Como hospedar o Agent Zero com segurança em um VPS

O que é o Agent Zero e onde está o risco

O Agent Zero é um framework de agentes open source, concebido para Docker. Um agente principal pode criar agentes subordinados para dividir uma tarefa em partes específicas. Os agentes podem executar código, controlar um browser e executar comandos da shell, tudo dentro do contentor Docker do Agent Zero. O sistema é controlado a partir de uma Web UI. É capaz e agradável de utilizar. Também funciona em hardware tão pequeno como um VPS de seis dólares. Se pretende a configuração multiagente, e não necessariamente o framework, duas sessões do Claude Code na mesma máquina podem enviar mensagens diretamente uma à outra. Essa solução é muito mais pequena de executar e proteger.

O risco está na Web UI. É o painel de controlo de um sistema que executa comandos e escreve ficheiros. Por isso, uma Web UI exposta e sem autenticação permite obter acesso remoto precisamente a esse sistema. Existe ainda uma armadilha em que muitos guias de instalação o colocam diretamente: os exemplos de docker run publicam a interface sem especificar um endereço. Em 2026-10-12, o comando direto do README mapeia a porta 80 do anfitrião (-p 80:80), o launcher A0 Install usa a porta 5080 e o guia de deployment para VPS recomenda a porta 50080. Já os guias escritos para releases até à linha v0.9.x usam a porta 50001. Qualquer que seja a porta escolhida, um mapeamento sem endereço escuta em todas as interfaces de rede. Num VPS público, isto significa que fica acessível a partir de toda a Internet assim que o contentor arranca. Corrija isto primeiro, e não no fim.

O que você precisa

Você precisa de um VPS com Docker instalado, uma chave de API para um modelo de linguagem ou um modelo local para apontar para ele e alguns gigabytes de RAM para começar. O Agent Zero é executado onde o Docker for executado, desde um VPS pequeno até um servidor com GPU. Se Docker for uma novidade para você, o guia básico do Docker explica os pressupostos dos comandos abaixo.

Instalar com Docker, ligado ao loopback

O arranque rápido documentado consiste num único docker run. A alteração importante em relação à versão para copiar e colar que encontrará noutros locais é o endereço que publica. Não publique em todas as interfaces, como faz -p 80:80. Publique no loopback:

docker run -d --name agent-zero \
  -p 127.0.0.1:5080:80 \
  -v a0_usr:/a0/usr \
  agent0ai/agent-zero

-p 127.0.0.1:5080:80 liga a interface Web apenas ao endereço de loopback do servidor, por isso não fica acessível a partir da Internet. Aceda a partir da sua máquina através de um túnel SSH:

ssh -L 5080:127.0.0.1:5080 you@your-vps

Depois, abra http://127.0.0.1:5080 localmente, configure o fornecedor do modelo na interface e defina um nome de utilizador e uma palavra-passe para iniciar sessão em Settings, Authentication, conforme indicam os documentos oficiais antes de disponibilizar a instância a qualquer outra pessoa. Para uma configuração permanente com vários utilizadores, coloque-a atrás de uma VPN ou de um reverse proxy com autenticação. Nunca publique a interface Web diretamente na Internet. Este procedimento também deve ser aplicado a todas as outras ferramentas do servidor cuja interface controle algo sensível. É assim que um scanner open-kritt alojado localmente também deve ser acedido: através de um túnel para a interface, e não por uma porta publicada.

Onde os outros guias param e por que você não deve parar

Pesquise como instalar o Agent Zero e você encontrará muitos guias, incluindo os de empresas de hospedagem, que levam você até uma Web UI em execução numa porta publicada (50001 nos mais antigos, 80, 5080 ou 50080 nos mais recentes) e terminam aí. É exatamente nesse ponto que o risco começa, e não onde termina. Duas medidas completam a proteção. Primeiro, mantenha a UI privada, como explicado acima. Segundo, coloque um firewall com política de negação por padrão à frente do servidor, para que um serviço esquecido não responda à internet:

sudo ufw default deny incoming
sudo ufw allow 22/tcp
sudo ufw enable

Conheça, porém, essa limitação: o Docker encaminha o tráfego das portas publicadas dos containers antes de as regras do UFW serem aplicadas. Portanto, o firewall não cobre uma porta de container publicada em todas as interfaces. É por isso que a associação ao loopback acima é importante, e como as portas do Docker contornam o UFW explica os detalhes. Consulte os fundamentos do firewall para entender o quadro completo e tenha em atenção a lacuna do IPv6, porque um serviço em :: fica acessível por IPv6 mesmo quando as suas regras IPv4 parecem restritivas.

