Melhores agentes de IA self-hosted para VPS em 2026

Os melhores agentes de IA self-hosted em 2026, em resumo

Os melhores agentes de IA self-hosted em 2026 são o OpenClaw para um assistente pessoal acedido através de aplicações de chat, o Hermes Agent para a mesma função no servidor mais pequeno possível, o Dify para equipas que criam aplicações sobre modelos de linguagem, o OpenHands para programação autónoma e o Agent Zero como framework de uso geral cujos agentes criam os seus próprios subagentes. Os cinco são open source e os cinco podem ser executados num VPS que controla. Esta comparação analisa para que serve cada ferramenta, como é construída, de que recursos precisa no servidor e quanto trabalho de segurança cada arquitetura exige, para que possa escolher a opção correta antes de instalar qualquer componente.

Executamos cada uma destas ferramentas em servidores reais, e cada secção abaixo inclui uma ligação para o guia completo de configuração e hardening dessa ferramenta.

O que é um agente de IA autoalojado

Um agente de IA é um ciclo construído em torno de um modelo de linguagem. O modelo lê a situação, decide uma ação, o seu servidor executa essa ação e o resultado alimenta a iteração seguinte do ciclo. As ações são ferramentas: executar um comando shell, ler ou escrever um ficheiro, controlar um navegador ou chamar uma API. Esse programa envolvente — o ciclo, as ferramentas, as permissões e o estado da sessão — é o que realmente constitui um harness de agente, e é a parte que está realmente a escolher quando compara os cinco projetos abaixo, porque o modelo subjacente pode ser o mesmo. Se quiser conhecer todos os detalhes, criar o seu próprio agente de IA numa VPS explica o ciclo, as ferramentas e a memória desde o início. Se isso for um passo maior do que pretende dar hoje, o percurso faseado para aprender agentes desde o início aborda os mesmos conceitos pela ordem, com algo pequeno para construir em cada fase. A pesquisa na Web é uma adição comum. Se já executa a sua própria instância do SearXNG, pode ligá-la como backend de pesquisa do seu agente, mantendo as suas consultas privadas, mas fazendo com que o agente leia páginas que qualquer pessoa pode escrever.

Autoalojado significa que o runtime do agente, a sua memória, as suas ferramentas e os seus segredos ficam no seu próprio servidor, em vez de ficarem na plataforma de outra pessoa. O próprio modelo de linguagem continua normalmente a ser uma API alojada, porque os modelos mais avançados não cabem na memória de um servidor pequeno. Pode executar tudo localmente disponibilizando um modelo com Ollama na mesma VPS, mas precisará de RAM suficiente para um modelo competente.

A razão para autoalojar o agente é o controlo: o histórico das suas conversas, os seus ficheiros, as suas chaves de API e todos os comandos executados pelo agente permanecem numa máquina que lhe pertence. A razão para ter cuidado é exatamente a mesma. Um agente que executa comandos no seu servidor só é tão seguro quanto os limites que definir à sua volta. Por isso, a comparação abaixo trata a postura de segurança como um critério principal, e não como uma nota secundária.

