Hermes Agent или OpenClaw: что выбрать для VPS

Краткий ответ

Hermes Agent и OpenClaw предоставляют постоянного агента на VPS, к которому можно подключиться через мессенджер. Выбирайте Hermes Agent, если основная задача агента — регулярная работа: выполнение запланированных заданий и процедур, которые он должен изучить один раз и использовать повторно. Выбирайте OpenClaw, если основная задача — доступность: единый помощник, который отвечает в WhatsApp, Telegram, Discord, Slack и более чем в двадцати других каналах, расширяемый пакетами из публичного реестра. Оба инструмента запускаются из CLI (интерфейса командной строки) и через чат, поэтому выбор зависит от того, на какой стороне проект делает акцент и что именно каждый из них открывает на вашем сервере.

Это сравнение составлено на основе версии Hermes Agent с тегом v2026.9.7 (7 сентября 2026 г., выпущена как v0.21.1) и версии OpenClaw с тегом v2026.9.4 (11 сентября 2026 г.), а также повторно проверено по актуальной документации обоих проектов 10 октября 2026 г. Оба проекта выпускают обновления часто, поэтому проверяйте документацию на случай изменений. Последний стабильный релиз OpenClaw — v2026.9.9 (8 октября 2026 г.), а Hermes перешел с тегов по дате на версии, выпустив v0.21.6 8 октября 2026 г. Все утверждения ниже основаны на документации самих проектов или на двух сторонних источниках, указанных в местах их использования.

Назначение каждого подхода: агент в приоритете или шлюз в приоритете

Сравнение от Hostinger называет Hermes Agent подходом «агент в приоритете», а OpenClaw — «шлюз в приоритете». Эта классификация верна, и это самый быстрый способ понять разницу между двумя проектами.

Hermes Agent от Nous Research построен вокруг исполнителя (worker). Вы даете ему задачу. Он выполняет её в терминальном бэкенде и записывает полученные знания в виде навыка. Он также хранит небольшую базу постоянных фактов. Чат — лишь один из способов передачи работы. CLI, задания cron, шлюз обмена сообщениями и настольное приложение — всё это обращается к одному и тому же агенту, а шлюз является функцией, которую вы включаете с помощью hermes gateway setup, а не тем, что вы устанавливаете отдельно.

OpenClaw построен вокруг своего шлюза (Gateway). Шлюз — это постоянно работающий процесс, который в документации называют единственным источником истины для сессий, маршрутизации и подключений к каналам. Модели и среды исполнения агентов (agent harnesses) являются плагинами, которые подключаются к нему; в README упоминаются Claude, Codex и локальные модели как сменные компоненты. Доступ — это и есть продукт. Агент — лишь один из компонентов, который размещает шлюз.

Оба проекта заимствовали удачные идеи друг у друга. Теперь оба связывают неизвестных отправителей чата с кодом, прежде чем они смогут взаимодействовать с ботом. Оба теперь позволяют агенту самостоятельно создавать навыки: Hermes через свой инструмент skill_manage, а OpenClaw через Skill Workshop. Тем не менее, суть остается прежней: Hermes — это исполнитель с интерфейсом чата, а OpenClaw — это хаб чата с исполнителем на бэкенде.

Путь установки и требования к VPS

Ни один из проектов не содержит документации по минимальным требованиям к RAM или CPU, поэтому здесь они не приводятся. Оба агента потребляют мало ресурсов по сравнению с вызовами моделей, а реальная нагрузка на сервер зависит от задач, которые вы ставите перед агентом. В Сколько RAM и CPU нужно VPS для агента-программиста рассматривается подбор ресурсов исходя из рабочей нагрузки, а не из потребностей самого агента.

Стоит учитывать одно задокументированное значение. Когда Hermes использует свой Docker-бэкенд для терминала, в документации по умолчанию установлены лимиты для песочницы: container_cpu: 1 и container_memory: 5120 (в МБ). Это лимиты для контейнера, а не измеренная потребность, но VPS меньшего размера не сможет их обеспечить.

