---
title: "Сравнение harness для ИИ-агентов: от Claude Code до OpenClaw"
url: "https://romankryvolapov.com/ru/ai-agent-harnesses/"
description: "Агенты для программирования и универсальные агенты: Claude Code, Codex, Cursor, Copilot, OpenCode, OpenClaw, Hermes — лицензии, модели, настройка, песочница, бенчмарки, обучение на вашем коде и утечки."
language: ru
published: 2026-10-30
updated: 2026-10-30
---
**Привет!**

Когда говорят «Claude пишет код лучше, чем GPT», обычно сравнивают не модели, а модели вместе с программой, в которой они работают. Эта программа называется harness (дословно — «упряжь», «обвязка»): она собирает для модели контекст, исполняет её вызовы инструментов, следит за контекстным окном, решает, что агенту можно делать без спроса, и определяет, где выполняются его команды. Claude Code, Codex, Cursor, OpenClaw — всё это harness.

Рынок меняется каждую неделю, поэтому всё ниже — состояние на конец октября 2026 года по документации, репозиториям и публичным рейтингам; даты без года относятся к 2026-му.

## Из чего состоит harness

Почти всё, что в harness настраивается, лежит в папке `.claude` проекта на Claude Code; у других harness названия свои, но состав тот же.

| Часть | Что это |
|---|---|
| Инструкции проекта | файл, который harness подкладывает модели в начало каждой сессии: как собрать проект, как запустить тесты, чем он отличается от типового |
| Правила | те же инструкции, разбитые по темам и часто привязанные к путям: правило про API подгружается, только когда агент трогает файлы API |
| Скилы | папка с `SKILL.md`: инструкция плюс скрипты и справочники; в контекст сначала попадает только описание, поэтому десятки скилов почти ничего не стоят |
| Субагенты | отдельный экземпляр агента со своим контекстом, инструкцией, инструментами и иногда моделью; главному агенту он возвращает вывод, а не сотню прочитанных файлов |
| Хуки | ваш код, который harness запускает на событиях: до и после вызова инструмента, при старте сессии, при завершении; в отличие от текстовых инструкций выполняется всегда ([подробно о хуках](/ru/claude-code-hooks/)) |
| Команды | заготовленные промпты, которые вызываются по имени, вроде `/review` |
| MCP-серверы | внешние инструменты и данные: база данных, трекер задач, браузер, документация |
| Плагины | пакет из всего перечисленного, который ставится одной командой |
| Права и песочница | что агент делает сам, а что после подтверждения, и где выполняются его команды: прямо в системе, в песочнице ОС, в контейнере или на облачной машине |
| Память | что переживает конец сессии: заметки агента самому себе, история, которую можно продолжить |
| Режим без интерфейса и SDK | запуск из скрипта или CI без человека и доступ к агенту из своего кода; у крупных вендоров есть SDK для сборки своего агента — Claude Agent SDK, Codex SDK, Copilot SDK |

### Общие стандарты настройки

- **[AGENTS.md](https://agents.md)** — общий файл инструкций проекта. Его предложила OpenAI, файл есть больше чем в 60 тысячах открытых проектов.
- **[Agent Skills](https://agentskills.io)** — общий формат скилов. Его придумала и в декабре 2025-го открыла Anthropic; в списке поддерживающих — 46 продуктов, от Claude Code, Codex и Cursor до Hermes и OpenClaw.
- **[MCP](https://modelcontextprotocol.io)** (Model Context Protocol) — общий протокол подключения инструментов и данных, тоже от Anthropic. Его понимают почти все harness из этой статьи.
- **[ACP](https://agentclientprotocol.com)** (Agent Client Protocol) от Zed — протокол между редактором и агентом: Zed, IDE от JetBrains, VS Code, Neovim и Emacs подключают через него любого из примерно пятидесяти агентов, которые его поддерживают.

AGENTS.md, Agent Skills и MCP живут в [Agentic AI Foundation](https://aaif.io/projects/) при Linux Foundation. Эта часть настройки переносится между разными harness с одной оговоркой: Claude Code и Cline не ищут скилы в общей папке `.agents/skills`, им нужна ссылка из `.claude/skills`. Правила по путям, субагенты, хуки, права, песочница и плагины у каждого harness свои.

## Кто чем пользуется

Опросы ставят первым Claude Code, скачивания и токены — Codex, а самый большой охват у Copilot.

| Источник | Выборка | Claude Code | GitHub Copilot | Codex | Cursor | Другие |
|---|---|---|---|---|---|---|
| [JetBrains](https://blog.jetbrains.com/research/2026/08/ai-coding-agent-adoption-2026/), май–июль 2026 | 15 тыс. профессиональных разработчиков, доля использующих на работе | 39% (в январе 18%); основной инструмент у 31% | 21% (год назад 29%) | 16% (в январе 3%) | 12% (в январе 18%) | Junie ~9%, OpenCode 7%, Antigravity 6% |
| [Stack Overflow](https://survey.stackoverflow.co/2026/ai), 2026 | 30 тыс. разработчиков, доля среди пользователей кодовых агентов | 66% | 59% | — | — | — |
| [Pragmatic Engineer](https://newsletter.pragmaticengineer.com/p/ai-tooling-2026), январь–февраль 2026 | 906 читателей рассылки | 71% | 46% | — | 39% | Gemini CLI и Antigravity ~10% |

- **Пользователи.** У Copilot почти 80 млн установок расширения для VS Code и, по пересказам отчёта Microsoft, 50 млн пользователей; в эти цифры входят все, у кого есть расширение, а не только те, кто пользуется агентом. У Codex летом было 5 млн активных пользователей в неделю.
- **Скачивания с npm** за последнюю неделю октября: Codex — 27 млн, Claude Code — 12,8 млн, OpenCode — 4,5 млн, OpenClaw — 3,5 млн, Copilot CLI — 1,7 млн, Gemini CLI — 0,45 млн. Сюда входят CI и боты, а Claude Code чаще ставят собственным установщиком, мимо npm, — поэтому это не число людей.
- **Токены на [OpenRouter](https://openrouter.ai/apps)** — шлюзе ко многим моделям, который публикует расход по приложениям. 29 октября: Codex — 2,6 трлн токенов за сутки, Claude Code — 2,1 трлн, Hermes Agent — 1,9 трлн, Kilo Code — 744 млрд, OpenClaw — 731 млрд, pi — 582 млрд, DeepSeek Harness (девятое место) — 271 млрд, Cline — 139 млрд. Это только трафик через OpenRouter, то есть в основном свои ключи и открытые модели: подписки Claude и ChatGPT сюда не попадают.

## Насколько harness влияет на результат

Для одной и той же модели разница между лучшим и худшим harness доходит до 10–20 пунктов, а слабую или «чужую» модель другой harness может поднять в разы. Harness вендора при этом не обязательно лучший для его же модели, хотя вендоры обучают модели под свои harness — так прямо пишут, например, Google про Antigravity и Meta про Muse Code.

Главный бенчмарк, где одну модель запускают в разных harness, — [Terminal-Bench](https://www.tbench.ai): задачи в терминале (собрать, починить, настроить сервер, обучить модель), каждая в своём контейнере и с проверкой тестами. Точка отсчёта — Terminus 2, простой harness самих авторов бенчмарка. Версия 2.0 (ноябрь 2025-го, 89 задач) к концу октября собрала 137 записей «модель + harness»; из 29 моделей, запущенных в двух и более harness, у 16 разница между лучшим и худшим harness больше десяти пунктов:

| Модель | Лучший harness на Terminal-Bench 2.0 | Худший harness | Разница, пунктов |
|---|---|---|---|
| Gemini 3.1 Pro | TongAgents, 80,2% | Gemini CLI, 61,4% | 18,8 |
| GPT-5.5 | NexAU-AHE, 84,7% | clnkr, 66,1% | 18,6 |
| Claude Opus 4.6 | Meta-Harness, 76,4% | Claude Code, 58,0% | 18,4 |
| GPT-5.3-Codex | SageAgent, 78,4% | Terminus 2, 64,7% | 13,7 |
| Claude Opus 4.5 | Droid, 63,1% | OpenCode, 51,7% | 11,4 |

Лучшие строки — малоизвестные harness, собранные под рейтинг, но разброс показывает, сколько можно выжать из той же модели.

