---
title: "Сравнение на 41 AI харнеса – от Claude Code до OpenClaw"
url: "https://romankryvolapov.com/bg/ai-agent-harnesses/"
description: "Агенти за програмиране и универсални агенти: Claude Code, Codex, Cursor, Copilot, OpenCode, OpenClaw, Hermes – лицензи, модели, настройка, пясъчник, бенчмаркове, обучение върху вашия код и течове."
language: bg
published: 2026-10-30
updated: 2026-11-06
---
**Здравейте!**

Когато казват „Claude пише код по-добре от GPT“, обикновено сравняват не моделите, а моделите заедно с програмата, в която работят. Тази програма се нарича harness (буквално – „юзда“, „обвивка“): тя събира контекста за модела, изпълнява извикванията на инструменти, които прави моделът, следи контекстния прозорец, решава какво може да прави агентът без да пита и определя къде се изпълняват командите му. Claude Code, Codex, Cursor, OpenClaw – всичко това са harness.

Пазарът се променя всяка седмица, затова всичко по-долу е състоянието към края на октомври 2026 г. по документация, хранилища и публични класации; датите без година се отнасят за 2026 г.

## От какво се състои harness

Почти всичко, което в harness се настройва, се намира в папката `.claude` на проекта в Claude Code; при другите harness имената са си свои, но съставът е същият.

| Част | Какво е |
|---|---|
| Инструкции на проекта | файл, който harness подава на модела в началото на всяка сесия: как се билдва проектът, как се пускат тестовете, с какво се отличава от типовия |
| Правила | същите инструкции, разделени по теми и често вързани към пътища: правилото за API се зарежда само когато агентът работи с файловете на API |
| Скилове | папка с `SKILL.md`: инструкция плюс скриптове и справочни материали; в контекста първо попада само описанието, затова десетки скилове почти нищо не струват |
| Субагенти | отделен екземпляр на агента със свой контекст, инструкция, инструменти и понякога модел; на главния агент връща изход, а не стотина прочетени файла |
| Хукове | вашият код, който harness стартира при събития: преди и след извикване на инструмент, при старт на сесията, при завършване; за разлика от текстовите инструкции се изпълнява винаги ([подробно за хуковете](/bg/claude-code-hooks/)) |
| Команди | заготвени промптове, които се извикват по име, като `/review` |
| MCP сървъри | външни инструменти и данни: база данни, тракер на задачи, браузър, документация |
| Плъгини | пакет от всичко изброено, който се инсталира с една команда |
| Разрешения и пясъчник | какво агентът прави сам и какво – след потвърждение, и къде се изпълняват командите му: направо в системата, в пясъчник на ОС, в контейнер или на облачна машина |
| Памет | какво оцелява след края на сесията: бележки на агента за самия него, история, която може да се продължи |
| Режим без интерфейс и SDK | стартиране от скрипт или CI без човек и достъп до агента от собствен код; големите вендори имат SDK за изграждане на собствен агент – Claude Agent SDK, Codex SDK, Copilot SDK |

### Общи стандарти за настройка

- **[AGENTS.md](https://agents.md)** – общ файл с инструкции на проекта. Предложен е от OpenAI, файлът се среща в над 60 хиляди отворени проекта.
- **[Agent Skills](https://agentskills.io)** – общ формат на скиловете. Създаден е и през декември 2025 г. е отворен от Anthropic; в списъка на поддържащите са 46 продукта, от Claude Code, Codex и Cursor до Hermes и OpenClaw.
- **[MCP](https://modelcontextprotocol.io)** (Model Context Protocol) – общ протокол за свързване на инструменти и данни, също от Anthropic. Разбират го почти всички harness от тази статия.
- **[ACP](https://agentclientprotocol.com)** (Agent Client Protocol) от Zed – протокол между редактора и агента: Zed, IDE на JetBrains, VS Code, Neovim и Emacs чрез него свързват който и да е от около петдесетте агента, които го поддържат.

AGENTS.md, Agent Skills и MCP се намират в [Agentic AI Foundation](https://aaif.io/projects/) към Linux Foundation. Тази част от настройката се пренася между различните harness с една уговорка: Claude Code и Cline не търсят скилове в общата папка `.agents/skills`, нужна им е връзка от `.claude/skills`. Правилата по пътища, субагентите, хуковете, разрешенията, пясъчникът и плъгините са си свои във всеки harness.

## Кой с какво работи

Анкетите поставят на първо място Claude Code, изтеглянията и токените – Codex, а най-голям обхват има Copilot.

| Източник | Извадка | Claude Code | GitHub Copilot | Codex | Cursor | Други |
|---|---|---|---|---|---|---|
| [JetBrains](https://blog.jetbrains.com/research/2026/08/ai-coding-agent-adoption-2026/), май–юли 2026 г. | 15 хил. професионални разработчици, дял на използващите го на работа | 39% (през януари 18%); основен инструмент при 31% | 21% (преди година 29%) | 16% (през януари 3%) | 12% (през януари 18%) | Junie ~9%, OpenCode 7%, Antigravity 6% |
| [Stack Overflow](https://survey.stackoverflow.co/2026/ai), 2026 г. | 30 хил. разработчици, дял сред потребителите на кодови агенти | 66% | 59% | — | — | — |
| [Pragmatic Engineer](https://newsletter.pragmaticengineer.com/p/ai-tooling-2026), януари–февруари 2026 г. | 906 читатели на бюлетина | 71% | 46% | — | 39% | Gemini CLI и Antigravity ~10% |

- **Потребители.** Copilot има почти 80 млн инсталации на разширението за VS Code и, според преразказите на отчета на Microsoft, 50 млн потребители; в тези цифри влизат всички, които имат разширението, а не само тези, които използват агента. Codex през лятото имаше 5 млн активни потребители седмично.
- **Изтегляния от npm** за последната седмица на октомври: Codex – 27 млн, Claude Code – 12,8 млн, OpenCode – 4,5 млн, OpenClaw – 3,5 млн, Copilot CLI – 1,7 млн, Gemini CLI – 0,45 млн. Тук влизат CI и ботове, а Claude Code по-често се инсталира със собствения си инсталатор, без да минава през npm – затова това не е броят на хората.
- **Токени в [OpenRouter](https://openrouter.ai/apps)** – шлюз към много модели, който публикува разхода по приложения. На 29 октомври: Codex – 2,6 трлн токена за денонощие, Claude Code – 2,1 трлн, Hermes Agent – 1,9 трлн, Kilo Code – 744 млрд, OpenClaw – 731 млрд, pi – 582 млрд, DeepSeek Harness (девето място) – 271 млрд, Cline – 139 млрд. Това е само трафикът през OpenRouter, тоест най-вече собствени ключове и отворени модели: абонаментите за Claude и ChatGPT тук не попадат.

## Колко harness влияе на резултата

За един и същи модел разликата между най-добрия и най-лошия harness достига 10–20 пункта, а слаб или „чужд“ модел друг harness може да го повиши многократно. Harness на вендора обаче не е непременно най-добрият за собствения му модел, макар вендорите да обучават моделите за своите harness – така открито пишат, например, Google за Antigravity и Meta за Muse Code.

Основният бенчмарк, в който един и същ модел се пуска в различни harness, е [Terminal-Bench](https://www.tbench.ai): задачи в терминала (билд, поправка, настройка на сървър, обучение на модел), всяка в свой контейнер и с проверка с тестове. Отправната точка е Terminus 2, простият harness на самите автори на бенчмарка. Версия 2.0 (ноември 2025 г., 89 задачи) до края на октомври събра 137 записа „модел + harness“; от 29 модела, пуснати в два и повече harness, при 16 разликата между най-добрия и най-лошия harness е над десет пункта:

| Модел | Най-добър harness в Terminal-Bench 2.0 | Най-лош harness | Разлика, пункта |
|---|---|---|---|
| Gemini 3.1 Pro | TongAgents, 80,2% | Gemini CLI, 61,4% | 18,8 |
| GPT-5.5 | NexAU-AHE, 84,7% | clnkr, 66,1% | 18,6 |
| Claude Opus 4.6 | Meta-Harness, 76,4% | Claude Code, 58,0% | 18,4 |
| GPT-5.3-Codex | SageAgent, 78,4% | Terminus 2, 64,7% | 13,7 |
| Claude Opus 4.5 | Droid, 63,1% | OpenCode, 51,7% | 11,4 |

Най-добрите редове са малко известни harness, направени за класацията, но разликата в резултатите показва колко може да се извлече от същия модел.

