Сравнение harness для ИИ-агентов: от Claude Code до OpenClaw

Привет!

Когда говорят «Claude пишет код лучше, чем GPT», обычно сравнивают не модели, а модели вместе с программой, в которой они работают. Эта программа называется harness (дословно — «упряжь», «обвязка»): она собирает для модели контекст, исполняет её вызовы инструментов, следит за контекстным окном, решает, что агенту можно делать без спроса, и определяет, где выполняются его команды. Claude Code, Codex, Cursor, OpenClaw — всё это harness.

Рынок меняется каждую неделю, поэтому всё ниже — состояние на конец октября 2026 года по документации, репозиториям и публичным рейтингам; даты без года относятся к 2026-му.

Из чего состоит harness

Почти всё, что в harness настраивается, лежит в папке .claude проекта на Claude Code; у других harness названия свои, но состав тот же.

Общие стандарты настройки

• AGENTS.md — общий файл инструкций проекта. Его предложила OpenAI, файл есть больше чем в 60 тысячах открытых проектов.
• Agent Skills — общий формат скилов. Его придумала и в декабре 2025-го открыла Anthropic; в списке поддерживающих — 46 продуктов, от Claude Code, Codex и Cursor до Hermes и OpenClaw.
• MCP (Model Context Protocol) — общий протокол подключения инструментов и данных, тоже от Anthropic. Его понимают почти все harness из этой статьи.
• ACP (Agent Client Protocol) от Zed — протокол между редактором и агентом: Zed, IDE от JetBrains, VS Code, Neovim и Emacs подключают через него любого из примерно пятидесяти агентов, которые его поддерживают.

AGENTS.md, Agent Skills и MCP живут в Agentic AI Foundation при Linux Foundation. Эта часть настройки переносится между разными harness с одной оговоркой: Claude Code и Cline не ищут скилы в общей папке .agents/skills, им нужна ссылка из .claude/skills. Правила по путям, субагенты, хуки, права, песочница и плагины у каждого harness свои.

Кто чем пользуется

Опросы ставят первым Claude Code, скачивания и токены — Codex, а самый большой охват у Copilot.

• Пользователи. У Copilot почти 80 млн установок расширения для VS Code и, по пересказам отчёта Microsoft, 50 млн пользователей; в эти цифры входят все, у кого есть расширение, а не только те, кто пользуется агентом. У Codex летом было 5 млн активных пользователей в неделю.
• Скачивания с npm за последнюю неделю октября: Codex — 27 млн, Claude Code — 12,8 млн, OpenCode — 4,5 млн, OpenClaw — 3,5 млн, Copilot CLI — 1,7 млн, Gemini CLI — 0,45 млн. Сюда входят CI и боты, а Claude Code чаще ставят собственным установщиком, мимо npm, — поэтому это не число людей.
• Токены на OpenRouter — шлюзе ко многим моделям, который публикует расход по приложениям. 29 октября: Codex — 2,6 трлн токенов за сутки, Claude Code — 2,1 трлн, Hermes Agent — 1,9 трлн, Kilo Code — 744 млрд, OpenClaw — 731 млрд, pi — 582 млрд, DeepSeek Harness (девятое место) — 271 млрд, Cline — 139 млрд. Это только трафик через OpenRouter, то есть в основном свои ключи и открытые модели: подписки Claude и ChatGPT сюда не попадают.

Насколько harness влияет на результат

Для одной и той же модели разница между лучшим и худшим harness доходит до 10–20 пунктов, а слабую или «чужую» модель другой harness может поднять в разы. Harness вендора при этом не обязательно лучший для его же модели, хотя вендоры обучают модели под свои harness — так прямо пишут, например, Google про Antigravity и Meta про Muse Code.

Главный бенчмарк, где одну модель запускают в разных harness, — Terminal-Bench: задачи в терминале (собрать, починить, настроить сервер, обучить модель), каждая в своём контейнере и с проверкой тестами. Точка отсчёта — Terminus 2, простой harness самих авторов бенчмарка. Версия 2.0 (ноябрь 2025-го, 89 задач) к концу октября собрала 137 записей «модель + harness»; из 29 моделей, запущенных в двух и более harness, у 16 разница между лучшим и худшим harness больше десяти пунктов:

Лучшие строки — малоизвестные harness, собранные под рейтинг, но разброс показывает, сколько можно выжать из той же модели.

