四个开源项目致力于同一目标：一个驻留在你机器上、读取你的消息、运行 Shell 并记住你生活的智能体。然而，当我查阅它们的文档时，发现了一些出乎意料的情况：其中三个项目开箱即用即可直接在主机上运行命令，且有两个项目的开发者在文档中明确说明了这一点。那么，谁真正值得拥有这些权限？本文将进行七轮评测，每一项主张均在屏幕上注明来源，最后给出一个总体推荐，并指出谁应该避开它。
OpenClaw 是拥有 393,444 颗星的巨头，自 2025 年 11 月以来一直保持这一热度。它是一个网关，可嵌入你的聊天应用、笔记本电脑或整个团队中。它采用 MIT 许可证，由一个独立的非营利基金会运营，拥有 277 个版本和 3,722 名贡献者。该基金会不销售任何产品，没有付费层级，也不涉及代币交易。
Amie's 来自新闻研究项目，自 2025 年 7 月以来拥有 258,768 颗星星。其卖点是一个学习循环，即智能体在用户使用过程中编写自己的技能并加以改进。它同样采用 MIT 许可证，拥有 4,868 名贡献者。但其背后是一家公司，且 OpenClaw 的页面引用了报道中的 7,500 万美元融资轮次。
Nanobot 是轻量级选手，自二月以来拥有 49,676 颗星星。它基于 Python，核心小巧并配有浏览器界面，还为从未打开过终端的人提供了设置指南。NanoClaw 则是对这一切的反应。自一月以来拥有 31,057 颗星星，其作者表示，在给予不理解的软件对其生活的完全访问权限后无法入睡。
NanoClaw 的解决方案是为每个智能体配备 Linux 容器，并提供一个你可以分叉和自行更改的代码库，而不是一堆设置选项。因此，这是一项工作和四个赌注：影响力、学习、简单性和隔离性。让我们看看每个赌注的成本，从让它们运行起来开始。第一轮是设置：在需要阅读任何内容之前你能走多远？
OpenClaw 表示从安装到第一次聊天只需约 5 分钟。其安装程序会为你获取 Node.js，并可以重用你已有的 Claude Code 或 Codex 登录信息。但问题出现在后面：一个开放漏洞指出，实时文档的运行版本领先于发布版。因此你正在阅读的页面可能描述了一个你尚未拥有的版本。
Oobabooga 拥有广泛的安装故事，包括一行脚本、Mac 和 Windows 的桌面包，以及通过 Termux 为 Android 提供的签名存储库。其粗糙之处是特定的：它在启动时拒绝任何上下文低于 64,000 token 的模型。因此，小型本地模型根本无法加载。此外，防病毒工具可能会隔离其捆绑的软件包管理器。
Nanobot 瞄准的是对此感到紧张的人。它为从未使用过终端、API 密钥或 JSON 文件的人提供了分步指南，浏览器界面包含在包中。其安装程序还具有试运行功能，让你在发生任何更改之前看到计划。要求是 Python 3.11 或更高版本，以及你自己的模型账户。
NanoClaw 有一个脚本，如果缺少 Node.js 和 Docker 会自动安装。如果一个步骤出错，Claude Code 会被调用来诊断并继续执行。但 Windows 用户必须先设置 WSL。一个开放漏洞指出，当 sudo 需要密码时安装程序可能看起来卡住了。该项目期望你身边有一个编码助手来帮助解决这些问题。
并排来看，所有四个项目都能让你运行起来。区别在于开始之前你需要知道多少知识。对我来说，从未接触过终端的人是真正的设置测试标准。只有一个项目是为这类人编写指南的。第一轮获胜者是 Nanobot。
第二轮是本期视频的核心：爆炸半径。如果一条坏消息劫持了你的智能体，它能触及哪里？NanoClaw 的文档直言不讳地指出：提示注入最终会成功。因此，有用的问题是：一旦入侵发生，受损的智能体实际上能做什么？先看看 OpenClaw 好的一面。主机安装绑定到回环地址，大多数频道中的未知发送者需要配对码。
你还可以添加 Docker、SSH 或 Open Shell 沙箱。但是，OpenClaw 自己的页面指出，沙箱和执行批准默认是关闭的。因此，开箱即用情况下，主会话中的工具会作为你自己在主机上运行。其文档还警告说，默认情况下具有消息工具的智能体会跨会话和提供商发送信息。这是第一天就需要更改的设置。