Harness вендоров на версии 2.0 выступили по-разному. Claude Code с моделями Claude во всех пяти парах отставал от Terminus 2 на 1–6 пунктов, Gemini CLI с моделями Gemini — во всех трёх парах, а Codex CLI с моделями OpenAI во всех пяти был выше, на 1–14; Factory Droid обыграл Terminus 2 со всеми пятью моделями — на 4–13. Часть разрыва объяснялась самими задачами: в мае вышла версия 2.1, где починили 28 задач из 89 — с устаревшими зависимостями или с нехваткой ресурсов даже для правильного решения. На ней Claude Code с Opus 4.6 поднялся с 58,0% до 70,1%, Terminus 2 — с 62,9% до 63,8%, и отставание в пять пунктов стало преимуществом в шесть. В целом на 2.1 harness вендоров отличаются от Terminus 2 в пределах от −8 до +5 пунктов.

### Эксперименты, где меняли только harness

- **LangChain** [взяла](https://www.langchain.com/blog/improving-deep-agents-with-harness-engineering) gpt-5.2-codex и меняла только свой harness Deep Agents — в частности, добавила самопроверку перед завершением и обнаружение зацикливания. Результат на Terminal-Bench 2.0 вырос с 52,8% до 66,5%, и эта цифра есть в официальной таблице. Про Deep Agents и LangGraph есть [отдельная статья](/ru/langchain-langgraph/).
- **Can Bölük** [сравнил](https://stencil.so/blog/the-harness-problem) три формата правки файлов: `apply_patch`, как в Codex, `str_replace`, как в Claude Code, и свой hashline, где строки адресуются короткими хешами. На 16 моделях hashline обыграл патч у 14, в среднем на 15 пунктов; у Grok Code Fast 1 результат вырос с 6,7% до 68,3%. Задачи синтетические, а автор продаёт свой harness, но эффект известен давно: в Aider ещё в конце 2023-го результат GPT-4 Turbo вырастал больше чем вдвое от одной только смены формата правок.

### Насколько можно верить бенчмаркам

- **Железо.** [Anthropic измерила](https://www.anthropic.com/engineering/infrastructure-noise), что одни только ресурсы контейнера двигают результат на Terminal-Bench 2.0 на шесть пунктов, и советует не верить разнице меньше трёх пунктов, пока конфигурации не совпадают.
- **Подгонка.** В апреле таблицу Terminal-Bench [почистили](https://www.tbench.ai/news/leaderboard-integrity-update): один harness хранил зашифрованные решения в своём бинарнике, другой подгружал тесты задачи, а ForgeCode скачивал готовые решения в собственный `AGENTS.md`. Результаты ForgeCode обнулили, а каждую успешную попытку теперь проверяет отдельный агент-судья.
- **SWE-bench** — набор задач из реальных GitHub-issue. Его версия Verified, главная цифра 2024–2025 годов, потеряла доверие: в феврале OpenAI [перестала её публиковать](https://openai.com/index/why-we-no-longer-evaluate-swe-bench-verified/) — аудит нашёл дефектные тесты минимум в 59% задач, на которых модели чаще всего ошибались, а модели умели воспроизводить эталонные патчи по памяти. SWE-bench Pro от Scale, предложенный взамен, Epoch AI [оценивает](https://epoch.ai/benchmarks/swe-bench-pro/review) как «с изъянами»: по аудитам сломано 30% задач и больше; к тому же он сравнивает модели в одном нейтральном harness, а не продукты.
- **Живые разработчики.** [METR](https://metr.org/blog/2026-02-24-uplift-update/) в 2025 году получил замедление опытных разработчиков с ИИ на 19%, а в повторе в феврале — ускорение на 4–18%, но сам называет этот сигнал ненадёжным: участники отказывались работать без ИИ.

## Harness для программирования: сравнение

### Результаты на бенчмарках

Здесь сравниваются уже продукты: модель в harness, как правило, своего вендора. Ориентиров два. [Terminal-Bench 4.0](https://www.tbench.ai) — текущая версия (август, 66 задач); в ней почти каждая модель запущена только в harness своего вендора, поэтому влияние самого harness она не показывает. [Индекс кодовых агентов Artificial Analysis](https://artificialanalysis.ai/agents/coding-agents) считается на трёх наборах задач. Прочерк — продукта в рейтинге нет.

| Harness | Модель | Terminal-Bench 4.0 | Индекс Artificial Analysis |
|---|---|---|---|
| Claude Code | Opus 5.5 | 64,8% | 62 |
| Claude Code | Sonnet 5.5 | 61,8% | 59 |
| Antigravity CLI | Gemini 4 Carbon | — | 59 |
| Muse Code (Meta) | Muse | — | 59 |
| Codex | GPT-6 Astra | 58,2% | 55 |
| Codex | GPT-6.1 Sol | 58,2% | — |
| OpenCode | GLM-5.3 | — | 49 |
| Mistral Vibe | Mistral Large 4 | — | 48 |
| DeepSeek Harness | DeepSeek V4.1 Flash | — | 46 |
| Claude Code | GLM-5.3 | 41,8% | — |
| Kimi Code | Kimi K3 | — | 41 |
| Grok Build (xAI) | Grok | 37,6% | — |

Прогон Terminal-Bench 4.0 стоил $600 для Codex с GPT-6.1 Sol и $4700 для Claude Code с Opus 5.5. По данным Artificial Analysis, Codex решает задачу в среднем за 24 минуты и $1,5–7, Claude Code с Opus 5.5 — за час и $11,4, Mistral Vibe — за $1,26.

### Разработчик, лицензия, развитие

| Harness | Разработчик | Лицензия | Звёзды на GitHub | Темп релизов |
|---|---|---|---|---|
| Claude Code | Anthropic | закрытая; песочница, GitHub Action и Python SDK открыты | код закрыт | ~6 стабильных в неделю |
| Codex | OpenAI | CLI — Apache-2.0; расширение IDE и облако закрыты | 132 тыс. | 2–3 стабильных в неделю |
| Cursor | Anysphere; с 14 августа принадлежит SpaceX ([документ для SEC](https://www.sec.gov/Archives/edgar/data/1181412/000162828026056945/spcx-20260814.htm)) | закрытая | код закрыт | минорный релиз в неделю |
| GitHub Copilot | GitHub (Microsoft) | CLI закрыт; VS Code, Copilot Chat и SDK — MIT | CLI закрыт | VS Code — каждую неделю, CLI — ~2 в неделю |
| Antigravity | Google | закрытая; Gemini CLI — Apache-2.0 | код закрыт; у Gemini CLI 109 тыс. | 4–5 релизов CLI в неделю |
| OpenCode | Anomaly, команда фреймворка SST | MIT | 223 тыс. | ~3 в неделю |
| Cline | Cline Bot Inc. | Apache-2.0; плагин для JetBrains закрыт | 71 тыс. | почти каждый день |
| Kilo Code | Kilo Code Inc.; с июля принадлежит Anaconda | MIT | 28 тыс. | почти каждый день |
| pi | Earendil | MIT | 119 тыс. | ~2 в неделю |
| DeepSeek Harness | DeepSeek | MIT | 266 тыс. за 11 недель; историю роста проверить не удалось | 35 пре-релизов, стабильных нет |
| Qwen Code | Alibaba | Apache-2.0 | 29 тыс. | ночные сборки каждый день |
| Goose | Linux Foundation | Apache-2.0 | 56 тыс. | раз в неделю |

