Omnara: пульт для ИИ-агентов, права и секреты на своём сервере

Агенты запущены на трёх ноутбуках, и никто не знает, какие у них ключи

Один сотрудник гоняет агента на рабочем ноутбуке, второй на домашнем сервере, третий в облачной песочнице. Ключ от модели лежит в переменных окружения у каждого. Владелец спрашивает: кто что запускал, куда есть доступ, как всё остановить сегодня. Смотреть негде.

Эту дыру закрывает единый пульт. На Omnara меня вывел пост канала GitHub Radar от 15 октября. Ниже то, что я сверил с репозиторием и документацией, платформу сам не запускал.

Что за проект и что я проверил

Данные на 17 октября 2026 по репозиторию и документации:

• Лицензия по файлу LICENSE: Apache-2.0, свободная.
• Создан 9 июля 2025, 2928 звёзд, 238 форков, 22 открытых обращения вместе с запросами на правки, не в архиве.
• Последний коммит 16 октября, с 10 октября их около тридцати. В тот же день вышли omnarad v0.2.6 и cluster v0.2.6.
• SECURITY.md: до стабильного релиза исправления получает только ветка main.

Главное про курс. Прежняя Omnara была обёрткой над Claude Code с мобильным приложением, и в README на конец 2025 года авторы писали, что она больше не поддерживается. По журналу изменений 2 сентября 2026 проект перезапустили как открытую альтернативу Claude Managed Agents. Старые обзоры описывают другой продукт.

Как это устроено: агент отдельно, машина отдельно

Агент живёт на сервере платформы как журнал событий в Postgres. Машина это место, где он выполняет команды: ваш ноутбук, виртуалка или песочница одного из девяти провайдеров. На неё ставится демон omnarad (macOS и Linux), он сам подключается наружу, входящие порты и SSH-ключи не нужны. Ноутбук отключился, агент не пропал.

Модель подойдёт любая с интерфейсом OpenAI или Anthropic: OpenRouter, Bedrock, LiteLLM, Ollama и другие. Управлять можно из панели, CLI, TypeScript SDK и REST API. Установка: git clone, затем docker compose -f compose.yaml --profile app up -d, панель на порту 8000. Под капотом Postgres, Redis-совместимое хранилище, S3-совместимое хранилище файлов и общий каталог памяти. Образы берутся с ghcr.io, доступность из России уточняйте.

Права и секреты: что подтверждено

Роли двух уровней. В организации owner, admin, member. В проекте admin, developer, operator, viewer. Оператор запускает агентов, отвечает на запросы подтверждений и останавливает работу, но не меняет настройки. Чужой ресурс виден проекту только после явной выдачи (grant): модель, машина и секрет сами по себе проекту недоступны.

Секреты хранятся в Postgres в зашифрованном виде (конвертное шифрование), ключи шифрования берутся из переменной окружения сервера. Значения API обратно не отдаёт, ротация меняет значение без смены ссылки. Секрет принадлежит организации, проекту или человеку. Права на инструменты трёх видов: always_allow, always_ask и always_deny. Смена режима требует новой конфигурации агента.

Вход через SSO возможен: поддержаны GitHub и OIDC (Google, Keycloak, Okta и подобные). SAML в документации не нашёл. Ключи доступа бывают личные и организационные, выпустить ключ другим ключом нельзя.

Чем пульт отличается от песочницы и подтверждения

Три слоя отвечают на разные вопросы. Подтверждение ловит одну опасную команду: Shellfirm проверяет строку перед запуском, а Mensarium ставит человека между решением модели и действием. Песочница ограничивает, до чего агент вообще может дотянуться. Пульт отвечает на вопросы владельца: кто запустил, на какой машине, с какими инструментами и секретами, что делал, как остановить.

В Omnara есть часть каждого слоя: запросы подтверждения, пулы песочниц, по API список агентов организации с состоянием и отчёт по расходу токенов. Где проходит граница между «можно» и «спросить», разбирает статья про автономность агента.

Чего нет и что важно учесть

Локальные настройки из compose намеренно небезопасны: включён режим OMNARA_ALLOW_INSECURE_DEV_DEFAULTS, шифрование идёт тестовым ключом. Для боевого запуска нужны свои ключи, HTTPS, почта или отключённая регистрация.

Встроенный инструмент выполнения команд по умолчанию работает без вопросов, подтверждение надо включить самому. Секреты машины попадают в окружение процессов агента. Агент способен прочитать их командой, маскирования вывода в документации я не нашёл. Раздавайте ключи с минимальными правами.

Демон по описанию установки работает как пользовательский сервис, то есть с правами того, кто его установил. Изоляции команд на вашей машине документация не обещает. Отдельного журнала действий администраторов (кто выдал грант, кто сменил роль) я не нашёл, есть история событий каждого агента и запросы подтверждений. Телеметрии в коде бэкенда поиск не показал, полный аудит исходников я не делал. Веб-поиск по умолчанию идёт через внешний сервис Exa.

Что можно сделать уже сейчас

Чек-лист из семи пунктов перед запуском агентов на общей панели:

1. Выпишите, кто и где запускает агентов и какие ключи у них в окружении. Запущенное мимо панели она не видит.
2. Назначьте одного владельца и двух-трёх операторов. Настройки меняют единицы.
3. Ключи заведите секретами на уровне проекта и выдавайте точечно.
4. Включите подтверждение для запуска команд и для сторонних серверов инструментов.
5. Дайте агенту отдельную машину или песочницу без доступа к личным данным.
6. Проверьте остановку: запустите задачу и отмените её из панели.
7. Замените тестовый ключ шифрования, настройте HTTPS, резервные копии Postgres и каталога памяти, зафиксируйте версию образов.

Условный пример. Пятеро из восьми запускают агентов, у каждого по два ключа на ноутбуке, всего десять. После переезда они лежат тремя секретами в проекте. При утечке хватит одной ротации. Цифры мои допущения.

Пилот на одном агенте: недельный отчёт по заявкам, права только на чтение, машина отдельная, подтверждение на каждую команду. Две недели смотрите журнал и считайте лишние подтверждения. Похожий разбор для одного агента с телефона есть в обзоре HAPI. Развернуть Omnara, раздать роли и секреты я могу в рамках услуги по ИИ-агентам, стоимость на странице цен.

Частые вопросы

Нужен ли аккаунт в облаке Omnara?

Для установки у себя нет, вы регистрируетесь на своём экземпляре. Omnara Cloud отдельный вариант: по README платформа без платы, платить нужно за их модели и песочницы по факту. Страницу цен я не открывал, условия уточняйте.

Можно ли подключить Claude Code с ноутбука?

Агентов Omnara запускает сама, по своему циклу. Уже работающие сессии других инструментов она не показывает. Зато Omnara можно подключить к Claude Code через MCP и запускать её агентов оттуда.

Подойдёт ли это без разработчика?

Развёртывание требует администрирования: Docker, Postgres, домен, HTTPS, обновления. Пользоваться панелью проще, но поддержка остаётся на вас.

Коротко о главном

Omnara даёт то, чего не хватает разрозненным агентам: роли, секреты с выдачей, права на каждый инструмент, историю и кнопку «стоп». Проект под Apache-2.0 живой, но молодой: после перезапуска версия 0.2, стабильного релиза ещё нет.

Хотите пилот с одним агентом на своём сервере? Напишите мне в Telegram кодовое слово «РУБИЛЬНИК». Разберём, где у вас сейчас запускаются агенты, и поставим пульт.