Harness вендоров на версии 2.0 выступили по-разному. Claude Code с моделями Claude во всех пяти парах отставал от Terminus 2 на 1–6 пунктов, Gemini CLI с моделями Gemini — во всех трёх парах, а Codex CLI с моделями OpenAI во всех пяти был выше, на 1–14; Factory Droid обыграл Terminus 2 со всеми пятью моделями — на 4–13. Часть разрыва объяснялась самими задачами: в мае вышла версия 2.1, где починили 28 задач из 89 — с устаревшими зависимостями или с нехваткой ресурсов даже для правильного решения. На ней Claude Code с Opus 4.6 поднялся с 58,0% до 70,1%, Terminus 2 — с 62,9% до 63,8%, и отставание в пять пунктов стало преимуществом в шесть. В целом на 2.1 harness вендоров отличаются от Terminus 2 в пределах от −8 до +5 пунктов.

Эксперименты, где меняли только harness

• LangChain взяла gpt-5.2-codex и меняла только свой harness Deep Agents — в частности, добавила самопроверку перед завершением и обнаружение зацикливания. Результат на Terminal-Bench 2.0 вырос с 52,8% до 66,5%, и эта цифра есть в официальной таблице. Про Deep Agents и LangGraph есть отдельная статья.
• Can Bölük сравнил три формата правки файлов: apply_patch, как в Codex, str_replace, как в Claude Code, и свой hashline, где строки адресуются короткими хешами. На 16 моделях hashline обыграл патч у 14, в среднем на 15 пунктов; у Grok Code Fast 1 результат вырос с 6,7% до 68,3%. Задачи синтетические, а автор продаёт свой harness, но эффект известен давно: в Aider ещё в конце 2023-го результат GPT-4 Turbo вырастал больше чем вдвое от одной только смены формата правок.

Насколько можно верить бенчмаркам

• Железо. Anthropic измерила, что одни только ресурсы контейнера двигают результат на Terminal-Bench 2.0 на шесть пунктов, и советует не верить разнице меньше трёх пунктов, пока конфигурации не совпадают.
• Подгонка. В апреле таблицу Terminal-Bench почистили: один harness хранил зашифрованные решения в своём бинарнике, другой подгружал тесты задачи, а ForgeCode скачивал готовые решения в собственный AGENTS.md. Результаты ForgeCode обнулили, а каждую успешную попытку теперь проверяет отдельный агент-судья.
• SWE-bench — набор задач из реальных GitHub-issue. Его версия Verified, главная цифра 2024–2025 годов, потеряла доверие: в феврале OpenAI перестала её публиковать — аудит нашёл дефектные тесты минимум в 59% задач, на которых модели чаще всего ошибались, а модели умели воспроизводить эталонные патчи по памяти. SWE-bench Pro от Scale, предложенный взамен, Epoch AI оценивает как «с изъянами»: по аудитам сломано 30% задач и больше; к тому же он сравнивает модели в одном нейтральном harness, а не продукты.
• Живые разработчики. METR в 2025 году получил замедление опытных разработчиков с ИИ на 19%, а в повторе в феврале — ускорение на 4–18%, но сам называет этот сигнал ненадёжным: участники отказывались работать без ИИ.

Harness для программирования: сравнение

Результаты на бенчмарках

Здесь сравниваются уже продукты: модель в harness, как правило, своего вендора. Ориентиров два. Terminal-Bench 4.0 — текущая версия (август, 66 задач); в ней почти каждая модель запущена только в harness своего вендора, поэтому влияние самого harness она не показывает. Индекс кодовых агентов Artificial Analysis считается на трёх наборах задач. Прочерк — продукта в рейтинге нет.

Прогон Terminal-Bench 4.0 стоил $600 для Codex с GPT-6.1 Sol и $4700 для Claude Code с Opus 5.5. По данным Artificial Analysis, Codex решает задачу в среднем за 24 минуты и $1,5–7, Claude Code с Opus 5.5 — за час и $11,4, Mistral Vibe — за $1,26.

