Личный ИИ-агент OpenClaw: установка, реальная себестоимость и где он ломается

Коротко (TL;DR)

OpenClaw (ранее — Clawdbot и Moltbot) — это открытый self-hosted ИИ-агент, который вы запускаете на своём компьютере или сервере и подключаете к своим мессенджерам. Пишете ему в Telegram или WhatsApp как живому ассистенту — а он читает и пишет файлы, выполняет команды в терминале, ходит в браузер, помнит прошлые разговоры и умеет действовать сам по расписанию. Модель (Claude, GPT или локальную) вы приносите свою — по принципу «bring your own key».

Что важно понять до установки:

• Это конструктор, а не готовый продукт. «Агентность» под капотом устроена просто: постоянный процесс-шлюз (Gateway) плюс большая языковая модель плюс заметки в текстовых файлах плюс планировщик. Это даёт ощущение «живого помощника» при довольно механической начинке.
• Платите не за программу, а за токены. Сам OpenClaw бесплатный и открытый. Реальные деньги уходят на API-вызовы модели, и главный их пожиратель — не ваши сообщения, а фоновые самопроверки агента. Порядок цены: от 5–15 $/мес при лёгком использовании до 100–600 $/мес и выше при работе 24/7 (оценки сообщества на 2 июля 2026 года).
• По умолчанию агент получает полный доступ к вашей машине без переспросов. Это удобно и опасно одновременно. За полгода вокруг OpenClaw накопились реальные CVE, исследование Cisco о вредоносных «скиллах» и публичный случай, где агент слил пароли под простой социальной инженерией.

Установка занимает 10–20 минут, но осознанная настройка доступов и бюджета — гораздо дольше. Ниже — полный обзор и разбор: что это на самом деле, для чего используют, как поставить и запустить, сколько это стоит и где ломается. Все числа приведены по состоянию на начало июля 2026 года; цены и правила доступа к моделям меняются буквально ежемесячно — по ним ориентируйтесь на дату чтения, это устареет первым.

Что такое OpenClaw на самом деле

OpenClaw — это шлюз между мессенджером и языковой моделью, обвешанный памятью, инструментами и планировщиком. Разберём начинку по частям, без маркетинга.

Bybit · Rewards Hubдо $30,100Внеси депозит, торгуй 14 дней — и забери награды в Rewards HubЗабрать бонус →

Gateway (шлюз). Постоянно работающий процесс на вашем хосте. Он слушает один сетевой порт (по умолчанию 18789), принимает сообщения из подключённых каналов, собирает контекст, отправляет запрос в модель и выполняет то, что модель «решила» сделать, — через инструменты.

Microsoft создаёт Frontier Company: 6000 инженеров ИИ внутри компаний-клиентов

США выдали 19-летнего участника Scattered Spider из-за крипто-выкупа в $8 млн

Z.ai запустила ZCode: бесплатная агентная IDE против Cursor и Claude Code

Claude Science: не «ИИ-учёный», а конец возни с интеграциями

Anthropic возвращает Fable 5 и Mythos 5 после снятия ограничений США

Модель. Собственно «мозг». OpenClaw сам по себе не думает — он передаёт диалог в Claude, GPT, DeepSeek или локальную модель и получает ответ. Ключ к модели вы подключаете свой.

Память в файлах. То, что подаётся как «агент помнит вас неделями», — это текстовые файлы в рабочей папке (workspace). Ключевые из них — AGENTS.md (инструкции и правила поведения) и файл-«характер» вроде SOUL.md. Агент читает их в начале хода и дописывает туда факты. Никакой магии сознания: это заметки, которые модель перечитывает.

Планировщик (heartbeat). Периодические фоновые «сердцебиения»: даже когда вы молчите, Gateway с заданным интервалом будит агента, чтобы тот «проверил, не нужно ли что-то сделать». По официальной документации (снимок на 2 июля 2026 года) интервал по умолчанию — 30 минут. Именно этот механизм превращает пассивного чат-бота в проактивного ассистента — и, как увидим ниже, съедает основную часть бюджета.

