Как безопасно развернуть Agent Zero на VPS

Что такое Agent Zero и в чем заключается опасность

Agent Zero — это open-source фреймворк для создания агентов, ориентированный на Docker. Основной агент может создавать подчиненных агентов, каждый из которых запускается в своем изолированном Docker-контейнере. Каждый агент может выполнять код, управлять браузером и запускать команды shell. Вы управляете всей системой через Web UI. Фреймворк функционален и удобен в использовании; он работает даже на оборудовании уровня VPS за шесть долларов.

Опасность представляет Web UI. Это панель управления системой, которая выполняет команды и записывает файлы. Открытый Web UI без аутентификации предоставляет удаленный доступ к этим операциям. Большинство руководств по настройке ведут вас в ловушку: стандартный docker run публикует интерфейс на порту 50001 на всех сетевых интерфейсах. На публичном VPS это означает, что интерфейс доступен из всего интернета сразу после запуска контейнера. Исправление этой настройки — это первое, что вам следует сделать, а не последнее.

Что вам потребуется

Вам понадобится VPS с установленным Docker, API-ключ для языковой модели (или локальная модель) и несколько гигабайт оперативной памяти для начала работы. Agent Zero работает везде, где работает Docker: от небольшого VPS до GPU-сервера. Если вы новичок в Docker, руководство по основам Docker объясняет команды, которые используются ниже.

Установка через Docker с привязкой к loopback

Документальный быстрый старт — это одна команда docker run. Важное отличие от версий «скопировать-вставить», которые вы встретите в других местах, заключается в адресе публикации. Не публикуйте интерфейс на всех интерфейсах на порту 50001. Публикуйте его на loopback:

docker run -d --name agent-zero \
  -p 127.0.0.1:5080:80 \
  -v a0_usr:/a0/usr \
  agent0ai/agent-zero

-p 127.0.0.1:5080:80 привязывает Web UI только к loopback-адресу сервера, поэтому он будет недоступен из интернета. Подключайтесь к нему со своей машины через SSH-туннель:

ssh -L 5080:127.0.0.1:5080 you@your-vps

Затем откройте http://127.0.0.1:5080 локально и настройте провайдера модели в интерфейсе. Для постоянной многопользовательской настройки используйте VPN или аутентифицирующий обратный прокси, но никогда не публикуйте интерфейс напрямую в открытый интернет.

Где заканчиваются другие руководства и почему вам не стоит им следовать

Поиск способов установки Agent Zero выдаст множество руководств, включая инструкции от хостинг-провайдеров. Они доводят вас до работающего Web UI на порту 50001 и на этом заканчиваются. Именно здесь начинается риск, а не заканчивается. Для завершения настройки нужно сделать две вещи. Во-первых, держите интерфейс закрытым, как описано выше. Во-вторых, установите перед сервером межсетевой экран с политикой «запрещено по умолчанию» (default-deny), чтобы случайный контейнер или будущая ошибка не открыли забытый вами порт:

sudo ufw default deny incoming
sudo ufw allow 22/tcp
sudo ufw enable

Для полного понимания изучите основы настройки межсетевого экрана. Учитывайте пробел IPv6, так как сервис на :: доступен через IPv6, даже если ваши правила IPv4 настроены строго.

Изоляция контейнеров защищает агентов, а не ваш сервер

Архитектура Agent Zero эффективна в одном аспекте изоляции: подчиненные агенты работают в отдельных контейнерах, что изолирует их друг от друга. Это полезная функция. Однако легко ошибочно интерпретировать это как «система в песочнице, поэтому я в безопасности» и остановиться на этом. Изоляция контейнеров защищает агентов друг от друга. Она никак не защищает ваш сервер от интернета и не мешает открытому Web UI передать контроль постороннему лицу. Защита сервера — это ваша задача на хостовой машине.

Секреты, пользователи и хост

Храните API-ключ модели и любые другие учетные данные в конфигурации Agent Zero или в файле окружения, доступном только соответствующей учетной записи. Не сохраняйте их в истории shell и в репозиториях. Управляйте сервером от имени непривилегированного пользователя, а не root, согласно принципу минимизации привилегий, и переведите SSH на аутентификацию только по ключам, как описано в укреплении безопасности SSH. Затем выполните следующий чек-лист, чтобы ничего не упустить.

Если вы сравниваете агентов, то здесь применяется тот же подход к безопасности, что и в руководстве по защите OpenClaw и руководстве по OpenHands: держите панель управления закрытой, запускайте процессы от непривилегированного пользователя, используйте межсетевой экран по умолчанию и относитесь к хосту как к системе, запускающей сторонний код. Для сравнения всех пяти агентов см. лучшие self-hosted AI агенты 2026 года.

Базовые концепции описаны в статье создание собственного AI агента на VPS, а Dify — еще одна платформа для self-hosting, которую стоит сравнить.

FAQ

Безопасно ли использовать Agent Zero в self-hosted режиме?

Да, если вы держите Web UI закрытым и защищаете хост. Agent Zero выполняет код, запускает браузер и shell, а управление происходит через Web UI, который по умолчанию опубликован на порту 50001. Опасность представляет открытый интерфейс, а не сам фреймворк. Привяжите интерфейс к loopback, подключайтесь через SSH или VPN, установите межсетевой экран с политикой «запрещено по умолчанию» и запускайте систему от имени непривилегированного пользователя.

Открывает ли Agent Zero Web UI в интернет по умолчанию?

Стандартный docker run публикует интерфейс на порту 50001 на всех сетевых интерфейсах. На публичном VPS это означает доступность из интернета сразу после запуска контейнера. Измените адрес публикации на 127.0.0.1, чтобы интерфейс слушал только loopback, и подключайтесь через SSH-туннель или VPN.

Может ли Agent Zero работать на слабом VPS?

Да. Agent Zero работает везде, где работает Docker, включая небольшие и дешевые VPS. Однако для тяжелых задач и крупных локальных моделей требуется больше памяти. Если вы используете локальную модель вместо облачного API, выбирайте сервер исходя из требований модели, а не только Agent Zero.

Чем Agent Zero отличается от OpenClaw или Hermes?

У них есть общие черты, но разные цели. Agent Zero — это фреймворк, ориентированный на Docker, построенный вокруг основного агента, который создает подчиненных агентов в изолированных контейнерах и управляется через Web UI. OpenClaw и Hermes — это персональные ассистенты, доступ к которым осуществляется через чат-приложения. Подход к безопасности у всех них одинаков: держите панель управления закрытой и защищайте хост.