Πως το NanoClaw λύνει το μεγαλύτερο πρόβλημα ασφάλειας των AI agents με sandboxed containers

Γιατί το OpenClaw έγινε viral — και γιατί ανησύχησαν οι ομάδες ασφάλειας

Η ταχύτατη, viral υιοθέτηση του open source AI assistant OpenClaw του Αυστριακού developer Peter Steinberger τις τελευταίες εβδομάδες έφερε αναστάτωση τόσο σε επιχειρήσεις όσο και σε indie developers.

Είναι εύκολο να καταλάβει κανείς γιατί: το OpenClaw είναι διαθέσιμο δωρεάν και προσφέρει έναν ισχυρό τρόπο για αυτόνομη ολοκλήρωση εργασιών σε όλο το «οικοσύστημα» ενός χρήστη — υπολογιστή, τηλέφωνο ή ακόμη και την επιχείρησή του — μέσω prompts φυσικής γλώσσας που ενεργοποιούν «σμήνη» (swarms) από agents.

Από την κυκλοφορία του τον Νοέμβριο 2025, κέρδισε την αγορά με πάνω από 50 modules και ευρείες ενσωματώσεις.

Όμως, η «permissionless» αρχιτεκτονική του σήμανε συναγερμό σε developers και security teams.

Η είσοδος του NanoClaw: πιο ελαφρύ, πιο ασφαλές και με MIT άδεια

Εδώ μπαίνει το NanoClaw, μια πιο ελαφριά και πιο ασφαλής εκδοχή που έκανε ντεμπούτο υπό open source MIT License στις 31 Ιανουαρίου 2026 και σημείωσε εκρηκτική ανάπτυξη — ξεπερνώντας τα 7.000 stars στο GitHub σε λίγο πάνω από μία εβδομάδα.

Δημιουργός του είναι ο Gavriel Cohen, έμπειρος software engineer που πέρασε επτά χρόνια στο Wix.com.

Ο Cohen και ο αδερφός του Lazer είναι επίσης συνιδρυτές του Qwibit, ενός νέου AI-first go-to-market agency, καθώς και αντιπρόεδρος και CEO αντίστοιχα της Concrete Media, μιας γνωστής εταιρείας δημοσίων σχέσεων που συνεργάζεται συχνά με τεχνολογικές επιχειρήσεις.

Το βασικό «fix»: απομόνωση σε επίπεδο λειτουργικού με Linux containers

Η άμεση απάντηση του NanoClaw στο άγχος γύρω από την αρχιτεκτονική ασφάλειας είναι μια σκληρή στροφή προς isolation σε επίπεδο λειτουργικού.

Το project βάζει κάθε agent μέσα σε απομονωμένα Linux containers — αξιοποιώντας Apple Containers για υψηλή απόδοση σε macOS ή Docker σε περιβάλλοντα Linux.

Έτσι δημιουργείται ένα αυστηρά “sandboxed” περιβάλλον, όπου η AI αλληλεπιδρά μόνο με directories που έχει «μοντάρει» (mounted) ρητά ο χρήστης.

Ενώ άλλα frameworks χτίζουν εσωτερικές «δικλίδες» ή allowlists σε επίπεδο εφαρμογής ώστε να μπλοκάρουν εντολές, ο Gavriel υποστηρίζει ότι τέτοιες άμυνες είναι εγγενώς εύθραυστες.

«Δεν το τρέχω αυτό στο μηχάνημά μου και αφήνω έναν agent να τρέχει ανεξέλεγκτος», εξήγησε ο Cohen σε πρόσφατη τεχνική συνέντευξη. «Πάντα θα υπάρχει ένας τρόπος διαφυγής αν τρέχεις απευθείας πάνω στο host.

Στο NanoClaw, το blast radius μιας πιθανής prompt injection περιορίζεται αυστηρά στο container και στο συγκεκριμένο κανάλι επικοινωνίας του».