此外，还有一个记录：一个点击漏洞在当月发布补丁前评级为 8.8。安全评分卡统计出超过 135,000 个实例暴露在互联网上。OpenClaw 在其仓库中统计了 647 条建议，其页面称这是披露记录且没有比较安全评分。发布这些记录是我尊重的习惯。
Amie's 起初更加谨慎。其默认模式具有第二电机屏幕，用于危险命令。如果无人回答提示符，该命令将被拒绝。其容器后端甚至丢弃了所有 Linux 能力。但是，默认后端直接在主机上运行命令。下一行让我停下了脚步：其安全政策指出，如果使用不受信任的输入运行默认后端，你就是在受支持的安全姿态之外操作。
电子邮件、网页和群聊都被视为不受信任的输入。其皮肤扫描器上的 CVE 记录也显示，供应商早期已被联系但未回应。修复措施确实落地了，当前版本已远超该漏洞时间线。Nanobot 早期修复了一件事：空的允许列表现在拒绝所有人。它提供真正的内核沙箱，Linux 上使用 bubblewrap，Mac 上使用 seatbelt。
但是，该沙箱默认关闭。工作区限制默认为假。API 密钥以纯文本形式存储在配置文件中。其文档未列出速率限制和审计追踪。最糟糕的记录是 WhatsApp 桥接：一个开放端口的 CVE 为 10.0（无认证），随后是修复不完整的 8.0，以及任意写入文件的 8.7。这些影响的是旧版本，当前版本已远超它们。
NanoClaw 翻转了默认设置，因为每个智能体都在自己的容器中作为非特权用户运行。该容器在退出时被移除。智能体从不持有原始 API 密钥，额外文件夹在被允许之前会被拒绝。一项分析将这里的沙箱描述为系统运行所需的依赖项，而其他人则将其视为可选功能。
它不是力场。出口锁定默认关闭，因此受损的智能体仍然可以发送数据出去。并且群组中的每个会话共享一个工作区。Nomas 的评估，据 NHI 集团报道，指出隔离性并不能消除运行时监控的需求。这是公平的。NanoClaw 的文档也表达了同样的观点。现在并排查看默认设置：主机、主机、主机、容器。
NanoClaw 是唯一从隔离性开始的项目。第二轮获胜者是 NanoClaw。第三轮是记忆：为什么你要运行这些而不是聊天机器人？OpenClaw 编写你可以打开和阅读的纯 Markdown 文件。并通过“梦想扫描”将每日笔记提炼为长期记忆。
Vectorize 是一家销售代理记忆的公司，其指出仅加载最近两天的笔记。因此，任何更早的内容都取决于代理是否选择搜索它。Hermes 拥有其自述文件中所谓的“闭环学习”机制：在处理复杂任务后，它可以为自己编写一项技能，随后在使用过程中改进该技能，并搜索其过去的会话记录。Regulus（一家推理提供商）发布了一项在单一设置下的测试，结果仅供参考。Recall 项目在 Open Claw 中耗时 19.6 秒，而在 Hermes 中仅需 113 毫秒。由于这四项项目均未发布共享的记忆基准测试，因此我不应将单一测试结果视为最终答案。
Hermes 的缺点在于其上限限制：核心记忆文件仅支持 2,200 个字符，超出此限制的写入操作只会返回错误。新记忆还需等待下一次会话达到提示词阶段才能生效。NanoBot 在此方面提出了最整洁的理念：为长期记忆的每次更改保留 Git 历史记录，以便查看其决定保留的内容，并恢复变更前的状态。不过，长期记忆阶段仅在“Dream”启用时运行，且其主题和项目没有独立的长期记忆。
NanoClaw 为每个代理组提供独立内存，这有利于隐私保护。但一个获得八个点赞的公开问题标题为“代理记忆系统重新设计”，其自述文件从未承诺自我改进功能。Recall、技能编写以及旧会话搜索才是其主要职责，而 2,200 字符的上限限制也适用于此。第三轮评审获胜者为 Hermes。第四轮涉及连接性，即实际与代理交互的能力。