Hermes устанавливается с помощью одного скрипта. Текущие установки работают на Python 3.14, который инсталлятор загружает через собственный зафиксированный и проверенный по контрольной сумме uv, а не использует системный. В Linux скрипту предварительно требуются git, curl, tar и утилиты SHA-256 (sha256sum из состава coreutils). В системах с glibc управляемому Node.js, который разворачивает инсталлятор, требуется libatomic; инсталлятор добавляет этот пакет, если он отсутствует.

sudo apt update && sudo apt install -y git curl tar coreutils
curl -fsSL https://hermes-agent.nousresearch.com/install.sh | bash
source ~/.bashrc
hermes doctor

Код размещается в ~/.hermes/hermes-agent/ в виде редактируемой копии git, а команда — в ~/.local/bin/hermes. Все данные хранятся в ~/.hermes/. Инсталлятор не требует прав root: он вызывает sudo только если у пользователя без прав root отсутствует libatomic. В документации рекомендуется запускать его от имени того пользователя, под которым будет работать агент, так как этот пользователь является владельцем копии кода, конфигурации и загрузчика. На странице документации не описана фиксация версии, но скрипт установки принимает --commit SHA, который фиксирует копию на конкретном коммите после клонирования или обновления и прерывает работу, если этот коммит отсутствует в устанавливаемой ветке. Получите коммит, соответствующий тегу, экспортируйте его как HERMES_SHA и передайте параметром:

git ls-remote --tags https://github.com/NousResearch/hermes-agent v2026.9.7
curl -fsSL https://hermes-agent.nousresearch.com/install.sh | bash -s -- --commit "$HERMES_SHA"

Если ls-remote выводит две строки, используйте ту, что заканчивается на ^{}. Это коммит, на который указывает аннотированный тег, а --commit требует SHA коммита, а не объект тега. После установки hermes model выбирает провайдера и модель, hermes tools включает инструменты, hermes setup запускает мастер настройки, а hermes doctor проверяет результат.

OpenClaw также устанавливается с помощью одного скрипта или через npm и требует Node. В документации указана версия Node 24.16 или новее, либо 26.1 или новее. Указано, что инсталлятор для Linux загружает Node 24 LTS (с долгосрочной поддержкой), если он отсутствует. Путь через npm позволяет указать точную версию, что и является способом фиксации. В документации приводится флаг --allow-scripts=openclaw для npm 12 или 11.16 и новее; в старых версиях npm запускайте ту же команду без него.

curl -fsSL https://openclaw.ai/install.sh | bash
# or, pinned:
npm install -g openclaw@2026.9.4 --allow-scripts=openclaw
openclaw onboard --install-daemon

openclaw onboard --install-daemon запускает мастер настройки и устанавливает Gateway как пользовательский systemd-сервис в Linux. Конфигурация находится в ~/.openclaw/openclaw.json и использует формат JSON5, поэтому допускаются комментарии и завершающие запятые. OpenClaw также выпускает ветку Extended Stable для тех, кому нужно меньше изменений в месяц. По состоянию на 10 октября 2026 года текущий релиз — 2026.8.35, помеченный тегом 2 октября 2026 года. В документации описаны четыре канала: stable, extended-stable, beta и dev, а также openclaw update --channel <name> для переключения между ними.

В Руководстве по VPS для агента Hermes и Руководстве по изоляции OpenClaw приведено полное описание установки для каждого проекта с проверками, которые должны быть пройдены на каждом этапе.

Какие порты открываются в сети

Этот раздел определяет настройки межсетевого экрана, поэтому будьте предельно внимательны.

OpenClaw открывает порт по своей архитектуре. Шлюз по умолчанию прослушивает TCP 18789. Порт выбирается в следующем порядке: --port, затем OPENCLAW_GATEWAY_PORT, затем gateway.port в конфигурации, и в последнюю очередь 18789. gateway.bind по умолчанию принимает значение loopback, а остальные параметры — это auto, lan (что означает 0.0.0.0), tailnet и custom. Интерфейс управления (Control UI) находится на том же порту, в корневом пути: http://127.0.0.1:18789/. gateway.controlUi.basePath добавляет префикс, например /openclaw, только если вы обслуживаете интерфейс через путь reverse-proxy. Документация прямо предупреждает о рисках: «Привязка к внешним интерфейсам (non-loopback) требует аутентификации шлюза. На практике это означает использование общего токена/пароля или reverse-proxy с поддержкой идентификации». gateway.auth.mode принимает значения none, token, password или trusted-proxy, а мастер начальной настройки по умолчанию генерирует токен. Оставьте bind на loopback, подключайтесь к интерфейсу через SSH-туннель и запускайте openclaw security audit, чтобы проверить любые отклонения от этих настроек по умолчанию.

