for teams",
"interface": "Web UI and API",
"isolation_model": "Docker Compose stack of about six containers",
"ram_floor": "2 GB free; 4 GB is comfortable",
"security_posture": "Ships on plain HTTP port 80; needs TLS and a proxy in front",
"maturity": "Established, fast release pace"
},
{
"tool": "OpenHands",
"primary_use": "Autonomous coding agent",
"interface": "Web UI on port 3000",
"isolation_model": "Per-task sandbox containers via the host Docker socket",
"ram_floor": "4 GB",
"security_posture": "Docker socket is root equivalent; run it on a disposable VPS",
"maturity": "Established (formerly OpenDevin)"
},
{
"tool": "Agent Zero",
"primary_use": "General purpose multi-agent framework",
"interface": "Web UI on port 50001",
"isolation_model": "Subordinate agents in separate containers",
"ram_floor": "2 GB to start",
"security_posture": "Default run exposes the UI on every interface; bind it to loopback",
"maturity": "Active, Docker-first"
}
]この表では、2 つのパターンがセキュリティ対策の大部分を左右します。個人向けエージェントの OpenClaw と Hermes はチャットアプリ経由で接続するため、外向きの接続だけを使用し、受信ポートはまったく必要ありません。Web を中心とするツールの Dify、OpenHands、Agent Zero は、それぞれ HTTP 経由でインターフェースを提供します。いずれの場合も、インストール後に最初に修正すべきなのは、デフォルトのネットワーク設定です。
OpenClaw: 最も高機能な個人エージェント
OpenClaw は、自分のサーバー上で実行し、Telegram、WhatsApp、Slack、または Discord から操作する個人向け AI エージェントです。シェルコマンドの実行、ブラウザーの操作、ファイルの読み書きが可能です。そのため、このリストで最も高機能なツールである一方、マシンに最も広くアクセスできるツールでもあります。MIT ライセンスで提供されており、2026 年半ばの時点で GitHub stars は 380,000 を超えています。GitHub で最も多くの stars を獲得したプロジェクトの 1 つであり、ここで紹介する他のどのエージェントよりも大規模なエコシステムとコミュニティがあります。
判断の基準にすべき事実が 2 つあります。1 つ目は、ネットワーク側が初期状態で安全なことです。すべてを制御する単一プロセスである gateway は、デフォルトで loopback アドレスを待ち受けます。そのため、自分で公開しない限りインターネットから到達できません。2 つ目は、このプロジェクトに実際のセキュリティ上の問題が発生していることです。2026 年 3 月には、4 日間で 9 件のセキュリティ問題が公表されました。その中には、10 点満点で 9.9 と評価された重大な権限昇格の脆弱性 CVE-2026-32922 も含まれます。OpenClaw のセキュリティモデルでは、強化作業を運用者であるあなたが担います。ただし、これらの事実はいずれも OpenClaw を避ける理由にはなりません。慎重な方法でインストールする理由になります。その具体的な手順を VPS 上で OpenClaw を安全に運用する で段階的に説明しています。
Hermes Agent: 最も軽量な個人用エージェント
Hermes Agent は Nous Research が開発したもので、2026 年 2 月にリリースされました。そのため、ここで扱うツールの中では最も新しいものです。プロジェクトの永続メモリを保持し、作業中に再利用可能なスキルを自ら作成します。また、Telegram や Discord などのチャットアプリを通じてユーザーに連絡できます。特定のモデルに依存しないため、任意の言語モデルを指定して利用できます。
最大の利点は、必要なリソースが少ないことです。Hermes は 1 つのコマンドでインストールでき、$5 VPS 上でも無理なく動作します。エージェント自体がランタイムであり、モデルではないためです。負荷の高い計算は、接続先の API で実行されます。Hermes はモデルとチャットアプリへ接続するため、受信ポートは必要ありません。そのため、ネットワークの攻撃面をほぼゼロに抑えられます。OpenClaw と比較した場合の率直なトレードオフは、成熟度です。Hermes はリリースから数か月しか経過していませんが、OpenClaw の統合機能とコミュニティははるかに大規模です。curl のインストールスクリプトを実行する前にダウンロードして内容を確認すべき理由を含む完全なセットアップ手順は、VPS 上で Hermes Agent をセルフホストする にあります。