Open Claw 列出了 Discord、iMessage、Slack、Teams、Telegram、WhatsApp 等二十多种渠道，并拥有 Mac、iOS、Android、Windows 和 Linux 的原生应用。成本虽小但确实存在：WhatsApp 需要二维码配对，并在磁盘上保留更多状态；此前提到的跨渠道消息传递默认设置会跟随用户到各处。Hermes 紧随其后，通过一个网关进程连接 Telegram、Discord、Slack、WhatsApp、Signal、电子邮件及带有蓝色气泡的 iMessage，后续还有更多渠道。
但原生移动应用仍是一个获得 51 个点赞的开放请求，且一个公开错误指出其 Slack 状态指示器在新 SDK 上会无声失效。NanoBot 覆盖了浏览器、终端以及 Telegram、Slack 和微信等聊天应用，并提供了 Python SDK 和兼容 OpenAI 的 API，开发者会对此青睐有加。需注意的一个公开错误是：其在群聊中的 Telegram 机器人无法区分发送者，这对任何共享内容而言至关重要。
NanoClaw 列出了包括 iMessage 和 Teams 在内的 13 个渠道，但核心代码中并未包含它们。每个渠道都需要单独的技能支持，这保持了分支的小型化。一个公开错误指出 WhatsApp 的照片和语音笔记无法送达代理端。此外，没有监控仪表盘是故意为之的。你使用的每个聊天应用以及手机和电脑上的真实应用程序，都难以反驳其优势。第四轮获胜者为 Open Claw。
第五轮涉及模型与费用，因为代理免费但令牌（Token）并非如此。Open Claw 将模型和框架视为可互换的插件，其基础层没有任何推销行为。成本体现在细节中：一个公开错误显示 Codex 重写导致提示词缓存命中率从 93% 降至 47%，而每次缓存未命中都意味着金钱损失。Amis（推测为笔误或特定组件，结合上下文指代 Open Claw 的模型切换功能）允许通过一条命令切换模型。当提供商故障时，它可以在会话中途回退并保持对话继续。
尽管如此，这是我可能最想念的功能。它还可在 5 美元的 VPS 或几乎零成本的闲置无服务器环境中运行。然而，缺点在于：Claude 登录需要 Max 计划及额外积分。整个追踪器中获得最多点赞的公开问题（57 个）请求提供 Claude 订阅提供商。此外，存在商业利益：Open Claw 页面（作为竞争对手流媒体）报告了每月 20 至 200 美元的付费层级。News Portal（推测指 Anthropic）的政策将其收集的数据列为提示词、上传内容和输出内容。
你不必接触该门户，因为你可以为每个工具自带密钥。但激励措施确实存在，Open Claw 页面表示要选择指向你的激励措施。NanoBot 接受任何兼容 OpenAI API、本地模型及回退机制，这提供了真正的自由。但一份公开报告指出它无法与特定的 Codex 模型实际执行交互。NanoClaw 围绕 Claude 构建，通过 Anthropic 的代理 SDK 提供原生 Claude 代码。Codex、Open Code、Cursor 和 Ollama 是需安装的附加组件。
设置过程注册 Anthropic 凭据，且一个获得八个点赞的问题质疑 SDK 路径是否符合服务条款。如果你不使用 Claude，这里并非其主场。OpenClaw（推测指 Open Claw）拥有最清晰的激励措施，Hermes 具备故障转移功能，而我两者都需要。第五轮获胜者为 OpenClaw（Open Claw）和 Hermes 并列。第六轮涉及技能与插件，即运行他人代码的部分。
OpenClaw（Open Claw）拥有 Claude Hub，显示来自 VirusTotal 的扫描状态、Claude Scan 和静态分析。这是必要的：Koi Security 审计了所有 2,857 项技能，发现其中 341 项具有恶意性。由于 Claude Hub 默认开放，任何拥有足够老 GitHub 账户的人均可上传内容。OpenClaw（Open Claw）页面还承认，待处理或过期的扫描仍可能允许安装并附带警告，且原生插件在无沙箱的情况下以进程内方式运行。