Os cinco agentes lado a lado

[
  {
    "tool": "OpenClaw",
    "primary_use": "Personal assistant with full server access",
    "interface": "Chat apps (Telegram, WhatsApp, Slack, Discord)",
    "isolation_model": "One gateway process, on loopback by default",
    "ram_floor": "Small VPS; more if it drives a browser",
    "security_posture": "Safe network default; operator must harden the rest",
    "maturity": "390,000+ stars by October 2026; March 2026 CVE history"
  },
  {
    "tool": "Hermes Agent",
    "primary_use": "Lightweight personal assistant with memory",
    "interface": "Chat apps (Telegram, Discord)",
    "isolation_model": "Single process, runs fine under systemd",
    "ram_floor": "A $5 VPS is enough",
    "security_posture": "Connects outward only; no inbound port needed",
    "maturity": "New (February 2026), from Nous Research"
  },
  {
    "tool": "Dify",
    "primary_use": "LLM app platform for teams",
    "interface": "Web UI and API",
    "isolation_model": "Docker Compose stack of 16 services",
    "ram_floor": "4 GB and 2 CPU cores minimum",
    "security_posture": "Ships on plain HTTP port 80; needs TLS and a proxy in front",
    "maturity": "Established, fast release pace"
  },
  {
    "tool": "OpenHands",
    "primary_use": "Autonomous coding agent",
    "interface": "Agent Canvas web UI on port 8000",
    "isolation_model": "Host process, or per-conversation Docker containers",
    "ram_floor": "4 GB",
    "security_posture": "Loopback by default; Docker access is root equivalent, so use a disposable VPS",
    "maturity": "Established (formerly OpenDevin)"
  },
  {
    "tool": "Agent Zero",
    "primary_use": "General purpose multi-agent framework",
    "interface": "Web UI on container port 80; you pick the host port",
    "isolation_model": "All agents inside one Docker container",
    "ram_floor": "2 GB minimum; 4 GB recommended",
    "security_posture": "A plain -p publishes the UI on every interface; bind it to loopback",
    "maturity": "Active, Docker-first"
  }
]

Dois padrões nesta tabela determinam a maior parte do trabalho de segurança. Os agentes pessoais, OpenClaw e Hermes, chegam até si através de aplicações de chat, por isso estabelecem ligações de saída e não precisam de nenhuma porta de entrada. As ferramentas orientadas para a Web, Dify, OpenHands e Agent Zero, disponibilizam uma interface através de HTTP. Dify e Agent Zero publicam as suas interfaces em todas as interfaces de rede por predefinição, por isso a configuração da rede é o primeiro aspeto a corrigir depois da instalação; OpenHands associa-se agora à interface de loopback por predefinição, por isso o objetivo é mantê-lo assim.

OpenClaw: o agente pessoal mais capaz

OpenClaw é um agente de IA pessoal que executa no seu próprio servidor e com o qual comunica através de Telegram, WhatsApp, Slack ou Discord. Pode executar comandos de shell, controlar um browser e ler e escrever os seus ficheiros. Isso torna-o a ferramenta mais capaz desta lista e também a que tem maior alcance dentro da sua máquina. É licenciado ao abrigo da licença MIT e tinha mais de 390,000 estrelas no GitHub em outubro de 2026. Isso torna-o num dos projetos com mais estrelas da plataforma, pelo que o ecossistema e a comunidade à sua volta são muito maiores do que os de qualquer outro agente aqui apresentado.

Dois factos devem orientar a sua decisão. Primeiro, a rede começa numa configuração segura: o gateway, o processo único que controla tudo, escuta no endereço de loopback por predefinição. Por isso, não fica acessível a partir da Internet, a menos que o exponha. Segundo, o projeto tem um historial de segurança real. No início de março de 2026, foram publicados 46 CVEs do OpenClaw na National Vulnerability Database no espaço de três dias. Mais tarde nesse mês, foi publicada e corrigida na versão 2026.3.11 uma vulnerabilidade crítica de escalada de privilégios, CVE-2026-32922, com uma classificação de 9.9 em 10. O modelo de segurança do OpenClaw coloca o trabalho de hardening nas suas mãos, enquanto operador. Nenhum destes factos é motivo para o evitar. São motivo para o instalar de forma cuidadosa, que é precisamente o que executar o OpenClaw com segurança num VPS explica passo a passo.

Agente Hermes: o agente pessoal mais leve

O Hermes Agent é desenvolvido pela Nous Research e foi lançado em February 2026, o que faz dele a ferramenta mais recente desta lista. É um agente pessoal que mantém uma memória persistente dos seus projetos, cria as suas próprias skills reutilizáveis enquanto trabalha e contacta-o através de aplicações de chat como Telegram e Discord. Não depende de um modelo específico, por isso pode ligá-lo ao modelo de linguagem que preferir.