O isolamento do contentor protege os agentes, não o seu servidor

O design do Agent Zero é realmente bom num tipo de isolamento: o framework e todos os agentes que ele cria são executados dentro do seu contentor Docker, e não diretamente no seu host. Assim, o código que escrevem e executam fica no contentor, e não no seu diretório pessoal. Isto é importante. Os agentes subordinados partilham esse contentor com o agente principal. Por isso, a separação existe entre os agentes e o seu host, e não entre os próprios agentes. É fácil interpretar tudo isto como “está numa sandbox, por isso estou seguro” e ficar por aí. O isolamento do contentor mantém o trabalho dos agentes fora do host. Não protege o servidor contra a Internet nem impede que uma Web UI exposta entregue o controlo a um desconhecido. Essas medidas são da sua responsabilidade no host. Defina antecipadamente o que um agente pode fazer quando ninguém o está a supervisionar. É a mesma decisão necessária nos modos de permissões do Claude Code, em que um servidor sem supervisão exige uma configuração mais restritiva do que o portátil à sua frente.

Segredos, utilizadores e o host

Mantenha a chave da API do modelo e quaisquer outras credenciais na configuração do Agent Zero ou num ficheiro de ambiente que apenas a conta correta possa ler. Mantenha-as fora do histórico da shell e de qualquer repositório. O mesmo princípio aplica-se a tudo o que proteja segredos no servidor, porque uma revisão de hardening do Vaultwarden centra-se no token de administrador e no ficheiro de backup, e não na encriptação que a aplicação já implementa bem. Administre o servidor com um utilizador sem privilégios, em vez de root, conforme descrito em utilizadores com privilégios mínimos, e configure o SSH para usar apenas autenticação por chave, como em hardening do SSH. Depois, percorra a checklist abaixo para não deixar nada por verificar.

Se estiver a comparar agentes, esta é a mesma postura de segurança adotada pelo guia de hardening do OpenClaw e pelo guia do OpenHands: mantenha a superfície de controlo privada, execute o serviço com um utilizador sem privilégios, aplique uma firewall por predefinição e trate o host como um sistema que executa código que não foi escrito por si. Para uma comparação lado a lado dos cinco agentes, consulte os melhores agentes de IA self-hosted em 2026.

Os conceitos subjacentes a qualquer uma destas opções estão descritos em criar o seu próprio agente de IA numa VPS, e Dify é outra plataforma self-hostable que vale a pena comparar.

FAQ

O Agent Zero é seguro para alojamento próprio?

É, desde que mantenha a sua Web UI privada e reforce a segurança do host. O Agent Zero executa código, um browser e uma shell, e é controlado através de uma Web UI na porta do host que publicar. Por isso, o risco está na interface exposta, não no framework em si. Ligue a UI ao loopback e aceda-lhe através de SSH ou de uma VPN, defina um login e uma password para a UI, configure uma firewall com negação por defeito e execute-o com um utilizador sem privilégios.

O Agent Zero expõe uma Web UI à Internet por defeito?

Os comandos docker run documentados publicam a interface sem indicar um endereço (o README usa -p 80:80). Um mapeamento desse tipo escuta em todas as interfaces de rede. Num VPS público, isto significa que a interface fica acessível a partir da Internet assim que o contentor arranca. O UFW não impede este acesso, porque o Docker encaminha as portas publicadas à margem dele. Adicione 127.0.0.1 ao endereço publicado para que a UI escute apenas no loopback. Depois, aceda-lhe através de um túnel SSH ou de uma VPN.

O Agent Zero pode ser executado num VPS pequeno?

Sim. O Agent Zero é executado onde quer que o Docker seja executado, incluindo num VPS pequeno e económico, embora as tarefas mais pesadas e os modelos locais maiores precisem de mais memória. Se o ligar a um modelo alojado pelo próprio em vez de uma API alojada, dimensione o servidor para o modelo, não apenas para o Agent Zero.

Em que difere o Agent Zero do OpenClaw ou do Hermes?

Há sobreposição entre eles, mas os objetivos são diferentes. O Agent Zero é um framework orientado para o Docker, baseado num agente principal que inicia agentes subordinados dentro do seu contentor e é controlado a partir de uma Web UI. O OpenClaw e o Hermes são assistentes pessoais aos quais se acede através de aplicações de chat. A postura de segurança é igual para todos: mantenha a superfície de controlo privada e reforce a segurança do host.