Як безпечно запустити Agent Zero на VPS

Що таке Agent Zero і де полягає небезпека

Agent Zero — це open-source агентський framework, орієнтований на Docker. Головний агент може створювати підлеглих агентів. Кожен із них працює у власному ізольованому Docker container і може виконувати код, керувати браузером та запускати shell-команди. Усією системою можна керувати через Web UI. Це функціональний і справді зручний інструмент, який працює навіть на VPS вартістю шість доларів. Якщо вам потрібна саме multi-agent схема, а не цей framework, дві сесії Claude Code на одному сервері можуть обмінюватися повідомленнями безпосередньо. Це значно менша система, яку простіше запускати та захищати.

Небезпека полягає у Web UI. Це панель керування системою, яка запускає команди та записує файли. Тому відкритий Web UI без автентифікації фактично надає віддалений доступ до цієї системи. Ось пастка, у яку вас заводить більшість інструкцій із налаштування: стандартний docker run публікує інтерфейс на порту 50001 на всіх мережевих інтерфейсах. На публічному VPS це означає, що інтерфейс стає доступним з усього інтернету одразу після запуску container. Виправте це насамперед, а не в останню чергу.

Що потрібно

Вам потрібен VPS із встановленим Docker, API key для мовної моделі або локальна модель, до якої можна підключитися, а також на початку кілька гігабайтів RAM. Agent Zero працює всюди, де працює Docker: від невеликого VPS до GPU-сервера. Якщо ви раніше не працювали з Docker, ознайомтеся з посібником з основ Docker, де описано припущення щодо команд нижче.

Встановлення за допомогою Docker із прив’язкою до loopback

Задокументований quick start — це одна команда docker run. Важлива відмінність від версії для копіювання й вставлення, яку можна знайти в інших джерелах, — адреса, на якій ви публікуєте сервіс. Не публікуйте його на всіх інтерфейсах через порт 50001. Використовуйте loopback:

docker run -d --name agent-zero \
  -p 127.0.0.1:5080:80 \
  -v a0_usr:/a0/usr \
  agent0ai/agent-zero

-p 127.0.0.1:5080:80 прив’язує Web UI лише до loopback-адреси сервера, тому він недоступний з інтернету. Підключайтеся до нього зі свого комп’ютера через SSH-тунель:

ssh -L 5080:127.0.0.1:5080 you@your-vps

Потім відкрийте http://127.0.0.1:5080 локально та налаштуйте провайдера моделі у Web UI. Для постійного використання кількома користувачами розмістіть його за VPN або reverse proxy з автентифікацією. Не публікуйте необроблений Web UI у відкритому інтернеті. Цей підхід варто застосовувати до кожного іншого інструмента на сервері, інтерфейс якого керує чутливими функціями. Саме так слід підключатися і до self-hosted сканера open-kritt — через тунель до його Web UI, а не через опублікований порт.

Де закінчуються інші посібники і чому не варто зупинятися

Пошук інструкцій зі встановлення Agent Zero приведе вас до багатьох посібників, зокрема від хостинг-провайдерів. Зазвичай вони допомагають запустити Web UI на порту 50001 і на цьому завершуються. Саме тут починається ризик, а не закінчується. Для повного захисту потрібні дві дії. По-перше, залиште Web UI приватним, як описано вище. По-друге, налаштуйте перед сервером firewall із політикою заборони за замовчуванням. Тоді випадково запущений контейнер або помилка в майбутньому не відкриють порт, про який ви забули:

sudo ufw default deny incoming
sudo ufw allow 22/tcp
sudo ufw enable

Ознайомтеся з основами firewall, щоб отримати повну картину. Також врахуйте проблему IPv6, оскільки сервіс на :: доступний через IPv6, навіть якщо правила для IPv4 здаються надійними.