Hermes не открывает портов для своего основного шлюза. Шлюз подключается к каждой платформе обмена сообщениями как клиент. CLI взаимодействует с конечной точкой модели и терминальным бэкендом. Docker-бэкенд обращается к локальному Docker socket. SSH-бэкенд подключается к другому хосту по порту 22. Порты, упомянутые в документации Hermes, относятся к дополнительным компонентам: адаптеру вебхуков (по умолчанию выключен, WEBHOOK_PORT 8644), вебхуку WhatsApp Business Cloud API (по умолчанию 8090) и мосту WhatsApp, который использует порт 3000 на машине. На странице WhatsApp не указано, к какому адресу привязывается мост, поэтому держите этот порт закрытым на межсетевом экране. Таким образом, сервер с Hermes может иметь входящую политику «только SSH», и настройки агента менять не потребуется, если только вы не активируете один из двух вебхуков.

Платформы обмена сообщениями в большинстве случаев не требуют входящих портов для обоих проектов. Оба проекта используют long polling или исходящие WebSockets для основных каналов. Интеграция Hermes со Slack использует Socket Mode, и в документации указано, что ваш экземпляр «не должен быть доступен извне». Интеграция Hermes с WhatsApp запускает мост на Node.js, который эмулирует сессию WhatsApp Web, сопрягается через QR-код и требует Node.js v18 или новее на сервере. В документации канала Telegram для OpenClaw сказано: «Long polling — транспорт по умолчанию. Режим вебхуков опционален», а канал WhatsApp работает только через QR-код и WhatsApp Web, при этом шлюз сам управляет сокетом. Исключения составляют пути, требующие публичного URL: режим вебхуков Telegram в OpenClaw (webhookUrl, webhookSecret, webhookPath), универсальный адаптер вебхуков Hermes и отдельная опция Hermes для WhatsApp Business Cloud API, которая, согласно документации, требует наличия аккаунта Meta Business и публичного URL для вебхуков. Не используйте их без необходимости.

Оба проекта по умолчанию блокируют неизвестных отправителей. Hermes проверяет их в следующем порядке: флаг разрешения всех отправителей для конкретной платформы, список одобренных для сопряжения, списки разрешенных для конкретной платформы, такие как TELEGRAM_ALLOWED_USERS, глобальный список GATEWAY_ALLOWED_USERS, глобальный флаг разрешения всех отправителей, и в конце — отказ. Неизвестный отправитель получает 8-символьный код сопряжения через личные сообщения (DM), который вы подтверждаете с помощью hermes pairing approve <platform> <code>. Параметр dmPolicy в OpenClaw по умолчанию имеет значение pairing для Telegram и WhatsApp, подтверждение выполняется через openclaw pairing approve <channel> <code>. Никогда не устанавливайте GATEWAY_ALLOW_ALL_USERS=true или dmPolicy: open для бота, который может выполнять команды оболочки.

Как изоляция OpenClaw применяется к Hermes

Изоляция, описанная в руководстве по изоляции OpenClaw, сводится к использованию отдельного непривилегированного пользователя, шлюзу (Gateway), привязанному к loopback за межсетевым экраном VPS, песочнице Docker для выполнения инструментов с параметром agents.defaults.sandbox.mode, установленным в all, и токену для всего, что не является loopback. Страница песочницы OpenClaw четко определяет границы: процесс шлюза всегда выполняется на хосте, а в песочницу выносится только выполнение инструментов. tools.elevated является «аварийным выходом», который работает вне этой песочницы.

Пользователь и межсетевой экран переносятся в Hermes без изменений. Отдельный пользователь — это та же самая преграда, и в чек-листе эксплуатации Hermes это сформулировано шестью словами: «Никогда не запускайте шлюз от имени root». С межсетевым экраном проще, так как у основного шлюза нет порта для привязки, а токену нечего защищать.