Harness на вендорите във версия 2.0 се представиха по различен начин. Claude Code с моделите Claude и в петте двойки изоставаше от Terminus 2 с 1–6 пункта, Gemini CLI с моделите Gemini – и в трите двойки, а Codex CLI с моделите на OpenAI и в петте беше по-напред – с 1–14; Factory Droid победи Terminus 2 с всичките пет модела – с 4–13. Част от разликата се обясняваше със самите задачи: през май излезе версия 2.1, в която бяха поправени 28 задачи от 89 – с остарели зависимости или с недостиг на ресурси дори за правилно решение. На нея Claude Code с Opus 4.6 се покачи от 58,0% на 70,1%, Terminus 2 – от 62,9% на 63,8%, и изоставането от пет пункта стана преднина от шест. Като цяло във версия 2.1 harness на вендорите се отличават от Terminus 2 в диапазона от −8 до +5 пункта.

### Експерименти, в които са сменяли само harness

- **LangChain** [взе](https://www.langchain.com/blog/improving-deep-agents-with-harness-engineering) gpt-5.2-codex и променяше само своя harness Deep Agents – в частност, добави самопроверка преди завършване и откриване на зацикляне. Резултатът в Terminal-Bench 2.0 нарасна от 52,8% на 66,5% и тази цифра е в официалната таблица. За Deep Agents и LangGraph има [отделна статия](/bg/langchain-langgraph/).
- **Can Bölük** [сравни](https://stencil.so/blog/the-harness-problem) три формата за редактиране на файлове: `apply_patch`, както в Codex, `str_replace`, както в Claude Code, и собствен hashline, при който редовете се адресират с къси хешове. При 16 модела hashline победи патча при 14, средно с 15 пункта; при Grok Code Fast 1 резултатът нарасна от 6,7% на 68,3%. Задачите са синтетични, а авторът продава собствен harness, но ефектът е известен отдавна: в Aider още в края на 2023 г. резултатът на GPT-4 Turbo нарастваше повече от два пъти само от смяната на формата на редакциите.

### Доколко може да се вярва на бенчмарковете

- **Хардуер.** [Anthropic измери](https://www.anthropic.com/engineering/infrastructure-noise), че само ресурсите на контейнера движат резултата в Terminal-Bench 2.0 с шест пункта, и съветва да не се вярва на разлика под три пункта, докато конфигурациите не съвпаднат.
- **Нагласяне.** През април таблицата на Terminal-Bench беше [почистена](https://www.tbench.ai/news/leaderboard-integrity-update): един harness пазеше криптирани решения в двоичния си файл, друг зареждаше тестовете на задачата, а ForgeCode изтегляше готови решения в собствения си `AGENTS.md`. Резултатите на ForgeCode бяха анулирани, а всеки успешен опит сега се проверява от отделен агент-съдия.
- **SWE-bench** – набор от задачи от реални GitHub issue. Неговата версия Verified, главната цифра на 2024–2025 г., загуби доверие: през февруари OpenAI [спря да я публикува](https://openai.com/index/why-we-no-longer-evaluate-swe-bench-verified/) – одитът откри дефектни тестове поне в 59% от задачите, на които моделите най-често грешаха, а моделите умееха да възпроизвеждат еталонните патчове по памет. SWE-bench Pro от Scale, предложен като замяна, Epoch AI [оценява](https://epoch.ai/benchmarks/swe-bench-pro/review) като „с дефекти“: според одитите 30% и повече от задачите са счупени; освен това той сравнява моделите в един неутрален harness, а не продуктите.
- **Живи разработчици.** [METR](https://metr.org/blog/2026-02-24-uplift-update/) през 2025 г. получи забавяне на опитните разработчици с ИИ с 19%, а при повторението през февруари – ускоряване с 4–18%, но самият той нарича този сигнал ненадежден: участниците отказваха да работят без ИИ.

## Harness за програмиране: сравнение

### Резултати от бенчмарковете

Тук вече се сравняват продуктите: модел в harness, като правило на собствения му вендор. Ориентирите са два. [Terminal-Bench 4.0](https://www.tbench.ai) – текущата версия (август, 66 задачи); в нея почти всеки модел е пуснат само в harness на своя вендор, затова влиянието на самия harness тя не показва. [Индексът на кодовите агенти на Artificial Analysis](https://artificialanalysis.ai/agents/coding-agents) се изчислява върху три набора от задачи. Тирето означава, че продуктът не е в класацията.

| Harness | Модел | Terminal-Bench 4.0 | Индекс на Artificial Analysis |
|---|---|---|---|
| Claude Code | Opus 5.5 | 64,8% | 62 |
| Claude Code | Sonnet 5.5 | 61,8% | 59 |
| Antigravity CLI | Gemini 4 Carbon | — | 59 |
| Muse Code (Meta) | Muse | — | 59 |
| Codex | GPT-6 Astra | 58,2% | 55 |
| Codex | GPT-6.1 Sol | 58,2% | — |
| OpenCode | GLM-5.3 | — | 49 |
| Mistral Vibe | Mistral Large 4 | — | 48 |
| DeepSeek Harness | DeepSeek V4.1 Flash | — | 46 |
| Claude Code | GLM-5.3 | 41,8% | — |
| Kimi Code | Kimi K3 | — | 41 |
| Grok Build (xAI) | Grok | 37,6% | — |

Пълното изпълнение на Terminal-Bench 4.0 струваше $600 за Codex с GPT-6.1 Sol и $4700 за Claude Code с Opus 5.5. По данни на Artificial Analysis Codex решава задача средно за 24 минути и $1,5–7, Claude Code с Opus 5.5 – за час и $11,4, Mistral Vibe – за $1,26.

### Разработчик, лиценз, развитие

| Harness | Разработчик | Лиценз | Звезди в GitHub | Темп на релизите |
|---|---|---|---|---|
| Claude Code | Anthropic | затворен; пясъчникът, GitHub Action и Python SDK са отворени | кодът е затворен | ~6 стабилни на седмица |
| Codex | OpenAI | CLI – Apache-2.0; разширението за IDE и облакът са затворени | 132 хил. | 2–3 стабилни на седмица |
| Cursor | Anysphere; от 14 август е собственост на SpaceX ([документ за SEC](https://www.sec.gov/Archives/edgar/data/1181412/000162828026056945/spcx-20260814.htm)) | затворен | кодът е затворен | минорен релиз на седмица |
| GitHub Copilot | GitHub (Microsoft) | CLI е затворен; VS Code, Copilot Chat и SDK – MIT | CLI е затворен | VS Code – всяка седмица, CLI – ~2 на седмица |
| Antigravity | Google | затворен; Gemini CLI – Apache-2.0 | кодът е затворен; при Gemini CLI 109 хил. | 4–5 релиза на CLI на седмица |
| OpenCode | Anomaly, екипът на фреймуърка SST | MIT | 223 хил. | ~3 на седмица |
| Cline | Cline Bot Inc. | Apache-2.0; плъгинът за JetBrains е затворен | 71 хил. | почти всеки ден |
| Kilo Code | Kilo Code Inc.; от юли е собственост на Anaconda | MIT | 28 хил. | почти всеки ден |
| pi | Earendil | MIT | 119 хил. | ~2 на седмица |
| DeepSeek Harness | DeepSeek | MIT | 266 хил. за 11 седмици; историята на растежа не успяхме да я проверим | 35 пре-релиза, стабилни няма |
| Qwen Code | Alibaba | Apache-2.0 | 29 хил. | нощни билдове всеки ден |
| Goose | Linux Foundation | Apache-2.0 | 56 хил. | веднъж седмично |

