Agent Zero veilig installeren op een VPS

Wat Agent Zero is en waar het gevaar schuilt

Agent Zero is een open-source, Docker-first agent-framework. Een primaire agent kan ondergeschikte agents aanmaken om een taak op te splitsen in gerichte onderdelen. Deze agents kunnen code uitvoeren, een browser aansturen en shell-commando's draaien, allemaal binnen de Agent Zero Docker-container. U bestuurt het geheel via een Web UI. Het is capabel en plezierig in gebruik, en het draait op hardware zo klein als een VPS van zes dollar. Als u de multi-agent-vorm wenst in plaats van het framework, dan kunnen twee Claude Code-sessies op dezelfde machine direct met elkaar communiceren, wat een veel lichtere oplossing is om te draaien en te beveiligen.

Het gevaar zit in de Web UI. Dit is het configuratiescherm voor een systeem dat commando's uitvoert en bestanden schrijft. Een blootgestelde, niet-geauthenticeerde Web UI is daarom een direct toegangspunt voor derden. Hier is de valstrik waar de meeste installatiehandleidingen u rechtstreeks in leiden: de docker run-voorbeelden publiceren de interface zonder een specifiek adres op te geven. Sinds 2026-10-12 koppelt het directe commando uit de README hostpoort 80 (-p 80:80), gebruikt de A0 Install-launcher poort 5080, adviseert de VPS-implementatiehandleiding poort 50080, terwijl handleidingen geschreven voor releases tot de v0.9.x-lijn poort 50001 gebruiken. Welke poort u ook kiest, een mapping zonder adres luistert op elke netwerkinterface. Op een publieke VPS betekent dit dat de interface vanaf het hele internet bereikbaar is zodra de container start. Dit corrigeren is het eerste wat u moet doen, niet het laatste.

Wat u nodig heeft

U heeft een VPS met Docker geïnstalleerd nodig, een API-sleutel voor een taalmodel of een lokaal model om naar te verwijzen, en een paar gigabyte aan RAM om te beginnen. Agent Zero draait overal waar Docker draait, van een kleine VPS tot een GPU-server. Als Docker nieuw voor u is, behandelt de basisgids voor Docker de aannames van de onderstaande commando's.

Installatie met Docker, gebonden aan loopback

De gedocumenteerde quick start is een enkel docker run. De belangrijke wijziging ten opzichte van de copy-paste-versie die u elders zult vinden, is het adres waarop u publiceert. Publiceer niet naar elke interface, zoals -p 80:80 dat doet. Publiceer naar loopback:

docker run -d --name agent-zero \
  -p 127.0.0.1:5080:80 \
  -v a0_usr:/a0/usr \
  agent0ai/agent-zero

-p 127.0.0.1:5080:80 bindt de Web UI uitsluitend aan het loopback-adres van de server, waardoor deze niet bereikbaar is vanaf het internet. Benader deze vanaf uw eigen machine via een SSH-tunnel:

ssh -L 5080:127.0.0.1:5080 you@your-vps

Open vervolgens http://127.0.0.1:5080 lokaal, configureer uw modelprovider in de UI en stel een UI-gebruikersnaam en wachtwoord in onder Settings, Authentication. De officiële documentatie adviseert dit te doen voordat u de instantie voor anderen openstelt. Voor een permanente opstelling voor meerdere gebruikers plaatst u de service achter een VPN of een authenticerende reverse proxy, maar publiceer de onbeveiligde UI nooit naar het open internet. Het is een goede gewoonte om dit toe te passen op elke andere tool op de server waarvan de interface gevoelige zaken beheert. Dit is ook hoe een zelfgehoste open-kritt scanner benaderd moet worden: via een tunnel naar de UI in plaats van een gepubliceerde poort.

Waar andere handleidingen stoppen, en waarom u dat niet moet doen

Zoek naar de installatie van Agent Zero en u vindt talloze handleidingen, inclusief die van hostingproviders, die u naar een werkende Web UI op een gepubliceerde poort leiden (50001 in oudere versies, 80, 5080 of 50080 in nieuwere) en daar eindigen. Dat is precies waar het risico begint, niet waar het eindigt. Twee zaken maken het werk af. Ten eerste: houd de UI privé, zoals hierboven beschreven. Ten tweede: plaats een default-deny firewall voor de server, zodat een vergeten service niet reageert op het internet:

sudo ufw default deny incoming
sudo ufw allow 22/tcp
sudo ufw enable

Ken echter de beperking: Docker routeert verkeer voor gepubliceerde containerpoorten voordat de regels van UFW worden toegepast. De firewall dekt daarom geen containerpoort die op elke interface is gepubliceerd. Dat is de reden waarom de loopback-binding hierboven van belang is, en hoe Docker-poorten UFW omzeilen legt de details uit. Volg de basisprincipes van de firewall voor het volledige overzicht, en let op het IPv6-gat, omdat een service op :: bereikbaar is via IPv6, zelfs wanneer uw IPv4-regels strikt lijken.