Hermes 通过扫描器处理 Hub 安装，即使强制命令也无法覆盖危险判定。其技能遵循代理技能标准，并可通过同一扫描器从 Claude Hub 拉取内容。缺点在于：技能可以读取代理所能读取的任何内容。已发布的 CVE 针对的就是同一扫描器，且代理可修改或删除任何技能。NanoBot 通过其应用页面使用 MCP 服务器和代理插件，这是一条合理的标准路径。
但多代理设置是否受支持在其追踪器上仍是一个开放问题。另一项公开提案希望阻止其显示“已完成”，而实际上并未运行任何内容。对于将工作交给代理的系统而言，这是一个值得关注的缺陷。NanoClaw 在此方面采用了最奇特的模型，我对此表示赞赏：技能仅将你要求的模块复制到你的分支中，且核心项目原则上拒绝新功能。
代价是定制意味着更改代码，并依赖编码代理来完成此工作。追踪器还显示主日志可能增长至数百兆字节。我会选择那个危险判定保持危险性、且代理为你编写技能的方案（此处原文逻辑稍显混乱，结合语境应指选择 Hermes 的安全判定或 NanoBot/其他具备自动编写能力的方案，但根据前文“Round six goes to Hermes”，此处结论明确）。第六轮获胜者为 Hermes。
第七轮：两年后这还会得到维护吗？Open Claw 拥有非营利基金会、已签署的发布版本，以及迄今为止的 277 次发布。其缺点源于规模：5,028 个开放问题且无付费赏金漏洞计划。其信任模型也明确表示，它并非网关上恶意用户之间的边界。Hermes 拥有 4,868 名贡献者及背后的资金公司，以及随后的 17,773 个开放问题。
那些 CVE 记录中显示供应商未回复，这令我感到担忧。Open Claw 的统计发现 Hermes 仓库中没有公开的安全公告，而且它也没有漏洞赏金计划。在一份获得 40 个点赞的议题中，人们仍在要求为代理数据提供内置备份功能。那可是你生活的重要部分都集中在一个文件夹里啊。Nanobot 有 21 个版本、504 位贡献者，仅有 211 个开放议题，是这里最平静的追踪器。它也还年轻，今年二月才创建，一个开放议题抱怨 GitHub 上存在名称重复的问题。
Nanoclaw 现在是一家公司 Nanoco，拥有 Docker 合作伙伴关系以及亲友投资。它有 13 个版本、183 位贡献者和 293 个开放议题。它也没有用户账户，这一点我很尊重。这使得它是一个小型、快速移动的赌注，我希望有几个人在关注它。一个基金会、签名以及公开记录其自身错误的方式——这就是我希望对任何接近我文件的代理所要求的。第七轮获胜者是 Open Claw。最终得分：Open Claw 3，Hermes 3，Nanobot 1，Nanoclaw 1。
顶部打平，所以我必须说明哪些轮次权重更大。首先进行完整披露：Hermes 运行在我自己的服务器上，因此请带着这个背景来权衡我的观点。无论如何我都使用相同的衡量标准，而且你们已经在屏幕上看到了它所有的缺点。我整体首选 Hermes。这是一个个人代理，因此我将记忆和安全默认设置置于覆盖范围和管理之上考虑。开箱即用，Hermes 会屏蔽危险命令，而 Open Claw 的页面表示其执行批准默认是关闭的。
Hermes 旨在随着你使用的延长而编写和改进自身技能。但不要以默认方式运行它。使用其自带的 Docker 镜像，因为其策略将带有不可信输入的默认后端置于其支持姿态之外。并且要密切关注那个议题数量。Open Claw 最适合团队和共享设置，以及任何希望从拥有基金会背景的项目中获得聊天应用加手机应用的任何人。
Nanobot 最适合初学者和 Python 开发者，他们想要一个小型代理并能够阅读其代码，前提是你自己开启沙箱。Nanoclaw 最适合那些首要担忧是爆炸半径、已经使用 Claude，并且更愿意更改代码而非设置的人。无论你选择哪一个，第一天就要开启隔离机制。这四款中有三款默认在你的主机上运行。而且 Nanoclaw 自己的文档假设提示注入最终会成功。
如果这对你有帮助，请为你真正想运行的仓库点赞（star）。然后点赞、订阅，并在评论区告诉我哪一款可以访问你的机器。