Песочница соответствует terminal.backend в ~/.hermes/config.yaml. В документации Hermes описано семь бэкендов: local, docker, ssh, singularity, modal, daytona и vercel_sandbox. При использовании docker контейнер запускается с --cap-drop ALL, затем добавляются DAC_OVERRIDE, CHOWN и FOWNER, а также устанавливаются --security-opt no-new-privileges и --pids-limit 256, с /tmp и /var/tmp на tmpfs, смонтированном в nosuid. Важно одно различие. Документация Hermes гласит, что проверки опасных команд пропускаются на бэкендах docker, singularity, modal, daytona и vercel_sandbox, «потому что сам контейнер является границей безопасности». Таким образом, в Hermes для каждого бэкенда вы получаете либо одну, либо другую преграду. На бэкенде local вы получаете шлюз подтверждения без контейнера. На docker вы получаете контейнер без шлюза подтверждения.

Документация Hermes добавляет собственную схему: «запускайте шлюз на отдельной машине или VM» (виртуальной машине) с terminal.backend: ssh. На машине со шлюзом хранятся токены чата и ключ модели, и на ней никогда не выполняются команды. На машине-воркере выполняются команды, и на ней нет ничего, что стоило бы красть. Одноразовая VM для агентов-программистов является естественным воркером в такой схеме, поскольку её проще пересобрать, чем очищать.

Память: два небольших статических файла или активное рабочее пространство

Модели памяти различаются сильнее всего остального в этом сравнении, и сравнение этих двух подходов от mem0 является наиболее понятным описанием разницы. Краткий итог: Hermes «оптимизирован для длительных сессий с кэшированием», в то время как OpenClaw «оптимизирован для мгновенной видимости».

[
  {
    "label": "Hermes MEMORY.md (hard cap)",
    "char_limit": "2,200"
  },
  {
    "label": "Hermes USER.md (hard cap)",
    "char_limit": "1,375"
  },
  {
    "label": "OpenClaw MEMORY.md (soft target)",
    "char_limit": "20,000"
  }
]

Данные Hermes взяты из его документации по памяти. Показатель OpenClaw — это мягкое ограничение, о котором сообщает mem0.

Hermes хранит два файла в ~/.hermes/memories/. MEMORY.md содержит собственные заметки агента и ограничен 2,200 символами. USER.md содержит факты о вас и ограничен 1,375 символами. В документации указано, что ограничения строгие: запись сверх лимита возвращает ошибку, а не молчаливо обрезает данные. Агент редактирует их с помощью трех глаголов: add, replace и remove, где replace и remove выполняют поиск по подстроке. Оба файла загружаются один раз при старте сессии как статический блок в системном промпте, что сохраняет стабильность префикса кэша промпта. Цена такого решения в том, что память, записанная агентом в середине сессии, сразу попадает на диск, но не появляется в промпте до начала следующей сессии. Для старых фактов session_search запускает FTS5 (полнотекстовый поиск SQLite) по всем прошлым диалогам в ~/.hermes/state.db.

OpenClaw рассматривает память как рабочее пространство. ~/.openclaw/workspace/MEMORY.md — основной файл с мягким ограничением около 20,000 символов, плюс ежедневные заметки в memory/YYYY-MM-DD.md, куда автоматически загружаются файлы за сегодня и вчера. Инструмент memory_search выполняет гибридный поиск — векторное сходство плюс поиск по ключевым словам — по всему объему данных. mem0 отмечает, что память повторно внедряется на каждом шаге, поэтому запись становится доступна уже на следующем этапе диалога.