Разработчик, лицензия, развитие

Интерфейсы, модели и цены

Подписки Claude, ChatGPT и Google ограничены пятичасовыми окнами и недельными лимитами, так что «Pro за $20» — это вход, а не безлимит. Подписка Claude к тому же работает только в продуктах Anthropic, поэтому, например, OpenCode добирается до моделей Claude через установленный рядом Claude Code. В обратную сторону путь открыт: модели DeepSeek, GLM и Kimi подключаются к Claude Code через переменную ANTHROPIC_BASE_URL — их вендоры это документируют (инструкция DeepSeek), а Anthropic такой режим не поддерживает.

Для полностью локальной работы на обычном компьютере по размеру подходят модели на 20–30 млрд параметров вроде Qwen3.8-27B или Devstral Small 2; открытые флагманы DeepSeek, GLM и Kimi весят от сотен миллиардов до триллионов параметров и требуют сервера (как запускать модели на своём железе).

Настройка: инструкции, скилы, субагенты, хуки

Файлы из папки .claude частично читают и другие harness: Cursor, Copilot, Cline, OpenCode, Devin и Junie.

Изоляция и работа без человека

Запустить на виртуальной машине можно любой из этих harness: все работают на Linux и умеют режим без интерфейса. Важнее, что защитит машину, когда вы отойдёте: где песочница не включена по умолчанию, её нужно включить или поставить harness в контейнер. Режимы, где разрешения раздаёт отдельная модель-классификатор, — auto у Claude Code, Auto-review у Cursor, Assisted у Copilot — экономят подтверждения, но сами вендоры не считают их границей безопасности.

Параллельные сессии изолируют друг от друга отдельными git worktree — так устроены Claude Code, Kilo Code и субагенты Antigravity. Откатывают изменения чекпоинтами (Claude Code, Cline), снимками (OpenCode) или, как в Codex, только через git.

Уязвимости за 2026 год

Счёт зависит и от того, публикует ли вендор отчёты: у закрытых продуктов без публичного канала его нет вовсе. Сюжеты у всех одни: настройки из чужого репозитория, которые выполняют код, обход диалога доверия к проекту и выход из песочницы.

Harness для программирования: профили

Claude Code

• Особенности: у Claude Code плагины ставятся одной командой из маркетплейса, а экспериментальные команды агентов и воркфлоу раздают работу сотням субагентов.
• В 2026 году: у Claude Code утекли исходники через source map.

Подробнее: практики, хуки, команды и настройки, документация.

OpenAI Codex

• Особенности: в песочнице Codex служебные .git, .agents и .codex доступны только для чтения, файлы .rules решают, каким командам можно выйти наружу, а поверх работает агент-страж.
• Ограничения: внешние пул-реквесты в открытый CLI Codex не принимаются; функции часто удаляют и переименовывают — в сентябре убрали режим MCP-сервера.
• В 2026 году: приложение Codex слили с ChatGPT.

Код · документация

Cursor

• Особенности: в Cursor есть Projects, где координатор раздаёт работу исполнителям, и собственный git-хостинг Origin (бета); свои модели Composer — вторая версия была построена на открытой Kimi K2.5.
• Ограничения: механизм доверия к рабочей папке в Cursor по умолчанию выключен.
• В 2026 году: в апреле вышел Cursor 3 с окном агентов; после покупки Cursor компанией SpaceX OpenAI, по сообщениям прессы, прекращает прямой доступ Cursor к своим моделям с 12 ноября.

Документация

GitHub Copilot

• Особенности: в Copilot на одну задачу на GitHub можно назначить ещё и агентов Claude и Codex; есть автовыбор модели и режим Fusion, где модели работают каскадом или проверяют друг друга.
• В 2026 году: в феврале Copilot CLI вышел из превью; с 28 октября общий движок Copilot называется Microsoft Copilot harness.

