---
title: "Порівняння harness для AI-агентів: від Claude Code до OpenClaw"
url: "https://romankryvolapov.com/uk/ai-agent-harnesses/"
description: "Агенти для програмування й універсальні агенти: Claude Code, Codex, Cursor, Copilot, OpenCode, OpenClaw, Hermes — ліцензії, моделі, налаштування, пісочниця, бенчмарки, навчання на вашому коді й витоки."
language: uk
published: 2026-10-30
updated: 2026-10-30
---
**Привіт!**

Коли кажуть «Claude пише код краще, ніж GPT», зазвичай порівнюють не моделі, а моделі разом із програмою, в якій вони працюють. Ця програма називається harness (дослівно — «упряж», «обв'язка»): вона збирає для моделі контекст, виконує її виклики інструментів, стежить за контекстним вікном, вирішує, що агент може робити, не питаючи дозволу, і визначає, де виконуються його команди. Claude Code, Codex, Cursor, OpenClaw — усе це harness.

Ринок змінюється щотижня, тому все нижче — стан на кінець жовтня 2026 року за документацією, репозиторіями й публічними рейтингами; дати без року стосуються 2026-го.

## З чого складається harness

Майже все, що в harness налаштовується, лежить у папці `.claude` проєкту на Claude Code; в інших harness назви свої, але склад той самий.

| Частина | Що це |
|---|---|
| Інструкції проєкту | файл, який harness підкладає моделі на початку кожної сесії: як зібрати проєкт, як запустити тести, чим він відрізняється від типового |
| Правила | ті самі інструкції, розбиті за темами й часто прив'язані до шляхів: правило про API підвантажується, лише коли агент чіпає файли API |
| Скіли | папка з `SKILL.md`: інструкція плюс скрипти й довідники; у контекст спочатку потрапляє лише опис, тому десятки скілів майже нічого не коштують |
| Субагенти | окремий екземпляр агента зі своїм контекстом, інструкцією, інструментами й іноді моделлю; головному агентові він повертає висновок, а не сотню прочитаних файлів |
| Хуки | ваш код, який harness запускає на подіях: до й після виклику інструмента, під час запуску сесії, під час завершення; на відміну від текстових інструкцій виконується завжди ([докладно про хуки](/uk/claude-code-hooks/)) |
| Команди | заготовлені промпти, які викликаються за назвою, на кшталт `/review` |
| MCP-сервери | зовнішні інструменти й дані: база даних, трекер завдань, браузер, документація |
| Плагіни | пакет з усього переліченого, який ставиться однією командою |
| Права й пісочниця | що агент робить сам, а що після підтвердження, і де виконуються його команди: прямо в системі, у пісочниці ОС, у контейнері чи на хмарній машині |
| Пам'ять | що переживає кінець сесії: нотатки агента самому собі, історія, яку можна продовжити |
| Режим без інтерфейсу й SDK | запуск зі скрипта чи CI без людини і доступ до агента зі свого коду; у великих вендорів є SDK для складання власного агента — Claude Agent SDK, Codex SDK, Copilot SDK |

### Спільні стандарти налаштування

- **[AGENTS.md](https://agents.md)** — спільний файл інструкцій проєкту. Його запропонувала OpenAI, файл є більш ніж у 60 тисячах відкритих проєктів.
- **[Agent Skills](https://agentskills.io)** — спільний формат скілів. Його придумала й у грудні 2025-го відкрила Anthropic; у списку тих, хто його підтримує, — 46 продуктів, від Claude Code, Codex і Cursor до Hermes і OpenClaw.
- **[MCP](https://modelcontextprotocol.io)** (Model Context Protocol) — спільний протокол підключення інструментів і даних, теж від Anthropic. Його розуміють майже всі harness з цієї статті.
- **[ACP](https://agentclientprotocol.com)** (Agent Client Protocol) від Zed — протокол між редактором і агентом: Zed, IDE від JetBrains, VS Code, Neovim та Emacs підключають через нього будь-якого з приблизно п'ятдесяти агентів, що його підтримують.

AGENTS.md, Agent Skills і MCP живуть у [Agentic AI Foundation](https://aaif.io/projects/) при Linux Foundation. Ця частина налаштування переноситься між різними harness з одним застереженням: Claude Code і Cline не шукають скіли в спільній папці `.agents/skills`, їм потрібне посилання з `.claude/skills`. Правила за шляхами, субагенти, хуки, права, пісочниця та плагіни в кожного harness свої.

## Хто чим користується

Опитування ставлять першим Claude Code, завантаження й токени — Codex, а найбільше охоплення — у Copilot.

| Джерело | Вибірка | Claude Code | GitHub Copilot | Codex | Cursor | Інші |
|---|---|---|---|---|---|---|
| [JetBrains](https://blog.jetbrains.com/research/2026/08/ai-coding-agent-adoption-2026/), травень–липень 2026 | 15 тис. професійних розробників, частка тих, хто користується на роботі | 39% (у січні 18%); основний інструмент у 31% | 21% (рік тому 29%) | 16% (у січні 3%) | 12% (у січні 18%) | Junie ~9%, OpenCode 7%, Antigravity 6% |
| [Stack Overflow](https://survey.stackoverflow.co/2026/ai), 2026 | 30 тис. розробників, частка серед користувачів кодових агентів | 66% | 59% | — | — | — |
| [Pragmatic Engineer](https://newsletter.pragmaticengineer.com/p/ai-tooling-2026), січень–лютий 2026 | 906 читачів розсилки | 71% | 46% | — | 39% | Gemini CLI і Antigravity ~10% |

- **Користувачі.** У Copilot майже 80 млн встановлень розширення для VS Code і, за переказами звіту Microsoft, 50 млн користувачів; у ці цифри входять усі, у кого є розширення, а не лише ті, хто користується агентом. У Codex улітку було 5 млн активних користувачів на тиждень.
- **Завантаження з npm** за останній тиждень жовтня: Codex — 27 млн, Claude Code — 12,8 млн, OpenCode — 4,5 млн, OpenClaw — 3,5 млн, Copilot CLI — 1,7 млн, Gemini CLI — 0,45 млн. Сюди входять CI і боти, а Claude Code частіше ставлять власним інсталятором, повз npm, — тому це не кількість людей.
- **Токени на [OpenRouter](https://openrouter.ai/apps)** — шлюзі до багатьох моделей, який публікує витрату за застосунками. 29 жовтня: Codex — 2,6 трлн токенів за добу, Claude Code — 2,1 трлн, Hermes Agent — 1,9 трлн, Kilo Code — 744 млрд, OpenClaw — 731 млрд, pi — 582 млрд, DeepSeek Harness (дев'яте місце) — 271 млрд, Cline — 139 млрд. Це лише трафік через OpenRouter, тобто здебільшого власні ключі й відкриті моделі: підписки Claude і ChatGPT сюди не потрапляють.

## Наскільки harness впливає на результат

Для однієї й тієї самої моделі різниця між найкращим і найгіршим harness сягає 10–20 пунктів, а слабку чи «чужу» модель інший harness може підняти в рази. Harness вендора при цьому не обов'язково найкращий для його ж моделі, хоча вендори навчають моделі під свої harness — так прямо пишуть, наприклад, Google про Antigravity і Meta про Muse Code.

Головний бенчмарк, де одну модель запускають у різних harness, — [Terminal-Bench](https://www.tbench.ai): завдання в терміналі (зібрати, полагодити, налаштувати сервер, навчити модель), кожне у своєму контейнері й з перевіркою тестами. Точка відліку — Terminus 2, простий harness самих авторів бенчмарка. Версія 2.0 (листопад 2025-го, 89 завдань) до кінця жовтня зібрала 137 записів «модель + harness»; із 29 моделей, запущених у двох і більше harness, у 16 різниця між найкращим і найгіршим harness більша за десять пунктів:

| Модель | Найкращий harness на Terminal-Bench 2.0 | Найгірший harness | Різниця, пунктів |
|---|---|---|---|
| Gemini 3.1 Pro | TongAgents, 80,2% | Gemini CLI, 61,4% | 18,8 |
| GPT-5.5 | NexAU-AHE, 84,7% | clnkr, 66,1% | 18,6 |
| Claude Opus 4.6 | Meta-Harness, 76,4% | Claude Code, 58,0% | 18,4 |
| GPT-5.3-Codex | SageAgent, 78,4% | Terminus 2, 64,7% | 13,7 |
| Claude Opus 4.5 | Droid, 63,1% | OpenCode, 51,7% | 11,4 |

Найкращі рядки — маловідомі harness, зібрані під рейтинг, але розкид показує, скільки можна вичавити з тієї самої моделі.