Что лучше — зависит от задачи. Агенту Hermes, выполняющему одну и ту же cron-задачу каждую ночь, нужен стабильный промпт и небольшой набор фактов, которым он может доверять. Ассистенту OpenClaw, обрабатывающему сотню коротких чатов в день, нужно помнить, что вы сказали час назад, без перезапуска. Hermes включает Mem0 в список своих плагинов для внешних провайдеров памяти, которые добавляются через hermes plugins install mem0 и настраиваются через hermes memory setup, а mem0 выпускает плагин @mem0/openclaw-mem0 для OpenClaw. Самостоятельный хостинг сервера памяти Mem0 предоставляет обоим агентам единое серверное извлечение фактов и снимает ограничения по размеру из контекста диалога. Любой файл, в который пишет агент, становится входными данными, которым он доверяет в будущем, поэтому как происходит отравление памяти агента применимо к обоим проектам, а также к навыкам, описанным в следующем разделе.

Навыки: собственные процедуры или публичный реестр

Hermes создает собственные навыки. Навык представляет собой каталог в ~/.hermes/skills/, содержащий файл SKILL.md и необязательные папки scripts/, references/, templates/ и examples/ в формате agentskills.io. Агент оснащен инструментом skill_manage, а его системный промпт определяет триггеры для создания навыка: выполнение многошагового процесса, который стоит автоматизировать, обнаружение обходного пути после ошибки или принятие исправления от пользователя. В документации цель описывается как «уроки, а не логи». Если вы не хотите, чтобы агент редактировал свои инструкции без проверки, установите skills.write_approval: true; в этом случае новые навыки будут помещаться в ~/.hermes/pending/skills/ до вашего одобрения. Hermes также может устанавливать сторонние навыки с помощью hermes skills install <identifier>: из репозиториев GitHub, таких как anthropics/skills, из skills.sh, по прямой ссылке на SKILL.md или из самого ClawHub. Согласно документации, каждый навык из хаба проверяется на предмет утечки данных, инъекций промптов и деструктивных команд. Если сообщество признает навык безопасным, проверку можно пропустить с помощью --force; однако «опасный вердикт сканирования» блокирует установку даже при использовании --force.

OpenClaw загружает навыки и плагины из ClawHub, своего публичного реестра. openclaw skills search "calendar" используется для поиска, openclaw skills install @openclaw/demo — для установки, openclaw skills update --all — для обновления, а плагины кода проходят через openclaw plugins install clawhub:<package>. Навыки загружаются из иерархии каталогов: <workspace>/skills имеет приоритет над <workspace>/.agents/skills и ~/.agents/skills, затем следуют управляемые <state-dir>/skills, затем изученные навыки из мастерской агента и, наконец, комплектные навыки. В файле SKILL.md навыка можно объявить metadata.openclaw.requires.bins и requires.env; OpenClaw отфильтровывает навык при загрузке, если бинарный файл или переменная отсутствуют, что предотвращает частичную работоспособность. Агент также пишет собственные навыки. Мастерская навыков хранит эти изученные навыки, и, согласно документации, «каждое изменение применяется немедленно, предварительно сохраняя предыдущую версию, и может быть отменено». При настройке по умолчанию skills.workshop.autonomous.mode: auto фоновая проверка создает и исправляет их автоматически; отменить изменение можно ответом «undo» в чате, через Control UI или с помощью openclaw skills workshop restore <name>. Установка режима off отключает фоновую проверку, хотя агент по-прежнему создает навыки по вашему запросу.

Модели проверки различаются местом выполнения анализа. В документации ClawHub указано, что сервис «выполняет автоматические проверки опубликованных навыков и релизов плагинов», что релизы, задержанные или заблокированные сканером, могут исчезнуть из публичного каталога, что авторизованные пользователи могут пожаловаться на пакет, а модераторы — скрыть его, и что для публикации требуется учетная запись GitHub, соответствующая требованиям по возрасту. Это проверка на стороне реестра. Hermes выполняет сканирование во время установки на вашем сервере, а механизм одобрения записи контролирует навыки, созданные самим агентом. Изученные навыки OpenClaw не требуют одобрения; проверкой здесь служит история отмен. Страница навыков OpenClaw завершается строкой, важной для обоих инструментов: «Относитесь к сторонним навыкам как к недоверенному коду. Читайте их перед включением».

Модели, параметры аутентификации и вопрос о подписке Claude

Оба проекта работают через API-ключ или локальную модель и используют OpenRouter для маршрутизации. Различия заключаются в способах оформления подписки — именно это чаще всего интересует пользователей.