Документация

Google Antigravity и Gemini CLI

• Что с продуктами: Google собрала свои кодовые продукты в Antigravity — новую программу на Go, а не форк. Gemini CLI с 18 июня только для корпоративных клиентов и «не оптимизирован для Gemini 4+»; Jules закрывается 31 декабря; Code Assist с 9 октября не продаётся.
• Особенности: Antigravity импортирует расширения Gemini CLI и плагины Claude Code.

Документация

OpenCode

• Ограничения: вторая версия OpenCode (сентябрь) ломает плагины, API сервера и формат конфигурации.

Репозиторий · документация

Cline и Kilo Code

Cline — оригинал, Kilo Code — его наследник, переехавший на форк OpenCode. Третий из семьи, Roo Code, закрыт в мае; сообщество продолжает его форком Zoo Code.

• Особенности: Cline привлёк $32 млн инвестиций, переписан на собственный SDK и обзавёлся канбан-доской задач.

Cline · Kilo Code

pi

• Кто: pi написал Марио Цехнер (Mario Zechner); с апреля проектом владеет компания Earendil, версия 1.0 вышла 1 октября.
• Особенности: на pi построены OpenClaw, MiniMax Code, Kimi Code и CLI Augment Code; системный промпт pi короче тысячи токенов, а расширения, скилы и шаблоны промптов ставятся как пакеты.
• Ограничения: в pi нет режима планирования и системы прав.

Репозиторий

DeepSeek Harness

• Особенности: DeepSeek Harness вышел в августе 2026-го; его принцип — «всё есть плагин»; есть расписания и вебхуки для ревью на GitHub.

Репозиторий

Qwen Code

• Особенности: Qwen Code вырос из Gemini CLI; у него есть SDK для TypeScript, Python и Java и режимы от «только план» до автоматического с классификатором.

Репозиторий

Goose

• Кто: Goose сделан в Block (Square, Cash App) и стал одним из трёх проектов, с которых началась Agentic AI Foundation.
• Особенности: у Goose есть прокладка для моделей, которые плохо вызывают инструменты; рецепты — YAML-описания повторяемых процессов, которые вызываются как команды; больше 70 расширений-MCP; режимы «автономно», «спрашивать», «умное подтверждение», «только чат» и независимый агент-проверяющий.

Репозиторий

Остальные harness для программирования

Kimi Code, ZCode и MiniMax Code устроены одинаково: открытый harness плюс подписка на модель своей лаборатории, которую можно использовать и в чужих harness. Все три читают AGENTS.md и понимают MCP, скилы и хуки в стиле Claude Code.

Continue доступен только для чтения, Trae Agent от ByteDance заброшен с февраля.

Универсальные агенты

Кодовый harness — инструмент по запросу: вы дали задачу, он её сделал, сессия закончилась (расписания и облачные задачи у них уже есть, но суть та же). Универсальный агент — процесс, который работает постоянно: на вашем компьютере, на арендованном сервере или в облаке вендора. Внутри всё то же — модель, цикл вызова инструментов, скилы, субагенты, MCP, — а отличий три:

• Каналы вместо терминала. Агент — это шлюз, к которому подключены Telegram, WhatsApp, Slack, почта. Писать ему можно с телефона, и писать ему могут не только вы.
• Расписание и инициатива. Агент не ждёт сообщения: раз в полчаса проверяет почту, утром присылает сводку, следит за ценой билета.
• Долгая память. Не история одной сессии, а накопленные заметки о вас и ваших делах.

Сравнение универсальных агентов

OpenClaw

• Кто: OpenClaw создал Питер Штайнбергер (Peter Steinberger), основатель PSPDFKit, с февраля работающий в OpenAI; с июля проект в независимом фонде, среди спонсоров OpenAI, NVIDIA, Microsoft и Tencent. Прежние имена — Warelay, Clawdis, Clawdbot и Moltbot. Около 393 тыс. звёзд, 384 участника, релизы почти каждый день.
• Настройка: AGENTS.md — инструкции, SOUL.md — характер и границы, USER.md — что агент знает о вас, MEMORY.md и дневные заметки — память; скилы в формате Agent Skills из реестра ClawHub.
• Память: Markdown-файлы с поиском по словам и по смыслу; перед сжатием контекста агент сбрасывает важное в память, а фоновый режим «сновидений» переносит устоявшиеся факты в MEMORY.md. Скилы агент может писать и обновлять сам.
• Автоматизация: расписание, вебхуки, триггеры из Gmail, MCP; субагенты — фоновые сессии со своей моделью, которые возвращают итог в основной разговор.
• Ограничения: по документации OpenClaw один шлюз — одна граница доверия, а не среда для нескольких пользователей; вход по подписке ChatGPT есть, по подписке Claude — нет.