### Интерфейси, модели и цени

| Harness | Къде работи | Модели | Локални модели | Цена |
|---|---|---|---|---|
| Claude Code | терминал, VS Code, JetBrains, приложение, уеб, телефон, Slack | Claude: Fable 5.1, Opus 5.5, Sonnet 5.5, Haiku 5.5; чужди – чрез подмяна на адреса на API, без поддръжка от Anthropic | официално няма | Pro от $20, Max от $100 или API |
| Codex | терминал, VS Code и форковете му, приложението ChatGPT, телефон, GitHub, Slack, Linear | OpenAI: GPT-6 Astra, GPT-6.1 Sol, Terra, Luna; външни – чрез Responses API | Ollama, LM Studio | ChatGPT Plus $20, Pro от $100 или API без облачни функции |
| Cursor | собствен редактор (форк на VS Code), CLI, SDK, iOS, Slack, GitHub, GitLab, Linear, Jira | всички големи вендори, собствени Composer 2.5 и Grok 4.5–4.7; заявките винаги минават през сървърите на Cursor | не | $8–200 на месец; от 12 октомври Claude, GPT и Gemini – по цената на API от предплатена сума |
| GitHub Copilot | VS Code, CLI, приложение, GitHub, JetBrains, Xcode, Visual Studio, Slack, Teams, Linear, Jira | OpenAI, Anthropic, Google, xAI, Microsoft, Moonshot; собствен ключ в CLI | в CLI | безплатно; Pro $10, Pro+ $39, Max $100; от юни плащането е с токени |
| Antigravity | приложение, CLI `agy`, IDE, разширения, SDK | Gemini 4 и 3.x, при платените планове Claude Sonnet и Opus 5.5 – всичко на сървърите на Google | само чрез SDK | безплатно със седмични лимити; AI Pro ~$20, AI Ultra $100 или $200 |
| OpenCode | терминал, приложение (бета), уеб, сървър със SDK | всякакви: каталогът models.dev, OpenAI-съвместими адреси; вход с абонамента за ChatGPT | Ollama | безплатно със собствен ключ; OpenCode Go от $10 за отворени модели |
| Cline | VS Code и форковете му, JetBrains, CLI, приложение, SDK | всякакви | да, със „съкратен“ промпт | безплатно със собствен ключ; ClinePass $9,99 |
| Kilo Code | VS Code, JetBrains, CLI, приложение, Slack | 500+ през собствен шлюз | да | безплатно със собствен ключ |
| pi | терминал, SDK | всякакви | да | безплатно със собствен ключ |
| DeepSeek Harness | уеб, приложение, терминал по желание, SDK | DeepSeek, а също Anthropic, OpenAI, Moonshot, Z.ai | няма данни | API на DeepSeek: V4.1 Flash – $0,15 за милион входни и $0,60 за милион изходни токена; абонамент няма |
| Qwen Code | терминал, приложение, уеб, VS Code, Zed, JetBrains, Telegram, DingTalk, WeChat, Feishu | Qwen; пресети за DeepSeek, Kimi, GLM, MiniMax, Grok, OpenRouter | да | абонамент за Alibaba или собствен ключ; безплатният вход е отменен през април |
| Goose | приложение за macOS, Linux и Windows, CLI, API | повече от 15 доставчици; абонаментите за Claude, ChatGPT и Gemini – през ACP | Ollama, LM Studio, Docker Model Runner, вграден инференс | безплатно със собствен ключ |

Абонаментите за Claude, ChatGPT и Google са ограничени с петчасови прозорци и седмични лимити, така че „Pro за $20“ е вход, а не безлимит. Абонаментът за Claude освен това работи само в продуктите на Anthropic, затова, например, OpenCode стига до моделите на Claude през инсталиран наблизо Claude Code. В обратната посока пътят е отворен: моделите DeepSeek, GLM и Kimi се свързват с Claude Code чрез променливата `ANTHROPIC_BASE_URL` – вендорите им го документират ([инструкция на DeepSeek](https://api-docs.deepseek.com/quick_start/agent_integrations/claude_code)), а Anthropic такъв режим не поддържа.

За напълно локална работа на обикновен компютър по размер са подходящи модели с 20–30 млрд параметъра като Qwen3.8-27B или Devstral Small 2; отворените флагмани на DeepSeek, GLM и Kimi тежат от стотици милиарди до трилиони параметри и изискват сървър ([как да се стартират модели на собствен хардуер](/bg/llama-cpp/)).

### Настройка: инструкции, скилове, субагенти, хукове

| Harness | Инструкции и правила | Скилове | Субагенти | Хукове | ACP |
|---|---|---|---|---|---|
| Claude Code | `CLAUDE.md` на четири нива, правила с привързване към пътища; `AGENTS.md` – само ако няма `CLAUDE.md` | `.claude/` | със собствен модел и инструменти | 33 събития | чрез адаптер |
| Codex | `AGENTS.md` по веригата от папки; правила по пътища и импорти няма | `.agents/` | описват се в TOML | 12 събития | чрез адаптер |
| Cursor | `.cursor/rules` с четири режима на включване: винаги, по решение на модела, по маска, ръчно; екипни правила; `AGENTS.md` | `.agents/`, `.cursor/`, а също `.claude/` и `.codex/` | собствени, а също от `.claude/` и `.codex/` | 21 събития; хуковете на Claude Code се подхващат | да |
| GitHub Copilot | `copilot-instructions.md` и правила по пътища; `AGENTS.md`, `CLAUDE.md`, `GEMINI.md` | `.github/`, `.claude/`, `.agents/` | файлове `*.agent.md`; вградени – от изследовател до ревюър по сигурността; паралелен `/fleet` | 14 събития; хуковете на Claude Code се подхващат | превю |
| Antigravity | `AGENTS.md`, `GEMINI.md`; правила в `.agents/rules` с тригери | `.agents/`; в CLI всеки скил е команда | да; `/teamwork` | 6 събития | да |
| OpenCode | `AGENTS.md`; втората версия не чете `CLAUDE.md` | собствени, `.claude/`, `.agents/` | с Markdown файлове | плъгини на TypeScript | да |
| Cline | `.clinerules`, `AGENTS.md`, `.cursorrules` | `.cline/`, `.clinerules/`, `.claude/` | само извън IDE | плъгини на SDK | да |
| Kilo Code | `AGENTS.md`, `.kilo/rules` | `.agents/` | с Markdown файлове | плъгини със събития | да |
| pi | `AGENTS.md` | с пакети от npm или git | не | разширения | чрез адаптер |
| DeepSeek Harness | няма данни | да | включително такива, които предават задачата на Claude Code или Codex | във форматите на Claude Code и Codex | да |
| Qwen Code | `QWEN.md`, `AGENTS.md` | `.agents/` | включително такива, които предават задачата на Claude Code или Codex | със събитията на Claude Code | да |
| Goose | `AGENTS.md`, `.goosehints` | `.agents/` | да | със събитията на Claude Code | да |

Файловете от папката `.claude` частично четат и други harness: Cursor, Copilot, Cline, OpenCode, Devin и Junie.

### Изолация и работа без човек

| Harness | Пясъчник на ОС | Облачен режим | Без интерфейс |
|---|---|---|---|
| Claude Code | по желание, macOS и Linux; покрива само командите на обвивката | виртуални машини на Anthropic | `claude -p` с JSON и лимит на бюджета, GitHub Action, GitLab CI |
| Codex | включен на macOS, Linux и Windows: запис само в работната папка, мрежата е затворена | виртуална машина за задача | `codex exec` с JSONL и схема на отговора, GitHub Action, сървър `app-server` |
| Cursor | работи в режима по подразбиране, macOS и Linux; Windows – само през WSL2 | микро-виртуални машини Firecracker; собствени воркъри в Kubernetes | `agent -p` с JSON; готови GitHub Action и Docker образ няма |
| GitHub Copilot | по желание от 7 октомври: macOS, Linux, Windows 11 | еднократна среда с файрвол; качва промени само в клонове `copilot/…` | `copilot -p` с JSON, GitHub Agentic Workflows |
| Antigravity | на три ОС; в приложението е включен, в CLI е изключен | Managed Agents в превю | `agy -p` с JSON и схема на отговора, отдалечено управление |
| OpenCode | няма; правила за разрешения, по собствената политика за сигурност, „не е пясъчник“ | няма | `opencode run` с JSON, `opencode serve`, Docker; GitHub Action е премахнат през октомври |
| Cline | няма | облачни агенти | CLI |
| Kilo Code | по желание, macOS и Linux | облачен агент | `kilo run`, сървър |
| pi | няма | няма | JSON, RPC, SDK |
| DeepSeek Harness | плъгини за пясъчник, по собствената политика – без гаранции за изолация и без одит | няма | профил headless |
| Qwen Code | само Linux: bubblewrap или Landlock | няма | `qwen -p`, сървър, GitHub Action |
| Goose | няма | няма | режим за CI, отдалечен сървър, Docker |

Всеки от тези harness може да се стартира във виртуална машина: всички работят на Linux и поддържат режим без интерфейс. По-важно е какво ще защити машината, когато се отдалечите от нея: където пясъчникът не е включен по подразбиране, той трябва да се включи или harness да се сложи в контейнер. Режимите, в които разрешенията се раздават от отделен модел-класификатор – auto при Claude Code, Auto-review при Cursor, Assisted при Copilot – спестяват потвърждения, но самите вендори не ги смятат за граница на сигурността.

Паралелните сесии се изолират една от друга с отделни git worktree – така са устроени Claude Code, Kilo Code и субагентите на Antigravity. Промените се връщат с чекпойнти (Claude Code, Cline), снимки (OpenCode) или, както в Codex, само през git.

### Уязвимости за 2026 г.

| Harness | Публикувани уязвимости |
|---|---|
| Claude Code | 16 |
| Cursor | 9, от които две критични с излизане от пясъчника |
| Codex | 4 |
| OpenCode | 2 сериозни, и двете през януари |
| Copilot CLI | 2, плюс петнайсетина във VS Code |
| Gemini CLI | 1, с максимална оценка за опасност |

Сметката зависи и от това дали вендорът публикува отчети: при затворените продукти без публичен канал такава няма изобщо. Сценариите при всички са едни и същи: настройки от чуждо хранилище, които изпълняват код, заобикаляне на диалога за доверие към проекта и излизане от пясъчника.