チーム向けプラットフォーム Dify
Dify は、一般的なツールとは異なる位置付けです。1 人につき 1 つのエージェントが動作する構成ではなく、言語モデル上にアプリケーションを構築するためのセルフホスト型プラットフォームです。チャットアプリ、エージェント、検索パイプラインを設計する Web インターフェース、自分のコードから呼び出すための API、プロンプト、データセット、モデルキーを一元管理する機能を備えています。小規模なチームで導入すれば、スクリプトごとに API キーを分散させず、全員が 1 つの共有プライベート基盤上で開発できます。チームの要件が共有アプリの構築よりも、各メンバーに分離された専用エージェント用のサンドボックスを提供することに近い場合は、OneCLI は 1 人 1 エージェントの方式を採用しています。モデルキーは 1 つのゲートウェイで引き続き一元管理できます。
この範囲の広さにより、構成要素は増えます。Dify は、Postgres データベース、Redis キャッシュ、ベクトルデータベースなど、約 6 個のコンテナで構成される Docker Compose スタックとしてリリースされます。そのため、空き RAM は最低でも 2 GB、できれば 4 GB を確保してください。セキュリティ対策も異なります。Dify に同梱された Web サーバーは、すべてのインターフェースで平文 HTTP の 80 番ポートを待ち受けます。また、インストールページに最初にアクセスしたユーザーが管理者アカウントを取得します。loopback にバインドし、前段に TLS リバースプロキシを置き、直ちに管理者アカウントを作成してください。VPS で Dify をセルフホストするでは、インストール手順と、これらすべての対策を説明します。
OpenHands: 自律型コーディングエージェント
OpenHands は、以前は OpenDevin と呼ばれていた自律型のソフトウェアエンジニアリングエージェントです。自然言語でタスクを指示すると、作業を計画し、コードを作成し、コマンドを実行し、出力を読み取り、タスクが完了するまで反復します。Docker で動作し、ポート 3000 で Web UI を提供します。数十種類のモデルバックエンドをサポートし、少なくとも 4 GB の RAM を必要とします。
セットアップ全体を左右する設計上の判断が 1 つあります。各タスクを新しいサンドボックスコンテナで実行するため、OpenHands のコントローラーはホストの Docker ソケットをマウントします。このソケットと通信できるものは、ホストのファイルシステム全体をマウントしたコンテナを起動できます。つまり、ソケットへのアクセスは実質的にそのマシンの root 権限です。そのため、OpenHands をホストから完全に隔離することはできません。現実的な対策は配置です。重要なデータを置いていない専用の使い捨て VPS に OpenHands を配置し、開始前にサーバーのスナップショットを取得します。エージェントが作成したコードを数週間実行したサーバーをそのまま信頼するのではなく、スナップショットから再構築します。セットアップ方法、UI への SSH トンネル、設計上の理由については、VPS で OpenHands をセルフホストするで説明しています。
汎用フレームワーク: Agent Zero
Agent Zero は Docker を前提とするエージェントフレームワークです。メインエージェントは下位エージェントを起動でき、各エージェントは分離されたコンテナ内で実行されます。各エージェントはコードを実行し、ブラウザーを操作し、シェルコマンドを実行できます。すべてを Web UI から制御できます。6 ドル程度の VPS でも動作するため、低予算でマルチエージェント構成を試す最も簡単な方法です。
安全に運用するには、2 つの点に注意が必要です。多くのガイドで使われる標準の docker run は、すべてのネットワークインターフェイスで Web UI を port 50001 に公開します。そのため、コマンドを実行するシステムのコントロールパネルが動作開始と同時にインターネット全体から到達可能になります。公開先は loopback に限定し、SSH トンネル経由でアクセスしてください。また、コンテナ分離の範囲を正しく理解してください。下位エージェント同士は隔離されますが、保護されるのはエージェントであり、サーバーではありません。ホスト側の対策は自分で行う必要があります。VPS での Agent Zero のセルフホスティングでは、多くのチュートリアルが省略する loopback bind を含めて説明しています。
自分に適したセルフホスト型 AI エージェント
- チャットアプリで高機能なパーソナルアシスタントを使いたく、実際に堅牢化作業を行える場合: OpenClaw
- 最小かつ低コストのサーバーで、攻撃対象領域をほぼ増やさずにパーソナルエージェントを運用したい場合: Hermes Agent
- チームで LLM アプリケーション向けの共有プライベート基盤を使い、開発者以外も利用できる UI が必要な場合: Dify
- 不在中にコードを書かせ、そのための使い捨てサーバーを用意できる場合: OpenHands
- 別のエージェントへ処理を委譲するエージェントを試したい場合: Agent Zero