### Интерфейсы, модели и цены

| Harness | Где работает | Модели | Локальные модели | Цена |
|---|---|---|---|---|
| Claude Code | терминал, VS Code, JetBrains, приложение, веб, телефон, Slack | Claude: Fable 5.1, Opus 5.5, Sonnet 5.5, Haiku 5.5; чужие — через подмену адреса API, без поддержки Anthropic | официально нет | Pro от $20, Max от $100 или API |
| Codex | терминал, VS Code и его форки, приложение ChatGPT, телефон, GitHub, Slack, Linear | OpenAI: GPT-6 Astra, GPT-6.1 Sol, Terra, Luna; сторонние — через Responses API | Ollama, LM Studio | ChatGPT Plus $20, Pro от $100 или API без облачных функций |
| Cursor | свой редактор (форк VS Code), CLI, SDK, iOS, Slack, GitHub, GitLab, Linear, Jira | все крупные вендоры, свои Composer 2.5 и Grok 4.5–4.7; запросы всегда идут через серверы Cursor | нет | $8–200 в месяц; с 12 октября Claude, GPT и Gemini — по цене API из предоплаты |
| GitHub Copilot | VS Code, CLI, приложение, GitHub, JetBrains, Xcode, Visual Studio, Slack, Teams, Linear, Jira | OpenAI, Anthropic, Google, xAI, Microsoft, Moonshot; свой ключ в CLI | в CLI | бесплатно; Pro $10, Pro+ $39, Max $100; с июня оплата токенами |
| Antigravity | приложение, CLI `agy`, IDE, расширения, SDK | Gemini 4 и 3.x, на платных тарифах Claude Sonnet и Opus 5.5 — всё на серверах Google | только через SDK | бесплатно с недельными лимитами; AI Pro ~$20, AI Ultra $100 или $200 |
| OpenCode | терминал, приложение (бета), веб, сервер с SDK | любые: каталог models.dev, OpenAI-совместимые адреса; вход по подписке ChatGPT | Ollama | бесплатно со своим ключом; OpenCode Go от $10 за открытые модели |
| Cline | VS Code и его форки, JetBrains, CLI, приложение, SDK | любые | да, со «сжатым» промптом | бесплатно со своим ключом; ClinePass $9,99 |
| Kilo Code | VS Code, JetBrains, CLI, приложение, Slack | 500+ через свой шлюз | да | бесплатно со своим ключом |
| pi | терминал, SDK | любые | да | бесплатно со своим ключом |
| DeepSeek Harness | веб, приложение, терминал по желанию, SDK | DeepSeek, а также Anthropic, OpenAI, Moonshot, Z.ai | нет данных | API DeepSeek: V4.1 Flash — $0,15 за миллион входных и $0,60 за миллион выходных токенов; подписки нет |
| Qwen Code | терминал, приложение, веб, VS Code, Zed, JetBrains, Telegram, DingTalk, WeChat, Feishu | Qwen; пресеты для DeepSeek, Kimi, GLM, MiniMax, Grok, OpenRouter | да | подписка Alibaba или свой ключ; бесплатный вход отменён в апреле |
| Goose | приложение для macOS, Linux и Windows, CLI, API | больше 15 провайдеров; подписки Claude, ChatGPT и Gemini — через ACP | Ollama, LM Studio, Docker Model Runner, встроенный инференс | бесплатно со своим ключом |

Подписки Claude, ChatGPT и Google ограничены пятичасовыми окнами и недельными лимитами, так что «Pro за $20» — это вход, а не безлимит. Подписка Claude к тому же работает только в продуктах Anthropic, поэтому, например, OpenCode добирается до моделей Claude через установленный рядом Claude Code. В обратную сторону путь открыт: модели DeepSeek, GLM и Kimi подключаются к Claude Code через переменную `ANTHROPIC_BASE_URL` — их вендоры это документируют ([инструкция DeepSeek](https://api-docs.deepseek.com/quick_start/agent_integrations/claude_code)), а Anthropic такой режим не поддерживает.

Для полностью локальной работы на обычном компьютере по размеру подходят модели на 20–30 млрд параметров вроде Qwen3.8-27B или Devstral Small 2; открытые флагманы DeepSeek, GLM и Kimi весят от сотен миллиардов до триллионов параметров и требуют сервера ([как запускать модели на своём железе](/ru/llama-cpp/)).

### Настройка: инструкции, скилы, субагенты, хуки

| Harness | Инструкции и правила | Скилы | Субагенты | Хуки | ACP |
|---|---|---|---|---|---|
| Claude Code | `CLAUDE.md` на четырёх уровнях, правила с привязкой к путям; `AGENTS.md` — только если нет `CLAUDE.md` | `.claude/` | со своей моделью и инструментами | 33 события | через адаптер |
| Codex | `AGENTS.md` по цепочке папок; правил по путям и импортов нет | `.agents/` | описываются в TOML | 12 событий | через адаптер |
| Cursor | `.cursor/rules` с четырьмя режимами подключения: всегда, по решению модели, по маске, вручную; командные правила; `AGENTS.md` | `.agents/`, `.cursor/`, а также `.claude/` и `.codex/` | свои, а также из `.claude/` и `.codex/` | 21 событие; хуки Claude Code подхватываются | да |
| GitHub Copilot | `copilot-instructions.md` и правила по путям; `AGENTS.md`, `CLAUDE.md`, `GEMINI.md` | `.github/`, `.claude/`, `.agents/` | файлы `*.agent.md`; встроенные — от исследователя до ревьюера безопасности; параллельный `/fleet` | 14 событий; хуки Claude Code подхватываются | превью |
| Antigravity | `AGENTS.md`, `GEMINI.md`; правила в `.agents/rules` с триггерами | `.agents/`; в CLI каждый скил — команда | да; `/teamwork` | 6 событий | да |
| OpenCode | `AGENTS.md`; `CLAUDE.md` вторая версия не читает | свои, `.claude/`, `.agents/` | Markdown-файлами | плагины на TypeScript | да |
| Cline | `.clinerules`, `AGENTS.md`, `.cursorrules` | `.cline/`, `.clinerules/`, `.claude/` | только вне IDE | плагины SDK | да |
| Kilo Code | `AGENTS.md`, `.kilo/rules` | `.agents/` | Markdown-файлами | плагины с событиями | да |
| pi | `AGENTS.md` | пакетами из npm или git | нет | расширения | через адаптер |
| DeepSeek Harness | нет данных | да | в том числе передающие задачу в Claude Code или Codex | в форматах Claude Code и Codex | да |
| Qwen Code | `QWEN.md`, `AGENTS.md` | `.agents/` | в том числе передающие задачу в Claude Code или Codex | с событиями Claude Code | да |
| Goose | `AGENTS.md`, `.goosehints` | `.agents/` | да | с событиями Claude Code | да |

Файлы из папки `.claude` частично читают и другие harness: Cursor, Copilot, Cline, OpenCode, Devin и Junie.

### Изоляция и работа без человека

| Harness | Песочница ОС | Облачный режим | Без интерфейса |
|---|---|---|---|
| Claude Code | по желанию, macOS и Linux; закрывает только команды оболочки | виртуальные машины Anthropic | `claude -p` с JSON и лимитом бюджета, GitHub Action, GitLab CI |
| Codex | включена на macOS, Linux и Windows: запись только в рабочую папку, сеть закрыта | виртуальная машина на задачу | `codex exec` с JSONL и схемой ответа, GitHub Action, сервер `app-server` |
| Cursor | работает в режиме по умолчанию, macOS и Linux; Windows — только через WSL2 | микро-виртуалки Firecracker; свои воркеры в Kubernetes | `agent -p` с JSON; готовых GitHub Action и Docker-образа нет |
| GitHub Copilot | по желанию с 7 октября: macOS, Linux, Windows 11 | одноразовая среда с файрволом; пушит только в ветки `copilot/…` | `copilot -p` с JSON, GitHub Agentic Workflows |
| Antigravity | на трёх ОС; в приложении включена, в CLI выключена | Managed Agents в превью | `agy -p` с JSON и схемой ответа, удалённое управление |
| OpenCode | нет; правила разрешений, по собственной политике безопасности, «не песочница» | нет | `opencode run` с JSON, `opencode serve`, Docker; GitHub Action убран в октябре |
| Cline | нет | облачные агенты | CLI |
| Kilo Code | по желанию, macOS и Linux | облачный агент | `kilo run`, сервер |
| pi | нет | нет | JSON, RPC, SDK |
| DeepSeek Harness | плагины песочницы, по собственной политике — без гарантий изоляции и без аудита | нет | профиль headless |
| Qwen Code | только Linux: bubblewrap или Landlock | нет | `qwen -p`, сервер, GitHub Action |
| Goose | нет | нет | режим для CI, удалённый сервер, Docker |

Запустить на виртуальной машине можно любой из этих harness: все работают на Linux и умеют режим без интерфейса. Важнее, что защитит машину, когда вы отойдёте: где песочница не включена по умолчанию, её нужно включить или поставить harness в контейнер. Режимы, где разрешения раздаёт отдельная модель-классификатор, — auto у Claude Code, Auto-review у Cursor, Assisted у Copilot — экономят подтверждения, но сами вендоры не считают их границей безопасности.

Параллельные сессии изолируют друг от друга отдельными git worktree — так устроены Claude Code, Kilo Code и субагенты Antigravity. Откатывают изменения чекпоинтами (Claude Code, Cline), снимками (OpenCode) или, как в Codex, только через git.

### Уязвимости за 2026 год

| Harness | Опубликованные уязвимости |
|---|---|
| Claude Code | 16 |
| Cursor | 9, из них две критичные с выходом из песочницы |
| Codex | 4 |
| OpenCode | 2 серьёзные, обе в январе |
| Copilot CLI | 2, плюс полтора десятка в VS Code |
| Gemini CLI | 1, с максимальной оценкой опасности |

Счёт зависит и от того, публикует ли вендор отчёты: у закрытых продуктов без публичного канала его нет вовсе. Сюжеты у всех одни: настройки из чужого репозитория, которые выполняют код, обход диалога доверия к проекту и выход из песочницы.

