Melhores agentes de IA self-hosted para VPS em 2026

Os melhores agentes de IA self-hosted em 2026, em resumo

Os melhores agentes de IA self-hosted em 2026 são o OpenClaw para um assistente pessoal acedido através de aplicações de chat, o Hermes Agent para a mesma função no servidor mais pequeno possível, o Dify para equipas que criam aplicações sobre modelos de linguagem, o OpenHands para programação autónoma e o Agent Zero como framework de uso geral cujos agentes criam os seus próprios subagentes. Os cinco são open source e os cinco podem ser executados num VPS que controla. Esta comparação analisa para que serve cada ferramenta, como é construída, de que recursos precisa no servidor e quanto trabalho de segurança cada arquitetura exige, para que possa escolher a opção correta antes de instalar qualquer componente.

Executamos cada uma destas ferramentas em servidores reais, e cada secção abaixo inclui uma ligação para o guia completo de configuração e hardening dessa ferramenta.

O que é um agente de IA autoalojado

Um agente de IA é um ciclo construído em torno de um modelo de linguagem. O modelo lê a situação, decide uma ação, o seu servidor executa essa ação e o resultado alimenta a iteração seguinte do ciclo. As ações são ferramentas: executar um comando shell, ler ou escrever um ficheiro, controlar um navegador ou chamar uma API. Esse programa envolvente — o ciclo, as ferramentas, as permissões e o estado da sessão — é o que realmente constitui um harness de agente, e é a parte que está realmente a escolher quando compara os cinco projetos abaixo, porque o modelo subjacente pode ser o mesmo. Se quiser conhecer todos os detalhes, criar o seu próprio agente de IA numa VPS explica o ciclo, as ferramentas e a memória desde o início. Se isso for um passo maior do que pretende dar hoje, o percurso faseado para aprender agentes desde o início aborda os mesmos conceitos pela ordem, com algo pequeno para construir em cada fase. A pesquisa na Web é uma adição comum. Se já executa a sua própria instância do SearXNG, pode ligá-la como backend de pesquisa do seu agente, mantendo as suas consultas privadas, mas fazendo com que o agente leia páginas que qualquer pessoa pode escrever.

Autoalojado significa que o runtime do agente, a sua memória, as suas ferramentas e os seus segredos ficam no seu próprio servidor, em vez de ficarem na plataforma de outra pessoa. O próprio modelo de linguagem continua normalmente a ser uma API alojada, porque os modelos mais avançados não cabem na memória de um servidor pequeno. Pode executar tudo localmente disponibilizando um modelo com Ollama na mesma VPS, mas precisará de RAM suficiente para um modelo competente.

A razão para autoalojar o agente é o controlo: o histórico das suas conversas, os seus ficheiros, as suas chaves de API e todos os comandos executados pelo agente permanecem numa máquina que lhe pertence. A razão para ter cuidado é exatamente a mesma. Um agente que executa comandos no seu servidor só é tão seguro quanto os limites que definir à sua volta. Por isso, a comparação abaixo trata a postura de segurança como um critério principal, e não como uma nota secundária.

Os cinco agentes lado a lado

[
  {
    "tool": "OpenClaw",
    "primary_use": "Personal assistant with full server access",
    "interface": "Chat apps (Telegram, WhatsApp, Slack, Discord)",
    "isolation_model": "One gateway process, on loopback by default",
    "ram_floor": "Small VPS; more if it drives a browser",
    "security_posture": "Safe network default; operator must harden the rest",
    "maturity": "380,000+ stars mid-2026; March 2026 CVE history"
  },
  {
    "tool": "Hermes Agent",
    "primary_use": "Lightweight personal assistant with memory",
    "interface": "Chat apps (Telegram, Discord)",
    "isolation_model": "Single process, runs fine under systemd",
    "ram_floor": "A $5 VPS is enough",
    "security_posture": "Connects outward only; no inbound port needed",
    "maturity": "New (February 2026), from Nous Research"
  },
  {
    "tool": "Dify",
    "primary_use": "LLM app platform for teams",
    "interface": "Web UI and API",
    "isolation_model": "Docker Compose stack of about six containers",
    "ram_floor": "2 GB free; 4 GB is comfortable",
    "security_posture": "Ships on plain HTTP port 80; needs TLS and a proxy in front",
    "maturity": "Established, fast release pace"
  },
  {
    "tool": "OpenHands",
    "primary_use": "Autonomous coding agent",
    "interface": "Web UI on port 3000",
    "isolation_model": "Per-task sandbox containers via the host Docker socket",
    "ram_floor": "4 GB",
    "security_posture": "Docker socket is root equivalent; run it on a disposable VPS",
    "maturity": "Established (formerly OpenDevin)"
  },
  {
    "tool": "Agent Zero",
    "primary_use": "General purpose multi-agent framework",
    "interface": "Web UI on port 50001",
    "isolation_model": "Subordinate agents in separate containers",
    "ram_floor": "2 GB to start",
    "security_posture": "Default run exposes the UI on every interface; bind it to loopback",
    "maturity": "Active, Docker-first"
  }
]