## Harness за програмиране: профили

### Claude Code

- **Особености:** в Claude Code плъгините се инсталират с една команда от маркетплейса, а експерименталните екипи от агенти и работните потоци раздават работа на стотици субагенти.
- **През 2026 г.:** от Claude Code изтекоха изходните кодове през source map.

Подробно: [практики](/bg/claude-code-best-practices/), [хукове](/bg/claude-code-hooks/), [команди и настройки](/bg/claude-code-commands-and-settings/), [документация](https://code.claude.com/docs).

### OpenAI Codex

- **Особености:** в пясъчника на Codex служебните `.git`, `.agents` и `.codex` са достъпни само за четене, файловете `.rules` решават кои команди могат да излязат навън, а отгоре работи агент-страж.
- **Ограничения:** външни пул рекуести в отворения CLI на Codex не се приемат; функциите често се изтриват и преименуват – през септември беше премахнат режимът на MCP сървър.
- **През 2026 г.:** приложението Codex беше слято с ChatGPT.

[Код](https://github.com/openai/codex) · [документация](https://learn.chatgpt.com/docs/)

### Cursor

- **Особености:** в Cursor има Projects, където координатор раздава работа на изпълнители, и собствен git хостинг Origin (бета); собствените модели Composer – втората версия е изградена върху отворения Kimi K2.5.
- **Ограничения:** механизмът за доверие към работната папка в Cursor по подразбиране е изключен.
- **През 2026 г.:** през април излезе Cursor 3 с прозорец за агенти; след като SpaceX купи Cursor, OpenAI, по съобщения на пресата, [прекратява](https://openai.com/index/our-decision-on-cursor-following-its-acquisition-by-spacex/) прекия достъп на Cursor до моделите си от 12 ноември.

[Документация](https://cursor.com/docs)

### GitHub Copilot

- **Особености:** в Copilot към една задача в GitHub може да се назначат още и агентите Claude и Codex; има автоматичен избор на модел и режим Fusion, при който моделите работят каскадно или се проверяват един друг.
- **През 2026 г.:** през февруари Copilot CLI излезе от превю; от 28 октомври общият двигател на Copilot се нарича Microsoft Copilot harness.

[Документация](https://docs.github.com/en/copilot)

### Google Antigravity и Gemini CLI

- **Какво е положението с продуктите:** Google събра кодовите си продукти в Antigravity – нова програма на Go, а не форк. Gemini CLI от 18 юни е [само за корпоративни клиенти](https://developers.googleblog.com/en/an-important-update-transitioning-gemini-cli-to-antigravity-cli/) и „не е оптимизиран за Gemini 4+“; Jules се закрива на 31 декември; Code Assist от 9 октомври не се продава.
- **Особености:** Antigravity импортира разширенията на Gemini CLI и плъгините на Claude Code.

[Документация](https://antigravity.google/docs)

### OpenCode

- **Ограничения:** втората версия на OpenCode (септември) чупи плъгините, API на сървъра и формата на конфигурацията.

[Хранилище](https://github.com/anomalyco/opencode) · [документация](https://opencode.ai/v2/docs)

### Cline и Kilo Code

Cline е оригиналът, Kilo Code – неговият наследник, преместил се върху форк на OpenCode. Третият от семейството, Roo Code, е закрит през май; общността го продължава с форка Zoo Code.

- **Особености:** Cline привлече $32 млн инвестиции, беше пренаписан върху собствен SDK и се сдоби с канбан дъска за задачи.

[Cline](https://github.com/cline/cline) · [Kilo Code](https://github.com/Kilo-Org/kilocode)

### pi

- **Кой:** pi е написан от Марио Цехнер (Mario Zechner); от април проектът е собственост на компанията Earendil, версия 1.0 излезе на 1 октомври.
- **Особености:** върху pi са построени OpenClaw, MiniMax Code, Kimi Code и CLI на Augment Code; системният промпт на pi е по-кратък от хиляда токена, а разширенията, скиловете и шаблоните за промптове се инсталират като пакети.
- **Ограничения:** в pi няма режим на планиране и система за разрешения.

[Хранилище](https://github.com/earendil-works/pi)

### DeepSeek Harness

- **Особености:** DeepSeek Harness излезе през август 2026 г.; принципът му е „всичко е плъгин“; има разписания и уебхукове за ревю в GitHub.

[Хранилище](https://github.com/deepseek-ai/deepseek-harness)

### Qwen Code

- **Особености:** Qwen Code израсна от Gemini CLI; има SDK за TypeScript, Python и Java и режими от „само план“ до автоматичен с класификатор.

[Хранилище](https://github.com/QwenLM/qwen-code)

### Goose

- **Кой:** Goose е създаден в Block (Square, Cash App) и стана един от трите проекта, с които започна Agentic AI Foundation.
- **Особености:** в Goose има прослойка за модели, които лошо извикват инструменти; рецептите са YAML описания на повтарящи се процеси, които се извикват като команди; повече от 70 разширения-MCP; режими „автономно“, „питай“, „умно потвърждение“, „само чат“ и независим агент-проверител.

[Хранилище](https://github.com/aaif-goose/goose)

### Останалите harness за програмиране

Kimi Code, ZCode и MiniMax Code са устроени еднакво: отворен harness плюс абонамент за модела на собствената лаборатория, който може да се използва и в чужди harness. И трите четат `AGENTS.md` и разбират MCP, скилове и хукове в стила на Claude Code.

| Harness | Разработчик | С какво е интересен |
|---|---|---|
| [Kimi Code](https://github.com/MoonshotAI/kimi-code) | Moonshot | MIT; абонамент за Kimi от плана Plus; Tower – паралелни задачи в собствени клонове с независим проверител; импорт на сесии на Claude Code и Codex; пясъчник няма, телеметрията е включена |
| [ZCode](https://github.com/zai-org/ZCode) | Z.ai | Apache-2.0; GLM Coding Plan от $18; приложение, уеб и терминал в едно; в хранилището има двама участници за тримесечие |
| [MiniMax Code](https://github.com/MiniMax-AI/minimax-code) | MiniMax | MIT за собствения код; абонамент M Plan, цените не са публикувани; цялата телеметрия е изключена |
| Aider | Пол Готие | Apache-2.0, 50 хил. звезди; един от първите терминални агенти: карта на хранилището, режим „архитект + редактор“, комит на всяка редакция; последният релиз е през август 2025 г., MCP, скилове и хукове няма; агентните функции ги добавя форкът [cecli](https://github.com/cecli-dev/cecli) |
| Devin | Cognition | бившият Windsurf стана Devin Desktop; облачна виртуална машина за сесия и прехвърляне на локална сесия в облака; чете правилата на Claude, Cursor и Windsurf; ACP |
| Kiro | AWS | разработка по спецификация: изисквания, дизайн, задачи, код; CLI е бившият Amazon Q CLI; пясъчникът е изключен; планове до $200 с кредити |
| Junie | JetBrains | агент в IDE на JetBrains и CLI със собствен ключ, включително Ollama; хуковете са съвместими с Claude Code; 71% в Terminal-Bench 2.0 с комбинация от няколко модела |
| Factory Droid | Factory | версия 1.0 – 29 октомври; всякакви модели, включително локални |
| Amp | Amp, бивша част от Sourcegraph | избор на модел няма – четири режима от GLM-5.3-Flash до Fable 5.1; нито потвърждения, нито пясъчник |
| Warp | Warp | терминал с агенти, клиентът е под AGPL-3.0; стартира Claude Code, Codex и OpenCode; десет уязвимости през юни |
| Augment Code | Harness е CI/CD компания, съвпадението с термина е случайно | през октомври Harness купи облачните му агенти и CLI; плюс 40% към цената на токените |
| Zed | Zed Industries | редактор с външни агенти през ACP, всеки в свой worktree; собственият агент чете почти всички формати правила и работи в пясъчник на ОС |
| OpenHands | All Hands AI | MIT, 92 хил. звезди; Agent Canvas стартира всеки ACP агент локално, в Docker, на виртуална машина или в облака |
| Mistral Vibe | Mistral | Apache-2.0; субагенти, скилове, хукове, ACP |
| Crush | Charm | терминален агент на Go с LSP и автоматично откриване на локални модели; лицензът е FSL – не е open source в строгия смисъл |
| Grok Build | xAI | терминален агент за моделите Grok |
| Muse Code | Meta | терминален агент за моделите Muse |

Continue е достъпен само за четене, Trae Agent на ByteDance е изоставен от февруари.