この一覧に当てはまらないケースもあります。自律型エージェントではなく、ターミナルからセッション単位で操作する対話型コーディングエージェントを求めている場合は、そのカテゴリに専用のツールとガイドがあります。最も多くスターを獲得しているオープンな選択肢については、VPS で OpenCode を実行するを参照してください。より広い選択肢については、VPS でコーディング AI エージェントを実行するを参照してください。もう 1 つは、機能ではなく稼働継続性が重要になるケースです。エージェントを不在中も動作させ続けたい場合は、KiroCrew を常時稼働エージェントとして実行するで、再起動後もメモリとスケジュール済みジョブを維持する pinned-container と systemd の構成を説明しています。これは、多くのエージェントのインストールで運用任せになっている部分です。
5 つすべてでセキュリティ対策は同じです
どの agent を選んでも、ハードニングの基本方針は変わりません。リスクが変わらないためです。これらのツールはいずれもサーバー上でコマンドまたはコードを実行するため、誤操作が及ぶ範囲をサーバー側で制限する必要があります。
特に重要なのは、4 つの習慣です。agent は専用の非特権ユーザーで実行し、root では実行しないでください。これにより、実行ユーザーの権限が被害の上限になります。詳しくは 非特権ユーザーでサービスを実行する を参照してください。すべての制御インターフェースは非公開にします。Web UI と gateway は loopback に bind し、アクセスが必要な場合は SSH tunnel または VPN を使用します。到達できない port は攻撃できないためです。サーバーの前段には default-deny の firewall を配置し、IPv4 だけでなく IPv6 も確認してください。IPv4 だけを対象にしたルールでは、同じサービスが IPv6 で完全に公開されたままになることがあります。これは、多くの self-hoster が遭遇する IPv6 firewall の抜け穴 です。また、secret は agent のユーザーだけが読み取れるファイル（mode 600）に保存し、command line に貼り付けず、service 経由で読み込ませてください。1 つのファイルが他のすべてを保護する鍵になる場合も同じです。Vaultwarden の実際のセキュリティ は、その admin token と backup file に依存しており、それらが保護する encrypted vault 自体に依存しているわけではありません。
NoNewPrivileges、ProtectSystem=strict、PrivateTmp、ProtectHome を含む、これらの対策全体を実装した例が OpenClaw のハードニングガイド です。この手順は、このページにあるどの agent にも適用できます。5 つすべてに共通して、もう 1 つ重要な習慣があります。更新は計画的に行ってください。March 2026 の OpenClaw に関する開示は、agent の重大な脆弱性がいかに早く緊急対応を要する問題になるかを示しました。agent はもともとコマンドを実行するため、agent の privilege escalation bug は通常の Web アプリケーションの同種のバグよりもはるかに深刻です。
FAQ
2026 年に最適なセルフホスト AI エージェントはどれですか？
用途によって異なります。OpenClaw は最も高機能で人気の高い個人向けエージェントで、2026 年半ばには GitHub stars が 380,000 を超えています。同じ用途では、Hermes Agent が最も軽量な選択肢です。チームで LLM アプリケーションを構築するプラットフォームには Dify、自律型コーディングエージェントには OpenHands、柔軟なマルチエージェントフレームワークには Agent Zero が最適です。まず用途で選び、その後に、どの程度のハードニング作業を許容できるかで絞り込んでください。
安価な VPS でセルフホスト AI エージェントを実行できますか？
はい。ほとんどのエージェントで実行できます。Hermes Agent は $5 の VPS で動作し、Agent Zero は約 2 GB の RAM から利用できます。一方、Dify には 2 から 4 GB の空き容量が必要で、OpenHands には少なくとも 4 GB が必要です。通常、言語モデルはホスト型 API で実行するため、エージェント自体の負荷は軽量です。モデルもセルフホストする場合は、モデルに合わせてサーバーのサイズを決めてください。必要なリソースはエージェントより大幅に増えます。
AI エージェントをセルフホストするには GPU が必要ですか？
いいえ。エージェントはランタイムです。ループ、ツール、メモリで構成される通常のコードであり、CPU のみの VPS で実行できます。GPU が必要になるのは、ホスト型 API を呼び出すのではなく、言語モデル自体も自分のハードウェアで実行する場合だけです。その場合、モデルをメモリに収める必要があります。ダウンロードする前に、モデルに合わせてマシンのサイズを決めてください。
セルフホスト AI エージェントを安全に実行できますか？
安全性は、エージェントに設定した制限次第です。ここで扱うすべてのエージェントはコマンドまたはコードを実行するため、リスクは公開された制御面、root でのインストール、API key の漏洩です。5 つすべてに共通する対策は、非特権ユーザーの使用、SSH または VPN 経由だけで到達できる loopback 専用インターフェース、IPv4 と IPv6 の両方を対象にした default-deny ファイアウォール、Secret のファイル権限設定、プロンプトの迅速な更新です。この方法でインストールしたエージェントは実行しても問題ありません。公開ポートで直接公開したエージェントは安全ではありません。