## Harness для программирования: профили

### Claude Code

- **Особенности:** у Claude Code плагины ставятся одной командой из маркетплейса, а экспериментальные команды агентов и воркфлоу раздают работу сотням субагентов.
- **В 2026 году:** у Claude Code утекли исходники через source map.

Подробнее: [практики](/ru/claude-code-best-practices/), [хуки](/ru/claude-code-hooks/), [команды и настройки](/ru/claude-code-commands-and-settings/), [документация](https://code.claude.com/docs).

### OpenAI Codex

- **Особенности:** в песочнице Codex служебные `.git`, `.agents` и `.codex` доступны только для чтения, файлы `.rules` решают, каким командам можно выйти наружу, а поверх работает агент-страж.
- **Ограничения:** внешние пул-реквесты в открытый CLI Codex не принимаются; функции часто удаляют и переименовывают — в сентябре убрали режим MCP-сервера.
- **В 2026 году:** приложение Codex слили с ChatGPT.

[Код](https://github.com/openai/codex) · [документация](https://learn.chatgpt.com/docs/)

### Cursor

- **Особенности:** в Cursor есть Projects, где координатор раздаёт работу исполнителям, и собственный git-хостинг Origin (бета); свои модели Composer — вторая версия была построена на открытой Kimi K2.5.
- **Ограничения:** механизм доверия к рабочей папке в Cursor по умолчанию выключен.
- **В 2026 году:** в апреле вышел Cursor 3 с окном агентов; после покупки Cursor компанией SpaceX OpenAI, по сообщениям прессы, [прекращает](https://openai.com/index/our-decision-on-cursor-following-its-acquisition-by-spacex/) прямой доступ Cursor к своим моделям с 12 ноября.

[Документация](https://cursor.com/docs)

### GitHub Copilot

- **Особенности:** в Copilot на одну задачу на GitHub можно назначить ещё и агентов Claude и Codex; есть автовыбор модели и режим Fusion, где модели работают каскадом или проверяют друг друга.
- **В 2026 году:** в феврале Copilot CLI вышел из превью; с 28 октября общий движок Copilot называется Microsoft Copilot harness.

[Документация](https://docs.github.com/en/copilot)

### Google Antigravity и Gemini CLI

- **Что с продуктами:** Google собрала свои кодовые продукты в Antigravity — новую программу на Go, а не форк. Gemini CLI с 18 июня [только для корпоративных клиентов](https://developers.googleblog.com/en/an-important-update-transitioning-gemini-cli-to-antigravity-cli/) и «не оптимизирован для Gemini 4+»; Jules закрывается 31 декабря; Code Assist с 9 октября не продаётся.
- **Особенности:** Antigravity импортирует расширения Gemini CLI и плагины Claude Code.

[Документация](https://antigravity.google/docs)

### OpenCode

- **Ограничения:** вторая версия OpenCode (сентябрь) ломает плагины, API сервера и формат конфигурации.

[Репозиторий](https://github.com/anomalyco/opencode) · [документация](https://opencode.ai/v2/docs)

### Cline и Kilo Code

Cline — оригинал, Kilo Code — его наследник, переехавший на форк OpenCode. Третий из семьи, Roo Code, закрыт в мае; сообщество продолжает его форком Zoo Code.

- **Особенности:** Cline привлёк $32 млн инвестиций, переписан на собственный SDK и обзавёлся канбан-доской задач.

[Cline](https://github.com/cline/cline) · [Kilo Code](https://github.com/Kilo-Org/kilocode)

### pi

- **Кто:** pi написал Марио Цехнер (Mario Zechner); с апреля проектом владеет компания Earendil, версия 1.0 вышла 1 октября.
- **Особенности:** на pi построены OpenClaw, MiniMax Code, Kimi Code и CLI Augment Code; системный промпт pi короче тысячи токенов, а расширения, скилы и шаблоны промптов ставятся как пакеты.
- **Ограничения:** в pi нет режима планирования и системы прав.

[Репозиторий](https://github.com/earendil-works/pi)

### DeepSeek Harness

- **Особенности:** DeepSeek Harness вышел в августе 2026-го; его принцип — «всё есть плагин»; есть расписания и вебхуки для ревью на GitHub.

[Репозиторий](https://github.com/deepseek-ai/deepseek-harness)

### Qwen Code

- **Особенности:** Qwen Code вырос из Gemini CLI; у него есть SDK для TypeScript, Python и Java и режимы от «только план» до автоматического с классификатором.

[Репозиторий](https://github.com/QwenLM/qwen-code)

### Goose

- **Кто:** Goose сделан в Block (Square, Cash App) и стал одним из трёх проектов, с которых началась Agentic AI Foundation.
- **Особенности:** у Goose есть прокладка для моделей, которые плохо вызывают инструменты; рецепты — YAML-описания повторяемых процессов, которые вызываются как команды; больше 70 расширений-MCP; режимы «автономно», «спрашивать», «умное подтверждение», «только чат» и независимый агент-проверяющий.

[Репозиторий](https://github.com/aaif-goose/goose)

### Остальные harness для программирования

Kimi Code, ZCode и MiniMax Code устроены одинаково: открытый harness плюс подписка на модель своей лаборатории, которую можно использовать и в чужих harness. Все три читают `AGENTS.md` и понимают MCP, скилы и хуки в стиле Claude Code.

| Harness | Разработчик | Чем интересен |
|---|---|---|
| [Kimi Code](https://github.com/MoonshotAI/kimi-code) | Moonshot | MIT; подписка Kimi от тарифа Plus; Tower — параллельные задачи в своих ветках с независимым проверяющим; импорт сессий Claude Code и Codex; песочницы нет, телеметрия включена |
| [ZCode](https://github.com/zai-org/ZCode) | Z.ai | Apache-2.0; GLM Coding Plan от $18; приложение, веб и терминал в одном; в репозитории два участника за квартал |
| [MiniMax Code](https://github.com/MiniMax-AI/minimax-code) | MiniMax | MIT на собственный код; подписка M Plan, цены не опубликованы; вся телеметрия выключена |
| Aider | Пол Готье | Apache-2.0, 50 тыс. звёзд; один из первых терминальных агентов: карта репозитория, режим «архитектор + редактор», коммит каждой правки; последний релиз — в августе 2025-го, MCP, скилов и хуков нет; агентные функции добавляет форк [cecli](https://github.com/cecli-dev/cecli) |
| Devin | Cognition | бывший Windsurf стал Devin Desktop; облачная виртуальная машина на сессию и передача локальной сессии в облако; читает правила Claude, Cursor и Windsurf; ACP |
| Kiro | AWS | разработка от спецификации: требования, дизайн, задачи, код; CLI — бывший Amazon Q CLI; песочница выключена; тарифы до $200 на кредитах |
| Junie | JetBrains | агент в IDE от JetBrains и CLI со своим ключом, включая Ollama; хуки совместимы с Claude Code; 71% на Terminal-Bench 2.0 в связке нескольких моделей |
| Factory Droid | Factory | версия 1.0 — 29 октября; любые модели, включая локальные |
| Amp | Amp, бывшая часть Sourcegraph | выбора модели нет — четыре режима от GLM-5.3-Flash до Fable 5.1; ни подтверждений, ни песочницы |
| Warp | Warp | терминал с агентами, клиент под AGPL-3.0; запускает Claude Code, Codex и OpenCode; десять уязвимостей в июне |
| Augment Code | Harness — компания CI/CD, совпадение с термином случайное | в октябре Harness купила его облачных агентов и CLI; плюс 40% к цене токенов |
| Zed | Zed Industries | редактор с внешними агентами по ACP, каждый в своём worktree; собственный агент читает почти все форматы правил и работает в песочнице ОС |
| OpenHands | All Hands AI | MIT, 92 тыс. звёзд; Agent Canvas запускает любой ACP-агент локально, в Docker, на виртуальной машине или в облаке |
| Mistral Vibe | Mistral | Apache-2.0; субагенты, скилы, хуки, ACP |
| Crush | Charm | терминальный агент на Go с LSP и автопоиском локальных моделей; лицензия FSL — не open source в строгом смысле |
| Grok Build | xAI | терминальный агент для моделей Grok |
| Muse Code | Meta | терминальный агент для моделей Muse |

Continue доступен только для чтения, Trae Agent от ByteDance заброшен с февраля.