Репозиторий · документация

Hermes Agent

• Кто: Hermes Agent делает Nous Research, автор открытых моделей Hermes; агент вышел через несколько недель после взлёта OpenClaw. Python, около 259 тыс. звёзд — с мая плюс 98 тысяч против 20 у OpenClaw; 397 участников.
• Самообучение: время от времени агент пересматривает сделанное и сохраняет вывод в память или создаёт и правит скил, чтобы в следующий раз решить задачу по готовой процедуре.
• Память: нарочно маленькая — MEMORY.md около 2200 знаков, USER.md около 1400; вставляется снимком в начало сессии, чтобы не ломать кеш промпта; плюс полнотекстовый поиск по всем сессиям.
• Исполнение: шесть бэкендов — хост, Docker, SSH, Modal, Daytona, Vercel Sandbox; платный хостинг от $20 до $200 в месяц.
• Скилы и субагенты: Agent Skills из хаба с несколькими источниками, включая ClawHub, со сканером при установке; до десяти субагентов параллельно.
• Ограничения: опасность команды в Hermes оценивает вспомогательная модель, а в контейнерных бэкендах эти проверки отключены; документация признаёт, что настоящая граница — только операционная система.

Репозиторий · документация

Лёгкие альтернативы OpenClaw

Вслед за OpenClaw появилось семейство «клешней» (claws) — агентов того же типа, написанных заново и отличающихся размером или изоляцией. Независимого аудита безопасности ни у одного из них я не нашёл.

Рядом стоят Agent Zero, которому выдают целый Linux с рабочим столом внутри Docker, и Microsoft Scout — корпоративная надстройка над OpenClaw с учётными записями Entra и контролем утечек данных.

Облачные агенты лабораторий

• ChatGPT Work (OpenAI) — наследник ChatGPT agent; с июля живёт в настольном ChatGPT на технологии Codex: задачи по событию и расписанию, слежение за изменениями, плагины к Slack, Teams, Google Drive и CRM.
• Claude Cowork (Anthropic) — Claude Code для тех, кто не пишет код: документы, браузер и управление экраном с разрешением на каждое приложение; входит в Pro, Max, Team и Enterprise. С 6 октября новые задачи на Pro и Max выполняются на серверах Anthropic; раньше сессия шла в виртуальной машине на компьютере пользователя (Apple Virtualization на macOS, Hyper-V на Windows).
• Gemini Tasks (Google), до переименования — Gemini Spark: круглосуточный агент, построенный на Antigravity, со своим почтовым адресом, удалённым браузером и компьютером в облаке, доступом к Workspace, Chrome и MCP. Доступен подписчикам Google AI Pro и Ultra, для рабочих и учебных аккаунтов закрыт.
• Perplexity Computer — облачный «цифровой работник» с ядром на Claude Opus, которое раздаёт подзадачи десяткам моделей разных вендоров; с 20 октября есть полностью локальный режим на Mac с моделью Qwen.
• Manus — облачный агент общего назначения: Meta купила его в декабре 2025 года, в апреле китайский регулятор сделку заблокировал, и с 1 сентября Manus снова работает независимо. Облачная песочница с браузером плюс управление браузером на вашем компьютере.
• Остальные: облачный «сотрудник» Claw от Genspark и китайские облачные версии OpenClaw от ByteDance, Tencent и Alibaba.

