Agent Zero veilig installeren op een VPS

Wat Agent Zero is en waar het gevaar schuilt

Agent Zero is een open-source agent-framework dat primair is ontworpen voor Docker. Een primaire agent kan ondergeschikte agents aanmaken, die elk in een eigen geïsoleerde Docker-container draaien. Elke agent kan code uitvoeren, een browser aansturen en shell-commando's draaien. U bestuurt het geheel via een webinterface. Het is krachtig, plezierig in gebruik en draait zelfs op hardware zo klein als een VPS van zes dollar. Als u de voorkeur geeft aan de multi-agent-structuur in plaats van het framework, dan kunnen twee Claude Code-sessies op dezelfde machine direct met elkaar communiceren, wat een aanzienlijk lichtere oplossing is om te draaien en te beveiligen.

Het gevaar zit in de webinterface. Dit is het controlepaneel voor een systeem dat commando's uitvoert en bestanden schrijft; een blootgestelde, niet-geauthenticeerde webinterface biedt dus direct een extern toegangspunt tot die functionaliteit. Hier ligt de valkuil waar de meeste installatiehandleidingen u rechtstreeks in leiden: de standaard docker run publiceert de interface op poort 50001 op elke netwerkinterface. Op een publieke VPS betekent dit dat de interface vanaf het moment dat de container start voor het hele internet bereikbaar is. Het verhelpen hiervan is het eerste wat u moet doen, niet het laatste.

Wat u nodig heeft

U heeft een VPS met Docker geïnstalleerd nodig, een API-sleutel voor een taalmodel of een lokaal model om naar te verwijzen, en een paar gigabyte aan RAM om te beginnen. Agent Zero draait overal waar Docker draait, van een kleine VPS tot een GPU-server. Als Docker nieuw voor u is, behandelt de handleiding voor Docker-basisbeginselen de aannames van de onderstaande commando's.

Installatie met Docker, gebonden aan loopback

De gedocumenteerde quick start is een enkel docker run. De belangrijke wijziging ten opzichte van de copy-paste-versie die u elders zult vinden, is het adres waarop u publiceert. Publiceer niet naar elke interface op poort 50001. Publiceer naar loopback:

docker run -d --name agent-zero \
  -p 127.0.0.1:5080:80 \
  -v a0_usr:/a0/usr \
  agent0ai/agent-zero

-p 127.0.0.1:5080:80 bindt de Web UI uitsluitend aan het loopback-adres van de server, waardoor deze niet bereikbaar is vanaf het internet. Benader deze vanaf uw eigen machine via een SSH-tunnel:

ssh -L 5080:127.0.0.1:5080 you@your-vps

Open vervolgens http://127.0.0.1:5080 lokaal en configureer uw modelprovider in de UI. Voor een permanente opstelling voor meerdere gebruikers plaatst u deze achter een VPN of een authenticerende reverse proxy, maar publiceer de onbewerkte UI nooit naar het open internet. Het is een goede gewoonte om dit toe te passen op elk ander hulpmiddel op de server waarvan de interface gevoelige zaken beheert; dit is ook hoe een zelfgehoste open-kritt scanner benaderd zou moeten worden, via een tunnel naar de UI in plaats van een gepubliceerde poort.

Waar andere handleidingen stoppen, en waarom u dat niet moet doen

Zoek naar de installatie van Agent Zero en u vindt talloze handleidingen, inclusief die van hostingproviders, die u naar een werkende Web UI op poort 50001 leiden en daar stoppen. Dat is precies waar het risico begint, niet waar het eindigt. Twee zaken maken het werk af. Ten eerste: houd de UI privé, zoals hierboven beschreven. Ten tweede: plaats een default-deny firewall voor de server, zodat een verdwaalde container of een toekomstige fout geen poort kan blootstellen die u bent vergeten:

sudo ufw default deny incoming
sudo ufw allow 22/tcp
sudo ufw enable

Volg de basisprincipes van firewalls voor het volledige overzicht, en let op het IPv6-gat, omdat een service op :: bereikbaar is via IPv6, zelfs wanneer uw IPv4-regels strikt lijken.

