OpenClaw — self-hostowany asystent AI w istniejących komunikatorach

Pomysł jest prosty i dlatego pociągający: asystent AI, który nie mieszka w cudzej przeglądarce, ale na twoim komputerze — i z którym rozmawiasz tam, gdzie już i tak rozmawiasz. Na WhatsAppie, w Slacku, na Telegramie, w Teamsach, w iMessage.

OpenClaw robi dokładnie to. Ale nie o tym będzie ten wpis — a przynajmniej nie głównie. Bo przejrzawszy ten projekt, uważam, że najciekawszą jego częścią nie jest lista obsługiwanych komunikatorów, tylko jakość dokumentacji bezpieczeństwa. Nie spotkałem w tej serii projektu, który tak precyzyjnie i tak niewygodnie dla siebie opisywałby własne ograniczenia. A jedno zdanie z tej dokumentacji przesądza o tym, czy wolno wpuścić OpenClaw do firmowego czatu.

Uwaga na nazwę

Zacznę od porządku, bo projekt zmienił i nazwę, i właściciela repozytorium. Adres, pod którym go szukałem, przekierowuje: dawny steipete/warelay to dziś openclaw/openclaw. Z pojedynczego mostka do komunikatora wyrosło coś znacznie większego, prowadzonego już nie przez jedną osobę, ale przez fundację.

Stan projektu

Liczby są tu tak duże, że sam je dwa razy sprawdzałem: 389 337 gwiazdek i 81 824 forków przy repozytorium utworzonym w listopadzie 2025. To najpopularniejszy projekt, jaki opisywałem w tej serii, i to z ogromnym marginesem.

Tempo pracy jest odpowiednie do rozmiaru. Commity liczone są w dniu bieżącym, numery zgłoszeń przekroczyły 144 tysiące, a wydania wychodzą niemal co tydzień, z numeracją opartą na dacie — v2026.9.3 jest z 8 września 2026. Widziałem też wydanie z linii v2026.6 opublikowane tego samego dnia co najnowsze, co znaczy, że starsze linie dostają poprawki, a nie tylko główna.

Uczciwie: otwartych zgłoszeń jest 6606. Przy takiej popularności to nieunikniona konsekwencja, ale trzeba wiedzieć, że nie jest to projekt z uporządkowaną kolejką, w którym twoje zgłoszenie zostanie zauważone.

Zarządzanie opisane jest wprost i to jest część, która przy narzędziu tej klasy ma znaczenie. Projekt prowadzi OpenClaw Foundation, niezależna organizacja pożytku publicznego w rozumieniu amerykańskiego prawa, która zatrudnia zespół główny i podpisuje wydania. Nie ma płatnego poziomu, nie ma usługi hostowanej, nie ma tokena. Lista darczyńców obejmuje między innymi uniwersytet, OpenAI, Amazon i Red Hata — z jawnym dopiskiem, że OpenAI jest darczyńcą, a nie właścicielem, i że żaden z nich nie kieruje projektem.

Traktuję to jako istotny parametr trwałości. Fundacja z opłacanym zespołem to inna obietnica niż projekt jednej osoby — a jednocześnie nie jest to firma, która za dwa lata może zmienić licencję pod presją inwestora.

Jak to się składa

Architektura ma cztery warstwy i warto je znać, bo nazwy wracają w całej dokumentacji:

Gateway — lokalna warstwa sterowania: sesje, narzędzia, zdarzenia, połączenia z kanałami. To serce instalacji i to ono działa na twoim sprzęcie.
Control UI, CLI i interfejs tekstowy — trzy sposoby połączenia się z Gatewayem.
Kanały — WhatsApp, Telegram, Slack, Discord, Google Chat, Signal, iMessage i ponad dwadzieścia innych.
Aplikacje towarzyszące i węzły — na macOS, iOS, Androida, Windowsa i Linuksa, dodające głos, kamerę, ekran i działania lokalne na urządzeniu.

Modele są wtyczkami: dostawcy hostowani i lokalne, wymienne bez zmiany czegokolwiek innego. Ten sam Gateway obsługuje asystenta osobistego na laptopie i wdrożenie zespołowe — różni je wyłącznie konfiguracja. To zdanie z dokumentacji jest ważniejsze, niż wygląda, i wrócę do niego.

