Agent Zero VPS 설치 및 보안 설정 가이드

Agent Zero의 정의와 위험 요소

Agent Zero는 오픈 소스이며 Docker 기반으로 설계된 에이전트 프레임워크입니다. 주 에이전트는 하위 에이전트를 생성하여 작업을 세부 단위로 분할할 수 있으며, 에이전트는 Agent Zero Docker 컨테이너 내부에서 코드를 실행하고, 브라우저를 제어하며, 셸 명령을 수행할 수 있습니다. 사용자는 웹 UI를 통해 이 모든 과정을 제어합니다. 이 프레임워크는 기능이 강력하고 사용하기 즐거우며, 6달러짜리 VPS와 같은 저사양 하드웨어에서도 구동됩니다. 프레임워크보다는 멀티 에이전트 형태의 구성이 목적이라면, 동일한 서버에서 두 개의 Claude Code 세션을 실행하여 서로 직접 메시지를 주고받게 하는 방법이 있습니다. 이는 훨씬 가볍고 보안을 유지하기 쉽습니다.

위험 요소는 웹 UI에 있습니다. 웹 UI는 명령을 실행하고 파일을 작성하는 시스템의 제어판이므로, 인증되지 않은 상태로 웹 UI가 노출되면 원격 공격자가 시스템에 침투할 수 있는 발판이 됩니다. 대부분의 설치 가이드가 빠지는 함정은 docker run 예제에서 주소를 지정하지 않고 인터페이스를 공개하는 것입니다. 2026-10-12 기준으로 README의 직접 실행 명령은 호스트 포트 80(-p 80:80)을 매핑하고, A0 Install 런처는 포트 5080을 사용하며, VPS 배포 가이드는 50080을 권장합니다. 반면 v0.9.x 버전까지의 가이드는 포트 50001을 사용합니다. 어떤 포트를 선택하든 주소 지정 없이 매핑하면 모든 네트워크 인터페이스에서 수신 대기하게 되며, 공용 VPS에서는 컨테이너가 시작되는 즉시 인터넷 전체에서 접근 가능해집니다. 이를 수정하는 것은 마지막이 아닌, 가장 먼저 해야 할 작업입니다.

준비 사항

Docker가 설치된 VPS, 언어 모델을 연결할 API 키 또는 로컬 모델, 그리고 최소 몇 GB의 RAM이 필요합니다. Agent Zero는 소규모 VPS부터 GPU 서버까지 Docker가 실행되는 모든 환경에서 동작합니다. Docker가 처음이라면 Docker 기초 가이드에서 아래 명령어들이 전제하는 내용을 확인할 수 있습니다.

Docker를 사용하여 루프백에 바인딩하여 설치하기

문서화된 퀵 스타트는 단일 docker run입니다. 다른 곳에서 복사하여 붙여넣는 버전과 다른 중요한 차이점은 게시할 주소입니다. -p 80:80처럼 모든 인터페이스에 게시하지 마십시오. 루프백에 게시하십시오:

docker run -d --name agent-zero \
  -p 127.0.0.1:5080:80 \
  -v a0_usr:/a0/usr \
  agent0ai/agent-zero

-p 127.0.0.1:5080:80은 웹 UI를 서버의 루프백 주소에만 바인딩하므로 인터넷에서 접근할 수 없습니다. SSH 터널을 통해 자신의 컴퓨터에서 접근하십시오:

ssh -L 5080:127.0.0.1:5080 you@your-vps

그런 다음 로컬에서 http://127.0.0.1:5080을 열고, UI에서 모델 제공자를 구성한 뒤, 설정(Settings)의 인증(Authentication) 항목에서 UI 로그인 아이디와 비밀번호를 설정하십시오. 공식 문서에서는 인스턴스를 다른 사람에게 공개하기 전에 이 작업을 수행할 것을 권장합니다. 영구적인 다중 사용자 환경을 구축하려면 VPN이나 인증 기능을 갖춘 리버스 프록시 뒤에 배치하십시오. 원본 UI를 공개 인터넷에 직접 게시해서는 안 됩니다. 민감한 기능을 제어하는 인터페이스를 가진 서버의 모든 도구에 이러한 습관을 들이는 것이 좋습니다. 자체 호스팅 오픈-크릿 스캐너 역시 게시된 포트가 아닌 UI로의 터널을 통해 접근해야 합니다.