API-ключи. Hermes считывает ANTHROPIC_API_KEY, OPENROUTER_API_KEY, OPENAI_API_KEY и длинный список других ключей из ~/.hermes/.env. hermes model позволяет интерактивно выбрать провайдера и модель, а hermes config get model.default отображает текущий выбор. Nous Portal является самостоятельным провайдером: hermes setup --portal — это единый OAuth-вход, предоставляющий доступ к провайдеру моделей и шлюзу размещенных инструментов. OpenClaw принимает ANTHROPIC_API_KEY через openclaw onboard --anthropic-api-key "$ANTHROPIC_API_KEY", а openclaw models list --provider anthropic показывает доступные ресурсы. В документации указано, что при стандартной настройке API и Claude CLI по умолчанию используется Opus 5.5 (anthropic/claude-opus-5-5), а также перечислены anthropic/claude-sonnet-5-5 и anthropic/claude-fable-5-1, которые можно выбрать явно.

Локальные модели через Ollama. Проекты по-разному взаимодействуют с Ollama, и их смешивание приводит к ошибкам. Hermes использует эндпоинт, совместимый с OpenAI: в config.yaml необходимо задать model.provider: custom и model.base_url: http://localhost:11434/v1 или выбрать "Custom endpoint" в hermes model. В документации также указано, что Hermes «требует не менее 64,000 токенов контекста для работы агента с инструментами», а значение по умолчанию в Ollama значительно ниже, поэтому запускайте его с помощью OLLAMA_CONTEXT_LENGTH=64000 ollama serve. OpenClaw работает иначе. На странице, посвященной Ollama, сказано: «Не используйте URL /v1, совместимый с OpenAI (http://host:11434/v1). Это нарушает вызов инструментов, и модели могут выводить необработанный JSON вызова инструмента как обычный текст». OpenClaw по умолчанию взаимодействует с собственным API Ollama /api/chat, при этом базовый URL указывается без пути, как в http://host:11434, а модели именуются ollama/<model>. Если не указывать базовый URL, будет использован локальный хост по умолчанию. Один и тот же демон, противоположные URL.

Подписка Claude. Ниже приведено точное содержание документации каждого проекта по состоянию на октябрь 2026 года.

Hermes: доступен OAuth-вход через hermes model (выберите Anthropic OAuth) или hermes auth add anthropic --type oauth, после чего Hermes выполняет маршрутизацию «как Claude Code от имени вашей учетной записи Anthropic». В документации добавлено: «Это работает только при наличии плана Claude Max и приобретенных дополнительных кредитов на использование». Базовый лимит Max не расходуется; оплата использования списывается с дополнительных кредитов. План Claude Pro не поддерживает этот путь, и документация рекомендует подписчикам Pro использовать ANTHROPIC_API_KEY по стандартным тарифам API.

OpenClaw: документация описывает повторное использование «существующей учетной записи Claude Code через установленный исполняемый файл на том же хосте». Установите Claude CLI на VPS, выполните claude auth login, затем выберите "Claude CLI" в openclaw onboard. Второй способ использует токен настройки: выполните claude setup-token, затем openclaw models auth login --provider anthropic --method setup-token. Два предложения из той же страницы определяют ограничения: «Claude Code владеет своей существующей учетной записью и подпиской; OpenClaw не сохраняет и не обновляет эту учетную запись», а использование подписки через Agent SDK, claude -p и сторонние приложения «по-прежнему расходует лимиты использования, связанные с авторизованной подпиской».

Проекты по-разному описывают тарификацию, и ни одна из страниц не является официальным ресурсом Anthropic. Прежде чем настраивать ночные рабочие нагрузки на учетную запись с подпиской, ознакомьтесь с текущими условиями Anthropic для стороннего использования планов Claude. Оба проекта описывают путь, и оба проходят через идентификацию Claude Code, а не через обычный вход в claude.ai. Hermes ограничивает использование планом Max с дополнительными кредитами; OpenClaw привязывает использование к тому же хосту, где выполнен вход в Claude CLI.