Zaglądając do katalogu kanałów, znalazłem pliki opisujące nie tylko oczywiste komunikatory, ale też Matrix, Mattermost, Nextcloud Talk, IRC, Twitcha, SMS-y, Synology Chat, a także WeChat, WeCom, Feishu, QQ i Zalo. Zakres jest naprawdę taki, jak obiecuje opis.

Instalacja i wersje

Instalator obsługuje macOS, Linuksa i Windowsa, a w razie potrzeby sam dostarcza obsługiwane środowisko Node.js. Jeśli wolisz zarządzać Node'em samodzielnie, potrzebujesz wersji 24.16 lub nowszej albo 26.1 lub nowszej, przy czym zalecana jest 26.

Instalacja paczki wymaga jawnego dopuszczenia skryptów cyklu życia — npm install -g openclaw@latest --allow-scripts=openclaw. Uwaga na szczegół, który wywoła błąd u części czytelników: ta flaga działa w npm 12 oraz w 11.16 i nowszych, a na starszych wersjach trzeba ją pominąć. Repozytorium jest przestrzenią roboczą pnpm i zwykłe npm install w katalogu głównym nie jest obsługiwane.

Telemetria opisana konkretnie

Rzecz, którą doceniam, bo zwykle trzeba jej szukać po forach. Dokumentacja mówi wprost, co program wysyła sam z siebie: dzienne sprawdzenie wersji i nic więcej. Anonimowe statystyki funkcji są dobrowolne i wyłączone domyślnie, a jedno ustawienie — update.checkOnStart: false — wyłącza oba mechanizmy. Stan, pamięć i dane uwierzytelniające zostają na twoim sprzęcie; poza niego wychodzą twoje zapytania do dostawcy modelu i platform czatowych, które sam skonfigurujesz.

To jest poziom precyzji, jakiego wymagałbym przy ocenie wpływu na ochronę danych — i tutaj po prostu jest, bez wyciągania.

Jeden Gateway to jedna granica zaufania

A teraz najważniejsze zdanie z całej tej dokumentacji, które radzę przeczytać dwa razy, zanim ktokolwiek w twojej firmie wpisze pierwsze polecenie instalacji.

Dokumentacja modelu zaufania stwierdza: obsługiwany scenariusz to jedna granica zaufania na jeden Gateway — jeden operator albo zespół wzajemnie sobie ufający. Scenariusz nieobsługiwany to jeden wspólny Gateway używany przez osoby, które sobie nie ufają. Uzasadnienie jest krótkie i nie do podważenia: każdy, kto może napisać do agenta mającego narzędzia, dzieli z nim uprawnienia tych narzędzi.

Idzie to dalej, niż większość osób założy. Domyślnie widoczność sesji jest ustawiona na wszystkie, a komunikacja między agentami jest włączona. To znaczy, że agent z narzędziami działający bez piaskownicy może wylistować, przeczytać i przeszukać sesje każdego innego agenta — łącznie z transkrypcjami rozmów innych osób. Nie jest to błąd; jest to konsekwencja modelu „jeden Gateway to jedna granica zaufania", opisana wprost i z podaniem ustawień, którymi się to zawęża.

Praktyczny wniosek dla polskiej firmy jest bezpośredni. Wpuszczenie takiego asystenta do wspólnego kanału zespołowego to nie wdrożenie narzędzia produktywności, ale decyzja o współdzieleniu uprawnień i historii rozmów między wszystkimi, którzy mają do niego dostęp. Jeżeli w tych rozmowach pojawiają się dane osobowe klientów — a pojawią się — to jest to decyzja, którą trzeba świadomie opisać, a nie odkryć przy audycie. Dokumentacja podaje właściwe rozwiązanie: przy wielu najemcach uruchamia się osobny, odizolowany Gateway na najemcę, a nie jeden wspólny.

Jest jeszcze jedno rozróżnienie warte zapamiętania: identyfikator sesji jest selektorem trasowania, nie tokenem uprawnień. Kto potraktuje go jak token, zbuduje sobie fałszywe poczucie izolacji.

Wstrzykiwanie polecenia potraktowane poważnie

Osobny plik dokumentacji poświęcony jest wstrzykiwaniu polecenia i jest to najrzetelniejszy tekst na ten temat, jaki widziałem w dokumentacji projektu open source.