## Универсальные агенты

Кодовый harness — инструмент по запросу: вы дали задачу, он её сделал, сессия закончилась (расписания и облачные задачи у них уже есть, но суть та же). Универсальный агент — процесс, который работает постоянно: на вашем компьютере, на арендованном сервере или в облаке вендора. Внутри всё то же — модель, цикл вызова инструментов, скилы, субагенты, MCP, — а отличий три:

- **Каналы вместо терминала.** Агент — это шлюз, к которому подключены Telegram, WhatsApp, Slack, почта. Писать ему можно с телефона, и писать ему могут не только вы.
- **Расписание и инициатива.** Агент не ждёт сообщения: раз в полчаса проверяет почту, утром присылает сводку, следит за ценой билета.
- **Долгая память.** Не история одной сессии, а накопленные заметки о вас и ваших делах.

### Сравнение универсальных агентов

| Агент | Лицензия | Где работает | Модели | Каналы | Защита по умолчанию |
|---|---|---|---|---|---|
| OpenClaw | MIT | ваш компьютер, VPS или Docker | ~23 облачных провайдера и локальные: Ollama, LM Studio, vLLM, llama.cpp | 33 канала, от Telegram до iMessage | нет: песочница для инструментов (Docker, Podman, SSH) выключена, шлюз всегда работает на хосте |
| Hermes Agent | MIT | у вас — от VPS за $5 до кластера — или в облачной песочнице | 300+ через Nous Portal, любые совместимые, локальные | 20+ каналов, включая почту и SMS | подтверждения опасных команд |
| ChatGPT Work | закрытая | облако OpenAI | OpenAI | приложение, iMessage в бете | облачная машина |
| Claude Cowork | закрытая | облако Anthropic; на Pro и Max с 6 октября только оно | Claude | приложение, телефон | виртуальная машина на сессию |
| Gemini Tasks (бывший Spark) | закрытая | облако Google | Gemini | приложение, своя почта | облачная машина |
| Manus | закрытая | облако | выбирает сам | приложение, Telegram | облачная песочница |

### OpenClaw

- **Кто:** OpenClaw создал Питер Штайнбергер (Peter Steinberger), основатель PSPDFKit, с февраля работающий в OpenAI; с июля проект в независимом фонде, среди спонсоров OpenAI, NVIDIA, Microsoft и Tencent. Прежние имена — Warelay, Clawdis, Clawdbot и Moltbot. Около 393 тыс. звёзд, 384 участника, релизы почти каждый день.
- **Настройка:** `AGENTS.md` — инструкции, `SOUL.md` — характер и границы, `USER.md` — что агент знает о вас, `MEMORY.md` и дневные заметки — память; скилы в формате Agent Skills из реестра ClawHub.
- **Память:** Markdown-файлы с поиском по словам и по смыслу; перед сжатием контекста агент сбрасывает важное в память, а фоновый режим «сновидений» переносит устоявшиеся факты в `MEMORY.md`. Скилы агент может писать и обновлять сам.
- **Автоматизация:** расписание, вебхуки, триггеры из Gmail, MCP; субагенты — фоновые сессии со своей моделью, которые возвращают итог в основной разговор.
- **Ограничения:** по документации OpenClaw один шлюз — одна граница доверия, а не среда для нескольких пользователей; вход по подписке ChatGPT есть, по подписке Claude — нет.

[Репозиторий](https://github.com/openclaw/openclaw) · [документация](https://docs.openclaw.ai)

### Hermes Agent

- **Кто:** Hermes Agent делает Nous Research, автор открытых моделей Hermes; агент вышел через несколько недель после взлёта OpenClaw. Python, около 259 тыс. звёзд — с мая плюс 98 тысяч против 20 у OpenClaw; 397 участников.
- **Самообучение:** время от времени агент пересматривает сделанное и сохраняет вывод в память или создаёт и правит скил, чтобы в следующий раз решить задачу по готовой процедуре.
- **Память:** нарочно маленькая — `MEMORY.md` около 2200 знаков, `USER.md` около 1400; вставляется снимком в начало сессии, чтобы не ломать кеш промпта; плюс полнотекстовый поиск по всем сессиям.
- **Исполнение:** шесть бэкендов — хост, Docker, SSH, Modal, Daytona, Vercel Sandbox; платный хостинг от $20 до $200 в месяц.
- **Скилы и субагенты:** Agent Skills из хаба с несколькими источниками, включая ClawHub, со сканером при установке; до десяти субагентов параллельно.
- **Ограничения:** опасность команды в Hermes оценивает вспомогательная модель, а в контейнерных бэкендах эти проверки отключены; документация признаёт, что настоящая граница — только операционная система.

[Репозиторий](https://github.com/NousResearch/hermes-agent) · [документация](https://hermes-agent.nousresearch.com/docs/)

### Лёгкие альтернативы OpenClaw

Вслед за OpenClaw появилось семейство «клешней» (claws) — агентов того же типа, написанных заново и отличающихся размером или изоляцией. Независимого аудита безопасности ни у одного из них я не нашёл.

| Проект | Лицензия | Язык | Звёзды | Чем отличается |
|---|---|---|---|---|
| [nanobot](https://github.com/HKUDS/nanobot) | MIT | Python | ~50 тыс. | сверхлёгкий агент из Гонконгского университета; веб-интерфейс, Telegram, Discord, Slack, WeChat, почта, MCP |
| [ZeroClaw](https://github.com/zeroclaw-labs/zeroclaw) | Apache-2.0 / MIT | Rust | ~33 тыс. | один бинарник, 30+ каналов, по умолчанию работает под надзором, песочницы Landlock, Bubblewrap, Seatbelt и Docker |
| [NanoClaw](https://github.com/nanocoai/nanoclaw) | MIT | TypeScript | ~31 тыс. | каждая сессия в своём контейнере, ключи в контейнер не попадают; внутри Claude Agent SDK |
| [PicoClaw](https://github.com/sipeed/picoclaw) | MIT | Go | ~30 тыс. | меньше 10 МБ памяти, работает на плате за $10 |
| [NemoClaw](https://github.com/NVIDIA/NemoClaw) | Apache-2.0 | TypeScript | ~23 тыс. | OpenClaw от NVIDIA: песочница OpenShell и модели Nemotron |
| [IronClaw](https://github.com/nearai/ironclaw) | Apache-2.0 / MIT | Rust | ~13 тыс. | инструменты в песочнице WebAssembly, белые списки адресов, секреты подставляются на границе |

Рядом стоят [Agent Zero](https://github.com/agent0ai/agent-zero), которому выдают целый Linux с рабочим столом внутри Docker, и Microsoft Scout — корпоративная надстройка над OpenClaw с учётными записями Entra и контролем утечек данных.

### Облачные агенты лабораторий

- **ChatGPT Work (OpenAI)** — наследник ChatGPT agent; с июля живёт в настольном ChatGPT на технологии Codex: задачи по событию и расписанию, слежение за изменениями, плагины к Slack, Teams, Google Drive и CRM.
- **Claude Cowork (Anthropic)** — Claude Code для тех, кто не пишет код: документы, браузер и управление экраном с разрешением на каждое приложение; входит в Pro, Max, Team и Enterprise. С 6 октября новые задачи на Pro и Max [выполняются](https://support.claude.com/en/articles/15520349-use-claude-cowork-on-web-desktop-and-mobile) на серверах Anthropic; раньше сессия шла в виртуальной машине на компьютере пользователя (Apple Virtualization на macOS, Hyper-V на Windows).
- **Gemini Tasks (Google)**, до переименования — Gemini Spark: круглосуточный агент, построенный на Antigravity, со своим почтовым адресом, удалённым браузером и компьютером в облаке, доступом к Workspace, Chrome и MCP. [Доступен](https://support.google.com/gemini/answer/17094507?hl=en) подписчикам Google AI Pro и Ultra, для рабочих и учебных аккаунтов закрыт.
- **Perplexity Computer** — облачный «цифровой работник» с ядром на Claude Opus, которое раздаёт подзадачи десяткам моделей разных вендоров; с 20 октября есть полностью локальный режим на Mac с моделью Qwen.
- **Manus** — облачный агент общего назначения: Meta купила его в декабре 2025 года, в апреле китайский регулятор сделку заблокировал, и с 1 сентября Manus [снова работает](https://manus.im/blog/a-note-to-our-users) независимо. Облачная песочница с браузером плюс управление браузером на вашем компьютере.
- **Остальные:** облачный «сотрудник» Claw от Genspark и китайские облачные версии OpenClaw от ByteDance, Tencent и Alibaba.