Безопасность универсальных агентов: что уже случилось

По OpenClaw задокументировано больше всего инцидентов:

• Одна ссылка — и команды на хосте. Уязвимость OpenClaw CVE-2026-25253 (февраль): панель управления доверяла адресу шлюза из параметра ссылки и отправляла туда токен. С украденным токеном можно было отключить подтверждения и выполнять команды прямо на хосте, в обход Docker, — даже при шлюзе, доступном только с localhost.
• Вредоносные скилы. Аудит всех 2857 скилов в ClawHub, реестре OpenClaw, нашёл 341 вредоносный, почти все из одной кампании: «сначала установите вот это» — и на машину приезжал Atomic Stealer, ворующий пароли. Для публикации скила тогда хватало аккаунта на GitHub старше недели.
• Шлюзы в открытом интернете. В феврале разные сканирования нашли от 40 до 135 тысяч доступных из интернета шлюзов OpenClaw, заметная часть — с известной уязвимостью удалённого выполнения кода.
• Перехват через браузер. Атака ClawJacked: любой сайт открывал WebSocket к шлюзу OpenClaw на вашей машине и подбирал пароль сотнями попыток в секунду — для localhost ограничения частоты не было.
• Реакция. Gartner назвала риск OpenClaw для бизнеса «неприемлемым», китайский CERT — «крайне слабой конфигурацией по умолчанию», в Китае госкомпаниям ограничили использование. В сентябре аудит Trail of Bits нашёл 0 критических и 2 серьёзные проблемы, всё закрыто.

Всего у OpenClaw 722 опубликованных уведомления об уязвимостях, из них 14 критических и 249 высокой важности. Пик пришёлся на февраль и март — 220 и 204 уведомления; к лету поток спал до нескольких десятков в месяц.

У Hermes в сторонних базах 10–12 CVE, случаев эксплуатации и вредоносных скилов не найдено, хотя его хаб умеет ставить скилы и из ClawHub. У Claude Cowork в июле исследователи показали, что виртуальная машина сессии монтировала всю файловую систему хоста на запись и через цепочку ошибок в ядре Linux из гостя можно было добраться до файлов хозяина. Anthropic закрыла отчёт как «информационный»; исправления для локального режима нет.

Классы проблем повторяются от продукта к продукту:

• открытость по умолчанию — шлюз доступен из сети, а не только с вашей машины;
• цепочка поставок — вредоносные скилы, плагины и установщики;
• права, которые теряются по дороге: проверка прошла на первом шаге задачи, а действие выполняется на пятом, уже в другом контексте;
• контейнер как единственная граница — пока в нём не найдётся дыра;
• промпт-инъекции, которые вендоры не считают уязвимостью.

Насколько хорошо работают универсальные агенты

Независимого сравнения OpenClaw, Hermes и облачных агентов на одной и той же модели нет.

• Реальная работа — Remote Labor Index. Scale AI и CAIS взяли 240 настоящих заказов с фриланс-бирж — дизайн, видео, данные, документы — и засчитывают результат, если он не хуже, чем у нанятого человека. В октябре 2025 года лучшим был Manus: он довёл до приёмки 2,5% заказов, ChatGPT agent — 1,3%. В июльском замере лучшая модель, Claude Fable 5, — 15,8%, Opus 4.8 — 8,3%, GPT-5.5 — 6,3%, Opus 4.6 в оболочке Cowork — 4,2%, Manus 1.6 Max — 2,9%. Модели Anthropic при этом работали в Claude Code, модели OpenAI — в Codex CLI, оба с инструментом управления экраном.
• Бенчмарки внутри своего harness. PinchBench от Kilo гоняет модели на задачах OpenClaw: 147 задач, лидеры набирают 88–93,5%, и первые десять моделей укладываются в шесть пунктов. Hermes Bench от самой Nous: 150 задач, Claude Opus 5.5 — 76,7 при $0,52 за задачу, Claude Haiku 5.5 — 71,0 при $0,015. Разница в качестве — шесть пунктов, в цене — тридцать пять раз. Оба бенчмарка сравнивают модели в одном harness, а не разные harness между собой.
• Отдельные навыки моделей. На OSWorld-Verified (управление компьютером) лучшие модели набирают около 86% при человеческом уровне 72%, на BrowseComp (поиск в вебе) — около 92%. На новом, более длинном OSWorld 2.0, по сторонним сводкам, Opus 4.8 набирает около 21% вместо 83%.