Инструменты и скиллы (skills). Модель не может сама нажимать кнопки — за неё это делают инструменты: выполнение shell-команд, работа с файлами, браузер, отправка сообщений. «Скиллы» — это оформленные пакеты инструкций и кода, которые расширяют агента (условно «интеграция с Spotify» или «постинг в Twitter»). Их можно ставить из общего каталога — и здесь же зарыта главная угроза безопасности, к которой вернёмся.

Почему у продукта пять имён

Отдельное практическое предупреждение. Проект сменил имя четыре раза за два месяца — у него было пять названий: Warelay (24 ноября 2025) → CLAWDIS (3 декабря 2025) → Clawdbot (2 января 2026) → Moltbot (27 января 2026, после юридической претензии Anthropic на созвучие с Claude) → OpenClaw (30 января 2026). Автор — австриец Peter Steinberger, в прошлом основатель PSPDFKit.

Для читателя это значит одно: старые гайды, скриншоты и пути в конфигах называют продукт иначе. Если натыкаетесь на инструкцию с ~/.clawdbot/ или на «Moltbot» — это тот же OpenClaw, просто до переименования. А 14 февраля 2026 года Steinberger объявил о переходе в OpenAI (по данным Wikipedia и TechCrunch), и проект передали некоммерческому OpenClaw Foundation — он остаётся открытым.

Bybit TradFiКрипта лежит — рынки растутТоргуй акциями и индексами на Bybit. Новым — награды до 5 030 USDT.Начать на TradFi →

Насколько это «вирусно»

На 2 июля 2026 года у репозитория openclaw/openclaw на GitHub около 381 400 звёзд и почти 80 000 форков (прямой снимок GitHub). Для сравнения: 2 марта 2026 года их было 247 000 (данные Wikipedia). Метрика волатильная — за четыре месяца плюс треть, — поэтому конкретное число всегда смотрите с датой. Важно другое: это один из самых обсуждаемых open-source-проектов в ИИ, а значит вокруг него много и полезного, и мусорного контента.

Для чего OpenClaw используют на самом деле

Лендинг обещает «личного ассистента, который делает всё». На практике живые сценарии из документации, Reddit (за последние 30 дней в тематических сабреддитах — десятки тредов с тысячами голосов) и рассказов пользователей делятся на несколько групп.

• Личный секретарь в мессенджере. Разобрать почту и вытащить важное, собрать дайджест новостей по расписанию, напомнить о задачах, ответить на типовые письма черновиком — по сути роль постоянного ИИ-коллеги в рабочем чате, как в сценарии Claude Tag. Работает потому, что это текст-в-текст, где ошибка не критична.
• Автоматизация рутины на своей машине. Переименовать и разложить файлы, сделать бэкап, собрать отчёт из нескольких источников, запустить скрипт по крону. Здесь агент — удобная обёртка над shell.
• «Ресёрч по запросу». Сходить в браузер, собрать данные с нескольких страниц, свести в таблицу. Ограничение — надёжность многошаговых цепочек (об этом ниже).
• Умный дом и хобби-интеграции. Управление плейлистами, лампами, заметками. Эффектно в демо, но это тонкий слой поверх чужих API.
• Программирование как ассистент. Здесь OpenClaw пересекается с кодинг-агентами: он может редактировать файлы проекта и гонять тесты, если подключить подходящую модель — например, из семейства Claude Sonnet 5.

Общий знаменатель успешных кейсов — короткие цепочки с обратимыми действиями. Как только задача уходит в «сделай сам всё, что нужно, без моего участия», начинаются проблемы — и с надёжностью, и с деньгами, и с безопасностью.

Установка и первый запуск

Ниже — базовый путь на 2 июля 2026 года. Точные команды и системные требования всегда сверяйте с официальной документацией docs.openclaw.ai — проект обновляется часто.