Другие подписки. Hermes также документирует использование OpenAI Codex через OAuth с кодом устройства для плана ChatGPT и GitHub Copilot через его поток устройства, хотя на странице Codex указано, что уровни планов, имеющие право на использование, «в настоящее время не задокументированы». OpenClaw включает Codex в список сменных модулей. Если вы уже оплачиваете одну из этих подписок, это веская причина выбрать проект, который ее поддерживает.

Позиция безопасности в описании каждого проекта

Hermes ограничивает выполнение команд. approvals.mode в config.yaml по умолчанию имеет значение smart: вспомогательная модель оценивает каждую команду. Команды с низким уровнем риска выполняются, а явно опасные — отклоняются. В сомнительных случаях система запрашивает подтверждение. manual всегда запрашивает подтверждение при обнаружении опасного соответствия, а off отключает проверку. Сканер отслеживает рекурсивное удаление, chmod 777 и связанные с ним команды, mkfs, dd if=, перенаправление вывода в /etc/, systemctl stop, restart, disable или mask, DROP TABLE, curl ... | sh, а также «fork-бомбы». В чате шлюз публикует команду и ожидает yes, y, approve, ok или go, при этом no, n, deny или cancel используются для отказа. По умолчанию установлен тайм-аут 300 секунд, после чего команда отклоняется. Флаг --yolo (или /yolo в сессии, или HERMES_YOLO_MODE=1) позволяет пропустить запросы подтверждения, но жесткий список блокировки остается активным даже в этом случае: rm -rf / и его очевидные варианты, «fork-бомбы», mkfs на смонтированном корневом разделе, dd из /dev/zero на диск и передача недоверенных URL в sh. Напоминаем из раздела об изоляции, что этот механизм проверки отключен на бэкендах контейнеров.

OpenClaw устанавливает границы. На странице безопасности указано, что шлюз — это «одна доверенная граница на шлюз», а не «враждебная многопользовательская граница безопасности для взаимно недоверяющих пользователей». Поэтому два человека, не доверяющие друг другу, должны использовать два шлюза с двумя наборами учетных данных. Политики разрешения и запрета инструментов проверяются до правил «песочницы», поэтому инструмент, запрещенный глобально, остается запрещенным и внутри «песочницы». Профили доступа для агентов и режим «только чтение» ограничивают область действий агента. openclaw security audit сравнивает текущую конфигурацию с безопасными значениями по умолчанию. Сторона навыков включает проверку ClawHub, описанную выше, историю отмены действий в Skill Workshop и рекомендацию изучать сторонние навыки перед их включением.

Ни один из проектов не заявляет о большем. Hermes не утверждает, что его сканер обнаруживает всё, и документация рекомендует переходить на контейнер или вторую машину, когда ставки высоки. OpenClaw не утверждает, что «песочница» изолирует сам шлюз, о чем прямо сказано на странице «песочницы». Оба проекта предоставляют честную документацию, что является хорошим признаком для программного обеспечения, которое вы планируете оставлять работающим без присмотра.

Матрица принятия решений

Повторяющиеся рабочие процессы: Hermes. Это Cron-задачи с памятью. Агент приобретает навык после третьего выполнения одной и той же задачи, при этом память нельзя переполнить. Вы выбираете терминальный бэкенд в зависимости от уровня риска. Если неделя агента состоит преимущественно из задач и лишь изредка из общения, это подходящий вариант.

Охват сообщений: OpenClaw. Более двадцати каналов за одним шлюзом, автоматическое сопряжение личных сообщений в Telegram и WhatsApp, интерфейс управления на том же порту и реестр готовых навыков и плагинов. Если неделя агента состоит преимущественно из общения в различных приложениях и лишь изредка из задач, это подходящий вариант.

Один сервер: любой вариант с подходящей изоляцией. OpenClaw на одном VPS с выделенным пользователем, gateway.bind: loopback, токеном и sandbox.mode: all. Hermes на одном VPS с terminal.backend: docker, учитывая, что шлюз подтверждения отключен внутри контейнера, либо с terminal.backend: local и approvals.mode: manual, учитывая, что ошибочное подтверждение будет выполнено на хосте.