### Безопасность универсальных агентов: что уже случилось

По OpenClaw задокументировано больше всего инцидентов:

- **Одна ссылка — и команды на хосте.** Уязвимость OpenClaw [CVE-2026-25253](https://thehackernews.com/2026/02/openclaw-bug-enables-one-click-remote.html) (февраль): панель управления доверяла адресу шлюза из параметра ссылки и отправляла туда токен. С украденным токеном можно было отключить подтверждения и выполнять команды прямо на хосте, в обход Docker, — даже при шлюзе, доступном только с localhost.
- **Вредоносные скилы.** [Аудит](https://thehackernews.com/2026/02/researchers-find-341-malicious-clawhub.html) всех 2857 скилов в ClawHub, реестре OpenClaw, нашёл 341 вредоносный, почти все из одной кампании: «сначала установите вот это» — и на машину приезжал Atomic Stealer, ворующий пароли. Для публикации скила тогда хватало аккаунта на GitHub старше недели.
- **Шлюзы в открытом интернете.** В феврале разные сканирования [нашли](https://www.theregister.com/security/2026/02/09/openclaw-instances-open-to-the-internet-present-ripe-targets/5043770) от 40 до 135 тысяч доступных из интернета шлюзов OpenClaw, заметная часть — с известной уязвимостью удалённого выполнения кода.
- **Перехват через браузер.** Атака [ClawJacked](https://bleepingcomputer.com/news/security/clawjacked-attack-let-malicious-websites-hijack-openclaw-to-steal-data): любой сайт открывал WebSocket к шлюзу OpenClaw на вашей машине и подбирал пароль сотнями попыток в секунду — для localhost ограничения частоты не было.
- **Реакция.** Gartner назвала риск OpenClaw для бизнеса «неприемлемым», китайский CERT — «крайне слабой конфигурацией по умолчанию», в Китае госкомпаниям ограничили использование. В сентябре [аудит Trail of Bits](https://openclaw.ai/blog/openclaw-trail-of-bits-engagement-recap/) нашёл 0 критических и 2 серьёзные проблемы, всё закрыто.

Всего у OpenClaw [722 опубликованных уведомления](https://github.com/openclaw/openclaw/security/advisories) об уязвимостях, из них 14 критических и 249 высокой важности. Пик пришёлся на февраль и март — 220 и 204 уведомления; к лету поток спал до нескольких десятков в месяц.

У Hermes в сторонних базах 10–12 CVE, случаев эксплуатации и вредоносных скилов не найдено, хотя его хаб умеет ставить скилы и из ClawHub. У Claude Cowork в июле исследователи [показали](https://labs.cloudsecurityalliance.org/research/csa-research-note-claude-cowork-sharedroot-sandbox-escape-20/), что виртуальная машина сессии монтировала всю файловую систему хоста на запись и через цепочку ошибок в ядре Linux из гостя можно было добраться до файлов хозяина. Anthropic закрыла отчёт как «информационный»; исправления для локального режима нет.

Классы проблем повторяются от продукта к продукту:

- открытость по умолчанию — шлюз доступен из сети, а не только с вашей машины;
- цепочка поставок — вредоносные скилы, плагины и установщики;
- права, которые теряются по дороге: проверка прошла на первом шаге задачи, а действие выполняется на пятом, уже в другом контексте;
- контейнер как единственная граница — пока в нём не найдётся дыра;
- промпт-инъекции, которые вендоры не считают уязвимостью.

### Насколько хорошо работают универсальные агенты

Независимого сравнения OpenClaw, Hermes и облачных агентов на одной и той же модели нет.

- **Реальная работа — [Remote Labor Index](https://labs.scale.com/papers/rli).** Scale AI и CAIS взяли 240 настоящих заказов с фриланс-бирж — дизайн, видео, данные, документы — и засчитывают результат, если он не хуже, чем у нанятого человека. В октябре 2025 года лучшим был Manus: он довёл до приёмки 2,5% заказов, ChatGPT agent — 1,3%. В [июльском замере](https://safe.ai/blog/significant-increase-in-digital-labor-automation) лучшая модель, Claude Fable 5, — 15,8%, Opus 4.8 — 8,3%, GPT-5.5 — 6,3%, Opus 4.6 в оболочке Cowork — 4,2%, Manus 1.6 Max — 2,9%. Модели Anthropic при этом работали в Claude Code, модели OpenAI — в Codex CLI, оба с инструментом управления экраном.
- **Бенчмарки внутри своего harness.** [PinchBench](https://pinchbench.com) от Kilo гоняет модели на задачах OpenClaw: 147 задач, лидеры набирают 88–93,5%, и первые десять моделей укладываются в шесть пунктов. Hermes Bench от самой Nous: 150 задач, Claude Opus 5.5 — 76,7 при $0,52 за задачу, Claude Haiku 5.5 — 71,0 при $0,015. Разница в качестве — шесть пунктов, в цене — тридцать пять раз. Оба бенчмарка сравнивают модели в одном harness, а не разные harness между собой.
- **Отдельные навыки моделей.** На OSWorld-Verified (управление компьютером) лучшие модели набирают около 86% при человеческом уровне 72%, на BrowseComp (поиск в вебе) — около 92%. На новом, более длинном OSWorld 2.0, по сторонним сводкам, Opus 4.8 набирает около 21% вместо 83%.

## Код и данные: что обещают вендоры

Harness отправляет провайдеру модели всё, что агент прочитал или получил от команд: файлы, вывод тестов, диффы, а если агент открыл `.env`, то и его содержимое. Пойдут ли эти данные в обучение, сколько они хранятся и где, определяет договор с вендором модели и тип тарифа, а не сам harness.

### Обучение и хранение

| Вендор | Обучение: личные тарифы | Обучение: бизнес-тарифы и API | Сколько хранят | Нулевое хранение |
|---|---|---|---|---|
| Anthropic: Claude Code, Cowork | Free, Pro, Max: [да](https://code.claude.com/docs/en/data-usage), пока пользователь не выключит настройку «Help improve our AI models» (условия с 8 октября 2025 года); отзывы через `/feedback` и диалоги, помеченные системой безопасности, могут использоваться и при выключенной настройке | Team, Enterprise, API, Bedrock, Vertex: нет, коммерческие условия это запрещают | личные тарифы: 30 дней, при включённом обучении — до 5 лет; бизнес-тарифы: 30 дней; помеченные диалоги — до 2 лет | для Enterprise и API — по согласованию с Anthropic; облачные сессии и Cowork под него не подпадают; Fable 5 и 5.1, Mythos 5 и 5.1 [хранятся](https://support.claude.com/en/articles/15425695-covered-models) не меньше 30 дней на любой платформе |
| OpenAI: Codex, ChatGPT Work | Free, Plus, Pro: да по умолчанию, отключается общей с ChatGPT настройкой; у Codex отдельный переключатель для контекста облачных окружений | Business, Enterprise, Edu, API: нет по умолчанию | API: журналы проверки злоупотреблений — до 30 дней; бизнес-тарифы — по настройкам рабочего пространства; состояние облачной задачи Codex — 7 дней | API — после одобрения OpenAI; облачный режим ChatGPT Work строгого нулевого хранения [не даёт](https://learn.chatgpt.com/docs/enterprise/chatgpt-work-cloud-security) |
| Google: Antigravity, Gemini CLI, Code Assist | для личных аккаунтов, включая AI Pro и Ultra, Gemini CLI и Code Assist с 18 июня отключены, вместо них предложен Antigravity: взаимодействия [используются](https://antigravity.google/terms) для улучшения продуктов Google и могут просматриваться сотрудниками и подрядчиками; управляет этим переключатель «Enable Telemetry» | Code Assist Standard и Enterprise, Antigravity через Google Cloud: нет; Gemini API без оплаты — да, с проверкой людьми; с оплатой — нет | Code Assist Standard и Enterprise запросы [не хранит](https://docs.cloud.google.com/gemini/docs/codeassist/security-privacy-compliance); у Antigravity для личных аккаунтов срок не указан | нет данных |
| GitHub Copilot | Free, Pro, Pro+, Max: с 24 апреля 2026 года [да](https://github.blog/news-insights/company-news/updates-to-github-copilot-interaction-data-usage-policy/), пока пользователь не выключит настройку; данные могут получать аффилированные компании, включая Microsoft, но не сторонние провайдеры моделей | Business, Enterprise и личные аккаунты в платных организациях: нет, это запрещает договор | чат на github.com, в мобильном приложении и облачный агент — по [объявлению](https://github.blog/changelog/2026-08-28-upcoming-changes-to-github-copilot-policies-and-billing/), не раньше 28 сентября, на всё время жизни аккаунта вместо 28 дней; журналы облачных сессий нельзя удалить, только архивировать | соглашения с провайдерами моделей, кроме Claude Fable 5 и 5.1 |
| Cursor | зависит от режима приватности: включён — нет, выключен — Cursor [может](https://cursor.com/data-use) обучать модели на коде и запросах; значение по умолчанию для личных аккаунтов не указано | Teams и Enterprise: режим приватности включён по умолчанию, администратор может его закрепить | сроки не указаны; код хранят только облачные агенты, в Enterprise — до 90 дней или бессрочно, по настройке | с режимом приватности — у всех провайдеров, кроме Claude Fable 5 и 5.1 |
| JetBrains: Junie | подробные данные с кодом — [только с согласия](https://www.jetbrains.com/help/ai/data-collection-and-use-policy.html), могут использоваться для обучения | в организациях выключено по умолчанию, включает администратор | такие данные — год, в ЕЭЗ | нет данных |
| AWS: Kiro | Free и индивидуальные подписки: контент [может](https://kiro.dev/docs/privacy-and-security/data-protection/) использоваться для улучшения сервиса, есть отказ | Enterprise: нет | Free: до 60 дней для проверки злоупотреблений, даже после отказа | нет данных |
| Cognition: Devin, Windsurf | по умолчанию [да](https://docs.devin.ai/admin/security); на платных тарифах можно отказаться | Enterprise: нет без письменного согласия | на срок отношений с клиентом | отказ от обучения на платных тарифах включает нулевое хранение у провайдеров |
| Perplexity: Computer | Free, Pro, Max: настройка, разрешающая обучение, [включена](https://www.perplexity.ai/help-center/en/articles/11564572-data-collection-at-perplexity) по умолчанию; отказ действует только на будущее | Enterprise: нет | Enterprise: по настройке организации, вложения удаляются через 7 дней | Enterprise: соглашения с OpenAI и Anthropic |
| Manus | обезличенные данные могут улучшать модели Manus; сторонним ИИ-сервисам обучаться на контенте пользователей [запрещено](https://manus.im/terms) | нет данных | данные песочницы — 7 дней на бесплатном тарифе и 21 день на платном; после удаления аккаунта — 30 дней | нет данных |