Harness вендорів на версії 2.0 показали себе по-різному. Claude Code з моделями Claude в усіх п'яти парах відставав від Terminus 2 на 1–6 пунктів, Gemini CLI з моделями Gemini — в усіх трьох парах, а Codex CLI з моделями OpenAI в усіх п'яти був вищим, на 1–14; Factory Droid обіграв Terminus 2 з усіма п'ятьма моделями — на 4–13. Частина розриву пояснювалася самими завданнями: у травні вийшла версія 2.1, де полагодили 28 завдань із 89 — із застарілими залежностями або з браком ресурсів навіть для правильного розв'язку. На ній Claude Code з Opus 4.6 піднявся з 58,0% до 70,1%, Terminus 2 — з 62,9% до 63,8%, і відставання на п'ять пунктів стало перевагою в шість. Загалом на 2.1 harness вендорів відрізняються від Terminus 2 в межах від −8 до +5 пунктів.

### Експерименти, де змінювали лише harness

- **LangChain** [взяла](https://www.langchain.com/blog/improving-deep-agents-with-harness-engineering) gpt-5.2-codex і змінювала лише свій harness Deep Agents — зокрема додала самоперевірку перед завершенням і виявлення зациклення. Результат на Terminal-Bench 2.0 зріс із 52,8% до 66,5%, і ця цифра є в офіційній таблиці. Про Deep Agents і LangGraph є [окрема стаття](/uk/langchain-langgraph/).
- **Can Bölük** [порівняв](https://stencil.so/blog/the-harness-problem) три формати правки файлів: `apply_patch`, як у Codex, `str_replace`, як у Claude Code, і свій hashline, де рядки адресуються короткими хешами. На 16 моделях hashline обіграв патч у 14, у середньому на 15 пунктів; у Grok Code Fast 1 результат зріс із 6,7% до 68,3%. Завдання синтетичні, а автор продає свій harness, але ефект відомий давно: в Aider ще наприкінці 2023-го результат GPT-4 Turbo зростав більш ніж удвічі від самої лише зміни формату правок.

### Наскільки можна вірити бенчмаркам

- **Залізо.** [Anthropic виміряла](https://www.anthropic.com/engineering/infrastructure-noise), що самі лише ресурси контейнера зсувають результат на Terminal-Bench 2.0 на шість пунктів, і радить не вірити різниці, меншій за три пункти, доки конфігурації не збігаються.
- **Підгонка.** У квітні таблицю Terminal-Bench [почистили](https://www.tbench.ai/news/leaderboard-integrity-update): один harness зберігав зашифровані розв'язки у своєму бінарнику, інший підвантажував тести завдання, а ForgeCode завантажував готові розв'язки у власний `AGENTS.md`. Результати ForgeCode обнулили, а кожну успішну спробу тепер перевіряє окремий агент-суддя.
- **SWE-bench** — набір завдань зі справжніх GitHub-issue. Його версія Verified, головна цифра 2024–2025 років, втратила довіру: у лютому OpenAI [перестала її публікувати](https://openai.com/index/why-we-no-longer-evaluate-swe-bench-verified/) — аудит знайшов дефектні тести щонайменше в 59% завдань, на яких моделі найчастіше помилялися, а моделі вміли відтворювати еталонні патчі з пам'яті. SWE-bench Pro від Scale, запропонований натомість, Epoch AI [оцінює](https://epoch.ai/benchmarks/swe-bench-pro/review) як «з вадами»: за аудитами зламано 30% завдань і більше; до того ж він порівнює моделі в одному нейтральному harness, а не продукти.
- **Живі розробники.** [METR](https://metr.org/blog/2026-02-24-uplift-update/) у 2025 році отримав уповільнення досвідчених розробників з AI на 19%, а в повторі в лютому — прискорення на 4–18%, але сам називає цей сигнал ненадійним: учасники відмовлялися працювати без AI.

## Harness для програмування: порівняння

### Результати на бенчмарках

Тут порівнюються вже продукти: модель у harness, як правило, свого вендора. Орієнтирів два. [Terminal-Bench 4.0](https://www.tbench.ai) — поточна версія (серпень, 66 завдань); у ній майже кожну модель запущено лише в harness її вендора, тому вплив самого harness вона не показує. [Індекс кодових агентів Artificial Analysis](https://artificialanalysis.ai/agents/coding-agents) рахується на трьох наборах завдань. Прочерк — продукту в рейтингу немає.

| Harness | Модель | Terminal-Bench 4.0 | Індекс Artificial Analysis |
|---|---|---|---|
| Claude Code | Opus 5.5 | 64,8% | 62 |
| Claude Code | Sonnet 5.5 | 61,8% | 59 |
| Antigravity CLI | Gemini 4 Carbon | — | 59 |
| Muse Code (Meta) | Muse | — | 59 |
| Codex | GPT-6 Astra | 58,2% | 55 |
| Codex | GPT-6.1 Sol | 58,2% | — |
| OpenCode | GLM-5.3 | — | 49 |
| Mistral Vibe | Mistral Large 4 | — | 48 |
| DeepSeek Harness | DeepSeek V4.1 Flash | — | 46 |
| Claude Code | GLM-5.3 | 41,8% | — |
| Kimi Code | Kimi K3 | — | 41 |
| Grok Build (xAI) | Grok | 37,6% | — |

Прогін Terminal-Bench 4.0 коштував $600 для Codex з GPT-6.1 Sol і $4700 для Claude Code з Opus 5.5. За даними Artificial Analysis, Codex розв'язує завдання в середньому за 24 хвилини і $1,5–7, Claude Code з Opus 5.5 — за годину і $11,4, Mistral Vibe — за $1,26.

### Розробник, ліцензія, розвиток

| Harness | Розробник | Ліцензія | Зірки на GitHub | Темп релізів |
|---|---|---|---|---|
| Claude Code | Anthropic | закрита; пісочниця, GitHub Action і Python SDK відкриті | код закритий | ~6 стабільних на тиждень |
| Codex | OpenAI | CLI — Apache-2.0; розширення IDE і хмара закриті | 132 тис. | 2–3 стабільні на тиждень |
| Cursor | Anysphere; з 14 серпня належить SpaceX ([документ для SEC](https://www.sec.gov/Archives/edgar/data/1181412/000162828026056945/spcx-20260814.htm)) | закрита | код закритий | мінорний реліз на тиждень |
| GitHub Copilot | GitHub (Microsoft) | CLI закритий; VS Code, Copilot Chat і SDK — MIT | CLI закритий | VS Code — щотижня, CLI — ~2 на тиждень |
| Antigravity | Google | закрита; Gemini CLI — Apache-2.0 | код закритий; у Gemini CLI 109 тис. | 4–5 релізів CLI на тиждень |
| OpenCode | Anomaly, команда фреймворку SST | MIT | 223 тис. | ~3 на тиждень |
| Cline | Cline Bot Inc. | Apache-2.0; плагін для JetBrains закритий | 71 тис. | майже щодня |
| Kilo Code | Kilo Code Inc.; з липня належить Anaconda | MIT | 28 тис. | майже щодня |
| pi | Earendil | MIT | 119 тис. | ~2 на тиждень |
| DeepSeek Harness | DeepSeek | MIT | 266 тис. за 11 тижнів; історію зростання перевірити не вдалося | 35 пре-релізів, стабільних немає |
| Qwen Code | Alibaba | Apache-2.0 | 29 тис. | нічні збірки щодня |
| Goose | Linux Foundation | Apache-2.0 | 56 тис. | раз на тиждень |