Zaczyna od obserwacji, którą warto przytoczyć, bo bywa pomijana: ryzyko nie wymaga publicznych rozmów. Nawet jeśli tylko ty możesz pisać do asystenta, każda niezaufana treść, którą on przeczyta — wynik wyszukiwania, strona internetowa, wiadomość pocztowa, załącznik, wklejony log — może nieść w sobie wrogie instrukcje. Zagrożeniem jest sama treść, nie tylko nadawca.

Dokumentacja traktuje wybór modelu jako pierwszą i najtańszą warstwę obrony, przywołując badanie odporności modeli na takie ataki — ale od razu stawia dwa zastrzeżenia, i to one są tu najcenniejsze. Adaptujący się człowiek nadal łamie modele, które wypadają dobrze w statycznych testach, ze skutecznością przekraczającą 80% wobec najlepszych znanych zabezpieczeń. A modele mniejsze i starsze są wyraźnie łatwiejsze do sterowania. Wniosek jest więc taki, jaki powinien być: wybór modelu pomaga, ale twardego wymuszania — polityki narzędzi, zatwierdzania wykonania, piaskownicy i list dozwolonych nadawców — nie zastępuje.

Z konkretów, które zapamiętałem, bo są nieoczywiste:

Piaskownica jest dobrowolna, nie domyślna. Przy wyłączonym trybie piaskownicy automatyczny wybór gospodarza rozwiązuje się do hosta Gatewaya. Jawne żądanie piaskownicy zawodzi natomiast bezpiecznie — nie uruchomi się poza nią.
Osobna zgoda na wykonanie kodu w locie. Jeśli dopuścisz interpretery, ustawienie tools.exec.strictInlineEval sprawia, że formy z -c czy -e nadal wymagają zatwierdzenia.
Zapis blokowy zawsze wymaga recenzji. W trybie listy dozwolonych każdy fragment z << idzie do zatwierdzenia bez względu na cudzysłowy — po to, by dopuszczone polecenie nie mogło przemycić w treści bloku czegoś, czego lista nie przewiduje. To zamknięcie luki, o której sam bym nie pomyślał.
Wzorzec agenta czytającego. Niezaufaną treść streszcza agent bez narzędzi albo tylko do czytania, a dopiero streszczenie idzie do agenta głównego. Prosty sposób ograniczenia zasięgu szkód.
Niezaufana treść jest jawnie oznaczana znacznikami granicznymi i metadanymi o pochodzeniu, żeby model wiedział, że czyta cudze słowa, a nie polecenia od operatora.
Usuwanie znaków specjalnych szablonów rozmowy. Przy własnych, samodzielnie hostowanych modelach zdarza się, że dosłowny ciąg znaków w treści zostanie potraktowany jako strukturalny znacznik roli — i wtedy niezaufany tekst mógłby podrobić granicę wypowiedzi systemu. OpenClaw wycina takie ciągi z opakowanej treści zewnętrznej. To bardzo konkretna, techniczna dziura, o której mało kto pamięta.
Polecenia diagnostyczne przeciekają w grupach. Podglądanie rozumowania i szczegółowego przebiegu może ujawnić argumenty narzędzi, adresy i dane, które model widział. Dokumentacja zaleca trzymać je wyłączone w kanałach publicznych.

Lista rzeczy, które podatnościami nie są

Ostatnia rzecz, która przekonała mnie, że mam do czynienia z projektem dojrzałym, a nie tylko popularnym. Dokumentacja zawiera sekcję wyliczającą zgłoszenia zamykane bez działania — wraz z uzasadnieniem.

Są tam między innymi: łańcuchy oparte wyłącznie na wstrzykiwaniu polecenia, bez obejścia polityki, uwierzytelnienia albo piaskownicy; zgłoszenia zakładające wrogie współdzielenie jednego hosta; oraz traktowanie domyślnej widoczności sesji jako naruszenia izolacji najemców. Do każdego dopisano, dlaczego mieści się to w opisanym modelu zaufania.

Osobna tabela zestawia mechanizmy z ich częstym błędnym odczytem — na przykład że identyfikator sesji jest granicą uprawnień albo że lokalne wywołanie powłoki z interfejsu tekstowego to zdalne wstrzyknięcie. Projekt, który potrafi napisać, czego jego zabezpieczenia nie obiecują, jest w moich oczach bezpieczniejszy od takiego, który obiecuje wszystko.