Обещанные сроки хранения может перекрыть суд: с 13 мая по 26 сентября 2025 года OpenAI по судебному предписанию [сохраняла](https://simonwillison.net/2025/Oct/23/openai-no-longer-has-to-preserve) журналы Free, Plus, Pro, Team и API без нулевого хранения, которые иначе были бы удалены.

### Регион, сертификаты и юридические гарантии

| Вендор | Где обрабатываются данные | Сертификаты | Защита от исков по авторскому праву |
|---|---|---|---|
| Anthropic | API: выбор только между `us` и `global`; через Bedrock и Vertex — регион облака | SOC 2 Type I и II, ISO 27001, ISO 42001; HIPAA — по настройке | в [коммерческих условиях](https://www.anthropic.com/legal/commercial-terms): защита от исков третьих лиц о нарушении интеллектуальной собственности, включая результаты работы модели |
| OpenAI | API: хранение в 10 регионах, обработка в регионе — в США, Европе и ОАЭ | SOC 2 Type 2, ISO 27001, 27701, 42001; соглашение HIPAA покрывает локальный Codex, но [не облачный](https://learn.chatgpt.com/docs/hipaa-configuration) | Copyright Shield, объявленный для Enterprise и API |
| Google | Code Assist: регион «не гарантируется»; Antigravity для бизнеса — ограничения по региону для моделей Gemini | продукты Gemini в Google Cloud: SOC 1, 2, 3, ISO 27001, 27017, 27018, 27701, 42001, HIPAA; для Antigravity не указаны | Code Assist — «Generative AI Indemnified Service» |
| GitHub | по умолчанию регион не фиксирован; для Enterprise Cloud [можно](https://docs.github.com/en/enterprise-cloud@latest/admin/data-residency/github-copilot-with-data-residency) выбрать США или ЕС — плюс 10% к стоимости и без моделей Gemini; подсказки в редакторе на Free и Student обрабатывает Fireworks AI | SOC 1, 2, 3 Type II и ISO 27001 для Business и Enterprise; FedRAMP есть у хостов моделей, но не у самого Copilot | Customer Copyright Commitment от Microsoft; с 3 апреля 2026 года фильтр совпадений с публичным кодом для неё не обязателен |
| Cursor | Enterprise: только США, плюс 10% к стоимости; инфраструктуры в Китае нет | SOC 2 Type II, ISO 27001, ISO 42001, AIUC-1; соглашение об обработке данных — только для Teams и Enterprise | нет данных |
| Cognition | нет данных | SOC 2 Type II | нет данных |
| Perplexity | нет данных | SOC 2 Type II | нет данных |

### Китайские провайдеры

| Провайдер | Где хранятся данные | Обучение на запросах | Применимое право |
|---|---|---|---|
| DeepSeek | КНР | [да](https://cdn.deepseek.com/policies/en-US/deepseek-privacy-policy.html); отказ — письмом на privacy@deepseek.com | условия API — право материкового Китая |
| Alibaba: Qwen | регионы Сингапур, США и Пекин; место хранения не указано | FAQ Model Studio: [нет](https://www.alibabacloud.com/help/en/model-studio/faq-about-alibaba-cloud-model-studio); страница Coding Plan: подписчик [разрешает](https://help.aliyun.com/en/model-studio/coding-plan) использовать запросы и ответы для «оптимизации моделей», отзыв — только на будущее | не указано |
| Moonshot: Kimi | API — серверы в Сингапуре; потребительский Kimi — КНР | API: для улучшения сервисов, без самостоятельного отказа; потребительский: после обезличивания, отказ через поддержку | API — Сингапур; потребительский — законы КНР о персональных данных и о безопасности данных |
| Z.ai: GLM | в основном Сингапур | API: [нет](https://docs.z.ai/legal-agreement/terms-of-use.md) без явного согласия; частные пользователи — может использоваться | Сингапур |
| MiniMax | политика API: дата-центр в США, хотя в той же политике сказано, что данные в целом не покидают Сингапур | прямого запрета нет; политика обещает не использовать данные для профилирования | GDPR, закон Сингапура о персональных данных и законы других стран |

Сроков хранения не указывает ни один из пяти: формулировки — «сколько необходимо» или «пока активен аккаунт». Для Kimi Code и GLM Coding Plan отдельных условий нет, и неясно, какая политика к ним применяется. Куда уйдёт код, решает адрес провайдера в настройках, а не harness: в списках поддерживаемых инструментов у этих подписок — Claude Code, Codex, Cursor, OpenCode, OpenClaw и Hermes.

Ограничения со стороны государств и компаний:

- **DeepSeek.** Италия заблокировала приложение в январе 2025 года, Южная Корея приостанавливала загрузки с февраля по апрель 2025-го. На государственных устройствах его запретили Тайвань, Австралия, Чехия, Министерство торговли США и ряд штатов; Microsoft запретила приложение сотрудникам. В октябре 2026 года Министерство внутренней безопасности США [обязало](https://techxplore.com/news/2026-10-china-deepseek-agencies.html) гражданские федеральные ведомства убрать продукты DeepSeek, включая построенные на нём сторонние инструменты.
- **Zhipu (Z.ai).** С января 2025 года в американском Entity List — это экспортный контроль, а не запрет пользоваться сервисом.
- **Все пять провайдеров** названы в [бюллетене](https://www.cisa.gov/news-events/cybersecurity-advisories/aa26-251a) NSA, CISA и FBI от 8 сентября 2026 года среди компаний, дистиллировавших американские модели; рекомендаций клиентам этих моделей бюллетень не даёт.

### Посредники: шлюзы и свои ключи

- **OpenCode Zen и Go.** Модели [размещены](https://opencode.ai/docs/zen/) в США и ЕС, большинство — без обучения и хранения. Исключения: часть бесплатных моделей, на данных которых обучается провайдер; модели с пометкой Contributor, в том числе Muse от Meta, которые обучаются на запросах и включаются только администратором; часть моделей OpenAI, Anthropic и xAI с хранением 30 дней. Соглашение о нулевом хранении с DeepSeek [продлевается](https://opencode.ai/v2/docs/console/go/) помесячно, текущее действует до 31 октября. OpenCode заявляет SOC 2 Type 1 и 2, отчёты — под NDA.
- **Kilo Gateway.** Работает через OpenRouter и Vercel AI Gateway, серверы в США. [Условия](https://kilo.ai/terms) дают Kilo бессрочную лицензию на данные клиента, включая исходный код, «для предоставления и улучшения сервисов». Бесплатный режим Auto Free может отправлять запросы провайдерам, которые их логируют и на них обучаются; нулевое хранение есть только в Enterprise.
- **Провайдеры Cline и ClinePass.** Запросы идут через инфраструктуру Cline, и телеметрия по ним [может](https://docs.cline.bot/more-info/telemetry) включать запрос и ответ модели; о хранении и обучении документация ClinePass ничего не говорит. Со своими ключами Cline отправляет запросы напрямую провайдеру.
- **Nous Portal (Hermes).** [Условия](https://portal.nousresearch.com/terms) дают Nous лицензию на запросы и ответы, в том числе для обучения и передачи третьим лицам; режим приватности, который нужно включить вручную, отключает хранение и обучение, метаданные остаются.
- **Свои ключи в коммерческих harness.** В Cursor запросы со своим ключом всё равно [проходят](https://cursor.com/data-use) через сервер Cursor, где собирается промпт, и нулевое хранение тогда определяет провайдер. Copilot CLI со своим провайдером отправляет запросы напрямую ему, а чат в IDE со своим ключом — через API GitHub.