### Інтерфейси, моделі та ціни

| Harness | Де працює | Моделі | Локальні моделі | Ціна |
|---|---|---|---|---|
| Claude Code | термінал, VS Code, JetBrains, застосунок, веб, телефон, Slack | Claude: Fable 5.1, Opus 5.5, Sonnet 5.5, Haiku 5.5; чужі — через підміну адреси API, без підтримки Anthropic | офіційно немає | Pro від $20, Max від $100 або API |
| Codex | термінал, VS Code і його форки, застосунок ChatGPT, телефон, GitHub, Slack, Linear | OpenAI: GPT-6 Astra, GPT-6.1 Sol, Terra, Luna; сторонні — через Responses API | Ollama, LM Studio | ChatGPT Plus $20, Pro від $100 або API без хмарних функцій |
| Cursor | власний редактор (форк VS Code), CLI, SDK, iOS, Slack, GitHub, GitLab, Linear, Jira | усі великі вендори, власні Composer 2.5 і Grok 4.5–4.7; запити завжди йдуть через сервери Cursor | немає | $8–200 на місяць; з 12 жовтня Claude, GPT і Gemini — за ціною API з передплати |
| GitHub Copilot | VS Code, CLI, застосунок, GitHub, JetBrains, Xcode, Visual Studio, Slack, Teams, Linear, Jira | OpenAI, Anthropic, Google, xAI, Microsoft, Moonshot; власний ключ у CLI | у CLI | безплатно; Pro $10, Pro+ $39, Max $100; з червня оплата токенами |
| Antigravity | застосунок, CLI `agy`, IDE, розширення, SDK | Gemini 4 і 3.x, на платних тарифах Claude Sonnet і Opus 5.5 — усе на серверах Google | лише через SDK | безплатно з тижневими лімітами; AI Pro ~$20, AI Ultra $100 або $200 |
| OpenCode | термінал, застосунок (бета), веб, сервер із SDK | будь-які: каталог models.dev, OpenAI-сумісні адреси; вхід за підпискою ChatGPT | Ollama | безплатно з власним ключем; OpenCode Go від $10 за відкриті моделі |
| Cline | VS Code і його форки, JetBrains, CLI, застосунок, SDK | будь-які | так, зі «стисненим» промптом | безплатно з власним ключем; ClinePass $9,99 |
| Kilo Code | VS Code, JetBrains, CLI, застосунок, Slack | 500+ через власний шлюз | так | безплатно з власним ключем |
| pi | термінал, SDK | будь-які | так | безплатно з власним ключем |
| DeepSeek Harness | веб, застосунок, термінал за бажанням, SDK | DeepSeek, а також Anthropic, OpenAI, Moonshot, Z.ai | немає даних | API DeepSeek: V4.1 Flash — $0,15 за мільйон вхідних і $0,60 за мільйон вихідних токенів; підписки немає |
| Qwen Code | термінал, застосунок, веб, VS Code, Zed, JetBrains, Telegram, DingTalk, WeChat, Feishu | Qwen; пресети для DeepSeek, Kimi, GLM, MiniMax, Grok, OpenRouter | так | підписка Alibaba або власний ключ; безплатний вхід скасовано у квітні |
| Goose | застосунок для macOS, Linux і Windows, CLI, API | понад 15 провайдерів; підписки Claude, ChatGPT і Gemini — через ACP | Ollama, LM Studio, Docker Model Runner, вбудований інференс | безплатно з власним ключем |

Підписки Claude, ChatGPT і Google обмежені п'ятигодинними вікнами й тижневими лімітами, тож «Pro за $20» — це вхід, а не безліміт. Підписка Claude до того ж працює лише в продуктах Anthropic, тому, наприклад, OpenCode добирається до моделей Claude через встановлений поруч Claude Code. У зворотному напрямку шлях відкритий: моделі DeepSeek, GLM і Kimi підключаються до Claude Code через змінну `ANTHROPIC_BASE_URL` — їхні вендори це документують ([інструкція DeepSeek](https://api-docs.deepseek.com/quick_start/agent_integrations/claude_code)), а Anthropic такий режим не підтримує.

Для повністю локальної роботи на звичайному комп'ютері за розміром підходять моделі на 20–30 млрд параметрів на кшталт Qwen3.8-27B чи Devstral Small 2; відкриті флагмани DeepSeek, GLM і Kimi важать від сотень мільярдів до трильйонів параметрів і потребують сервера ([як запускати моделі на власному залізі](/uk/llama-cpp/)).

### Налаштування: інструкції, скіли, субагенти, хуки

| Harness | Інструкції та правила | Скіли | Субагенти | Хуки | ACP |
|---|---|---|---|---|---|
| Claude Code | `CLAUDE.md` на чотирьох рівнях, правила з прив'язкою до шляхів; `AGENTS.md` — лише якщо немає `CLAUDE.md` | `.claude/` | зі своєю моделлю та інструментами | 33 події | через адаптер |
| Codex | `AGENTS.md` ланцюжком папок; правил за шляхами та імпортів немає | `.agents/` | описуються в TOML | 12 подій | через адаптер |
| Cursor | `.cursor/rules` із чотирма режимами підключення: завжди, на розсуд моделі, за маскою, вручну; командні правила; `AGENTS.md` | `.agents/`, `.cursor/`, а також `.claude/` і `.codex/` | власні, а також із `.claude/` і `.codex/` | 21 подія; хуки Claude Code підхоплюються | так |
| GitHub Copilot | `copilot-instructions.md` і правила за шляхами; `AGENTS.md`, `CLAUDE.md`, `GEMINI.md` | `.github/`, `.claude/`, `.agents/` | файли `*.agent.md`; вбудовані — від дослідника до рев'юера безпеки; паралельний `/fleet` | 14 подій; хуки Claude Code підхоплюються | прев'ю |
| Antigravity | `AGENTS.md`, `GEMINI.md`; правила в `.agents/rules` із тригерами | `.agents/`; у CLI кожен скіл — команда | так; `/teamwork` | 6 подій | так |
| OpenCode | `AGENTS.md`; `CLAUDE.md` друга версія не читає | власні, `.claude/`, `.agents/` | Markdown-файлами | плагіни на TypeScript | так |
| Cline | `.clinerules`, `AGENTS.md`, `.cursorrules` | `.cline/`, `.clinerules/`, `.claude/` | лише поза IDE | плагіни SDK | так |
| Kilo Code | `AGENTS.md`, `.kilo/rules` | `.agents/` | Markdown-файлами | плагіни з подіями | так |
| pi | `AGENTS.md` | пакетами з npm чи git | немає | розширення | через адаптер |
| DeepSeek Harness | немає даних | так | зокрема й такі, що передають завдання в Claude Code чи Codex | у форматах Claude Code і Codex | так |
| Qwen Code | `QWEN.md`, `AGENTS.md` | `.agents/` | зокрема й такі, що передають завдання в Claude Code чи Codex | із подіями Claude Code | так |
| Goose | `AGENTS.md`, `.goosehints` | `.agents/` | так | із подіями Claude Code | так |

Файли з папки `.claude` частково читають також інші harness: Cursor, Copilot, Cline, OpenCode, Devin і Junie.

### Ізоляція та робота без людини

| Harness | Пісочниця ОС | Хмарний режим | Без інтерфейсу |
|---|---|---|---|
| Claude Code | за бажанням, macOS і Linux; закриває лише команди оболонки | віртуальні машини Anthropic | `claude -p` з JSON і лімітом бюджету, GitHub Action, GitLab CI |
| Codex | увімкнена на macOS, Linux і Windows: запис лише в робочу папку, мережа закрита | віртуальна машина на завдання | `codex exec` з JSONL і схемою відповіді, GitHub Action, сервер `app-server` |
| Cursor | працює в режимі за замовчуванням, macOS і Linux; Windows — лише через WSL2 | мікровіртуалки Firecracker; власні воркери в Kubernetes | `agent -p` з JSON; готових GitHub Action і Docker-образу немає |
| GitHub Copilot | за бажанням із 7 жовтня: macOS, Linux, Windows 11 | одноразове середовище з файрволом; пушить лише в гілки `copilot/…` | `copilot -p` з JSON, GitHub Agentic Workflows |
| Antigravity | на трьох ОС; у застосунку ввімкнена, у CLI вимкнена | Managed Agents у прев'ю | `agy -p` з JSON і схемою відповіді, віддалене керування |
| OpenCode | немає; правила дозволів, за власною політикою безпеки, «не пісочниця» | немає | `opencode run` з JSON, `opencode serve`, Docker; GitHub Action прибрано в жовтні |
| Cline | немає | хмарні агенти | CLI |
| Kilo Code | за бажанням, macOS і Linux | хмарний агент | `kilo run`, сервер |
| pi | немає | немає | JSON, RPC, SDK |
| DeepSeek Harness | плагіни пісочниці, за власною політикою — без гарантій ізоляції та без аудиту | немає | профіль headless |
| Qwen Code | лише Linux: bubblewrap або Landlock | немає | `qwen -p`, сервер, GitHub Action |
| Goose | немає | немає | режим для CI, віддалений сервер, Docker |

Запустити на віртуальній машині можна будь-який із цих harness: усі працюють на Linux і вміють режим без інтерфейсу. Важливіше, що захищатиме машину, коли ви відійдете: де пісочницю не ввімкнено за замовчуванням, її потрібно ввімкнути або поставити harness у контейнер. Режими, де дозволи роздає окрема модель-класифікатор, — auto у Claude Code, Auto-review у Cursor, Assisted у Copilot — заощаджують підтвердження, але самі вендори не вважають їх межею безпеки.

Паралельні сесії ізолюють одну від одної окремими git worktree — так влаштовані Claude Code, Kilo Code і субагенти Antigravity. Відкочують зміни чекпоінтами (Claude Code, Cline), знімками (OpenCode) або, як у Codex, лише через git.

### Вразливості за 2026 рік

| Harness | Опубліковані вразливості |
|---|---|
| Claude Code | 16 |
| Cursor | 9, з них дві критичні з виходом із пісочниці |
| Codex | 4 |
| OpenCode | 2 серйозні, обидві у січні |
| Copilot CLI | 2, плюс півтора десятка у VS Code |
| Gemini CLI | 1, з максимальною оцінкою небезпеки |

Рахунок залежить і від того, чи публікує вендор звіти: у закритих продуктів без публічного каналу його немає взагалі. Сюжети в усіх ті самі: налаштування з чужого репозиторію, які виконують код, обхід діалогу довіри до проєкту і вихід із пісочниці.