## Универсални агенти

Кодовият harness е инструмент по заявка: давате му задача, той я изпълнява, сесията приключва (разписания и облачни задачи при тях вече има, но същината е същата). Универсалният агент е процес, който работи постоянно: на вашия компютър, на нает сървър или в облака на вендора. Вътре всичко е същото – модел, цикъл на извикване на инструменти, скилове, субагенти, MCP, – а разликите са три:

- **Канали вместо терминал.** Агентът е шлюз, към който са свързани Telegram, WhatsApp, Slack, поща. Можете да му пишете от телефона и да му пишат не само вие.
- **Разписание и инициатива.** Агентът не чака съобщение: на всеки половин час проверява пощата, сутрин изпраща обобщение, следи цената на билет.
- **Дълга памет.** Не историята на една сесия, а натрупани бележки за вас и вашите дела.

### Сравнение на универсалните агенти

| Агент | Лиценз | Къде работи | Модели | Канали | Защита по подразбиране |
|---|---|---|---|---|---|
| OpenClaw | MIT | вашият компютър, VPS или Docker | ~23 облачни доставчици и локални: Ollama, LM Studio, vLLM, llama.cpp | 33 канала, от Telegram до iMessage | няма: пясъчникът за инструменти (Docker, Podman, SSH) е изключен, шлюзът винаги работи на хоста |
| Hermes Agent | MIT | при вас – от VPS за $5 до клъстер – или в облачен пясъчник | 300+ през Nous Portal, всякакви съвместими, локални | 20+ канала, включително поща и SMS | потвърждения на опасни команди |
| ChatGPT Work | затворен | облакът на OpenAI | OpenAI | приложение, iMessage в бета | облачна машина |
| Claude Cowork | затворен | облакът на Anthropic; при Pro и Max от 6 октомври само той | Claude | приложение, телефон | виртуална машина за сесия |
| Gemini Tasks (бивш Spark) | затворен | облакът на Google | Gemini | приложение, собствена поща | облачна машина |
| Manus | затворен | облак | избира сам | приложение, Telegram | облачен пясъчник |

### OpenClaw

- **Кой:** OpenClaw е създаден от Питър Щайнбергер (Peter Steinberger), основател на PSPDFKit, който от февруари работи в OpenAI; от юли проектът е в независим фонд, сред спонсорите са OpenAI, NVIDIA, Microsoft и Tencent. Предишните имена са Warelay, Clawdis, Clawdbot и Moltbot. Около 393 хил. звезди, 384 участника, релизи почти всеки ден.
- **Настройка:** `AGENTS.md` – инструкции, `SOUL.md` – характер и граници, `USER.md` – какво агентът знае за вас, `MEMORY.md` и дневните бележки – памет; скилове във формата Agent Skills от регистъра ClawHub.
- **Памет:** Markdown файлове с търсене по думи и по смисъл; преди компресирането на контекста агентът запазва важното в паметта, а фоновият режим на „сънуване“ пренася утвърдилите се факти в `MEMORY.md`. Скиловете агентът може да пише и обновява сам.
- **Автоматизация:** разписание, уебхукове, тригери от Gmail, MCP; субагентите са фонови сесии със собствен модел, които връщат резултата в основния разговор.
- **Ограничения:** според документацията на OpenClaw един шлюз е една граница на доверие, а не среда за няколко потребители; вход с абонамента за ChatGPT има, с абонамента за Claude – няма.

[Хранилище](https://github.com/openclaw/openclaw) · [документация](https://docs.openclaw.ai)

### Hermes Agent

- **Кой:** Hermes Agent се прави от Nous Research, автор на отворените модели Hermes; агентът излезе няколко седмици след бързия възход на OpenClaw. Python, около 259 хил. звезди – от май плюс 98 хиляди срещу 20 при OpenClaw; 397 участника.
- **Самообучение:** от време на време агентът преглежда направеното и запазва извода в паметта или създава и редактира скил, за да реши следващия път задачата по готова процедура.
- **Памет:** нарочно малка – `MEMORY.md` около 2200 знака, `USER.md` около 1400; вмъква се като снимка в началото на сесията, за да не се чупи кешът на промпта; плюс пълнотекстово търсене във всички сесии.
- **Изпълнение:** шест бекенда – хост, Docker, SSH, Modal, Daytona, Vercel Sandbox; платен хостинг от $20 до $200 на месец.
- **Скилове и субагенти:** Agent Skills от хъб с няколко източника, включително ClawHub, със скенер при инсталиране; до десет субагента паралелно.
- **Ограничения:** опасността на командата в Hermes се оценява от помощен модел, а в контейнерните бекенди тези проверки са изключени; документацията признава, че истинската граница е само операционната система.

[Хранилище](https://github.com/NousResearch/hermes-agent) · [документация](https://hermes-agent.nousresearch.com/docs/)

### Леки алтернативи на OpenClaw

След OpenClaw се появи семейство „щипки“ (claws) – агенти от същия тип, написани наново и различаващи се по размер или изолация. Независим одит за сигурността на нито един от тях не намерих.

| Проект | Лиценз | Език | Звезди | С какво се отличава |
|---|---|---|---|---|
| [nanobot](https://github.com/HKUDS/nanobot) | MIT | Python | ~50 хил. | свръхлек агент от Хонконгския университет; уеб интерфейс, Telegram, Discord, Slack, WeChat, поща, MCP |
| [ZeroClaw](https://github.com/zeroclaw-labs/zeroclaw) | Apache-2.0 / MIT | Rust | ~33 хил. | един бинарен файл, 30+ канала, по подразбиране работи под надзор, пясъчници Landlock, Bubblewrap, Seatbelt и Docker |
| [NanoClaw](https://github.com/nanocoai/nanoclaw) | MIT | TypeScript | ~31 хил. | всяка сесия в свой контейнер, ключовете в контейнера не попадат; вътре е Claude Agent SDK |
| [PicoClaw](https://github.com/sipeed/picoclaw) | MIT | Go | ~30 хил. | под 10 МБ памет, работи на платка за $10 |
| [NemoClaw](https://github.com/NVIDIA/NemoClaw) | Apache-2.0 | TypeScript | ~23 хил. | OpenClaw от NVIDIA: пясъчникът OpenShell и моделите Nemotron |
| [IronClaw](https://github.com/nearai/ironclaw) | Apache-2.0 / MIT | Rust | ~13 хил. | инструменти в пясъчник WebAssembly, бели списъци с адреси, тайните се вмъкват на границата |

Редом с тях са [Agent Zero](https://github.com/agent0ai/agent-zero), на който се дава цял Linux с работен плот вътре в Docker, и Microsoft Scout – корпоративна надстройка над OpenClaw с акаунти Entra и контрол върху изтичането на данни.

### Облачни агенти на лабораториите

- **ChatGPT Work (OpenAI)** – наследник на ChatGPT agent; от юли живее в настолния ChatGPT върху технологията Codex: задачи по събитие и разписание, следене на промени, плъгини за Slack, Teams, Google Drive и CRM.
- **Claude Cowork (Anthropic)** – Claude Code за тези, които не пишат код: документи, браузър и управление на екрана с разрешение за всяко приложение; влиза в Pro, Max, Team и Enterprise. От 6 октомври новите задачи при Pro и Max [се изпълняват](https://support.claude.com/en/articles/15520349-use-claude-cowork-on-web-desktop-and-mobile) на сървърите на Anthropic; преди това сесията вървеше във виртуална машина на компютъра на потребителя (Apple Virtualization на macOS, Hyper-V на Windows).
- **Gemini Tasks (Google)**, до преименуването – Gemini Spark: денонощен агент, построен върху Antigravity, със собствен пощенски адрес, отдалечен браузър и компютър в облака, достъп до Workspace, Chrome и MCP. [Достъпен е](https://support.google.com/gemini/answer/17094507?hl=en) за абонатите на Google AI Pro и Ultra, за работни и учебни акаунти е затворен.
- **Perplexity Computer** – облачен „цифров работник“ с ядро на Claude Opus, което раздава подзадачи на десетки модели от различни вендори; от 20 октомври има напълно локален режим на Mac с модела Qwen.
- **Manus** – облачен агент с общо предназначение: Meta го купи през декември 2025 г., през април китайският регулатор блокира сделката и от 1 септември Manus [отново работи](https://manus.im/blog/a-note-to-our-users) независимо. Облачен пясъчник с браузър плюс управление на браузъра на вашия компютър.
- **Останалите:** облачният „служител“ Claw на Genspark и китайските облачни версии на OpenClaw от ByteDance, Tencent и Alibaba.