Containerisolatie beschermt de agents, niet uw server

Het ontwerp van Agent Zero biedt daadwerkelijk goede isolatie op één punt: het framework en elke agent die het opstart, draaien binnen een Docker-container in plaats van rechtstreeks op uw host. De code die zij schrijven en uitvoeren, komt dus in de container terecht en niet in uw home-directory. Dat is een waardevolle eigenschap. Onderliggende agents delen die ene container met de primaire agent; de barrière bevindt zich dus tussen de agents en uw host, niet tussen de agents onderling. Het is verleidelijk om dit te interpreteren als "het is in een sandbox geplaatst, dus ik ben veilig" en het daarbij te laten. Containerisolatie houdt het werk van de agents weg van de host. Het doet echter niets om uw server te beschermen tegen het internet, of om te voorkomen dat een blootgestelde Web UI de controle overdraagt aan een buitenstaander. Dat is uw verantwoordelijkheid op de host. Bepaal vooraf hoeveel een agent mag doen terwijl niemand toekijkt; dit is dezelfde afweging die ten grondslag ligt aan de permissiemodi van Claude Code, waarbij een onbeheerde server een strengere instelling vereist dan de laptop waar u zelf achter zit.

Geheimen, gebruikers en de host

Bewaar de model API key en andere inloggegevens in de configuratie van Agent Zero of in een omgevingsbestand dat alleen door het juiste account kan worden gelezen. Houd deze gegevens buiten uw shell-geschiedenis en buiten elke repository. Hetzelfde geldt voor alles op de server dat geheimen bewaart, aangezien een hardening-traject voor Vaultwarden uiteindelijk neerkomt op het beveiligen van het admin-token en het back-upbestand, in plaats van op de encryptie die de applicatie zelf al goed uitvoert. Beheer de server als een gebruiker zonder privileges in plaats van als root, volgens het principe van gebruikers met minimale rechten, en schakel SSH over naar authenticatie uitsluitend via sleutels, zoals beschreven in SSH-hardening. Loop daarna de onderstaande checklist na zodat er niets wordt vergeten.

Als u agents vergelijkt: dit is dezelfde beveiligingshouding die wordt gehanteerd in de OpenClaw hardening-handleiding en de OpenHands-handleiding: houd het controleoppervlak privé, draai als een gebruiker zonder privileges, hanteer een standaard firewall-beleid en behandel de host als een systeem dat code uitvoert die het niet zelf heeft geschreven. Voor een vergelijking van alle vijf agents, zie de beste zelfgehoste AI-agents in 2026.

De concepten die hieraan ten grondslag liggen, vindt u in uw eigen AI-agent bouwen op een VPS, en Dify is een ander zelf-hostbaar platform dat het vergelijken waard is.

FAQ

Is Agent Zero veilig om zelf te hosten?

Dat is het, mits u de Web UI privé houdt en de host beveiligt. Agent Zero voert code, een browser en een shell uit en wordt aangestuurd vanuit een Web UI op de hostpoort die u publiceert. Het gevaar schuilt dus in een blootgestelde interface, niet in het framework zelf. Koppel de UI aan loopback en benader deze via SSH of een VPN, stel een inlognaam en wachtwoord in voor de UI, plaats een firewall met een default-deny beleid en voer het uit als een gebruiker zonder verhoogde rechten.

Stelt Agent Zero standaard een Web UI bloot aan het internet?

De gedocumenteerde docker run commando's publiceren de interface zonder adres (de README gebruikt -p 80:80). Een dergelijke mapping luistert op elke netwerkinterface, wat op een publieke VPS betekent dat deze vanaf het internet bereikbaar is zodra de container start. UFW blokkeert dit niet, omdat Docker gepubliceerde poorten om de firewall heen leidt. Voeg 127.0.0.1 toe aan het gepubliceerde adres zodat de UI alleen op loopback luistert; benader deze vervolgens via een SSH-tunnel of een VPN.

Kan Agent Zero op een kleine VPS draaien?

Ja. Agent Zero draait overal waar Docker draait, inclusief op een kleine, goedkope VPS, al vereisen zwaardere taken en grotere lokale modellen meer geheugen. Als u het koppelt aan een zelfgehost model in plaats van een gehoste API, kies dan de grootte van de server op basis van het model, niet alleen op basis van Agent Zero.

Waarin verschilt Agent Zero van OpenClaw of Hermes?

Ze overlappen elkaar, maar hebben verschillende doelen. Agent Zero is een Docker-first framework dat is opgebouwd rond een primaire agent die ondergeschikte agents binnen zijn container aanstuurt, aangestuurd vanuit een Web UI. OpenClaw en Hermes zijn persoonlijke assistenten die u via chat-apps benadert. De beveiligingshouding is voor alle drie hetzelfde: houd het bedieningsvlak privé en verhard de host.