Dois padrões nesta tabela determinam a maior parte do trabalho de segurança. Os agentes pessoais, OpenClaw e Hermes, chegam até si através de aplicações de chat, por isso estabelecem ligações de saída e não precisam de nenhuma porta de entrada. As ferramentas orientadas para a Web, Dify, OpenHands e Agent Zero, disponibilizam uma interface através de HTTP. Em todos esses casos, a primeira coisa a corrigir depois da instalação é a configuração de rede predefinida.

OpenClaw: o agente pessoal mais completo

O OpenClaw é um agente de IA pessoal que executa no seu próprio servidor e com o qual pode comunicar através do Telegram, WhatsApp, Slack ou Discord. Pode executar comandos shell, controlar um navegador e ler e escrever os seus ficheiros. Isso faz dele a ferramenta mais completa desta lista e também a que tem maior alcance dentro da sua máquina. É licenciado ao abrigo da MIT e tinha mais de 380,000 estrelas no GitHub em meados de 2026. Isso faz dele um dos projetos com mais estrelas na plataforma. Por isso, o ecossistema e a comunidade à sua volta são muito maiores do que os de qualquer outro agente aqui apresentado.

Dois factos devem orientar a sua decisão. Primeiro, a componente de rede começa com uma configuração segura. O gateway, o processo único que controla tudo, escuta por predefinição no endereço de loopback. Por isso, não fica acessível a partir da Internet, a menos que o exponha manualmente. Segundo, o projeto tem um histórico de segurança relevante. Em março de 2026, foram divulgadas nove vulnerabilidades de segurança no espaço de quatro dias, incluindo uma falha crítica de escalada de privilégios, CVE-2026-32922, com uma classificação de 9.9 em 10. O modelo de segurança do OpenClaw atribui a si, enquanto operador, o trabalho de reforço da segurança. Nenhum destes factos é motivo para o evitar. São motivos para o instalar de forma cuidadosa. É exatamente isso que executar o OpenClaw com segurança num VPS explica passo a passo.

Agente Hermes: o agente pessoal mais leve

O Hermes Agent é desenvolvido pela Nous Research e foi lançado em February 2026, o que faz dele a ferramenta mais recente desta lista. É um agente pessoal que mantém uma memória persistente dos seus projetos, cria as suas próprias skills reutilizáveis enquanto trabalha e contacta-o através de aplicações de chat como Telegram e Discord. Não depende de um modelo específico, por isso pode ligá-lo ao modelo de linguagem que preferir.

A principal vantagem é o baixo consumo de recursos. O Hermes instala-se com um único comando e funciona sem problemas num VPS de $5, porque o agente é o runtime, não o modelo, e o processamento pesado ocorre na API à qual o ligar. O agente comunica com o seu modelo e com as suas aplicações de chat, por isso não precisa de nenhuma porta de entrada. Isto mantém a superfície de rede próxima de zero. A desvantagem em relação ao OpenClaw é o nível de maturidade: o Hermes tem apenas alguns meses, e as integrações e a comunidade do OpenClaw são muito maiores. A configuração completa, incluindo a razão pela qual deve descarregar e ler um script de instalação do curl antes de o executar, está em alojar o Hermes Agent num VPS.

Dify: a plataforma para equipas

O Dify é uma ferramenta diferente. Em vez de um agente atuar em nome de uma pessoa, é uma plataforma que pode alojar para criar aplicações sobre modelos de linguagem: uma interface web para conceber aplicações de chat, agentes e pipelines de recuperação, uma API para os chamar a partir do seu próprio código e um único local para gerir prompts, conjuntos de dados e chaves de modelos. Uma equipa pequena configura a plataforma para que todos trabalhem sobre uma base privada partilhada, em vez de espalharem chaves de API por vários scripts. Se a necessidade da sua equipa for mais próxima de dar a cada pessoa o seu próprio agente isolado do que de criar aplicações partilhadas, OneCLI adota essa abordagem de um agente por pessoa, mantendo as chaves dos modelos num único gateway.