A principal vantagem é o baixo consumo de recursos. O Hermes instala-se com um único comando e funciona sem problemas num VPS de $5, porque o agente é o runtime, não o modelo, e o processamento pesado ocorre na API à qual o ligar. O agente comunica com o seu modelo e com as suas aplicações de chat, por isso não precisa de nenhuma porta de entrada. Isto mantém a superfície de rede próxima de zero. A desvantagem em relação ao OpenClaw é o nível de maturidade: o Hermes tem apenas alguns meses, e as integrações e a comunidade do OpenClaw são muito maiores. A configuração completa, incluindo a razão pela qual deve descarregar e ler um script de instalação do curl antes de o executar, está em alojar o Hermes Agent num VPS.

Dify: a plataforma para equipas

Dify é um tipo diferente de ferramenta. Em vez de um agente agir em nome de uma pessoa, é uma plataforma que pode alojar para criar aplicações sobre modelos de linguagem: uma interface web para conceber aplicações de chat, agentes e pipelines de recuperação, uma API para os chamar a partir do seu próprio código e um único local para gerir prompts, conjuntos de dados e chaves de modelos. Uma equipa pequena instala-a para que todos trabalhem sobre uma base privada partilhada, em vez de espalharem chaves de API por vários scripts. Se a necessidade da sua equipa estiver mais próxima de dar a cada pessoa o seu próprio agente isolado do que de criar aplicações partilhadas, OneCLI adota a abordagem de um agente por pessoa e mantém as chaves dos modelos num único gateway.

Esse âmbito implica mais componentes. Dify é distribuído como uma stack Docker Compose com 16 serviços: sete serviços principais, oito componentes de suporte, incluindo uma base de dados Postgres, uma cache Redis e uma base de dados vetorial, além de uma tarefa de configuração executada uma vez. A documentação de instalação do Dify define o mínimo como 2 CPU cores e 4 GB de RAM. Por isso, considere 4 GB o limite mínimo, não uma capacidade confortável. O trabalho de segurança também é diferente: o servidor web incluído no Dify escuta na porta HTTP 80 sem TLS em todas as interfaces, e o primeiro visitante da página de instalação fica com a conta de administrador. Faça o bind a loopback, coloque um reverse proxy com TLS à frente e crie imediatamente a conta de administrador. A instalação do Dify num VPS explica a instalação e todas essas correções.

OpenHands: o agente autónomo de programação

OpenHands, anteriormente OpenDevin, é um agente autónomo de engenharia de software. Dá-lhe uma tarefa em linguagem natural e ele planeia o trabalho, escreve código, executa comandos, lê o resultado e repete o processo até concluir a tarefa. A aplicação atual, Agent Canvas, é instalada através de npm ou executada como uma imagem Docker. Disponibiliza a sua interface Web na porta 8000 (em /canvas para a imagem Docker), funciona com qualquer modelo, desde APIs alojadas até modelos locais disponibilizados através do Ollama, e também pode controlar outros agentes de programação, como Claude Code e Codex. O guia de self-hosting indica que 2 vCPU e 4 GB de RAM são suficientes para um único utilizador. A aplicação Docker mais antiga, na porta 3000, aparece agora na documentação do OpenHands como Local GUI legado. Por isso, um tutorial que abre localhost:3000 está a descrever a interface antiga.

Um facto de conceção deve orientar toda a configuração: independentemente da forma como o executar, o agente tem acesso real ao sistema anfitrião. Sem uma sandbox, o servidor do agente executa diretamente no anfitrião, com acesso total ao seu sistema de ficheiros. Para atribuir a cada conversa o seu próprio contentor, o utilizador que executa o agente tem de poder invocar o Docker. A própria documentação do Docker avisa que o grupo docker concede privilégios ao nível de root, porque qualquer processo que consiga comunicar com o daemon do Docker pode iniciar um contentor que monte todo o sistema de ficheiros do anfitrião. A imagem Docker de contentor único é a opção mais restrita, mas a pasta de projetos que montar nela fica totalmente disponível para escrita pelo agente. Por isso, não é possível isolar completamente o OpenHands do que é importante no seu anfitrião. A predefinição de rede é a parte positiva: os launchers associam-se à interface de loopback e o quickstart do Docker publica em 127.0.0.1:8000, por isso mantenha essa configuração. A mitigação realista para o restante é a colocação: atribua-lhe um VPS dedicado e descartável que não contenha mais nada que seja importante para si, crie um snapshot do sistema antes de começar e reconstrua-o a partir desse snapshot, em vez de confiar num servidor que executou código criado pelo agente durante semanas. A configuração, o túnel SSH para a interface e a respetiva fundamentação estão em fazer self-hosting do OpenHands num VPS.