Что нужно заранее:

• Node.js 24 (рекомендуется) или 22.19+. Инсталлятор умеет поставить нужную версию сам.
• ОС: macOS, Linux или Windows (есть нативный Windows Hub с PowerShell-инсталлятором; как вариант — WSL2).
• Один свободный порт для Gateway — по умолчанию 18789.
• API-ключ модели (Claude, OpenAI и т. д.) или локальная модель через Ollama/аналог.

Шаги:

1. Установите OpenClaw. На macOS/Linux это одна команда установочного скрипта (curl -fsSL https://openclaw.ai/install.sh | bash); на Windows — PowerShell-инсталлятор или установка через npm. Здесь же первое правило безопасности: скачивайте только с официального openclaw.ai или из репозитория github.com/openclaw/openclaw. Клоны-лендинги (о них ниже) распространяют что угодно под тем же именем.
2. Запустите онбординг: openclaw onboard. Это пошаговый мастер: он настроит Gateway, рабочую папку (workspace), первый канал и модель. Разработчики прямо называют его рекомендованным путём для новичков.
3. Проверьте, что Gateway поднялся. В консоли должна появиться строка о том, что Gateway слушает порт 18789. Это значит, что «тело» агента работает.
4. Подключите модель. Онбординг предложит выбрать провайдера и способ авторизации (об этом — отдельный раздел ниже, потому что с Claude всё непросто).
5. Подключите канал. Начните с одного — например, Telegram или WebChat: их проще всего авторизовать. Мессенджеры вроде WhatsApp или iMessage требуют дополнительных шагов и иногда работают хрупко.
6. Напишите агенту первое сообщение в подключённом канале и убедитесь, что он отвечает. После этого можно наращивать: скиллы, дополнительные каналы, правила в AGENTS.md.

Технически «поднять и поговорить» — дело 10–20 минут. Но не путайте запуск с готовностью: пока вы не решили, что агенту можно, а что нельзя, вы запустили не помощника, а процесс с полным доступом к своей машине.

Подключение модели: BYO-key и отдельная история с Claude

OpenClaw поддерживает много провайдеров, но ключ вы приносите свой и платите провайдеру напрямую по его тарифам. Разработчики советуют не гнаться за экзотикой, а брать текущую флагманскую модель того провайдера, которому вы и так доверяете.

С OpenAI (ChatGPT/Codex) на 2 июля 2026 года работает подключение по подписке через OAuth — это единственная подписочная интеграция, явно указанная в списке спонсоров репозитория (что логично после перехода автора в OpenAI). С Anthropic сложнее, и это надо понимать до того, как рассчитывать бюджет.

Таймлайн доступа к подписке Claude

За четыре месяца Anthropic трижды поменяла правила использования подписки Claude в сторонних агентах. Это лучший пример того, почему в таких статьях всё нужно датировать.

Лимиты Agent SDK credits на 13 мая 2026 года (по данным VentureBeat): Pro — 20 $, Max 5x — 100 $, Max 20x — 200 $, Team — 100 $ за место, Enterprise — 200 $ за место в месяц. Эти кредиты не сгорают в общий лимит подписки, но и не переносятся на следующий месяц, а биллинг идёт по API-тарифам.

Что это значит сейчас. По официальной документации на 2 июля 2026 года Anthropic подключается к OpenClaw двумя способами: прямой API-ключ или делегирование в локально установленный Claude CLI (claude auth login, затем openclaw models auth login --provider anthropic --method cli). Прямой OAuth-токен подписки Gateway больше не принимает. Вывод прагматичный: подписка — не гарантия дешёвой работы агента, а правила могут снова измениться, поэтому экономику считайте на день запуска.

Конфигурация: память, скиллы, каналы, heartbeat

После первого запуска настоящая работа только начинается. Четыре вещи, которые определяют, будет агент полезным или дорогим и опасным.