다른 가이드가 멈추는 지점과 그 이유

Agent Zero 설치 방법을 검색하면 호스팅 업체에서 작성한 것을 포함하여 수많은 가이드를 찾을 수 있습니다. 이 가이드들은 대부분 공개된 포트(구버전은 50001, 최신 버전은 80, 5080, 50080)에서 Web UI가 실행되는 단계에서 끝납니다. 하지만 바로 그 지점이 위험이 끝나는 곳이 아니라 시작되는 곳입니다. 작업을 완수하려면 두 가지가 필요합니다. 첫째, 위에서 언급한 대로 UI를 비공개로 유지하십시오. 둘째, 서버 앞에 기본 거부(default-deny) 방화벽을 배치하여 잊고 있던 서비스가 인터넷에 응답하지 않도록 해야 합니다.

sudo ufw default deny incoming
sudo ufw allow 22/tcp
sudo ufw enable

단, 한계를 인지해야 합니다. Docker는 UFW 규칙이 적용되기 전에 게시된 컨테이너 포트로 트래픽을 라우팅하므로, 모든 인터페이스에 게시된 컨테이너 포트는 방화벽으로 보호되지 않습니다. 이것이 위에서 언급한 루프백 바인딩이 중요한 이유이며, Docker 포트가 UFW를 우회하는 방식에서 자세한 내용을 확인할 수 있습니다. 전체적인 내용은 방화벽 기초를 따르고, IPv6 격차에 유의하십시오. IPv4 규칙이 엄격해 보여도 ::의 서비스는 IPv6를 통해 접근할 수 있기 때문입니다.

컨테이너 격리는 에이전트를 보호할 뿐 서버를 보호하지는 않습니다

Agent Zero의 설계는 한 가지 측면에서 확실한 격리 기능을 제공합니다. 프레임워크와 그 프레임워크가 생성하는 모든 에이전트는 호스트에서 직접 실행되지 않고 Docker 컨테이너 내부에서 실행됩니다. 따라서 에이전트가 작성하고 실행하는 코드는 사용자의 홈 디렉터리가 아닌 컨테이너 내부에 저장됩니다. 이는 분명한 장점입니다. 하위 에이전트들은 기본 에이전트와 동일한 컨테이너를 공유하므로, 격리 벽은 에이전트와 호스트 사이에 존재할 뿐 에이전트 상호 간에 존재하는 것은 아닙니다. 이를 "샌드박스 환경이니 안전하다"고 오해하고 그대로 멈추기 쉽습니다. 컨테이너 격리는 에이전트의 작업이 호스트에 영향을 미치지 않게 할 뿐입니다. 이 기능은 서버를 인터넷으로부터 보호하거나, 노출된 Web UI를 통해 외부인이 제어권을 탈취하는 것을 막아주지 않습니다. 이러한 보안 조치는 호스트 환경에서 사용자가 직접 수행해야 할 몫입니다. 아무도 지켜보지 않는 상태에서 에이전트가 수행할 수 있는 작업 범위를 사전에 결정하십시오. 이는 Claude Code의 권한 모드 뒤에 숨겨진 판단 기준과 동일합니다. 즉, 사람이 없는 서버는 눈앞에 있는 노트북보다 더 엄격한 보안 설정을 적용해야 합니다.