## Harness для програмування: профілі

### Claude Code

- **Особливості:** у Claude Code плагіни ставляться однією командою з маркетплейсу, а експериментальні команди агентів і воркфлоу роздають роботу сотням субагентів.
- **У 2026 році:** у Claude Code через source map витік вихідний код.

Докладніше: [практики](/uk/claude-code-best-practices/), [хуки](/uk/claude-code-hooks/), [команди й налаштування](/uk/claude-code-commands-and-settings/), [документація](https://code.claude.com/docs).

### OpenAI Codex

- **Особливості:** у пісочниці Codex службові `.git`, `.agents` і `.codex` доступні лише для читання, файли `.rules` вирішують, яким командам можна вийти назовні, а згори працює агент-вартовий.
- **Обмеження:** зовнішні пул-реквести у відкритий CLI Codex не приймаються; функції часто видаляють і перейменовують — у вересні прибрали режим MCP-сервера.
- **У 2026 році:** застосунок Codex злито з ChatGPT.

[Код](https://github.com/openai/codex) · [документація](https://learn.chatgpt.com/docs/)

### Cursor

- **Особливості:** у Cursor є Projects, де координатор роздає роботу виконавцям, і власний git-хостинг Origin (бета); власні моделі Composer — друга версія була побудована на відкритій Kimi K2.5.
- **Обмеження:** механізм довіри до робочої папки в Cursor за замовчуванням вимкнено.
- **У 2026 році:** у квітні вийшов Cursor 3 з вікном агентів; після купівлі Cursor компанією SpaceX OpenAI, за повідомленнями преси, [припиняє](https://openai.com/index/our-decision-on-cursor-following-its-acquisition-by-spacex/) прямий доступ Cursor до своїх моделей з 12 листопада.

[Документація](https://cursor.com/docs)

### GitHub Copilot

- **Особливості:** у Copilot на одне завдання на GitHub можна призначити ще й агентів Claude і Codex; є автовибір моделі та режим Fusion, де моделі працюють каскадом або перевіряють одна одну.
- **У 2026 році:** у лютому Copilot CLI вийшов із прев'ю; з 28 жовтня спільний рушій Copilot називається Microsoft Copilot harness.

[Документація](https://docs.github.com/en/copilot)

### Google Antigravity і Gemini CLI

- **Що з продуктами:** Google зібрала свої кодові продукти в Antigravity — нову програму на Go, а не форк. Gemini CLI з 18 червня [лише для корпоративних клієнтів](https://developers.googleblog.com/en/an-important-update-transitioning-gemini-cli-to-antigravity-cli/) і «не оптимізований для Gemini 4+»; Jules закривається 31 грудня; Code Assist з 9 жовтня не продається.
- **Особливості:** Antigravity імпортує розширення Gemini CLI і плагіни Claude Code.

[Документація](https://antigravity.google/docs)

### OpenCode

- **Обмеження:** друга версія OpenCode (вересень) ламає плагіни, API сервера і формат конфігурації.

[Репозиторій](https://github.com/anomalyco/opencode) · [документація](https://opencode.ai/v2/docs)

### Cline і Kilo Code

Cline — оригінал, Kilo Code — його спадкоємець, що переїхав на форк OpenCode. Третього з родини, Roo Code, закрито в травні; спільнота продовжує його форком Zoo Code.

- **Особливості:** Cline залучив $32 млн інвестицій, був переписаний на власний SDK і обзавівся канбан-дошкою завдань.

[Cline](https://github.com/cline/cline) · [Kilo Code](https://github.com/Kilo-Org/kilocode)

### pi

- **Хто:** pi написав Маріо Цехнер (Mario Zechner); з квітня проєктом володіє компанія Earendil, версія 1.0 вийшла 1 жовтня.
- **Особливості:** на pi побудовано OpenClaw, MiniMax Code, Kimi Code і CLI Augment Code; системний промпт pi коротший за тисячу токенів, а розширення, скіли й шаблони промптів ставляться як пакети.
- **Обмеження:** у pi немає режиму планування і системи прав.

[Репозиторій](https://github.com/earendil-works/pi)

### DeepSeek Harness

- **Особливості:** DeepSeek Harness вийшов у серпні 2026-го; його принцип — «усе є плагін»; є розклади й вебхуки для рев'ю на GitHub.

[Репозиторій](https://github.com/deepseek-ai/deepseek-harness)

### Qwen Code

- **Особливості:** Qwen Code виріс із Gemini CLI; у нього є SDK для TypeScript, Python і Java та режими від «лише план» до автоматичного з класифікатором.

[Репозиторій](https://github.com/QwenLM/qwen-code)

### Goose

- **Хто:** Goose створено в Block (Square, Cash App), і він став одним із трьох проєктів, з яких почалася Agentic AI Foundation.
- **Особливості:** у Goose є прокладка для моделей, які погано викликають інструменти; рецепти — YAML-описи повторюваних процесів, що викликаються як команди; понад 70 розширень-MCP; режими «автономно», «питати», «розумне підтвердження», «лише чат» і незалежний агент-перевіряльник.

[Репозиторій](https://github.com/aaif-goose/goose)

### Решта harness для програмування

Kimi Code, ZCode і MiniMax Code влаштовані однаково: відкритий harness плюс підписка на модель своєї лабораторії, яку можна використовувати й у чужих harness. Усі три читають `AGENTS.md` і розуміють MCP, скіли та хуки в стилі Claude Code.

| Harness | Розробник | Чим цікавий |
|---|---|---|
| [Kimi Code](https://github.com/MoonshotAI/kimi-code) | Moonshot | MIT; підписка Kimi від тарифу Plus; Tower — паралельні завдання у своїх гілках із незалежним перевіряльником; імпорт сесій Claude Code і Codex; пісочниці немає, телеметрія ввімкнена |
| [ZCode](https://github.com/zai-org/ZCode) | Z.ai | Apache-2.0; GLM Coding Plan від $18; застосунок, веб і термінал в одному; у репозиторії два учасники за квартал |
| [MiniMax Code](https://github.com/MiniMax-AI/minimax-code) | MiniMax | MIT на власний код; підписка M Plan, ціни не опубліковано; уся телеметрія вимкнена |
| Aider | Пол Готьє | Apache-2.0, 50 тис. зірок; один із перших термінальних агентів: карта репозиторію, режим «архітектор + редактор», коміт кожної правки; останній реліз — у серпні 2025-го, MCP, скілів і хуків немає; агентні функції додає форк [cecli](https://github.com/cecli-dev/cecli) |
| Devin | Cognition | колишній Windsurf став Devin Desktop; хмарна віртуальна машина на сесію і передавання локальної сесії в хмару; читає правила Claude, Cursor і Windsurf; ACP |
| Kiro | AWS | розробка від специфікації: вимоги, дизайн, завдання, код; CLI — колишній Amazon Q CLI; пісочницю вимкнено; тарифи до $200 на кредитах |
| Junie | JetBrains | агент в IDE від JetBrains і CLI з власним ключем, зокрема Ollama; хуки сумісні з Claude Code; 71% на Terminal-Bench 2.0 у зв'язці кількох моделей |
| Factory Droid | Factory | версія 1.0 — 29 жовтня; будь-які моделі, зокрема локальні |
| Amp | Amp, колишня частина Sourcegraph | вибору моделі немає — чотири режими від GLM-5.3-Flash до Fable 5.1; ні підтверджень, ні пісочниці |
| Warp | Warp | термінал з агентами, клієнт під AGPL-3.0; запускає Claude Code, Codex і OpenCode; десять вразливостей у червні |
| Augment Code | Harness — компанія CI/CD, збіг із терміном випадковий | у жовтні Harness купила його хмарних агентів і CLI; плюс 40% до ціни токенів |
| Zed | Zed Industries | редактор із зовнішніми агентами через ACP, кожен у своєму worktree; власний агент читає майже всі формати правил і працює в пісочниці ОС |
| OpenHands | All Hands AI | MIT, 92 тис. зірок; Agent Canvas запускає будь-який ACP-агент локально, у Docker, на віртуальній машині чи в хмарі |
| Mistral Vibe | Mistral | Apache-2.0; субагенти, скіли, хуки, ACP |
| Crush | Charm | термінальний агент на Go з LSP і автопошуком локальних моделей; ліцензія FSL — не open source у строгому сенсі |
| Grok Build | xAI | термінальний агент для моделей Grok |
| Muse Code | Meta | термінальний агент для моделей Muse |

Continue доступний лише для читання, Trae Agent від ByteDance закинуто з лютого.