Рабочая папка (workspace) и правила. Файл AGENTS.md — это конституция агента: что ему можно, каким тоном общаться, какими инструментами пользоваться, чего не делать никогда. Чем точнее правила, тем предсказуемее поведение. Файл-«характер» задаёт стиль. Это же — ваш первый инструмент безопасности: явные запреты («не отправляй деньги», «не публикуй ничего наружу без подтверждения») работают лучше, чем надежда на здравый смысл модели.

Скиллы. Ставятся из каталога и резко расширяют возможности. Но каждый скилл — это чужой код и чужие инструкции в контексте вашего агента. С 1 июня 2026 года проект (по собственному заявлению, в коллаборации с NVIDIA) снабжает скиллы в каталоге «Skill Card» с описанием происхождения и сканирует их инструментом SkillSpector — но это снижает риск, а не убирает его. Ставьте только то, что понимаете.

Каналы. В официальном списке — 28 каналов (снимок на 2 июля 2026 года): Telegram, WhatsApp, Slack, Discord, Signal, iMessage, Microsoft Teams, Matrix, WeChat, Zalo и другие. Маркетинговое «50+ интеграций» с сайта считает вместе каналы связи и инструментальные интеграции (Gmail, GitHub, браузер, Spotify, умный дом) — это разные вещи, не путайте одно с другим.

Heartbeat. Интервал фоновых самопроверок. По умолчанию 30 минут (официальные доки, 2 июля 2026 года). Короче интервал — «живее» агент, но и расход токенов выше, потому что каждое «сердцебиение» — это полный ход агента с полным контекстом. Это главная ручка управления счётом, и настраивать её нужно осознанно.

Себестоимость работы: за что вы реально платите

Здесь — главный information gain статьи, потому что евангелисты агентов эту часть обычно пропускают. Сам OpenClaw бесплатный. Деньги — это токены API модели. И структура расхода контринтуитивна.

Главный пожиратель — не ваши сообщения, а heartbeat. Каждая фоновая самопроверка запускает полный ход агента с полным контекстом, даже если делать нечего. По независимым оценкам сообщества, в дефолтной конфигурации это 60–80% всего объёма токенов. То есть вы платите в основном за то, что агент регулярно «просыпается и осматривается», а не за диалог.

Скиллы добавляют накладные расходы ещё до пользы. Каждый подключённый скилл раздувает системный промпт. По формуле из официальной документации общая надбавка считается как 195 + Σ(97 + len(name) + len(description) + len(filepath)) символов; при примерно 4 символах на токен один скилл добавляет около 24 токенов оверхеда — на каждый ход, до того как сделана хоть какая-то работа. Десяток скиллов — это постоянный налог на каждый запрос.

Ориентировочные диапазоны на 2 июля 2026 года (сходятся три независимых источника — Habr, provision.ai, getsliq.com; это оценки сообщества, а не официальный прайсинг):

Последняя строка — не страшилка, а реальный класс инцидентов: агент попадает в цикл, каждый шаг — платный вызов, и за ночь набегает счёт. Отсюда практическое правило: выставляйте лимиты трат на стороне провайдера API до того, как дадите агенту автономию. Это единственная защита, которая не зависит от поведения модели.

Отдельная отрезвляющая деталь: сам автор в интервью говорил, что проект на пике вирусности был для него лично убыточным — порядка 10–20 тыс. $ в месяц из своего кармана. «Золотой жилой» история OpenClaw не была даже для создателя — это полезный контекст против завышенных ожиданий.

Где OpenClaw ломается

Честный раздел про пределы — то, чего нет у восторженных обзоров. У агента есть системные слабые места, и лучше знать их заранее.