Agent Zero: o framework de uso geral

Agent Zero é um framework de agentes com uma abordagem Docker-first. Um agente principal pode criar agentes subordinados para dividir o trabalho, e cada agente pode executar código, controlar um browser e executar comandos de shell, tudo dentro de um único contentor Docker. Todo o controlo é feito a partir de uma interface web, e o sistema funciona em hardware tão pequeno como um VPS de seis dólares. Isto torna-o a forma mais simples de experimentar configurações multiagente com um orçamento reduzido.

Duas precauções ajudam a mantê-lo seguro. O docker run no próprio guia de instalação do Agent Zero usa -p 80:80, e as alternativas sugeridas pela documentação quando a porta 80 está ocupada (5080, ou 50080 e seguintes num VPS) usam a mesma forma simples de -p. Isso publica a interface web em todas as interfaces de rede, incluindo no guia oficial para VPS que coloca um reverse proxy à frente. Num VPS público, o painel de controlo de um sistema que executa comandos fica acessível a partir de toda a Internet assim que o contentor arranca. Publique-o apenas na interface de loopback e aceda-lhe através de um túnel SSH. Interprete também corretamente o isolamento do contentor: os agentes são executados dentro de um contentor Docker, em vez de diretamente no host, o que limita aquilo em que o respetivo código pode tocar. No entanto, isso não protege uma porta publicada, a pasta de dados que monta no contentor nem as API keys que lhe fornece. O trabalho no host continua a ser da sua responsabilidade, e alojar o Agent Zero num VPS aborda essa configuração, incluindo a ligação à interface de loopback que a maioria dos tutoriais omite.

Qual agente de IA auto-hospedado é adequado para si

• Quer um assistente pessoal competente nas suas aplicações de chat e aceita fazer um trabalho real de hardening: OpenClaw.
• Quer um agente pessoal no servidor mais pequeno e barato possível, com uma superfície de ataque quase nula: Hermes Agent.
• A sua equipa quer uma base privada e partilhada para aplicações com LLM, com uma interface que não desenvolvedores possam utilizar: Dify.
• Quer que código seja escrito enquanto está ausente e pode disponibilizar-lhe um servidor descartável: OpenHands.
• Quer experimentar agentes que delegam tarefas noutros agentes: Agent Zero.

Um caso fica fora desta lista. Se pretende um agente de programação interativo, controlado a partir do terminal, sessão a sessão, em vez de um agente autónomo, essa categoria tem ferramentas e um guia próprios: consulte executar o OpenCode numa VPS para conhecer a opção open source com mais estrelas e executar um agente de IA para programação numa VPS para conhecer o conjunto mais amplo de opções. Um segundo caso depende mais da disponibilidade do que da capacidade: se o objetivo do agente é continuar a trabalhar enquanto está ausente, executar o KiroCrew como agente sempre ativo mostra o padrão com contentor fixado e systemd que preserva a memória e as tarefas agendadas depois de um reboot, que é precisamente a parte que a maioria das instalações de agentes deixa ao acaso. Um terceiro caso é ainda mais específico: se a função do agente é fazer análises de segurança, e não prestar assistência geral, auto-hospedar o open-kritt numa VPS descreve essa configuração, incluindo o túnel SSH para a interface e o orçamento do fornecedor que convém definir antes da primeira análise.

A segurança é a mesma para os cinco

Seja qual for o agente escolhido, o padrão de proteção não muda, porque o risco também não muda: todas estas ferramentas executam comandos ou código no servidor, por isso o sistema deve limitar aquilo que um erro pode alcançar. O que o agente pode fazer sem lhe pedir confirmação também faz parte da mesma decisão. Os modos de permissões do Claude Code apresentam claramente esta opção: num servidor sem supervisão, a configuração que permite ao agente atuar sem intervenção deve ser concedida com a maior parcimónia.