### Что остаётся на вашей машине

| Harness | Телеметрия | Локальная история | Как закрыть файлы от агента |
|---|---|---|---|
| Claude Code | метрики без кода, запросов и путей, отчёты об ошибках; отключаются `DISABLE_TELEMETRY` и `DISABLE_ERROR_REPORTING` или общей `CLAUDE_CODE_DISABLE_NONESSENTIAL_TRAFFIC`; на Bedrock и Vertex выключены по умолчанию | полные расшифровки сессий, включая прочитанные файлы и вывод команд, [в открытом виде](https://code.claude.com/docs/en/claude-directory) 30 дней | правила запрета вроде `Read(./.env)`; файл `.claudeignore` [не работает](https://code.claude.com/docs/en/permissions) |
| Codex | анонимная статистика включена по умолчанию; `[analytics] enabled = false` | история в `~/.codex`; отключается `[history] persistence = "none"` | запреты в профилях разрешений; файла исключений нет |
| Copilot CLI | включена; `--disable-client-telemetry` или `COPILOT_OFFLINE=true` | полная запись сессий в `~/.copilot/session-state/`, по умолчанию синхронизируется с аккаунтом GitHub | исключение контента — только на Business и Enterprise |
| Cursor | нет данных | нет данных | `.cursorignore` — настройка одного пользователя; терминал и MCP её обходят |
| Gemini CLI | выключена по умолчанию; статистика использования отключается отдельно | нет данных | `.geminiignore`; в Code Assist — `.aiexclude` |
| Antigravity | в приложении переключатель «Enable Telemetry» управляет и сбором взаимодействий для улучшения моделей; в CLI сбор данных об использовании для бизнес-аккаунтов всегда выключен | нет данных | в строгом режиме агент соблюдает `.gitignore` |
| OpenCode | по словам разработчиков, нет; полностью офлайн-режима нет | нет данных | чтение `.env` по умолчанию требует подтверждения |
| Cline | включена | нет данных | `.clineignore` устарел и, по документации, «не граница безопасности» |
| Kilo Code | включена; `KILO_TELEMETRY_LEVEL=off` | нет данных | `.kilocodeignore` превращается в запреты на чтение и правку |
| Qwen Code | анонимная статистика без кода и запросов, включена по умолчанию; `QWEN_USAGE_STATISTICS_ENABLED=false` | нет данных | нет данных |
| OpenClaw | ежедневная проверка обновлений без содержимого; статистика функций выключена по умолчанию | токены и расшифровки в `~/.openclaw`, [защищены](https://docs.openclaw.ai/gateway/security/secrets-and-storage) только правами на файлы | нет данных |
| Hermes Agent | нет данных | ключи в `~/.hermes/.env`; команды в базе сессий хранятся без маскировки | скилы перед установкой проверяет Skills Guard; дочерним процессам не передаются переменные с KEY, TOKEN, SECRET и PASSWORD в имени |

Goose отправляет телеметрию только с согласия, pi — одну анонимную проверку версии при установке, Kimi Code отключает её переменной `KIMI_DISABLE_TELEMETRY=1`.

### Утечки кода и ключей через агентов

| Когда | Где | Что произошло | Что утекло |
|---|---|---|---|
| май 2025 | GitHub MCP-сервер и Claude Desktop | вредоносный issue в публичном репозитории заставил агента с доступом к приватным репозиториям [выложить](https://invariantlabs.ai/blog/mcp-github-vulnerability) их данные в публичный пул-реквест | данные приватных репозиториев |
| июль 2025 | Amazon Q Developer для VS Code | через слишком широкий токен в сборке в релиз 1.84.0 [попал](https://aws.amazon.com/security/security-bulletins/AWS-2025-015/) вредоносный код; по данным AWS, он не сработал | ничего, по данным AWS |
| июль 2025 | Gemini CLI | разрешённая команда в цепочке с `env` и `curl` [незаметно отправляла](https://www.scworld.com/news/google-fixes-gemini-cli-flaws-that-risked-silent-data-exfiltration) данные наружу; исправлено в версии 0.1.14 | переменные окружения |
| август 2025 | npm-пакет Nx, атака s1ngularity | заражённые версии [искали](https://nx.dev/blog/s1ngularity-postmortem) секреты с помощью установленных ИИ-CLI — Claude, Gemini, Q, — запущенных без подтверждений | токены GitHub и npm, SSH-ключи, файлы `.env`; по разным оценкам, тысячи секретов |
| сентябрь 2025 | Copilot Chat, CamoLeak | скрытый комментарий в пул-реквесте заставлял чат [вытаскивать](https://www.legitsecurity.com/blog/camoleak-critical-github-copilot-vulnerability-leaks-private-source-code) данные посимвольно через прокси картинок GitHub; ещё в августе GitHub отключил картинки в чате | код и секреты из приватных репозиториев |
| ноябрь 2025 | Antigravity | скрытый текст на веб-странице заставил агента прочитать `.env` в обход `.gitignore` и [отправить](https://www.promptarmor.com/resources/google-antigravity-exfiltrates-data) ключи через браузерного субагента на адрес из белого списка по умолчанию; Google относит такие утечки к известным проблемам | ключи AWS |
| январь 2026 | Claude Cowork | документ со скрытой инструкцией [заставил](https://promptarmor.com/resources/claude-cowork-exfiltrates-files) Cowork без подтверждения загрузить локальные файлы на чужой аккаунт через разрешённый Files API Anthropic; на момент публикации проблема была признана, но не исправлена | локальные файлы |
| январь 2026 | Moltbook, соцсеть агентов вокруг OpenClaw | ключ базы данных в клиентском JavaScript [давал](https://www.wiz.io/blog/exposed-moltbook-database-reveals-millions-of-api-keys) доступ к рабочей базе; закрыто за три часа | около 1,5 млн токенов агентов, в переписке агентов — ключи OpenAI |
| февраль 2026 | Cline, атака Clinejection | инъекция в заголовке issue управляла ИИ-ботом сортировки issue, что [привело](https://dev.to/snyk/how-clinejection-turned-an-ai-bot-into-a-supply-chain-attack-4hke) к краже npm-токена и выпуску cline 2.3.0, который ставил OpenClaw; версия провисела в npm около 8 часов | токен публикации npm |
| февраль 2026 | Claude Code | настройки `.claude/settings.json` в чужом репозитории до диалога доверия могли запустить хуки и MCP-серверы или [подменить](https://research.checkpoint.com/2026/rce-and-api-token-exfiltration-through-claude-code-project-files-cve-2025-59536/) `ANTHROPIC_BASE_URL`; исправлено в 2025 году | ключ API Anthropic |
| март 2026 | Codex | внедрение команды через имя ветки GitHub при подготовке задачи; [исправлено](https://siliconangle.com/2026/03/30/openai-codex-vulnerability-enabled-github-token-theft-via-command-injection-report-finds/) | OAuth-токены GitHub |
| апрель 2026 | Claude Code, Gemini CLI и Copilot в GitHub Actions | инструкции в заголовках пул-реквестов и комментариях [заставляли](https://www.techzine.eu/news/security/140524/ai-agents-on-github-leak-api-keys-via-prompt-injection/) агентов публиковать свои ключи; по сообщениям, исправлено у всех трёх | ключи API и токены GitHub |
| август 2026 | Kiro | инъекция через управляющие файлы в чужом рабочем пространстве [отправляла](https://thehackernews.com/2026/08/amazon-kiro-prompt-injection-can.html) данные наружу; даты исправления в источниках расходятся | код, конфигурация, ключи API |
| октябрь 2026 | облачная консоль OpenCode | взлом выводимой из эксплуатации системы, локальных установок не касается; OpenCode [уведомила](https://www.infosecurity-magazine.com/news/opencode-breach-openai-anthropic/) затронутых пользователей и провайдеров | ключи сторонних провайдеров у 1,4% пользователей консоли могли быть раскрыты |