Ізоляція контейнерів захищає агентів, а не ваш сервер

Архітектура Agent Zero справді добре забезпечує один вид ізоляції: підлеглі агенти працюють в окремих контейнерах, тому вони ізольовані один від одного. Це важливо. Але легко сприйняти це як «застосунок працює в sandbox, отже я в безпеці» і на цьому зупинитися. Ізоляція контейнерів захищає агентів один від одного. Вона не захищає ваш сервер від інтернету й не завадить відкритому Web UI передати керування сторонній особі. За це відповідаєте ви, налаштовуючи host. Заздалегідь визначте, що саме агент може робити без нагляду. Це той самий принцип, що й у режимах дозволів Claude Code: для сервера без нагляду потрібні суворіші обмеження, ніж для ноутбука перед вами.

Секрети, користувачі та хост

Зберігайте API key моделі та всі інші облікові дані в конфігурації Agent Zero або у файлі середовища, який може читати лише потрібний обліковий запис. Не зберігайте їх в історії shell і не додавайте до жодного репозиторію. Такий самий підхід застосовується до всього іншого на хості, що захищає секрети. Зокрема, посилення захисту Vaultwarden зводиться до захисту його admin token і backup-файлу, а не до шифрування, яке застосунок уже добре виконує. Адмініструйте хост від непривілейованого користувача, а не від root, відповідно до принципу мінімальних привілеїв користувачів, і перемкніть SSH на автентифікацію лише за ключами, як описано в матеріалі про посилення захисту SSH. Потім пройдіть наведений нижче контрольний список, щоб нічого не пропустити.

Якщо ви порівнюєте агентів, саме таку модель безпеки використовують посібник із посилення захисту OpenClaw і посібник з OpenHands: тримайте площину керування приватною, запускайте процеси від непривілейованого користувача, за замовчуванням використовуйте firewall і вважайте хост таким, що запускає код, якого ви не писали. Порівняння всіх п’яти агентів наведено в матеріалі про найкращих self-hosted AI-агентів у 2026 році.

Основні поняття для всіх цих рішень описано в матеріалі як створити власного AI-агента на VPS, а Dify — ще одна self-hostable платформа, яку варто розглянути.

FAQ

Чи безпечно розгортати Agent Zero на власній інфраструктурі?

Так, якщо Web UI залишається приватним, а хост належно захищено. Agent Zero виконує код, працює з браузером і shell та керується через Web UI, який за замовчуванням публікується на порту 50001. Тому небезпеку становить відкритий інтерфейс, а не сам фреймворк. Прив’яжіть Web UI до loopback і підключайтеся до нього через SSH або VPN, налаштуйте перед ним firewall із політикою default-deny і запускайте його від непривілейованого користувача.

Чи відкриває Agent Zero Web UI в інтернет за замовчуванням?

Стандартний docker run публікує інтерфейс на порту 50001 на всіх мережевих інтерфейсах. На публічному VPS це означає, що після запуску контейнера інтерфейс доступний з інтернету. Змініть опубліковану адресу на 127.0.0.1, щоб Web UI прослуховував лише loopback, а потім підключайтеся до нього через SSH-тунель або VPN.

Чи може Agent Zero працювати на невеликому VPS?

Так. Agent Zero працює всюди, де працює Docker, зокрема на невеликому недорогому VPS. Однак складніші завдання та більші локальні моделі потребують більше пам’яті. Якщо ви підключаєте self-hosted модель замість hosted API, обирайте конфігурацію сервера з урахуванням вимог моделі, а не лише Agent Zero.

Чим Agent Zero відрізняється від OpenClaw або Hermes?

Вони мають спільні риси, але призначені для різних сценаріїв. Agent Zero — це Docker-first фреймворк, побудований навколо основного агента, який запускає підлеглих агентів в ізольованих контейнерах і керується через Web UI. OpenClaw і Hermes — це персональні асистенти, доступні через chat apps. Підхід до безпеки для всіх цих систем однаковий: тримайте інтерфейс керування приватним і належно захищайте хост.