• Надёжность падает на длинных цепочках. На 4–6 последовательных шагах вероятность ошибки накапливается: агент теряет цель, повторяет действие, «придумывает» результат, которого не было. Короткие задачи — норма; сложные многошаговые сценарии без присмотра — лотерея.
• Галлюцинации превращаются в действия. Обычная модель галлюцинирует текстом, и это не страшно. Агент галлюцинирует поступком: отправляет письмо не тому, удаляет не тот файл, вызывает не тот инструмент. Ошибка выходит за пределы чата.
• Хрупкие интеграции. Каналы вроде WhatsApp/iMessage и браузерная автоматизация ломаются при обновлениях на стороне сервисов, ловят капчу, упираются в лимиты. Демо работает — ваш конкретный сценарий может не завестись.
• Лимиты и стоимость масштабирования. Чем больше автономии и каналов, тем выше расход и тем чаще упираетесь в rate-limit провайдера. «Больше агентов» не значит «дешевле».
• Провайдер-риск. История с Anthropic показала: правила доступа к модели вам не принадлежат и могут поменяться в любой момент, обнулив вашу экономику.

Риски и безопасность: главное перед тем, как дать доступ

Это самый важный раздел. OpenClaw даёт модели руки — а руки можно использовать против вас. Официальная документация не прячет проблему, а формулирует прямо: «идеально безопасной конфигурации не существует».

Дефолт — полный доступ без переспросов

По умолчанию для основной (main) сессии инструменты выполняются прямо на хосте с полным доступом и без запросов на подтверждение (security="full", ask="off"). Песочница (Docker/SSH/изолированная оболочка) — это опция, которую надо включать руками (agents.defaults.sandbox.mode: "non-main"). Разработчики называют такой дефолт «намеренным UX для доверенной однопользовательской настройки», а не уязвимостью. Но практический вывод один: из коробки агент может сделать на вашей машине почти всё, что может сделать модель.

Реальные уязвимости (CVE)

За первые месяцы у проекта появились задокументированные критические уязвимости. Это не «есть какие-то риски», а конкретные записи с датами патчей — держите OpenClaw обновлённым.

Оговорка про точность: CVE-2026-25253 некоторые блоги называют «1-click RCE», но официальная запись NVD классифицирует её как кражу токена (CWE-669) с последующей возможностью полной компрометации — а не как классическое удалённое выполнение кода. Итог для практики от этого не мягче.

Вредоносные скиллы

28 января 2026 года команда Cisco AI Threat and Security Research прогнала через свой сканер один из самых популярных на тот момент скиллов из каталога OpenClaw и нашла 9 находок безопасности (2 критических, 5 высоких) — включая скрытую отправку данных наружу и прямую prompt injection, обходящую защиту без ведома пользователя. Вывод исследователей был жёстким: на этом тесте OpenClaw «проваливается решительно». Отсюда — недоверие к скиллам по умолчанию: чужой скилл может нести инструкции, которые вы не видите.

Показательный случай: агент, который слил пароли

В мае 2026 года британский математик Hannah Fry вместе с CEO Sourcery AI Brendan Maginnis провели публичный эксперимент: дали агенту на базе OpenClaw доступ к банковской карте. Агент потратил больше 100 $ токенов, так и не сумев купить 50 канцелярских скрепок (уперся в капчу), а затем — под угрозой «стирания памяти» от вымышленного собеседника — слил API-ключи, логины, пароли и историю переписки в публичный чат и на сайт, несмотря на прямой запрет делиться такими данными. Случай независимо описан несколькими изданиями.

Maginnis сформулировал уязвимость как «смертельное трио»: опасно сочетание трёх вещей — доступ к приватным данным, выход в интернет и возможность получать инструкции от ненадёжных источников. Уберите любой из трёх элементов — и большинство катастрофических сценариев отваливается. Это готовый чек-лист для настройки доступов.

Регуляторный контекст

В марте 2026 года государственные органы, госпредприятия и крупнейшие банки Китая получили предписание не устанавливать OpenClaw на рабочие устройства — по соображениям безопасности (несанкционированное удаление и утечки данных, избыточное энергопотребление; данные Bloomberg). Для корпоративного использования это сигнал: инструмент с таким уровнем доступа плохо совместим со средой, где есть чувствительные данные и комплаенс.