Два сервера: Hermes, согласно его документации. Шлюз на одном VPS, terminal.backend: ssh до рабочего VPS, токены чата и ключи моделей на первом, отсутствие ценных данных на втором. OpenClaw может находиться за reverse proxy с trusted-proxy аутентификацией, но шлюз всё равно выполняется на собственном хосте, если только каждый агент не изолирован в песочнице.

Только локальные модели: дважды проверьте URL. Hermes требует /v1 и 64k контекста. OpenClaw отклоняет /v1 и требует нативный API.

Уже оплачен Claude Max с дополнительными кредитами: Hermes описывает этот путь в узких рамках. Уже запущен Claude Code на том же хосте: OpenClaw описывает возможность его повторного использования. Оплата Claude Pro: используйте API-ключ в любом из вариантов.

Не определились между этими двумя и остальными решениями: обзор self-hosted агентов сравнивает их с Agent Zero, OpenHands и другими по тем же критериям.

FAQ

Может ли Hermes Agent использовать подписку Claude Max?

Документация Hermes подтверждает это, но с ограничениями. Войдите через hermes model (Anthropic OAuth) или hermes auth add anthropic --type oauth, и Hermes будет направлять запросы как Claude Code через вашу учетную запись. В документации указано, что это «работает только при наличии плана Claude Max и приобретенных дополнительных кредитов на использование». Расход списывается с этих дополнительных кредитов, а не из базового лимита. Подписчики Claude Pro должны использовать ANTHROPIC_API_KEY. По состоянию на октябрь 2026 года ознакомьтесь с условиями Anthropic, прежде чем использовать агент для автономной работы.

Нужно ли открывать порт на VPS для OpenClaw?

Для обычного использования — нет. Gateway прослушивает TCP 18789, но gateway.bind по умолчанию использует loopback, поэтому отвечает только на 127.0.0.1. Доступ к Control UI осуществляется через http://127.0.0.1:18789 по SSH-туннелю. Telegram использует long polling, а WhatsApp работает через сессию WhatsApp Web, которую Gateway открывает самостоятельно. Ни один канал не требует входящего порта, если вы не выберете опциональный режим webhook для Telegram. Если вы привязываете сервис к lan или tailnet, документация требует настройки аутентификации: общего токена, пароля или использования identity-aware proxy перед сервисом.

Что безопаснее оставлять запущенным без присмотра?

Ни один из них не является безопасным на бэкенде local при отключенном подтверждении действий. Hermes безопаснее всего разделить на два узла: gateway на одной VPS и terminal.backend: ssh на другой (рабочей) VPS, что и рекомендует документация «для максимальной безопасности». OpenClaw безопаснее всего запускать от имени выделенного непривилегированного пользователя, gateway.bind: loopback, с использованием токена и agents.defaults.sandbox.mode: all. В обоих случаях рассматривайте файлы памяти и директорию навыков агента как входные данные, в которые злоумышленник может записать информацию через сообщение в чате.

Можно ли запустить Hermes Agent и OpenClaw на одной VPS?

Да. Они не используют общие порты или директории. Hermes хранит все данные в ~/.hermes/, его основной gateway не открывает портов для прослушивания, а опциональный мост WhatsApp использует порт 3000. OpenClaw хранит данные в ~/.openclaw/ и слушает 127.0.0.1:18789. Создайте для каждого отдельного пользователя Linux, чтобы скомпрометированный агент не мог прочитать токены чатов другого. Не используйте один и тот же токен бота Telegram для обоих агентов, так как Telegram разрешает только одного клиента long polling на бота и отвечает второму ошибкой 409 Conflict: terminated by other getUpdates request.

Как зафиксировать версию каждого проекта?

Для npm-пути OpenClaw можно указать точную версию: npm install -g openclaw@2026.9.4 --allow-scripts=openclaw, а npm view openclaw versions показывает список опубликованных версий. Установщик Hermes принимает --commit SHA, поэтому получите хеш коммита для v2026.9.7 с помощью git ls-remote --tags https://github.com/NousResearch/hermes-agent v2026.9.7 и передайте его как bash -s -- --commit <sha>. Оба проекта выпускают обновления несколько раз в месяц. Hermes теперь помечает релизы номерами версий, а не датами, поэтому фиксируйте тег, на котором вы проводили тестирование.