## Універсальні агенти

Кодовий harness — інструмент на запит: ви дали завдання, він його виконав, сесія закінчилася (розклади й хмарні завдання в них уже є, але суть та сама). Універсальний агент — процес, який працює постійно: на вашому комп'ютері, на орендованому сервері чи в хмарі вендора. Усередині все те саме — модель, цикл виклику інструментів, скіли, субагенти, MCP, — а відмінностей три:

- **Канали замість термінала.** Агент — це шлюз, до якого підключено Telegram, WhatsApp, Slack, пошту. Писати йому можна з телефона, і писати йому можуть не лише ви.
- **Розклад та ініціатива.** Агент не чекає повідомлення: раз на пів години перевіряє пошту, зранку надсилає зведення, стежить за ціною квитка.
- **Довга пам'ять.** Не історія однієї сесії, а накопичені нотатки про вас і ваші справи.

### Порівняння універсальних агентів

| Агент | Ліцензія | Де працює | Моделі | Канали | Захист за замовчуванням |
|---|---|---|---|---|---|
| OpenClaw | MIT | ваш комп'ютер, VPS або Docker | ~23 хмарні провайдери та локальні: Ollama, LM Studio, vLLM, llama.cpp | 33 канали, від Telegram до iMessage | немає: пісочницю для інструментів (Docker, Podman, SSH) вимкнено, шлюз завжди працює на хості |
| Hermes Agent | MIT | у вас — від VPS за $5 до кластера — або в хмарній пісочниці | 300+ через Nous Portal, будь-які сумісні, локальні | 20+ каналів, зокрема пошта й SMS | підтвердження небезпечних команд |
| ChatGPT Work | закрита | хмара OpenAI | OpenAI | застосунок, iMessage у беті | хмарна машина |
| Claude Cowork | закрита | хмара Anthropic; на Pro і Max з 6 жовтня лише вона | Claude | застосунок, телефон | віртуальна машина на сесію |
| Gemini Tasks (колишній Spark) | закрита | хмара Google | Gemini | застосунок, власна пошта | хмарна машина |
| Manus | закрита | хмара | обирає сам | застосунок, Telegram | хмарна пісочниця |

### OpenClaw

- **Хто:** OpenClaw створив Пітер Штайнбергер (Peter Steinberger), засновник PSPDFKit, який із лютого працює в OpenAI; з липня проєкт у незалежному фонді, серед спонсорів OpenAI, NVIDIA, Microsoft і Tencent. Колишні назви — Warelay, Clawdis, Clawdbot і Moltbot. Близько 393 тис. зірок, 384 учасники, релізи майже щодня.
- **Налаштування:** `AGENTS.md` — інструкції, `SOUL.md` — характер і межі, `USER.md` — що агент знає про вас, `MEMORY.md` і денні нотатки — пам'ять; скіли у форматі Agent Skills з реєстру ClawHub.
- **Пам'ять:** Markdown-файли з пошуком за словами й за змістом; перед стисканням контексту агент скидає важливе в пам'ять, а фоновий режим «сновидінь» переносить усталені факти в `MEMORY.md`. Скіли агент може писати й оновлювати сам.
- **Автоматизація:** розклад, вебхуки, тригери з Gmail, MCP; субагенти — фонові сесії зі своєю моделлю, які повертають підсумок в основну розмову.
- **Обмеження:** за документацією OpenClaw один шлюз — одна межа довіри, а не середовище для кількох користувачів; вхід за підпискою ChatGPT є, за підпискою Claude — немає.

[Репозиторій](https://github.com/openclaw/openclaw) · [документація](https://docs.openclaw.ai)

### Hermes Agent

- **Хто:** Hermes Agent робить Nous Research, автор відкритих моделей Hermes; агент вийшов через кілька тижнів після злету OpenClaw. Python, близько 259 тис. зірок — з травня плюс 98 тисяч проти 20 у OpenClaw; 397 учасників.
- **Самонавчання:** час від часу агент переглядає зроблене й зберігає висновок у пам'ять або створює й виправляє скіл, щоб наступного разу розв'язати завдання за готовою процедурою.
- **Пам'ять:** навмисно маленька — `MEMORY.md` близько 2200 знаків, `USER.md` близько 1400; вставляється знімком на початку сесії, щоб не ламати кеш промпта; плюс повнотекстовий пошук по всіх сесіях.
- **Виконання:** шість бекендів — хост, Docker, SSH, Modal, Daytona, Vercel Sandbox; платний хостинг від $20 до $200 на місяць.
- **Скіли та субагенти:** Agent Skills із хабу з кількома джерелами, зокрема ClawHub, зі сканером під час встановлення; до десяти субагентів паралельно.
- **Обмеження:** небезпеку команди в Hermes оцінює допоміжна модель, а в контейнерних бекендах ці перевірки вимкнено; документація визнає, що справжня межа — лише операційна система.

[Репозиторій](https://github.com/NousResearch/hermes-agent) · [документація](https://hermes-agent.nousresearch.com/docs/)

### Легкі альтернативи OpenClaw

Слідом за OpenClaw з'явилася родина «клешень» (claws) — агентів того самого типу, написаних заново, які відрізняються розміром або ізоляцією. Незалежного аудиту безпеки в жодного з них я не знайшов.

| Проєкт | Ліцензія | Мова | Зірки | Чим відрізняється |
|---|---|---|---|---|
| [nanobot](https://github.com/HKUDS/nanobot) | MIT | Python | ~50 тис. | надлегкий агент із Гонконзького університету; веб-інтерфейс, Telegram, Discord, Slack, WeChat, пошта, MCP |
| [ZeroClaw](https://github.com/zeroclaw-labs/zeroclaw) | Apache-2.0 / MIT | Rust | ~33 тис. | один бінарник, 30+ каналів, за замовчуванням працює під наглядом, пісочниці Landlock, Bubblewrap, Seatbelt і Docker |
| [NanoClaw](https://github.com/nanocoai/nanoclaw) | MIT | TypeScript | ~31 тис. | кожна сесія у своєму контейнері, ключі в контейнер не потрапляють; всередині Claude Agent SDK |
| [PicoClaw](https://github.com/sipeed/picoclaw) | MIT | Go | ~30 тис. | менше 10 МБ пам'яті, працює на платі за $10 |
| [NemoClaw](https://github.com/NVIDIA/NemoClaw) | Apache-2.0 | TypeScript | ~23 тис. | OpenClaw від NVIDIA: пісочниця OpenShell і моделі Nemotron |
| [IronClaw](https://github.com/nearai/ironclaw) | Apache-2.0 / MIT | Rust | ~13 тис. | інструменти в пісочниці WebAssembly, білі списки адрес, секрети підставляються на межі |

Поруч стоять [Agent Zero](https://github.com/agent0ai/agent-zero), якому видають цілий Linux із робочим столом усередині Docker, і Microsoft Scout — корпоративна надбудова над OpenClaw з обліковими записами Entra і контролем витоків даних.

### Хмарні агенти лабораторій

- **ChatGPT Work (OpenAI)** — спадкоємець ChatGPT agent; з липня живе в настільному ChatGPT на технології Codex: завдання за подією й розкладом, стеження за змінами, плагіни до Slack, Teams, Google Drive і CRM.
- **Claude Cowork (Anthropic)** — Claude Code для тих, хто не пише код: документи, браузер і керування екраном із дозволом на кожен застосунок; входить у Pro, Max, Team і Enterprise. З 6 жовтня нові завдання на Pro і Max [виконуються](https://support.claude.com/en/articles/15520349-use-claude-cowork-on-web-desktop-and-mobile) на серверах Anthropic; раніше сесія йшла у віртуальній машині на комп'ютері користувача (Apple Virtualization на macOS, Hyper-V на Windows).
- **Gemini Tasks (Google)**, до перейменування — Gemini Spark: цілодобовий агент, побудований на Antigravity, із власною поштовою адресою, віддаленим браузером і комп'ютером у хмарі, доступом до Workspace, Chrome і MCP. [Доступний](https://support.google.com/gemini/answer/17094507?hl=en) передплатникам Google AI Pro і Ultra, для робочих і навчальних акаунтів закритий.
- **Perplexity Computer** — хмарний «цифровий працівник» з ядром на Claude Opus, яке роздає підзавдання десяткам моделей різних вендорів; з 20 жовтня є повністю локальний режим на Mac з моделлю Qwen.
- **Manus** — хмарний агент загального призначення: Meta купила його в грудні 2025 року, у квітні китайський регулятор угоду заблокував, і з 1 вересня Manus [знову працює](https://manus.im/blog/a-note-to-our-users) незалежно. Хмарна пісочниця з браузером плюс керування браузером на вашому комп'ютері.
- **Решта:** хмарний «співробітник» Claw від Genspark і китайські хмарні версії OpenClaw від ByteDance, Tencent і Alibaba.