비밀 정보, 사용자 및 호스트

모델 API 키와 기타 자격 증명은 Agent Zero 설정 파일이나 적절한 계정만 읽을 수 있는 환경 변수 파일에 보관하십시오. 셸 히스토리나 저장소에 포함해서는 안 됩니다. 서버에서 비밀 정보를 보호하는 다른 모든 요소에도 동일한 원칙이 적용됩니다. Vaultwarden 강화 가이드의 핵심은 애플리케이션이 이미 잘 처리하고 있는 암호화보다는 관리자 토큰과 백업 파일을 보호하는 데 있기 때문입니다. 최소 권한 사용자 원칙에 따라 root가 아닌 일반 사용자로 서버를 관리하고, SSH 강화에서 설명한 대로 SSH 인증 방식을 키 기반 인증으로만 제한하십시오. 그런 다음 아래 체크리스트를 따라 빠진 항목이 없는지 확인하십시오.

에이전트를 비교 중이라면, 이 보안 정책은 OpenClaw 강화 가이드 및 OpenHands 가이드가 취하는 방식과 동일합니다. 제어 영역을 비공개로 유지하고, 권한이 없는 사용자로 실행하며, 기본적으로 방화벽을 설정하고, 호스트를 직접 작성하지 않은 코드를 실행하는 환경으로 간주하십시오. 5가지 에이전트를 나란히 비교하려면 2026년 최고의 셀프 호스팅 AI 에이전트를 참조하십시오.

이러한 개념의 기초는 VPS에서 나만의 AI 에이전트 구축하기에 설명되어 있으며, Dify 역시 비교해 볼 만한 셀프 호스팅 플랫폼입니다.

FAQ

Agent Zero를 직접 호스팅해도 안전합니까?

Web UI를 비공개로 유지하고 호스트 보안을 강화한다면 안전합니다. Agent Zero는 코드, 브라우저, 셸을 실행하며, 공개한 호스트 포트의 Web UI를 통해 제어됩니다. 따라서 위험 요소는 프레임워크 자체가 아니라 외부로 노출된 인터페이스입니다. UI를 loopback 주소에 바인딩하여 SSH나 VPN을 통해 접속하고, UI 로그인과 비밀번호를 설정하며, 기본 거부(default-deny) 방화벽을 앞단에 배치하고, 권한이 없는 사용자 계정으로 실행하십시오.

Agent Zero는 기본적으로 인터넷에 Web UI를 노출합니까?

문서화된 docker run 명령어는 주소 지정 없이 인터페이스를 공개하며(README에서는 -p 80:80 사용), 이와 같은 매핑은 모든 네트워크 인터페이스에서 수신 대기합니다. 따라서 공용 VPS에서는 컨테이너가 시작되는 즉시 인터넷에서 접근할 수 있게 됩니다. Docker가 공개된 포트를 UFW 우회 경로로 라우팅하므로 UFW만으로는 이를 차단할 수 없습니다. 공개 주소에 127.0.0.1를 추가하여 UI가 loopback에서만 수신 대기하도록 설정한 뒤, SSH 터널이나 VPN을 통해 접속하십시오.

Agent Zero를 소규모 VPS에서 실행할 수 있습니까?

네, 가능합니다. Agent Zero는 Docker가 실행되는 곳이라면 어디서든 작동하므로 저렴한 소규모 VPS에서도 실행할 수 있습니다. 다만, 무거운 작업이나 대규모 로컬 모델을 구동하려면 더 많은 메모리가 필요합니다. 호스팅된 API 대신 직접 호스팅하는 모델을 연결할 경우, Agent Zero뿐만 아니라 모델의 요구 사양에 맞춰 서버 크기를 결정하십시오.

Agent Zero는 OpenClaw나 Hermes와 어떻게 다릅니까?

기능은 일부 겹치지만 지향하는 바가 다릅니다. Agent Zero는 Docker 기반 프레임워크로, Web UI를 통해 제어되는 주 에이전트가 컨테이너 내부에서 하위 에이전트를 생성하는 구조입니다. OpenClaw와 Hermes는 채팅 앱을 통해 사용하는 개인 비서 서비스입니다. 보안 관점에서는 모두 동일합니다. 제어 인터페이스를 비공개로 유지하고 호스트 보안을 강화하십시오.