Код и данные: что обещают вендоры

Harness отправляет провайдеру модели всё, что агент прочитал или получил от команд: файлы, вывод тестов, диффы, а если агент открыл .env, то и его содержимое. Пойдут ли эти данные в обучение, сколько они хранятся и где, определяет договор с вендором модели и тип тарифа, а не сам harness.

Обучение и хранение

Обещанные сроки хранения может перекрыть суд: с 13 мая по 26 сентября 2025 года OpenAI по судебному предписанию сохраняла журналы Free, Plus, Pro, Team и API без нулевого хранения, которые иначе были бы удалены.

Регион, сертификаты и юридические гарантии

Китайские провайдеры

Сроков хранения не указывает ни один из пяти: формулировки — «сколько необходимо» или «пока активен аккаунт». Для Kimi Code и GLM Coding Plan отдельных условий нет, и неясно, какая политика к ним применяется. Куда уйдёт код, решает адрес провайдера в настройках, а не harness: в списках поддерживаемых инструментов у этих подписок — Claude Code, Codex, Cursor, OpenCode, OpenClaw и Hermes.

Ограничения со стороны государств и компаний:

• DeepSeek. Италия заблокировала приложение в январе 2025 года, Южная Корея приостанавливала загрузки с февраля по апрель 2025-го. На государственных устройствах его запретили Тайвань, Австралия, Чехия, Министерство торговли США и ряд штатов; Microsoft запретила приложение сотрудникам. В октябре 2026 года Министерство внутренней безопасности США обязало гражданские федеральные ведомства убрать продукты DeepSeek, включая построенные на нём сторонние инструменты.
• Zhipu (Z.ai). С января 2025 года в американском Entity List — это экспортный контроль, а не запрет пользоваться сервисом.
• Все пять провайдеров названы в бюллетене NSA, CISA и FBI от 8 сентября 2026 года среди компаний, дистиллировавших американские модели; рекомендаций клиентам этих моделей бюллетень не даёт.

Посредники: шлюзы и свои ключи

• OpenCode Zen и Go. Модели размещены в США и ЕС, большинство — без обучения и хранения. Исключения: часть бесплатных моделей, на данных которых обучается провайдер; модели с пометкой Contributor, в том числе Muse от Meta, которые обучаются на запросах и включаются только администратором; часть моделей OpenAI, Anthropic и xAI с хранением 30 дней. Соглашение о нулевом хранении с DeepSeek продлевается помесячно, текущее действует до 31 октября. OpenCode заявляет SOC 2 Type 1 и 2, отчёты — под NDA.
• Kilo Gateway. Работает через OpenRouter и Vercel AI Gateway, серверы в США. Условия дают Kilo бессрочную лицензию на данные клиента, включая исходный код, «для предоставления и улучшения сервисов». Бесплатный режим Auto Free может отправлять запросы провайдерам, которые их логируют и на них обучаются; нулевое хранение есть только в Enterprise.
• Провайдеры Cline и ClinePass. Запросы идут через инфраструктуру Cline, и телеметрия по ним может включать запрос и ответ модели; о хранении и обучении документация ClinePass ничего не говорит. Со своими ключами Cline отправляет запросы напрямую провайдеру.
• Nous Portal (Hermes). Условия дают Nous лицензию на запросы и ответы, в том числе для обучения и передачи третьим лицам; режим приватности, который нужно включить вручную, отключает хранение и обучение, метаданные остаются.
• Свои ключи в коммерческих harness. В Cursor запросы со своим ключом всё равно проходят через сервер Cursor, где собирается промпт, и нулевое хранение тогда определяет провайдер. Copilot CLI со своим провайдером отправляет запросы напрямую ему, а чат в IDE со своим ключом — через API GitHub.

Что остаётся на вашей машине

Goose отправляет телеметрию только с согласия, pi — одну анонимную проверку версии при установке, Kimi Code отключает её переменной KIMI_DISABLE_TELEMETRY=1.

Утечки кода и ключей через агентов