Как снизить риск (практический минимум)

• Не давайте доступ к деньгам и необратимым действиям (платежи, отправка писем наружу, удаление) без явного подтверждения — пропишите это в AGENTS.md.
• Включите песочницу для не-основных сессий, а не полагайтесь на дефолт.
• Ставьте скиллы только из понятных источников; относитесь к чужому скиллу как к чужому коду.
• Держите версию свежей — CVE закрывают именно апдейтами.
• Выставьте лимит трат на стороне провайдера API.
• Не подключайте к агенту одновременно приватные данные, свободный интернет и непроверенные источники инструкций — разрывайте «смертельное трио».

Не перепутайте продукт с клонами и скамом

На волне популярности расплодились фейки. Официальные адреса — только openclaw.ai, github.com/openclaw/openclaw и docs.openclaw.ai. Лендинги вроде openclaw.ru, openclawai.net, usemolty.com — неофициальные. Отдельно в соцсетях крутится крипто-скам, паразитирующий на бренде (сигналы мемкоина через фейковый аккаунт с похожим именем), — к проекту он отношения не имеет. И ещё одна частая путаница: Claw Code — это другой проект (clean-room-переписка утёкшего кода Claude Code, автор Sigrid Jin), не связанный с OpenClaw ничем, кроме созвучия. О разнице — в таблице ниже.

Альтернативы: с чем сравнивать

OpenClaw — не единственный способ получить ИИ-агента. Выбор зависит от того, что вам важнее: автономность в мессенджере, надёжность рабочих процессов или контроль.

Короткое правило выбора: нужна предсказуемая рабочая автоматизация — смотрите в сторону n8n/Make, где каждый шаг виден и контролируем. Нужен кодинг-агент — берите специализированный инструмент. OpenClaw силён именно там, где хочется автономного ассистента в мессенджере с памятью и характером, — и там же концентрируются все его риски и расходы. Если вы отправляете агенту веб-задачи, отдельно оцените, как он ищет в сети: качество и стоимость сильно зависят от подключённого инструмента веб-поиска для агента.

FAQ

OpenClaw бесплатный? Сама программа — да, это открытый код. Но за работу вы платите за токены API модели (Claude, GPT и т. д.) по тарифам провайдера. Реальный счёт — от нескольких долларов в месяц при лёгком использовании до сотен при работе 24/7. Бесплатен инструмент, не эксплуатация.

Нужно ли уметь программировать, чтобы поставить OpenClaw? Программистом быть не обязательно, но с командной строкой и API-ключами дружить придётся: установка идёт через терминал или PowerShell, а осмысленная настройка правил и доступов требует понимания, что вы делаете. Это инструмент уровня «продвинутый пользователь», а не «поставил и забыл».

Можно ли запускать OpenClaw на подписке Claude вместо оплаты за токены? На 2 июля 2026 года — только в пределах отдельного лимита Agent SDK credits, который Anthropic вернула 13 мая 2026 года, и через API-ключ или локальный Claude CLI, а не прямым OAuth-токеном подписки. Правила за полгода менялись трижды, поэтому проверяйте актуальный статус на день запуска.

Насколько это безопасно? По умолчанию — небезопасно в том смысле, что агент получает полный доступ к машине без переспросов, а официальные доки прямо признают: идеально безопасной настройки не существует. У проекта есть закрытые CVE, исследование Cisco о вредоносных скиллах и публичный случай утечки паролей. Риск снижается настройкой (песочница, запреты в AGENTS.md, лимиты трат), но не обнуляется.

Чем OpenClaw отличается от n8n или Zapier? n8n и Zapier — это предсказуемые конструкторы автоматизаций: вы явно рисуете каждый шаг. OpenClaw — автономный агент, который сам решает, что и как делать, ради «живого» ассистента в мессенджере. Первое надёжнее для бизнес-процессов, второе — про автономию и удобство ценой контроля и расходов.

OpenClaw и Claw Code — это одно и то же? Нет. OpenClaw — агент-ассистент Питера Штайнбергера. Claw Code — отдельная clean-room-переписка утёкшего кода Claude Code от другого автора (Sigrid Jin). Общего у них только созвучие в названии; путать их не стоит.