### Сигурност на универсалните агенти: какво вече се е случило

За OpenClaw са документирани най-много инциденти:

- **Една връзка – и команди на хоста.** Уязвимостта на OpenClaw [CVE-2026-25253](https://thehackernews.com/2026/02/openclaw-bug-enables-one-click-remote.html) (февруари): контролният панел се доверяваше на адреса на шлюза от параметър на връзката и изпращаше натам токен. С откраднат токен можеха да се изключат потвържденията и да се изпълняват команди направо на хоста, заобикаляйки Docker – дори при шлюз, достъпен само от localhost.
- **Злонамерени скилове.** [Одитът](https://thehackernews.com/2026/02/researchers-find-341-malicious-clawhub.html) на всички 2857 скила в ClawHub, регистъра на OpenClaw, откри 341 злонамерени, почти всички от една кампания: „първо инсталирайте това“ – и на машината пристигаше Atomic Stealer, който краде пароли. За публикуване на скил тогава стигаше акаунт в GitHub, по-стар от седмица.
- **Шлюзове в отворения интернет.** През февруари различни сканирания [откриха](https://www.theregister.com/security/2026/02/09/openclaw-instances-open-to-the-internet-present-ripe-targets/5043770) от 40 до 135 хиляди шлюза на OpenClaw, достъпни от интернет, значителна част – с известна уязвимост за отдалечено изпълнение на код.
- **Превземане през браузър.** Атаката [ClawJacked](https://bleepingcomputer.com/news/security/clawjacked-attack-let-malicious-websites-hijack-openclaw-to-steal-data): всеки сайт отваряше WebSocket към шлюза на OpenClaw на вашата машина и налучкваше паролата със стотици опити в секунда – за localhost ограничение на честотата нямаше.
- **Реакция.** Gartner нарече риска от OpenClaw за бизнеса „неприемлив“, китайският CERT – „изключително слаба конфигурация по подразбиране“, в Китай държавните компании бяха ограничени в използването му. През септември [одитът на Trail of Bits](https://openclaw.ai/blog/openclaw-trail-of-bits-engagement-recap/) откри 0 критични и 2 сериозни проблема, всичко е закрито.

Общо за OpenClaw има [722 публикувани известия](https://github.com/openclaw/openclaw/security/advisories) за уязвимости, от които 14 критични и 249 с висока важност. Пикът беше през февруари и март – 220 и 204 известия; към лятото потокът спадна до няколко десетки на месец.

При Hermes във външни бази има 10–12 CVE, случаи на експлоатация и злонамерени скилове не са намерени, макар хъбът му да може да инсталира скилове и от ClawHub. При Claude Cowork през юли изследователите [показаха](https://labs.cloudsecurityalliance.org/research/csa-research-note-claude-cowork-sharedroot-sandbox-escape-20/), че виртуалната машина на сесията монтираше цялата файлова система на хоста за запис и през верига от грешки в ядрото на Linux от госта можеше да се стигне до файловете на хоста. Anthropic закри отчета като „информационен“; поправка за локалния режим няма.

Класовете проблеми се повтарят от продукт на продукт:

- отвореност по подразбиране – шлюзът е достъпен от мрежата, а не само от вашата машина;
- верига на доставки – злонамерени скилове, плъгини и инсталатори;
- разрешения, които се губят по пътя: проверката е минала на първата стъпка на задачата, а действието се изпълнява на петата, вече в друг контекст;
- контейнерът като единствена граница – докато в него не се намери дупка;
- промпт инжекции, които вендорите не смятат за уязвимост.

### Колко добре работят универсалните агенти

Независимо сравнение на OpenClaw, Hermes и облачните агенти върху един и същ модел няма.

- **Реална работа – [Remote Labor Index](https://labs.scale.com/papers/rli).** Scale AI и CAIS взеха 240 истински поръчки от фрийланс борси – дизайн, видео, данни, документи – и зачитат резултата, ако не е по-лош от този на нает човек. През октомври 2025 г. най-добър беше Manus: той доведе до приемане 2,5% от поръчките, ChatGPT agent – 1,3%. В [юлското измерване](https://safe.ai/blog/significant-increase-in-digital-labor-automation) най-добрият модел, Claude Fable 5, е с 15,8%, Opus 4.8 – 8,3%, GPT-5.5 – 6,3%, Opus 4.6 в обвивката Cowork – 4,2%, Manus 1.6 Max – 2,9%. Моделите на Anthropic при това работеха в Claude Code, моделите на OpenAI – в Codex CLI, и двата с инструмент за управление на екрана.
- **Бенчмаркове в рамките на собствения harness.** [PinchBench](https://pinchbench.com) от Kilo пуска моделите върху задачи на OpenClaw: 147 задачи, лидерите набират 88–93,5% и първите десет модела се побират в шест пункта. Hermes Bench от самата Nous: 150 задачи, Claude Opus 5.5 – 76,7 при $0,52 на задача, Claude Haiku 5.5 – 71,0 при $0,015. Разликата в качеството е шест пункта, в цената – тридесет и пет пъти. И двата бенчмарка сравняват модели в един harness, а не различни harness помежду им.
- **Отделни умения на моделите.** В OSWorld-Verified (управление на компютър) най-добрите модели набират около 86% при човешко ниво 72%, в BrowseComp (търсене в уеб) – около 92%. В новия, по-дълъг OSWorld 2.0, по външни обобщения, Opus 4.8 набира около 21% вместо 83%.

## Код и данни: какво обещават вендорите

Harness изпраща на доставчика на модела всичко, което агентът е прочел или е получил от командите: файлове, изход от тестове, диффове, а ако агентът е отворил `.env` – и съдържанието му. Дали тези данни ще отидат в обучението, колко време се пазят и къде, определя договорът с вендора на модела и типът план, а не самият harness.

### Обучение и съхранение

| Вендор | Обучение: лични планове | Обучение: бизнес планове и API | Колко се пазят | Нулево съхранение |
|---|---|---|---|---|
| Anthropic: Claude Code, Cowork | Free, Pro, Max: [да](https://code.claude.com/docs/en/data-usage), докато потребителят не изключи настройката „Help improve our AI models“ (условия от 8 октомври 2025 г.); отзиви през `/feedback` и диалози, маркирани от системата за сигурност, могат да се използват и при изключена настройка | Team, Enterprise, API, Bedrock, Vertex: не, търговските условия го забраняват | лични планове: 30 дни, при включено обучение – до 5 години; бизнес планове: 30 дни; маркирани диалози – до 2 години | за Enterprise и API – по договаряне с Anthropic; облачните сесии и Cowork не попадат под него; Fable 5 и 5.1, Mythos 5 и 5.1 [се пазят](https://support.claude.com/en/articles/15425695-covered-models) не по-малко от 30 дни на всяка платформа |
| OpenAI: Codex, ChatGPT Work | Free, Plus, Pro: да по подразбиране, изключва се с обща с ChatGPT настройка; Codex има отделен превключвател за контекста на облачните среди | Business, Enterprise, Edu, API: не по подразбиране | API: логове за проверка на злоупотреби – до 30 дни; бизнес планове – по настройките на работното пространство; състоянието на облачна задача на Codex – 7 дни | API – след одобрение от OpenAI; облачният режим на ChatGPT Work строго нулево съхранение [не дава](https://learn.chatgpt.com/docs/enterprise/chatgpt-work-cloud-security) |
| Google: Antigravity, Gemini CLI, Code Assist | за лични акаунти, включително AI Pro и Ultra, Gemini CLI и Code Assist от 18 юни са изключени, вместо тях е предложен Antigravity: взаимодействията [се използват](https://antigravity.google/terms) за подобряване на продуктите на Google и могат да се преглеждат от служители и външни изпълнители; това се управлява от превключвателя „Enable Telemetry“ | Code Assist Standard и Enterprise, Antigravity през Google Cloud: не; Gemini API без плащане – да, с проверка от хора; с плащане – не | Code Assist Standard и Enterprise не [пазят](https://docs.cloud.google.com/gemini/docs/codeassist/security-privacy-compliance) заявките; при Antigravity за лични акаунти срокът не е посочен | няма данни |
| GitHub Copilot | Free, Pro, Pro+, Max: от 24 април 2026 г. [да](https://github.blog/news-insights/company-news/updates-to-github-copilot-interaction-data-usage-policy/), докато потребителят не изключи настройката; данните могат да получават свързани компании, включително Microsoft, но не външни доставчици на модели | Business, Enterprise и лични акаунти в платени организации: не, това го забранява договорът | чат в github.com, в мобилното приложение и облачният агент – по [съобщението](https://github.blog/changelog/2026-08-28-upcoming-changes-to-github-copilot-policies-and-billing/), не по-рано от 28 септември, за целия живот на акаунта вместо 28 дни; логовете на облачните сесии не могат да се изтриват, само да се архивират | споразумения с доставчиците на модели, освен Claude Fable 5 и 5.1 |
| Cursor | зависи от режима на поверителност: включен – не, изключен – Cursor [може](https://cursor.com/data-use) да обучава модели върху кода и заявките; стойността по подразбиране за лични акаунти не е посочена | Teams и Enterprise: режимът на поверителност е включен по подразбиране, администраторът може да го заключи | срокове не са посочени; код пазят само облачните агенти, в Enterprise – до 90 дни или безсрочно, по настройка | с режим на поверителност – при всички доставчици, освен Claude Fable 5 и 5.1 |
| JetBrains: Junie | подробни данни с код – [само със съгласие](https://www.jetbrains.com/help/ai/data-collection-and-use-policy.html), могат да се използват за обучение | в организациите е изключено по подразбиране, включва го администраторът | такива данни – една година, в ЕИП | няма данни |
| AWS: Kiro | Free и индивидуални абонаменти: съдържанието [може](https://kiro.dev/docs/privacy-and-security/data-protection/) да се използва за подобряване на услугата, има отказ | Enterprise: не | Free: до 60 дни за проверка на злоупотреби, дори след отказ | няма данни |
| Cognition: Devin, Windsurf | по подразбиране [да](https://docs.devin.ai/admin/security); при платените планове може да се откажете | Enterprise: не без писмено съгласие | за срока на отношенията с клиента | отказът от обучение при платените планове включва нулево съхранение при доставчиците |
| Perplexity: Computer | Free, Pro, Max: настройката, разрешаваща обучение, е [включена](https://www.perplexity.ai/help-center/en/articles/11564572-data-collection-at-perplexity) по подразбиране; отказът действа само занапред | Enterprise: не | Enterprise: по настройка на организацията, прикачените файлове се изтриват след 7 дни | Enterprise: споразумения с OpenAI и Anthropic |
| Manus | обезличени данни могат да подобряват моделите на Manus; на външни ИИ услуги е [забранено](https://manus.im/terms) да се обучават върху съдържанието на потребителите | няма данни | данните от пясъчника – 7 дни при безплатния план и 21 дни при платения; след изтриване на акаунта – 30 дни | няма данни |