### Безпека універсальних агентів: що вже сталося

Щодо OpenClaw задокументовано найбільше інцидентів:

- **Одне посилання — і команди на хості.** Вразливість OpenClaw [CVE-2026-25253](https://thehackernews.com/2026/02/openclaw-bug-enables-one-click-remote.html) (лютий): панель керування довіряла адресі шлюзу з параметра посилання й надсилала туди токен. З украденим токеном можна було вимкнути підтвердження й виконувати команди прямо на хості, в обхід Docker, — навіть коли шлюз був доступний лише з localhost.
- **Шкідливі скіли.** [Аудит](https://thehackernews.com/2026/02/researchers-find-341-malicious-clawhub.html) усіх 2857 скілів у ClawHub, реєстрі OpenClaw, знайшов 341 шкідливий, майже всі з однієї кампанії: «спочатку встановіть ось це» — і на машину приїжджав Atomic Stealer, що краде паролі. Для публікації скіла тоді вистачало акаунта на GitHub, старшого за тиждень.
- **Шлюзи у відкритому інтернеті.** У лютому різні сканування [знайшли](https://www.theregister.com/security/2026/02/09/openclaw-instances-open-to-the-internet-present-ripe-targets/5043770) від 40 до 135 тисяч доступних з інтернету шлюзів OpenClaw, помітна частина — з відомою вразливістю віддаленого виконання коду.
- **Перехоплення через браузер.** Атака [ClawJacked](https://bleepingcomputer.com/news/security/clawjacked-attack-let-malicious-websites-hijack-openclaw-to-steal-data): будь-який сайт відкривав WebSocket до шлюзу OpenClaw на вашій машині й підбирав пароль сотнями спроб на секунду — для localhost обмеження частоти не було.
- **Реакція.** Gartner назвала ризик OpenClaw для бізнесу «неприйнятним», китайський CERT — «вкрай слабкою конфігурацією за замовчуванням», у Китаї держкомпаніям обмежили використання. У вересні [аудит Trail of Bits](https://openclaw.ai/blog/openclaw-trail-of-bits-engagement-recap/) знайшов 0 критичних і 2 серйозні проблеми, усе закрито.

Загалом в OpenClaw [722 опубліковані повідомлення](https://github.com/openclaw/openclaw/security/advisories) про вразливості, з них 14 критичних і 249 високої важливості. Пік припав на лютий і березень — 220 і 204 повідомлення; до літа потік спав до кількох десятків на місяць.

У Hermes у сторонніх базах 10–12 CVE, випадків експлуатації та шкідливих скілів не знайдено, хоча його хаб уміє ставити скіли й з ClawHub. У Claude Cowork у липні дослідники [показали](https://labs.cloudsecurityalliance.org/research/csa-research-note-claude-cowork-sharedroot-sandbox-escape-20/), що віртуальна машина сесії монтувала всю файлову систему хоста на запис, і через ланцюжок помилок у ядрі Linux із гостя можна було дістатися до файлів господаря. Anthropic закрила звіт як «інформаційний»; виправлення для локального режиму немає.

Класи проблем повторюються від продукту до продукту:

- відкритість за замовчуванням — шлюз доступний із мережі, а не лише з вашої машини;
- ланцюжок постачання — шкідливі скіли, плагіни та інсталятори;
- права, що губляться дорогою: перевірка пройшла на першому кроці завдання, а дія виконується на п'ятому, вже в іншому контексті;
- контейнер як єдина межа — доки в ньому не знайдеться діра;
- промпт-ін'єкції, які вендори не вважають вразливістю.

### Наскільки добре працюють універсальні агенти

Незалежного порівняння OpenClaw, Hermes і хмарних агентів на одній і тій самій моделі немає.

- **Реальна робота — [Remote Labor Index](https://labs.scale.com/papers/rli).** Scale AI і CAIS узяли 240 справжніх замовлень із фриланс-бірж — дизайн, відео, дані, документи — і зараховують результат, якщо він не гірший, ніж у найнятої людини. У жовтні 2025 року найкращим був Manus: він довів до приймання 2,5% замовлень, ChatGPT agent — 1,3%. У [липневому замірі](https://safe.ai/blog/significant-increase-in-digital-labor-automation) найкраща модель, Claude Fable 5, — 15,8%, Opus 4.8 — 8,3%, GPT-5.5 — 6,3%, Opus 4.6 в оболонці Cowork — 4,2%, Manus 1.6 Max — 2,9%. Моделі Anthropic при цьому працювали в Claude Code, моделі OpenAI — у Codex CLI, обидва з інструментом керування екраном.
- **Бенчмарки всередині свого harness.** [PinchBench](https://pinchbench.com) від Kilo ганяє моделі на завданнях OpenClaw: 147 завдань, лідери набирають 88–93,5%, і перші десять моделей вкладаються в шість пунктів. Hermes Bench від самої Nous: 150 завдань, Claude Opus 5.5 — 76,7 при $0,52 за завдання, Claude Haiku 5.5 — 71,0 при $0,015. Різниця в якості — шість пунктів, у ціні — тридцять п'ять разів. Обидва бенчмарки порівнюють моделі в одному harness, а не різні harness між собою.
- **Окремі навички моделей.** На OSWorld-Verified (керування комп'ютером) найкращі моделі набирають близько 86% за людського рівня 72%, на BrowseComp (пошук у вебі) — близько 92%. На новому, довшому OSWorld 2.0, за сторонніми зведеннями, Opus 4.8 набирає близько 21% замість 83%.

## Код і дані: що обіцяють вендори

Harness надсилає провайдеру моделі все, що агент прочитав або отримав від команд: файли, вивід тестів, дифи, а якщо агент відкрив `.env`, то й його вміст. Чи підуть ці дані в навчання, скільки вони зберігаються і де, визначає договір із вендором моделі та тип тарифу, а не сам harness.

### Навчання та зберігання

| Вендор | Навчання: особисті тарифи | Навчання: бізнес-тарифи й API | Скільки зберігають | Нульове зберігання |
|---|---|---|---|---|
| Anthropic: Claude Code, Cowork | Free, Pro, Max: [так](https://code.claude.com/docs/en/data-usage), доки користувач не вимкне налаштування «Help improve our AI models» (умови з 8 жовтня 2025 року); відгуки через `/feedback` і діалоги, позначені системою безпеки, можуть використовуватися й за вимкненого налаштування | Team, Enterprise, API, Bedrock, Vertex: ні, комерційні умови це забороняють | особисті тарифи: 30 днів, за ввімкненого навчання — до 5 років; бізнес-тарифи: 30 днів; позначені діалоги — до 2 років | для Enterprise і API — за погодженням з Anthropic; хмарні сесії та Cowork під нього не підпадають; Fable 5 і 5.1, Mythos 5 і 5.1 [зберігаються](https://support.claude.com/en/articles/15425695-covered-models) щонайменше 30 днів на будь-якій платформі |
| OpenAI: Codex, ChatGPT Work | Free, Plus, Pro: так за замовчуванням, вимикається спільним із ChatGPT налаштуванням; у Codex окремий перемикач для контексту хмарних середовищ | Business, Enterprise, Edu, API: ні за замовчуванням | API: журнали перевірки зловживань — до 30 днів; бізнес-тарифи — за налаштуваннями робочого простору; стан хмарного завдання Codex — 7 днів | API — після схвалення OpenAI; хмарний режим ChatGPT Work суворого нульового зберігання [не дає](https://learn.chatgpt.com/docs/enterprise/chatgpt-work-cloud-security) |
| Google: Antigravity, Gemini CLI, Code Assist | для особистих акаунтів, зокрема AI Pro і Ultra, Gemini CLI та Code Assist з 18 червня вимкнено, замість них запропоновано Antigravity: взаємодії [використовуються](https://antigravity.google/terms) для покращення продуктів Google і можуть переглядатися співробітниками та підрядниками; керує цим перемикач «Enable Telemetry» | Code Assist Standard та Enterprise, Antigravity через Google Cloud: ні; Gemini API без оплати — так, з перевіркою людьми; з оплатою — ні | Code Assist Standard та Enterprise запити [не зберігає](https://docs.cloud.google.com/gemini/docs/codeassist/security-privacy-compliance); в Antigravity для особистих акаунтів строк не вказано | немає даних |
| GitHub Copilot | Free, Pro, Pro+, Max: з 24 квітня 2026 року [так](https://github.blog/news-insights/company-news/updates-to-github-copilot-interaction-data-usage-policy/), доки користувач не вимкне налаштування; дані можуть отримувати афілійовані компанії, зокрема Microsoft, але не сторонні провайдери моделей | Business, Enterprise та особисті акаунти в платних організаціях: ні, це забороняє договір | чат на github.com, у мобільному застосунку та хмарний агент — за [оголошенням](https://github.blog/changelog/2026-08-28-upcoming-changes-to-github-copilot-policies-and-billing/), не раніше 28 вересня, на весь час існування акаунта замість 28 днів; журнали хмарних сесій не можна видалити, лише архівувати | угоди з провайдерами моделей, крім Claude Fable 5 і 5.1 |
| Cursor | залежить від режиму приватності: увімкнено — ні, вимкнено — Cursor [може](https://cursor.com/data-use) навчати моделі на коді й запитах; значення за замовчуванням для особистих акаунтів не вказано | Teams та Enterprise: режим приватності ввімкнено за замовчуванням, адміністратор може його закріпити | строки не вказано; код зберігають лише хмарні агенти, в Enterprise — до 90 днів або безстроково, за налаштуванням | з режимом приватності — в усіх провайдерів, крім Claude Fable 5 і 5.1 |
| JetBrains: Junie | докладні дані з кодом — [лише за згодою](https://www.jetbrains.com/help/ai/data-collection-and-use-policy.html), можуть використовуватися для навчання | в організаціях вимкнено за замовчуванням, вмикає адміністратор | такі дані — рік, в ЄЕЗ | немає даних |
| AWS: Kiro | Free та індивідуальні підписки: вміст [може](https://kiro.dev/docs/privacy-and-security/data-protection/) використовуватися для покращення сервісу, можна відмовитися | Enterprise: ні | Free: до 60 днів для перевірки зловживань, навіть після відмови | немає даних |
| Cognition: Devin, Windsurf | за замовчуванням [так](https://docs.devin.ai/admin/security); на платних тарифах можна відмовитися | Enterprise: ні без письмової згоди | на строк відносин із клієнтом | відмова від навчання на платних тарифах вмикає нульове зберігання в провайдерів |
| Perplexity: Computer | Free, Pro, Max: налаштування, що дозволяє навчання, [увімкнено](https://www.perplexity.ai/help-center/en/articles/11564572-data-collection-at-perplexity) за замовчуванням; відмова діє лише на майбутнє | Enterprise: ні | Enterprise: за налаштуванням організації, вкладення видаляються через 7 днів | Enterprise: угоди з OpenAI та Anthropic |
| Manus | знеособлені дані можуть покращувати моделі Manus; стороннім AI-сервісам навчатися на контенті користувачів [заборонено](https://manus.im/terms) | немає даних | дані пісочниці — 7 днів на безплатному тарифі та 21 день на платному; після видалення акаунта — 30 днів | немає даних |