Este âmbito implica mais componentes. Dify é distribuído como uma stack Docker Compose com cerca de meia dúzia de contentores, incluindo uma base de dados Postgres, uma cache Redis e uma base de dados vetorial. Planeie pelo menos 2 GB de RAM livre e, idealmente, 4 GB. O trabalho de segurança também é diferente: o servidor web incluído no Dify escuta em HTTP simples na porta 80, em todas as interfaces, e o primeiro visitante da página de instalação fica com a conta de administrador. Faça o bind à interface de loopback, coloque um reverse proxy com TLS à frente e crie imediatamente a conta de administrador. Alojamento próprio do Dify num VPS explica a instalação e cada uma dessas correções.

OpenHands: o agente autónomo de programação

OpenHands, anteriormente chamado OpenDevin, é um agente autónomo de engenharia de software. Forneça uma tarefa em linguagem simples, e ele planeia o trabalho, escreve código, executa comandos, lê a saída e repete o processo até concluir a tarefa. É executado com Docker, disponibiliza uma interface Web na porta 3000, é compatível com dezenas de backends de modelos e requer pelo menos 4 GB de RAM.

Uma decisão de arquitetura deve orientar toda a configuração. Para executar cada tarefa num contentor sandbox novo, o controlador monta o socket Docker do host. Qualquer processo que consiga comunicar com esse socket pode iniciar um contentor que monte todo o sistema de ficheiros do host. Isso significa que o acesso ao socket equivale efetivamente a root na máquina. Portanto, não é possível isolar completamente o OpenHands do respetivo host. A mitigação adequada é escolher cuidadosamente o local de execução: atribua-lhe uma VPS dedicada e descartável, sem outros dados ou serviços importantes, crie um snapshot do sistema antes de começar e reconstrua a máquina a partir desse snapshot, em vez de confiar num servidor que executou código escrito pelo agente durante semanas. A configuração, o túnel SSH para a interface Web e a fundamentação estão em alojar o OpenHands numa VPS.

Agent Zero: o framework de uso geral

O Agent Zero é um framework de agentes orientado para Docker. Um agente principal pode iniciar agentes subordinados, cada um a correr no seu próprio contentor isolado. Cada agente pode executar código, controlar um browser e executar comandos shell. Todo o controlo é feito através de uma interface web. O framework funciona até em hardware tão pequeno como um VPS de seis dólares, o que o torna a forma mais simples de experimentar configurações multiagente com um orçamento reduzido.

Duas precauções ajudam a mantê-lo seguro. O docker run padrão da maioria dos guias publica a interface web na porta 50001 em todas as interfaces de rede. Num VPS público, o painel de controlo de um sistema que executa comandos fica acessível a partir de toda a Internet assim que o contentor arranca. Em vez disso, publique-o apenas na interface de loopback e aceda-lhe através de um túnel SSH. Também deve interpretar corretamente o isolamento dos contentores: os agentes subordinados ficam isolados uns dos outros, o que protege os agentes, não o servidor. O trabalho no host continua a ser da sua responsabilidade. Alojamento próprio do Agent Zero num VPS explica esse processo, incluindo a ligação à interface de loopback que a maioria dos tutoriais omite.

Qual agente de IA auto-hospedado é adequado para si

• Quer um assistente pessoal competente nas suas aplicações de chat e aceita fazer um trabalho real de hardening: OpenClaw.
• Quer um agente pessoal no servidor mais pequeno e barato possível, com uma superfície de ataque quase nula: Hermes Agent.
• A sua equipa quer uma base privada e partilhada para aplicações com LLM, com uma interface que não desenvolvedores possam utilizar: Dify.
• Quer que código seja escrito enquanto está ausente e pode disponibilizar-lhe um servidor descartável: OpenHands.
• Quer experimentar agentes que delegam tarefas noutros agentes: Agent Zero.

Um caso fica fora desta lista. Se pretende um agente de programação interativo, controlado a partir do terminal, sessão a sessão, em vez de um agente autónomo, essa categoria tem ferramentas e um guia próprios: consulte executar o OpenCode numa VPS para conhecer a opção open source com mais estrelas e executar um agente de IA para programação numa VPS para conhecer o conjunto mais amplo de opções. Um segundo caso depende mais da disponibilidade do que da capacidade: se o objetivo do agente é continuar a trabalhar enquanto está ausente, executar o KiroCrew como agente sempre ativo mostra o padrão com contentor fixado e systemd que preserva a memória e as tarefas agendadas depois de um reboot, que é precisamente a parte que a maioria das instalações de agentes deixa ao acaso. Um terceiro caso é ainda mais específico: se a função do agente é fazer análises de segurança, e não prestar assistência geral, auto-hospedar o open-kritt numa VPS descreve essa configuração, incluindo o túnel SSH para a interface e o orçamento do fornecedor que convém definir antes da primeira análise.