Обещаните срокове за съхранение могат да бъдат отменени от съд: от 13 май до 26 септември 2025 г. OpenAI по съдебно предписание [съхраняваше](https://simonwillison.net/2025/Oct/23/openai-no-longer-has-to-preserve) логовете на Free, Plus, Pro, Team и API без нулево съхранение, които иначе щяха да бъдат изтрити.

### Регион, сертификати и юридически гаранции

| Вендор | Къде се обработват данните | Сертификати | Защита от искове за авторски права |
|---|---|---|---|
| Anthropic | API: избор само между `us` и `global`; през Bedrock и Vertex – регионът на облака | SOC 2 Type I и II, ISO 27001, ISO 42001; HIPAA – по настройка | в [търговските условия](https://www.anthropic.com/legal/commercial-terms): защита от искове на трети лица за нарушаване на интелектуалната собственост, включително резултатите от работата на модела |
| OpenAI | API: съхранение в 10 региона, обработка в региона – в САЩ, Европа и ОАЕ | SOC 2 Type 2, ISO 27001, 27701, 42001; споразумението HIPAA покрива локалния Codex, но [не облачния](https://learn.chatgpt.com/docs/hipaa-configuration) | Copyright Shield, обявен за Enterprise и API |
| Google | Code Assist: регионът „не се гарантира“; Antigravity за бизнеса – ограничения по регион за моделите Gemini | продуктите Gemini в Google Cloud: SOC 1, 2, 3, ISO 27001, 27017, 27018, 27701, 42001, HIPAA; за Antigravity не са посочени | Code Assist – „Generative AI Indemnified Service“ |
| GitHub | по подразбиране регионът не е фиксиран; за Enterprise Cloud [може](https://docs.github.com/en/enterprise-cloud@latest/admin/data-residency/github-copilot-with-data-residency) да се избере САЩ или ЕС – плюс 10% към цената и без модели Gemini; подсказките в редактора при Free и Student се обработват от Fireworks AI | SOC 1, 2, 3 Type II и ISO 27001 за Business и Enterprise; FedRAMP има при хостовете на моделите, но не и при самия Copilot | Customer Copyright Commitment от Microsoft; от 3 април 2026 г. филтърът за съвпадения с публичен код за него не е задължителен |
| Cursor | Enterprise: само САЩ, плюс 10% към цената; инфраструктура в Китай няма | SOC 2 Type II, ISO 27001, ISO 42001, AIUC-1; споразумение за обработка на данни – само за Teams и Enterprise | няма данни |
| Cognition | няма данни | SOC 2 Type II | няма данни |
| Perplexity | няма данни | SOC 2 Type II | няма данни |

### Китайски доставчици

| Доставчик | Къде се съхраняват данните | Обучение върху заявки | Приложимо право |
|---|---|---|---|
| DeepSeek | КНР | [да](https://cdn.deepseek.com/policies/en-US/deepseek-privacy-policy.html); отказът – с писмо до privacy@deepseek.com | условията на API – правото на континентален Китай |
| Alibaba: Qwen | региони Сингапур, САЩ и Пекин; мястото на съхранение не е посочено | FAQ на Model Studio: [не](https://www.alibabacloud.com/help/en/model-studio/faq-about-alibaba-cloud-model-studio); страницата на Coding Plan: абонатът [разрешава](https://help.aliyun.com/en/model-studio/coding-plan) използването на заявки и отговори за „оптимизация на моделите“, оттеглянето – само занапред | не е посочено |
| Moonshot: Kimi | API – сървъри в Сингапур; потребителският Kimi – КНР | API: за подобряване на услугите, без самостоятелен отказ; потребителски: след обезличаване, отказ през поддръжката | API – Сингапур; потребителски – законите на КНР за личните данни и за сигурността на данните |
| Z.ai: GLM | основно Сингапур | API: [не](https://docs.z.ai/legal-agreement/terms-of-use.md) без изрично съгласие; частните потребители – може да се използва | Сингапур |
| MiniMax | политика на API: център за данни в САЩ, макар в същата политика да е казано, че данните като цяло не напускат Сингапур | пряка забрана няма; политиката обещава да не използва данните за профилиране | GDPR, законът на Сингапур за личните данни и законите на други страни |

Срокове за съхранение не посочва нито един от петте: формулировките са „колкото е необходимо“ или „докато акаунтът е активен“. За Kimi Code и GLM Coding Plan отделни условия няма и не е ясно коя политика се прилага към тях. Къде ще отиде кодът, решава адресът на доставчика в настройките, а не harness: в списъците на поддържаните инструменти на тези абонаменти са Claude Code, Codex, Cursor, OpenCode, OpenClaw и Hermes.

Ограничения от страна на държави и компании:

- **DeepSeek.** Италия блокира приложението през януари 2025 г., Южна Корея спираше изтеглянията от февруари до април 2025 г. На държавни устройства го забраниха Тайван, Австралия, Чехия, Министерството на търговията на САЩ и редица щати; Microsoft забрани приложението на служителите си. През октомври 2026 г. Министерството на вътрешната сигурност на САЩ [задължи](https://techxplore.com/news/2026-10-china-deepseek-agencies.html) гражданските федерални ведомства да премахнат продуктите на DeepSeek, включително построените върху него външни инструменти.
- **Zhipu (Z.ai).** От януари 2025 г. е в американския Entity List – това е експортен контрол, а не забрана да се използва услугата.
- **И петте доставчика** са посочени в [бюлетина](https://www.cisa.gov/news-events/cybersecurity-advisories/aa26-251a) на NSA, CISA и FBI от 8 септември 2026 г. сред компаниите, дестилирали американски модели; препоръки към клиентите на тези модели бюлетинът не дава.

### Посредници: шлюзове и собствени ключове

- **OpenCode Zen и Go.** Моделите са [разположени](https://opencode.ai/docs/zen/) в САЩ и ЕС, повечето – без обучение и съхранение. Изключения: част от безплатните модели, върху чиито данни доставчикът се обучава; модели с отметка Contributor, включително Muse от Meta, които се обучават върху заявките и се включват само от администратор; част от моделите на OpenAI, Anthropic и xAI със съхранение 30 дни. Споразумението за нулево съхранение с DeepSeek [се подновява](https://opencode.ai/v2/docs/console/go/) месечно, текущото действа до 31 октомври. OpenCode заявява SOC 2 Type 1 и 2, отчетите – под NDA.
- **Kilo Gateway.** Работи през OpenRouter и Vercel AI Gateway, сървъри в САЩ. [Условията](https://kilo.ai/terms) дават на Kilo безсрочен лиценз върху данните на клиента, включително изходния код, „за предоставяне и подобряване на услугите“. Безплатният режим Auto Free може да изпраща заявки до доставчици, които ги логват и се обучават върху тях; нулево съхранение има само в Enterprise.
- **Доставчици на Cline и ClinePass.** Заявките минават през инфраструктурата на Cline и телеметрията за тях [може](https://docs.cline.bot/more-info/telemetry) да включва заявката и отговора на модела; за съхранението и обучението документацията на ClinePass не казва нищо. Със собствени ключове Cline изпраща заявките директно до доставчика.
- **Nous Portal (Hermes).** [Условията](https://portal.nousresearch.com/terms) дават на Nous лиценз върху заявките и отговорите, включително за обучение и предаване на трети лица; режимът на поверителност, който трябва да се включи ръчно, изключва съхранението и обучението, метаданните остават.
- **Собствени ключове в комерсиалните harness.** В Cursor заявките със собствен ключ все пак [минават](https://cursor.com/data-use) през сървъра на Cursor, където се сглобява промптът, и нулевото съхранение тогава се определя от доставчика. Copilot CLI със собствен доставчик изпраща заявките директно до него, а чатът в IDE със собствен ключ – през API на GitHub.