Πίνακας: OpenClaw vs NanoClaw σε μια ματιά

Μια πιο ασφαλής βάση για agentic αυτονομία: λιτότητα και δυνατότητα ελέγχου

Η τεχνική κριτική που βρίσκεται στον πυρήνα της ανάπτυξης του NanoClaw αφορά το bloat και το πόσο ελέγξιμο (auditability) είναι ένα σύστημα. Όταν ο Cohen αξιολόγησε αρχικά το OpenClaw (πρώην Clawbot), βρήκε codebase που πλησίαζε τις 400.000 γραμμές με εκατοντάδες dependencies.

Σε ένα ταχύτατα μεταβαλλόμενο AI τοπίο, τέτοια πολυπλοκότητα είναι και μηχανικό εμπόδιο και πιθανή ευθύνη.

«Ως developer, κάθε open source dependency που προσθέτεις στον κώδικά σου το ελέγχεις: κοιτάς πόσα stars έχει, ποιοι το συντηρούν, αν υπάρχει σωστή διαδικασία», σημειώνει ο Cohen. «Όταν έχεις codebase με μισό εκατομμύριο γραμμές, κανείς δεν το κάνει review. Σπάει την ίδια την έννοια του τι εμπιστεύεται ο κόσμος στο open source».

Το NanoClaw απαντά μειώνοντας τον πυρήνα σε περίπου 500 γραμμές TypeScript. Αυτός ο μινιμαλισμός σημαίνει ότι ολόκληρο το σύστημα — από state management μέχρι agent invocation — μπορεί να ελεγχθεί από άνθρωπο ή και από ένα δεύτερο AI σε περίπου οκτώ λεπτά.

Πως είναι στημένο τεχνικά: Node orchestrator, SQLite και απλά primitives

Η αρχιτεκτονική χρησιμοποιεί έναν single-process Node.js orchestrator που διαχειρίζεται message queue ανά group με έλεγχο ταυτόχρονης εκτέλεσης (concurrency control).

Αντί για βαριά distributed message brokers, βασίζεται σε SQLite για ελαφρύ persistence και σε filesystem-based IPC. Η επιλογή είναι σκόπιμη: με απλά primitives, το σύστημα παραμένει διαφανές και αναπαραγώγιμο.

Πίνακας: Σχεδιαστικές επιλογές και στόχος

Επιπλέον, η απομόνωση δεν περιορίζεται στο filesystem. Το NanoClaw υποστηρίζει εγγενώς Agent Swarms μέσω του Anthropic Agent SDK, επιτρέποντας σε εξειδικευμένους agents να συνεργάζονται παράλληλα.

Σε αυτό το μοντέλο, κάθε sub-agent μπορεί να απομονώνεται με δικό του memory context, αποτρέποντας διαρροή ευαίσθητων δεδομένων μεταξύ διαφορετικών chat groups ή λειτουργιών της επιχείρησης.

Το όραμα: “Skills over Features” αντί για «φουσκωμένο» software

Μία από τις πιο ριζοσπαστικές αποκλίσεις του NanoClaw είναι ότι απορρίπτει το κλασικό μοντέλο «feature-rich» λογισμικού.

Ο Cohen περιγράφει το NanoClaw ως AI-native software — ένα σύστημα που σχεδιάζεται να διαχειρίζεται και να επεκτείνεται κυρίως μέσω αλληλεπίδρασης με AI αντί για χειροκίνητη παραμετροποίηση.

Το project αποθαρρύνει ρητά contributors από το να στέλνουν PRs που προσθέτουν «γενικά» features (π.χ. υποστήριξη Slack ή Discord) στο main branch.

Αντίθετα, τους ενθαρρύνει να συνεισφέρουν “Skills”: modular οδηγίες μέσα στο .claude/skills/ που «διδάσκουν» τον local AI assistant πώς να μετασχηματίζει τον κώδικα.

«Αν θέλεις Telegram, βγάλε το WhatsApp και βάλε Telegram», λέει ο Cohen. «Κάθε άνθρωπος πρέπει να έχει ακριβώς τον κώδικα που χρειάζεται για να τρέξει τον agent του.

Δεν είναι σουγιάς ελβετικός· είναι ένα ασφαλές harness που το προσαρμόζεις μιλώντας στο Claude Code».