Quatro práticas são as mais importantes. Execute o agente com um utilizador dedicado sem privilégios, nunca como root. Assim, a conta utilizada pelo agente define o limite dos danos, conforme explicado em executar serviços com um utilizador sem privilégios. Mantenha todas as superfícies de controlo privadas: faça o binding das interfaces web e dos gateways ao loopback e use um túnel SSH ou uma VPN quando precisar de lhes aceder. Um atacante não consegue explorar uma porta à qual não consegue chegar. Configure uma firewall com política default-deny à frente do servidor e verifique também o IPv6, além do IPv4. Um conjunto de regras que cubra apenas o IPv4 pode deixar o mesmo serviço totalmente exposto no IPv6. É exatamente essa lacuna da firewall IPv6 que afeta tantos utilizadores que alojam os próprios serviços. Mantenha os segredos em ficheiros que apenas o utilizador do agente possa ler (mode 600), carregados pelo serviço em vez de serem inseridos nas linhas de comando. A mesma regra aplica-se sempre que um ficheiro dá acesso a todo o resto: a segurança real do Vaultwarden depende do seu token de administração e do ficheiro de backup, não do vault cifrado que esses dois elementos protegem.

O exemplo completo deste padrão, incluindo uma unidade systemd protegida com NoNewPrivileges, ProtectSystem=strict, PrivateTmp e ProtectHome, está no guia de proteção do OpenClaw. A mesma receita aplica-se a qualquer agente desta página. Há mais uma prática importante para os cinco: atualize de forma planeada. As divulgações do OpenClaw de March 2026 mostraram como uma vulnerabilidade crítica num agente pode tornar-se urgente rapidamente. Um agente já executa comandos, por isso uma vulnerabilidade de escalada de privilégios num agente é muito mais grave do que numa aplicação web comum.

FAQ

Qual é o melhor agente de IA self-hosted em 2026?

Depende da tarefa. O OpenClaw é o agente pessoal mais capaz e mais popular, com mais de 390,000 estrelas no GitHub em outubro de 2026, e o Hermes Agent é a alternativa mais leve para a mesma função. O Dify é a melhor plataforma para uma equipa que desenvolve aplicações com LLM, o OpenHands é o agente de programação autónomo mais forte e o Agent Zero é o framework multiagente mais flexível. Escolha primeiro pelo caso de uso e depois pelo trabalho de hardening que está disposto a fazer.

Posso executar um agente de IA self-hosted numa VPS barata?

Sim, na maioria dos casos. O Hermes Agent funciona numa VPS de $5 e o Agent Zero começa com cerca de 2 GB de RAM, enquanto o Dify precisa de pelo menos 4 GB de RAM e 2 cores de CPU e o OpenHands requer pelo menos 4 GB. Os próprios agentes são leves porque o modelo de linguagem normalmente é executado numa API alojada. Se também alojar o modelo por conta própria, dimensione o servidor para o modelo, que requer muito mais recursos do que o agente.

Preciso de uma GPU para alojar um agente de IA por conta própria?

Não. O agente é um runtime: um ciclo, ferramentas e memória, tudo código comum que é executado numa VPS apenas com CPU. Uma GPU só é relevante se também quiser executar o próprio modelo de linguagem no seu hardware, em vez de chamar uma API alojada. Nesse caso, o modelo tem de caber na memória e deve dimensionar a máquina para o modelo antes de o descarregar.

É seguro executar agentes de IA self-hosted?

A segurança depende dos limites que definir à volta deles. Todos os agentes aqui executam comandos ou código, pelo que os riscos são uma superfície de controlo exposta, uma instalação como root e chaves de API divulgadas. As correções são as mesmas para os cinco: um utilizador sem privilégios, interfaces acessíveis apenas através de loopback e alcançadas por SSH ou uma VPN, uma firewall com deny por predefinição que abranja IPv4 e IPv6, permissões de ficheiros para os segredos e atualizações aplicadas prontamente. Um agente instalado dessa forma é razoável para executar; um agente exposto diretamente numa porta pública não é.