Обіцяні строки зберігання може перекрити суд: з 13 травня по 26 вересня 2025 року OpenAI за приписом суду [зберігала](https://simonwillison.net/2025/Oct/23/openai-no-longer-has-to-preserve) журнали Free, Plus, Pro, Team та API без нульового зберігання, які інакше були б видалені.

### Регіон, сертифікати та юридичні гарантії

| Вендор | Де обробляються дані | Сертифікати | Захист від позовів щодо авторського права |
|---|---|---|---|
| Anthropic | API: вибір лише між `us` і `global`; через Bedrock і Vertex — регіон хмари | SOC 2 Type I і II, ISO 27001, ISO 42001; HIPAA — за налаштуванням | у [комерційних умовах](https://www.anthropic.com/legal/commercial-terms): захист від позовів третіх осіб щодо порушення інтелектуальної власності, включно з результатами роботи моделі |
| OpenAI | API: зберігання в 10 регіонах, обробка в регіоні — у США, Європі та ОАЕ | SOC 2 Type 2, ISO 27001, 27701, 42001; угода HIPAA покриває локальний Codex, але [не хмарний](https://learn.chatgpt.com/docs/hipaa-configuration) | Copyright Shield, оголошений для Enterprise та API |
| Google | Code Assist: регіон «не гарантується»; Antigravity для бізнесу — обмеження за регіоном для моделей Gemini | продукти Gemini в Google Cloud: SOC 1, 2, 3, ISO 27001, 27017, 27018, 27701, 42001, HIPAA; для Antigravity не вказані | Code Assist — «Generative AI Indemnified Service» |
| GitHub | за замовчуванням регіон не зафіксовано; для Enterprise Cloud [можна](https://docs.github.com/en/enterprise-cloud@latest/admin/data-residency/github-copilot-with-data-residency) обрати США або ЄС — плюс 10% до вартості й без моделей Gemini; підказки в редакторі на Free і Student обробляє Fireworks AI | SOC 1, 2, 3 Type II та ISO 27001 для Business і Enterprise; FedRAMP є в хостів моделей, але не в самого Copilot | Customer Copyright Commitment від Microsoft; з 3 квітня 2026 року фільтр збігів із публічним кодом для нього не обов'язковий |
| Cursor | Enterprise: лише США, плюс 10% до вартості; інфраструктури в Китаї немає | SOC 2 Type II, ISO 27001, ISO 42001, AIUC-1; угода про обробку даних — лише для Teams і Enterprise | немає даних |
| Cognition | немає даних | SOC 2 Type II | немає даних |
| Perplexity | немає даних | SOC 2 Type II | немає даних |

### Китайські провайдери

| Провайдер | Де зберігаються дані | Навчання на запитах | Застосовне право |
|---|---|---|---|
| DeepSeek | КНР | [так](https://cdn.deepseek.com/policies/en-US/deepseek-privacy-policy.html); відмова — листом на privacy@deepseek.com | умови API — право материкового Китаю |
| Alibaba: Qwen | регіони Сінгапур, США й Пекін; місце зберігання не вказано | FAQ Model Studio: [ні](https://www.alibabacloud.com/help/en/model-studio/faq-about-alibaba-cloud-model-studio); сторінка Coding Plan: передплатник [дозволяє](https://help.aliyun.com/en/model-studio/coding-plan) використовувати запити та відповіді для «оптимізації моделей», відкликання — лише на майбутнє | не вказано |
| Moonshot: Kimi | API — сервери в Сінгапурі; споживчий Kimi — КНР | API: для покращення сервісів, без можливості відмовитися самостійно; споживчий: після знеособлення, відмова через підтримку | API — Сінгапур; споживчий — закони КНР про персональні дані та про безпеку даних |
| Z.ai: GLM | здебільшого Сінгапур | API: [ні](https://docs.z.ai/legal-agreement/terms-of-use.md) без явної згоди; приватні користувачі — може використовуватися | Сінгапур |
| MiniMax | політика API: дата-центр у США, хоча в тій самій політиці сказано, що дані загалом не залишають Сінгапур | прямої заборони немає; політика обіцяє не використовувати дані для профілювання | GDPR, закон Сінгапуру про персональні дані та закони інших країн |

Строків зберігання не вказує жоден із п'яти: формулювання — «стільки, скільки необхідно» або «поки акаунт активний». Для Kimi Code і GLM Coding Plan окремих умов немає, і незрозуміло, яка політика до них застосовується. Куди піде код, вирішує адреса провайдера в налаштуваннях, а не harness: у списках підтримуваних інструментів цих підписок — Claude Code, Codex, Cursor, OpenCode, OpenClaw і Hermes.

Обмеження з боку держав і компаній:

- **DeepSeek.** Італія заблокувала застосунок у січні 2025 року, Південна Корея призупиняла завантаження з лютого по квітень 2025-го. На державних пристроях його заборонили Тайвань, Австралія, Чехія, Міністерство торгівлі США та низка штатів; Microsoft заборонила застосунок співробітникам. У жовтні 2026 року Міністерство внутрішньої безпеки США [зобов'язало](https://techxplore.com/news/2026-10-china-deepseek-agencies.html) цивільні федеральні відомства прибрати продукти DeepSeek, включно зі сторонніми інструментами, побудованими на ньому.
- **Zhipu (Z.ai).** З січня 2025 року в американському Entity List — це експортний контроль, а не заборона користуватися сервісом.
- **Усі п'ять провайдерів** названо в [бюлетені](https://www.cisa.gov/news-events/cybersecurity-advisories/aa26-251a) NSA, CISA та FBI від 8 вересня 2026 року серед компаній, що дистилювали американські моделі; рекомендацій клієнтам цих моделей бюлетень не дає.

### Посередники: шлюзи та власні ключі

- **OpenCode Zen і Go.** Моделі [розміщено](https://opencode.ai/docs/zen/) у США та ЄС, більшість — без навчання й зберігання. Винятки: частина безплатних моделей, на даних яких навчається провайдер; моделі з позначкою Contributor, зокрема Muse від Meta, які навчаються на запитах і вмикаються лише адміністратором; частина моделей OpenAI, Anthropic та xAI зі зберіганням 30 днів. Угода про нульове зберігання з DeepSeek [продовжується](https://opencode.ai/v2/docs/console/go/) щомісяця, поточна діє до 31 жовтня. OpenCode заявляє SOC 2 Type 1 і 2, звіти — під NDA.
- **Kilo Gateway.** Працює через OpenRouter і Vercel AI Gateway, сервери в США. [Умови](https://kilo.ai/terms) дають Kilo безстрокову ліцензію на дані клієнта, включно з вихідним кодом, «для надання та покращення сервісів». Безплатний режим Auto Free може надсилати запити провайдерам, які їх логують і навчаються на них; нульове зберігання є лише в Enterprise.
- **Провайдери Cline і ClinePass.** Запити йдуть через інфраструктуру Cline, і телеметрія щодо них [може](https://docs.cline.bot/more-info/telemetry) містити запит і відповідь моделі; про зберігання та навчання документація ClinePass нічого не говорить. З власними ключами Cline надсилає запити напряму провайдеру.
- **Nous Portal (Hermes).** [Умови](https://portal.nousresearch.com/terms) дають Nous ліцензію на запити та відповіді, зокрема для навчання й передавання третім особам; режим приватності, який потрібно ввімкнути вручну, вимикає зберігання та навчання, метадані лишаються.
- **Власні ключі в комерційних harness.** У Cursor запити з власним ключем усе одно [проходять](https://cursor.com/data-use) через сервер Cursor, де збирається промпт, і нульове зберігання тоді визначає провайдер. Copilot CLI з власним провайдером надсилає запити напряму йому, а чат в IDE з власним ключем — через API GitHub.