Με αυτό το μοντέλο, ο χρήστης μπορεί να τρέξει μια εντολή όπως /add-telegram ή /add-gmail, και η AI να ξαναγράψει την τοπική εγκατάσταση ώστε να ενσωματώσει τη νέα δυνατότητα κρατώντας το codebase «αδύνατο».

Έτσι, αν κάποιος χρειάζεται μόνο assistant βασισμένο σε WhatsApp, δεν «κληρονομεί» τρωτά σημεία από δεκάδες αχρησιμοποίητα modules.

Πραγματική χρησιμότητα: ένα AI-native agency που το χρησιμοποιεί καθημερινά

Για τους αδελφούς Cohen, δεν πρόκειται απλώς για θεωρητικό πείραμα. Το νέο τους AI go-to-market agency Qwibit χρησιμοποιεί το NanoClaw — συγκεκριμένα ένα προσωπικό instance με όνομα “Andy” — για να τρέχει τις εσωτερικές λειτουργίες του.

«Ο Andy διαχειρίζεται το sales pipeline για εμάς. Δεν αλληλεπιδρώ απευθείας με το pipeline», εξήγησε ο Cohen.

Ο agent δίνει ενημερώσεις από Κυριακή έως Παρασκευή στις 9:00 π.μ., παρουσιάζοντας την κατάσταση των leads και αναθέτοντας tasks στην ομάδα.

Η αξία προκύπτει από την «χωρίς τριβές» συλλογή δεδομένων. Μέσα στη μέρα, ο Lazer και ο Gavriel προωθούν ακατέργαστες σημειώσεις WhatsApp ή email threads στο admin group.

Ο Andy κάνει parsing αυτά τα inputs, ενημερώνει σχετικά αρχεία σε ένα Obsidian vault ή σε μια SQLite βάση και βάζει αυτοματοποιημένες υπενθυμίσεις follow-up.

Επειδή ο agent έχει πρόσβαση στο codebase, μπορεί επίσης να αναλάβει επαναλαμβανόμενες τεχνικές εργασίες, όπως να ελέγχει το git history για “documentation drift” ή να κάνει refactor στις δικές του λειτουργίες για καλύτερη εργονομία μελλοντικών agents.

Στρατηγική αξιολόγηση για επιχειρήσεις: ευκολία vs έλεγχος

Καθώς ο ρυθμός αλλαγών επιταχύνεται στις αρχές του 2026, οι τεχνικοί decision-makers έρχονται μπροστά σε μια θεμελιώδη επιλογή ανάμεσα στην ευκολία και στον έλεγχο.

Για AI engineers που θέλουν γρήγορο deployment, το NanoClaw προσφέρει ένα blueprint για αυτό που ο Cohen αποκαλεί «το καλύτερο harness» για «το καλύτερο μοντέλο».

Χτίζοντας πάνω στο Claude Agent SDK, το NanoClaw δίνει δρόμο αξιοποίησης state-of-the-art μοντέλων (π.χ. Opus 4.6) μέσα σε ένα framework που μια lean ομάδα μπορεί πραγματικά να συντηρήσει και να βελτιστοποιήσει.

Από την πλευρά των orchestration engineers, η απλότητα είναι το μεγαλύτερο πλεονέκτημα για κλιμακώσιμα και αξιόπιστα pipelines. Τα παραδοσιακά «φουσκωμένα» frameworks συχνά εισάγουν overhead μέσω σύνθετων microservices και message queues.

Η container-first προσέγγιση του NanoClaw επιτρέπει advanced τεχνολογίες (όπως autonomous swarms) χωρίς τους περιορισμούς πόρων και το τεχνικό χρέος legacy συστημάτων εκατοντάδων χιλιάδων γραμμών.

Ίσως το πιο κρίσιμο: για τους security leaders, το NanoClaw απαντά στις πολλαπλές ευθύνες του incident response και της οργανωσιακής προστασίας.

Σε ένα περιβάλλον όπου prompt injection και data exfiltration εξελίσσονται καθημερινά, ένας πυρήνας 500 γραμμών που μπορεί να ελεγχθεί είναι ασφαλέστερος από ένα γενικό σύστημα που προσπαθεί να υποστηρίξει κάθε use case.