Pułapki w jednym miejscu

Jeden Gateway to jedna granica zaufania. Wspólna instalacja dla osób, które sobie nie ufają, nie jest obsługiwana. Przy wielu najemcach uruchom osobny Gateway na każdego.
Widoczność sesji i komunikacja między agentami są domyślnie otwarte w obrębie Gatewaya. Zawęź je, jeśli masz na jednej instalacji role o różnym poziomie zaufania.
Narzędzia działają na hoście, dopóki nie skonfigurujesz piaskownicy. To domyślne zachowanie, nie usterka.
WhatsApp działa przez WhatsApp Web, na bibliotece Baileys, a nie przez oficjalne API. To rozwiązanie sprawne, ale poza oficjalną ścieżką dostawcy — z ryzykiem dla konta i z warunkami korzystania, które warto przeczytać przed podłączeniem numeru firmowego.
Identyfikator sesji nie jest tokenem uprawnień, tylko selektorem trasowania.
Wersja Node ma znaczenie — 24.16 lub 26.1 w górę, przy zaleceniu 26. Flaga dopuszczająca skrypty instalacyjne wymaga npm 12 albo 11.16 i nowszego.
Nie instaluj z katalogu głównego przez npm — to przestrzeń robocza pnpm.
Flagi dopuszczające niezaufaną treść zewnętrzną trzymaj wyłączone na produkcji; służą wyłącznie do wąsko zakrojonej diagnostyki.
Wyłącz podglądanie rozumowania i przebiegu w kanałach publicznych, bo ujawnia dane, które widział model.
6606 otwartych zgłoszeń. Nie licz na to, że twoje zostanie zauważone.

Podsumowanie

OpenClaw jest dziś prawdopodobnie najpoważniejszą otwartą odpowiedzią na pytanie „czy asystent AI może działać na moim sprzęcie i w moich rozmowach". Ma zarządzanie fundacyjne, kilkadziesiąt kanałów, wymienne modele, aplikacje na wszystkie liczące się systemy i tempo rozwoju, którego nie da się z niczym w tej serii porównać.

Stan, pamięć i dane uwierzytelniające na twoim sprzęcie, z telemetrią opisaną co do jednego mechanizmu i wyłączaną jednym ustawieniem.
Ponad dwadzieścia kanałów — od Slacka i Telegrama po Matrix, Nextcloud Talk i komunikatory azjatyckie.
Modele jako wtyczki, hostowane i lokalne, wymienne bez zmiany reszty konfiguracji.
Dokumentacja bezpieczeństwa z jawnie postawioną granicą zaufania, listą mechanizmów i listą rzeczy, których one nie obiecują.
Fundacja bez płatnego poziomu, usługi hostowanej ani tokena, z jawną informacją, że darczyńcy nie kierują projektem.
Ten sam Gateway obsługuje asystenta osobistego i zespół — różni je wyłącznie konfiguracja, co jest zaletą i pułapką jednocześnie.

Projekt jest wydany na licencji MIT, z prawami autorskimi po stronie fundacji. Ciekawostka dla porządku: GitHub pokazuje przy tym repozytorium licencję jako nierozpoznaną, choć w pliku leży czysty tekst MIT — powodem jest dopisane na końcu zdanie odsyłające do osobnego wykazu materiałów zewnętrznych. Warto o tym wiedzieć, jeśli twój dział prawny opiera się na automatycznym skanerze licencji, bo taki skaner tu zapali ostrzeżenie bez powodu.

MIT jest tu licencją właściwą i wygodną: bez obowiązku otwierania własnych zmian, bez ograniczeń komercyjnych, z jedynym wymogiem zachowania informacji o prawach autorskich. Nie daje natomiast — i to trzeba wpisać w decyzję — żadnej gwarancji ani wsparcia. Przy narzędziu, które ma uzyskać dostęp do twoich rozmów, plików i, jeśli nie ustawisz inaczej, powłoki na hoście, brak gwarancji nie jest formalnością. To jest dokładnie ten przypadek, w którym warto przeczytać dokumentację bezpieczeństwa przed instalacją, a nie po pierwszym incydencie — tym bardziej że autorzy odrobili tę pracę za ciebie i napisali ją uczciwie.