A segurança é a mesma para os cinco

Seja qual for o agente escolhido, o padrão de proteção não muda, porque o risco também não muda: todas estas ferramentas executam comandos ou código no servidor, por isso o sistema deve limitar aquilo que um erro pode alcançar. O que o agente pode fazer sem lhe pedir confirmação também faz parte da mesma decisão. Os modos de permissões do Claude Code apresentam claramente esta opção: num servidor sem supervisão, a configuração que permite ao agente atuar sem intervenção deve ser concedida com a maior parcimónia.

Quatro práticas são as mais importantes. Execute o agente com um utilizador dedicado sem privilégios, nunca como root. Assim, a conta utilizada pelo agente define o limite dos danos, conforme explicado em executar serviços com um utilizador sem privilégios. Mantenha todas as superfícies de controlo privadas: faça o binding das interfaces web e dos gateways ao loopback e use um túnel SSH ou uma VPN quando precisar de lhes aceder. Um atacante não consegue explorar uma porta à qual não consegue chegar. Configure uma firewall com política default-deny à frente do servidor e verifique também o IPv6, além do IPv4. Um conjunto de regras que cubra apenas o IPv4 pode deixar o mesmo serviço totalmente exposto no IPv6. É exatamente essa lacuna da firewall IPv6 que afeta tantos utilizadores que alojam os próprios serviços. Mantenha os segredos em ficheiros que apenas o utilizador do agente possa ler (mode 600), carregados pelo serviço em vez de serem inseridos nas linhas de comando. A mesma regra aplica-se sempre que um ficheiro dá acesso a todo o resto: a segurança real do Vaultwarden depende do seu token de administração e do ficheiro de backup, não do vault cifrado que esses dois elementos protegem.

O exemplo completo deste padrão, incluindo uma unidade systemd protegida com NoNewPrivileges, ProtectSystem=strict, PrivateTmp e ProtectHome, está no guia de proteção do OpenClaw. A mesma receita aplica-se a qualquer agente desta página. Há mais uma prática importante para os cinco: atualize de forma planeada. As divulgações do OpenClaw de March 2026 mostraram como uma vulnerabilidade crítica num agente pode tornar-se urgente rapidamente. Um agente já executa comandos, por isso uma vulnerabilidade de escalada de privilégios num agente é muito mais grave do que numa aplicação web comum.

FAQ

Qual é o melhor agente de IA self-hosted em 2026?

Depende da tarefa. O OpenClaw é o agente pessoal mais capaz e mais popular, com mais de 380,000 estrelas no GitHub em meados de 2026, e o Hermes Agent é a alternativa mais leve para a mesma função. O Dify é a melhor plataforma para uma equipa que desenvolve aplicações com LLM, o OpenHands é o agente autónomo de programação mais forte e o Agent Zero é o framework multiagente mais flexível. Escolha primeiro com base no caso de utilização e, depois, no nível de hardening que está disposto a fazer.

Posso executar um agente de IA self-hosted numa VPS barata?

Sim, na maioria dos casos. O Hermes Agent funciona numa VPS de $5 e o Agent Zero começa com cerca de 2 GB de RAM, enquanto o Dify precisa de 2 a 4 GB livres e o OpenHands precisa de pelo menos 4 GB. Os próprios agentes são leves porque o modelo de linguagem normalmente é executado numa API alojada. Se também alojar o modelo localmente, dimensione o servidor para o modelo. Esse requisito é muito maior do que o do agente.

Preciso de uma GPU para alojar um agente de IA localmente?

Não. O agente é um runtime: um ciclo, ferramentas e memória. Tudo isto é código normal que funciona numa VPS apenas com CPU. Uma GPU só é necessária se também quiser executar o próprio modelo de linguagem no seu hardware, em vez de chamar uma API alojada. Nesse caso, o modelo tem de caber na memória. Dimensione a máquina para o modelo antes de o transferir.

É seguro executar agentes de IA self-hosted?

A segurança depende dos limites que definir à volta deles. Todos os agentes apresentados executam comandos ou código. Os riscos são uma superfície de controlo exposta, uma instalação como root e chaves de API divulgadas. As correções são as mesmas para os cinco: um utilizador sem privilégios, interfaces acessíveis apenas através de loopback e alcançadas por SSH ou VPN, uma firewall com política default-deny para IPv4 e IPv6, permissões de ficheiros adequadas para os segredos e atualizações frequentes. Um agente instalado desta forma é razoável para executar. Um agente exposto diretamente numa porta pública não é.