«Προτείνω να στείλετε το link του repository στην ομάδα ασφάλειάς σας και να τους ζητήσετε audit», συμβουλεύει ο Cohen.

«Μπορούν να το ελέγξουν σε ένα απόγευμα — όχι απλώς να διαβάσουν κώδικα, αλλά να στήσουν όλο το σύστημα στον πίνακα, να χαρτογραφήσουν attack vectors και να επιβεβαιώσουν ότι είναι ασφαλές».

Πως να υιοθετήσετε “container-first” AI agents σαν το NanoClaw με enterprise-grade ασφάλεια

Αν το NanoClaw σας ενδιαφέρει ως βάση για agentic αυτοματοποίηση, το κρίσιμο δεν είναι μόνο το sandbox, αλλά το πώς θα το εντάξετε σε μια ρεαλιστική πολιτική ασφαλείας. Οι agents είναι «εκτελεστές εργασιών», άρα χρειάζονται όρια, καταγραφή και ελέγχους όπως κάθε σύστημα παραγωγής.

1. Ορίστε σαφές μοντέλο απειλών (threat model) πριν από το rollout

Ξεκινήστε με 3 ερωτήματα που καθορίζουν τα πάντα:

• Τι δεδομένα θα αγγίζει ο agent (έγγραφα, CRM, email, κώδικας);
• Τι ενέργειες επιτρέπονται (read-only, write, delete, αποστολή μηνυμάτων);
• Ποια κανάλια εισόδου είναι «μη έμπιστα» (web, PDFs τρίτων, forwarded emails);

Έτσι θα σχεδιάσετε σωστά τους mounted φακέλους, τα plugins και τα permissions ανά ομάδα/λειτουργία.

2. Κάντε hardening στα containers και στα secrets

Το container μειώνει το blast radius, αλλά δεν αντικαθιστά την υγιεινή ασφάλειας. Πρακτικές κινήσεις:

1. Χρήση read-only mounts όπου γίνεται (π.χ. policy docs).
2. Αποθήκευση API keys σε secret manager και όχι σε αρχεία μέσα στο container.
3. Περιορισμός δικτύου (egress) για agents που δεν χρειάζονται πρόσβαση στο internet.

3. Βάλτε “human-in-the-loop” gates για επικίνδυνες ενέργειες

Στην πράξη, τα περισσότερα ατυχήματα προκύπτουν από υπερβολικά δικαιώματα. Εφαρμόστε πολιτική:

• Plan → Approve → Execute για εργασίες που γράφουν/σβήνουν αρχεία.
• Υποχρεωτική επιβεβαίωση πριν από αποστολή email/μηνύματος ή ενημέρωση CRM.
• «Kill switch» (εύκολο off) και όρια ρυθμού (rate limits) σε αυτοματισμούς.

4) Παρακολουθήστε και ελέγξτε τα “Skills” όπως ελέγχετε κώδικα

Το μοντέλο Skills over Features είναι ισχυρό, αλλά εισάγει μια νέα επιφάνεια αλλαγών: ο agent μπορεί να ξαναγράφει την εγκατάσταση. Για αυτό:

• Κρατήστε τα skills σε git και περάστε τα από code review.
• Ενεργοποιήστε audit logs για το τι άλλαξε, πότε και από ποιο prompt.
• Χρησιμοποιήστε SBOM (Software Bill of Materials) ώστε να ξέρετε ακριβώς τα dependencies μετά από κάθε μεταβολή.

Το βασικό συμπέρασμα: το NanoClaw υποστηρίζει ότι όσο πιο ισχυρά γίνονται τα AI μοντέλα, τόσο απλούστερο και πιο ελέγξιμο πρέπει να γίνεται το λογισμικό που τα «κρατά».

Για οργανισμούς που θέλουν αυτοματοποίηση χωρίς να αποδεχθούν ένα αδιαφανές “black box”, η προσέγγιση του container-first sandbox + μικρός audit-able πυρήνας είναι μια ιδιαίτερα πρακτική κατεύθυνση.