Container-isolatie beschermt de agents, niet uw server

Het ontwerp van Agent Zero biedt goede isolatie op één specifiek punt: onderliggende agents draaien in afzonderlijke containers, waardoor ze van elkaar gescheiden zijn. Dat is een waardevolle eigenschap. Het is echter eenvoudig om dit te interpreteren als "het is in een sandbox geplaatst, dus ik ben veilig" en het daarbij te laten. Container-isolatie beschermt de agents tegen elkaar. Het doet niets om uw server te beschermen tegen het internet, of om te voorkomen dat een blootgestelde Web UI de controle overdraagt aan een onbekende. Die taken zijn uw verantwoordelijkheid op de host. Bepaal vooraf hoeveel een agent mag doen wanneer er geen toezicht is; dit is dezelfde afweging als bij de permissiemodi van Claude Code, waarbij een onbeheerde server een strengere instelling vereist dan de laptop waar u zelf achter zit.

Geheimen, gebruikers en de host

Bewaar de model API key en andere inloggegevens in de configuratie van Agent Zero of in een omgevingsbestand dat alleen door het juiste account gelezen kan worden. Houd deze gegevens buiten uw shell-geschiedenis en buiten elke repository. Hetzelfde geldt voor alles op de server dat geheimen bewaart, aangezien een hardening-traject voor Vaultwarden uiteindelijk neerkomt op het beheer van het admin-token en het back-upbestand, in plaats van de encryptie die de applicatie zelf al goed uitvoert. Beheer de server als een gebruiker zonder bevoorrechte rechten in plaats van als root, volgens het principe van least-privilege gebruikers, en schakel SSH over naar authenticatie uitsluitend via sleutels, zoals beschreven in SSH hardening. Loop vervolgens de onderstaande checklist na zodat niets over het hoofd wordt gezien.

Als u agents vergelijkt: dit is dezelfde beveiligingshouding die de OpenClaw hardening-handleiding en de OpenHands-handleiding hanteren: houd het controleoppervlak privé, draai als een gebruiker zonder bevoorrechte rechten, hanteer standaard een firewall en behandel de host als een systeem dat code uitvoert die het niet zelf heeft geschreven. Voor een vergelijking van alle vijf agents, zie de beste self-hosted AI-agents in 2026.

De concepten die hieraan ten grondslag liggen, vindt u in uw eigen AI-agent bouwen op een VPS, en Dify is een ander self-hostable platform dat het overwegen waard is.

FAQ

Is Agent Zero veilig om zelf te hosten?

Dat is het, mits u de Web UI privé houdt en de host verhardt. Agent Zero voert code, een browser en een shell uit en wordt aangestuurd vanuit een Web UI die standaard op poort 50001 wordt gepubliceerd. Het gevaar schuilt dus in een blootgestelde interface, niet in het framework zelf. Koppel de UI aan loopback en benader deze via SSH of een VPN, plaats een firewall met een default-deny beleid ervoor en voer het uit als een gebruiker zonder verhoogde rechten.

Stelt Agent Zero standaard een Web UI bloot aan het internet?

De standaard docker run publiceert de interface op poort 50001 op elke netwerkinterface. Op een publieke VPS betekent dit dat de interface direct na het starten van de container vanaf het internet bereikbaar is. Wijzig het gepubliceerde adres naar 127.0.0.1 zodat de UI alleen op loopback luistert en benader deze vervolgens via een SSH-tunnel of een VPN.

Kan Agent Zero op een kleine VPS draaien?

Ja. Agent Zero draait overal waar Docker draait, inclusief een kleine, goedkope VPS, al vereisen zwaardere taken en grotere lokale modellen meer geheugen. Als u het koppelt aan een zelfgehost model in plaats van een gehoste API, kies dan de grootte van de server op basis van het model, niet alleen op basis van Agent Zero.

Hoe verschilt Agent Zero van OpenClaw of Hermes?

Ze overlappen elkaar, maar hebben verschillende doelen. Agent Zero is een Docker-first framework dat is opgebouwd rond een primaire agent die ondergeschikte agents in geïsoleerde containers start, aangestuurd vanuit een Web UI. OpenClaw en Hermes zijn persoonlijke assistenten die u via chat-apps benadert. De beveiligingshouding is voor alle drie hetzelfde: houd het controleoppervlak privé en verhard de host.