### Що лишається на вашій машині

| Harness | Телеметрія | Локальна історія | Як закрити файли від агента |
|---|---|---|---|
| Claude Code | метрики без коду, запитів і шляхів, звіти про помилки; вимикаються `DISABLE_TELEMETRY` і `DISABLE_ERROR_REPORTING` або спільною `CLAUDE_CODE_DISABLE_NONESSENTIAL_TRAFFIC`; на Bedrock і Vertex вимкнені за замовчуванням | повні розшифровки сесій, зокрема прочитані файли й вивід команд, [у відкритому вигляді](https://code.claude.com/docs/en/claude-directory) 30 днів | правила заборони на кшталт `Read(./.env)`; файл `.claudeignore` [не працює](https://code.claude.com/docs/en/permissions) |
| Codex | анонімна статистика ввімкнена за замовчуванням; `[analytics] enabled = false` | історія в `~/.codex`; вимикається `[history] persistence = "none"` | заборони в профілях дозволів; файла винятків немає |
| Copilot CLI | ввімкнена; `--disable-client-telemetry` або `COPILOT_OFFLINE=true` | повний запис сесій у `~/.copilot/session-state/`, за замовчуванням синхронізується з акаунтом GitHub | виключення вмісту — лише на Business і Enterprise |
| Cursor | немає даних | немає даних | `.cursorignore` — налаштування одного користувача; термінал і MCP його обходять |
| Gemini CLI | вимкнена за замовчуванням; статистика використання вимикається окремо | немає даних | `.geminiignore`; у Code Assist — `.aiexclude` |
| Antigravity | у застосунку перемикач «Enable Telemetry» керує й збиранням взаємодій для покращення моделей; у CLI збирання даних про використання для бізнес-акаунтів завжди вимкнене | немає даних | у суворому режимі агент дотримується `.gitignore` |
| OpenCode | за словами розробників, немає; повністю офлайн-режиму немає | немає даних | читання `.env` за замовчуванням потребує підтвердження |
| Cline | ввімкнена | немає даних | `.clineignore` застарів і, за документацією, «не межа безпеки» |
| Kilo Code | ввімкнена; `KILO_TELEMETRY_LEVEL=off` | немає даних | `.kilocodeignore` перетворюється на заборони читання й правки |
| Qwen Code | анонімна статистика без коду й запитів, ввімкнена за замовчуванням; `QWEN_USAGE_STATISTICS_ENABLED=false` | немає даних | немає даних |
| OpenClaw | щоденна перевірка оновлень без вмісту; статистика функцій вимкнена за замовчуванням | токени та розшифровки в `~/.openclaw`, [захищені](https://docs.openclaw.ai/gateway/security/secrets-and-storage) лише правами на файли | немає даних |
| Hermes Agent | немає даних | ключі в `~/.hermes/.env`; команди в базі сесій зберігаються без маскування | скіли перед встановленням перевіряє Skills Guard; дочірнім процесам не передаються змінні з KEY, TOKEN, SECRET і PASSWORD в імені |

Goose надсилає телеметрію лише за згодою, pi — одну анонімну перевірку версії під час встановлення, Kimi Code вимикає її змінною `KIMI_DISABLE_TELEMETRY=1`.

### Витоки коду та ключів через агентів

| Коли | Де | Що сталося | Що витекло |
|---|---|---|---|
| травень 2025 | GitHub MCP-сервер і Claude Desktop | шкідливий issue в публічному репозиторії змусив агента з доступом до приватних репозиторіїв [викласти](https://invariantlabs.ai/blog/mcp-github-vulnerability) їхні дані в публічний пул-реквест | дані приватних репозиторіїв |
| липень 2025 | Amazon Q Developer для VS Code | через надто широкий токен у збірці в реліз 1.84.0 [потрапив](https://aws.amazon.com/security/security-bulletins/AWS-2025-015/) шкідливий код; за даними AWS, він не спрацював | нічого, за даними AWS |
| липень 2025 | Gemini CLI | дозволена команда в ланцюжку з `env` і `curl` [непомітно надсилала](https://www.scworld.com/news/google-fixes-gemini-cli-flaws-that-risked-silent-data-exfiltration) дані назовні; виправлено у версії 0.1.14 | змінні середовища |
| серпень 2025 | npm-пакет Nx, атака s1ngularity | заражені версії [шукали](https://nx.dev/blog/s1ngularity-postmortem) секрети за допомогою встановлених AI-CLI — Claude, Gemini, Q, — запущених без підтверджень | токени GitHub і npm, SSH-ключі, файли `.env`; за різними оцінками, тисячі секретів |
| вересень 2025 | Copilot Chat, CamoLeak | прихований коментар у пул-реквесті змушував чат [витягувати](https://www.legitsecurity.com/blog/camoleak-critical-github-copilot-vulnerability-leaks-private-source-code) дані посимвольно через проксі зображень GitHub; ще в серпні GitHub вимкнув зображення в чаті | код і секрети з приватних репозиторіїв |
| листопад 2025 | Antigravity | прихований текст на веб-сторінці змусив агента прочитати `.env` в обхід `.gitignore` і [надіслати](https://www.promptarmor.com/resources/google-antigravity-exfiltrates-data) ключі через браузерного субагента на адресу з білого списку за замовчуванням; Google відносить такі витоки до відомих проблем | ключі AWS |
| січень 2026 | Claude Cowork | документ із прихованою інструкцією [змусив](https://promptarmor.com/resources/claude-cowork-exfiltrates-files) Cowork без підтвердження завантажити локальні файли на чужий акаунт через дозволений Files API Anthropic; на момент публікації проблему було визнано, але не виправлено | локальні файли |
| січень 2026 | Moltbook, соцмережа агентів навколо OpenClaw | ключ бази даних у клієнтському JavaScript [давав](https://www.wiz.io/blog/exposed-moltbook-database-reveals-millions-of-api-keys) доступ до робочої бази; закрито за три години | близько 1,5 млн токенів агентів, у листуванні агентів — ключі OpenAI |
| лютий 2026 | Cline, атака Clinejection | ін'єкція в заголовку issue керувала AI-ботом сортування issue, що [призвело](https://dev.to/snyk/how-clinejection-turned-an-ai-bot-into-a-supply-chain-attack-4hke) до крадіжки npm-токена та випуску cline 2.3.0, який ставив OpenClaw; версія провисіла в npm близько 8 годин | токен публікації npm |
| лютий 2026 | Claude Code | налаштування `.claude/settings.json` у чужому репозиторії до діалогу довіри могли запустити хуки й MCP-сервери або [підмінити](https://research.checkpoint.com/2026/rce-and-api-token-exfiltration-through-claude-code-project-files-cve-2025-59536/) `ANTHROPIC_BASE_URL`; виправлено у 2025 році | ключ API Anthropic |
| березень 2026 | Codex | впровадження команди через ім'я гілки GitHub під час підготовки завдання; [виправлено](https://siliconangle.com/2026/03/30/openai-codex-vulnerability-enabled-github-token-theft-via-command-injection-report-finds/) | OAuth-токени GitHub |
| квітень 2026 | Claude Code, Gemini CLI і Copilot у GitHub Actions | інструкції в заголовках пул-реквестів і коментарях [змушували](https://www.techzine.eu/news/security/140524/ai-agents-on-github-leak-api-keys-via-prompt-injection/) агентів публікувати свої ключі; за повідомленнями, виправлено в усіх трьох | ключі API та токени GitHub |
| серпень 2026 | Kiro | ін'єкція через керувальні файли в чужому робочому просторі [надсилала](https://thehackernews.com/2026/08/amazon-kiro-prompt-injection-can.html) дані назовні; дати виправлення в джерелах розходяться | код, конфігурація, ключі API |
| жовтень 2026 | хмарна консоль OpenCode | злам системи, що виводиться з експлуатації, локальних установок не стосується; OpenCode [повідомила](https://www.infosecurity-magazine.com/news/opencode-breach-openai-anthropic/) постраждалих користувачів і провайдерів | ключі сторонніх провайдерів у 1,4% користувачів консолі могли бути розкриті |