### Какво остава на вашата машина

| Harness | Телеметрия | Локална история | Как да се закрият файловете от агента |
|---|---|---|---|
| Claude Code | метрики без код, заявки и пътища, отчети за грешки; изключват се с `DISABLE_TELEMETRY` и `DISABLE_ERROR_REPORTING` или с общата `CLAUDE_CODE_DISABLE_NONESSENTIAL_TRAFFIC`; на Bedrock и Vertex са изключени по подразбиране | пълни транскрипти на сесиите, включително прочетените файлове и изхода на командите, [в открит вид](https://code.claude.com/docs/en/claude-directory) 30 дни | правила за забрана като `Read(./.env)`; файлът `.claudeignore` [не работи](https://code.claude.com/docs/en/permissions) |
| Codex | анонимната статистика е включена по подразбиране; `[analytics] enabled = false` | историята е в `~/.codex`; изключва се с `[history] persistence = "none"` | забрани в профилите на разрешенията; файл за изключения няма |
| Copilot CLI | включена; `--disable-client-telemetry` или `COPILOT_OFFLINE=true` | пълен запис на сесиите в `~/.copilot/session-state/`, по подразбиране се синхронизира с акаунта в GitHub | изключване на съдържание – само при Business и Enterprise |
| Cursor | няма данни | няма данни | `.cursorignore` – настройка на един потребител; терминалът и MCP я заобикалят |
| Gemini CLI | изключена по подразбиране; статистиката за използване се изключва отделно | няма данни | `.geminiignore`; в Code Assist – `.aiexclude` |
| Antigravity | в приложението превключвателят „Enable Telemetry“ управлява и събирането на взаимодействия за подобряване на моделите; в CLI събирането на данни за използване при бизнес акаунти е винаги изключено | няма данни | в строг режим агентът спазва `.gitignore` |
| OpenCode | според разработчиците – няма; напълно офлайн режим няма | няма данни | четенето на `.env` по подразбиране изисква потвърждение |
| Cline | включена | няма данни | `.clineignore` е остарял и според документацията „не е граница на сигурността“ |
| Kilo Code | включена; `KILO_TELEMETRY_LEVEL=off` | няма данни | `.kilocodeignore` се превръща в забрани за четене и редактиране |
| Qwen Code | анонимна статистика без код и заявки, включена по подразбиране; `QWEN_USAGE_STATISTICS_ENABLED=false` | няма данни | няма данни |
| OpenClaw | ежедневна проверка за обновления без съдържание; статистиката на функциите е изключена по подразбиране | токени и транскрипти в `~/.openclaw`, [защитени](https://docs.openclaw.ai/gateway/security/secrets-and-storage) само с права върху файловете | няма данни |
| Hermes Agent | няма данни | ключовете са в `~/.hermes/.env`; командите в базата на сесиите се пазят без маскиране | скиловете преди инсталиране се проверяват от Skills Guard; към дъщерните процеси не се предават променливи с KEY, TOKEN, SECRET и PASSWORD в името |

Goose изпраща телеметрия само със съгласие, pi – една анонимна проверка на версията при инсталиране, Kimi Code я изключва с променливата `KIMI_DISABLE_TELEMETRY=1`.

### Течове на код и ключове през агенти

| Кога | Къде | Какво се случи | Какво изтече |
|---|---|---|---|
| май 2025 | GitHub MCP сървър и Claude Desktop | злонамерен issue в публично хранилище накара агент с достъп до частни хранилища да [публикува](https://invariantlabs.ai/blog/mcp-github-vulnerability) данните им в публичен пул рекуест | данни от частни хранилища |
| юли 2025 | Amazon Q Developer за VS Code | през твърде широк токен в билда във версия 1.84.0 [попадна](https://aws.amazon.com/security/security-bulletins/AWS-2025-015/) злонамерен код; по данни на AWS той не се е задействал | нищо, по данни на AWS |
| юли 2025 | Gemini CLI | разрешена команда във верига с `env` и `curl` [изпращаше незабележимо](https://www.scworld.com/news/google-fixes-gemini-cli-flaws-that-risked-silent-data-exfiltration) данни навън; поправено във версия 0.1.14 | променливи на средата |
| август 2025 | npm пакетът Nx, атаката s1ngularity | заразените версии [търсеха](https://nx.dev/blog/s1ngularity-postmortem) тайни с помощта на инсталирани ИИ CLI – Claude, Gemini, Q, – стартирани без потвърждения | токени на GitHub и npm, SSH ключове, файлове `.env`; по различни оценки хиляди тайни |
| септември 2025 | Copilot Chat, CamoLeak | скрит коментар в пул рекуест караше чата да [извлича](https://www.legitsecurity.com/blog/camoleak-critical-github-copilot-vulnerability-leaks-private-source-code) данни символ по символ през проксито за картинки на GitHub; още през август GitHub изключи картинките в чата | код и тайни от частни хранилища |
| ноември 2025 | Antigravity | скрит текст на уеб страница накара агента да прочете `.env`, заобикаляйки `.gitignore`, и да [изпрати](https://www.promptarmor.com/resources/google-antigravity-exfiltrates-data) ключовете през браузърния субагент на адрес от белия списък по подразбиране; Google причислява такива течове към известните проблеми | ключове на AWS |
| януари 2026 | Claude Cowork | документ със скрита инструкция [накара](https://promptarmor.com/resources/claude-cowork-exfiltrates-files) Cowork без потвърждение да качи локални файлове в чужд акаунт през разрешеното Files API на Anthropic; към момента на публикуването проблемът беше признат, но не и поправен | локални файлове |
| януари 2026 | Moltbook, социална мрежа на агентите около OpenClaw | ключ към базата данни в клиентския JavaScript [даваше](https://www.wiz.io/blog/exposed-moltbook-database-reveals-millions-of-api-keys) достъп до работната база; закрито за три часа | около 1,5 млн токена на агенти, в кореспонденцията на агентите – ключове на OpenAI |
| февруари 2026 | Cline, атаката Clinejection | инжекция в заглавието на issue управляваше ИИ бота за сортиране на issue, което [доведе](https://dev.to/snyk/how-clinejection-turned-an-ai-bot-into-a-supply-chain-attack-4hke) до кражба на npm токен и издаването на cline 2.3.0, който инсталираше OpenClaw; версията висеше в npm около 8 часа | токен за публикуване в npm |
| февруари 2026 | Claude Code | настройките `.claude/settings.json` в чуждо хранилище преди диалога за доверие можеха да стартират хукове и MCP сървъри или да [подменят](https://research.checkpoint.com/2026/rce-and-api-token-exfiltration-through-claude-code-project-files-cve-2025-59536/) `ANTHROPIC_BASE_URL`; поправено през 2025 г. | ключ за API на Anthropic |
| март 2026 | Codex | внедряване на команда през името на клон в GitHub при подготовката на задача; [поправено](https://siliconangle.com/2026/03/30/openai-codex-vulnerability-enabled-github-token-theft-via-command-injection-report-finds/) | OAuth токени на GitHub |
| април 2026 | Claude Code, Gemini CLI и Copilot в GitHub Actions | инструкции в заглавията на пул рекуестите и в коментарите [караха](https://www.techzine.eu/news/security/140524/ai-agents-on-github-leak-api-keys-via-prompt-injection/) агентите да публикуват собствените си ключове; по съобщения, поправено при и трите | ключове за API и токени на GitHub |
| август 2026 | Kiro | инжекция през управляващи файлове в чуждо работно пространство [изпращаше](https://thehackernews.com/2026/08/amazon-kiro-prompt-injection-can.html) данни навън; датите на поправката в източниците се разминават | код, конфигурация, ключове за API |
| октомври 2026 | облачната конзола на OpenCode | пробив в система, която се извежда от експлоатация, не засяга локалните инсталации; OpenCode [уведоми](https://www.infosecurity-magazine.com/news/opencode-breach-openai-anthropic/) засегнатите потребители и доставчици | ключовете на външни доставчици при 1,4% от потребителите на конзолата може да са били разкрити |