OpenBot – CopilotKit 开源的企业级 AI Agent 平台

1. OpenBot是什么

OpenBot是CopilotKit团队开源的企业级AI Agent平台，定位为"敢托付真实工作的数字同事"。平台为每个Agent分配一台独立的"专属电脑"——独立Docker容器内含Chromium浏览器、登录会话和文件工作区；所有操作必须经唯一网关按CEL策略先审计、后执行，fail-closed默认拒绝；遇到登录或2FA时支持人工接管完成认证步骤。基于AG-UI协议，兼容LangGraph等任意框架，完全自托管，主打隔离、可审计、可干预的Agent治理底座。

技术定位与领域： OpenBot属于AI Agent基础设施与治理平台领域，聚焦于企业级Agent的安全运行与管控。与传统的Agent框架不同，OpenBot不直接提供模型能力或编排逻辑，而是在协议层构建了一套"计算隔离+强制审计+人工干预"的治理体系，使Agent能够安全地操作真实生产系统。

研发背景： OpenBot由CopilotKit团队开发。CopilotKit是开源社区中较为活跃的AI Copilot框架项目，积累了丰富的Agent应用开发经验。团队在服务大量企业用户的过程中发现，Agent落地的主要障碍并非模型能力不足，而是缺乏可信的执行环境和审计机制，由此催生了OpenBot这一面向"真实工作"的治理型Agent平台。

核心价值： OpenBot将"敢不敢让Agent碰生产系统"从信任问题转化为工程问题。通过每个Agent独立容器、唯一审计网关、CEL策略引擎和人工接管机制，平台实现了对Agent操作的全面管控与留痕。企业可以在不改造现有Agent框架的前提下，获得与生产环境安全要求匹配的治理能力。

技术特点： 平台采用AG-UI协议作为Agent接入标准，实现了框架无关的治理能力；所有操作在执行前即写入审计日志，不存在绕过记录的路径；fail-closed安全默认使无策略操作默认拒绝，规则错误时拒绝而非放行；支持gVisor内核级隔离，进一步强化环境安全性。

2. 主要功能

• 专属电脑隔离： Supervisor为每个Bot创建独立Docker容器，内含Chromium浏览器（独立登录态）和/workspace文件工作区。支持gVisor内核级隔离，Agent之间互不可见，一个出问题不会波及其他，杜绝了共享环境带来的串号和数据泄露风险。

• 统一审计网关： 所有对浏览器、文件、MCP、组件的操作都经过唯一网关，先解析目标、评估策略、写入审计日志，再执行或拒绝。不存在绕过记录的路径，即使执行崩溃或Agent试图绕过，意图也已留痕。

• CEL策略引擎： 可按工具名、Bot、用户、URL、页面元素、文件、MCP操作等字段编写规则。deny优先、无策略默认全拒、规则错误时拒绝而非放行，安全姿态从"默认放行再堵漏"反转为"默认拒绝再开白"。

• Take the Wheel人工接管： 遇到登录墙或2FA时Bot主动求助，人在同一面板接管操作。接管期间Bot动作被直接拒绝而非排队，避免人机操作冲突，全程留痕，让"人工完成一步认证、后续全自动"成为标准化流程。

• 框架无关接入： 基于开放的AG-UI协议，任何说AG-UI的endpoint都可接入为Bot，支持LangGraph、Mastra、CrewAI、Pydantic AI、Google ADK或手写Agent。治理逻辑跑在协议层，换框架不丢治理能力。

• 组件式输出： Agent回复不限于文本，可渲染交互式React组件，内置组件与沙箱组件免部署发布，组件权限可逐个管控。这使得Agent的回复可以承载表单、图表等复杂交互形态。

• 密钥安全管理： 凭据加密存储、API永不返回、审计只记录密钥长度不记录内容，密钥不进入对话记录。这确保了敏感凭据在Agent执行过程中不会被泄露到日志或对话上下文。

• 治理化MCP集成： 内置Google Drive连接器，自定义MCP服务器需通过URL校验。未明确分类为"读"的工具一律按"写"处理，以最保守的姿态管理Agent的外部工具调用。

• 企业级身份与权限： 支持Google/Microsoft/Okta登录及运行时注册SAML/OIDC（按邮箱域名路由），管理员可升降权限、移除访问并即时终止会话。

• 可读审计中心： /admin/audit列出所有被允许、被拒绝、失败的操作，每次拒绝附带触发的具体规则，为安全团队提供完整的可追溯性。

3. 如何使用

1. 环境准备： 安装Docker（用于PostgreSQL和Bot容器）和Bun 1.3+（用于前端和API服务器），并准备好一个大模型API Key（如OpenAI Key）。

2. 克隆仓库并初始化配置： 执行git clone https://github.com/CopilotKit/openbot.git，进入目录后执行cp .env.example .env创建环境变量文件。

3. 获取Intelligence凭证： 依次运行npx --yes copilotkit@latest login、project select、license --write，将生成的cpk-...运行时密钥填入.env的INTELLIGENCE_API_KEY字段。Intelligence有免费计划，也可自托管。

4. 填写必要环境变量： 在.env中填入OPENAI_API_KEY；生产环境需用openssl rand -base64 32生成自己的KEY_ENCRYPTION_KEY，本地测试可用示例值。

5. 一键启动： 运行bun install安装依赖，然后执行bash scripts/start.sh——脚本会自动启动Docker服务、执行数据库迁移、拉起API服务器（3001端口）和前端（3010端口），并检查各服务健康状态。

6. 访问主界面： 浏览器打开http://localhost:3010，即可看到频道列表和预置的三个"同事"（General Assistant、Knowledge、Risk Analyst）。

7. 上手体验与策略管控： 在/bot页面让Bot打开Hacker News读头条、填写httpbin测试表单，然后到/admin/audit查看审计记录。进入/admin/boundaries添加一条deny规则，重试相同操作，观察Bot被拒绝并提示触发的规则。

8. 创建自定义同事与日常管理： 在/agents页面创建新Bot，配置名称、角色描述和AG-UI endpoint，或在agents.yaml中声明。通过/admin/computers查看或重置Bot的电脑、/admin/credentials加密存储凭据、/admin/plugins配置MCP服务器、/admin/people管理成员权限。

4. 优缺点分析

5. 同类工具对比

选型建议： 对于金融、医疗等对数据安全和操作审计有严格要求的行业，OpenBot的fail-closed策略、统一审计网关和人工接管机制能够满足合规需求，是三类工具中唯一将治理能力作为核心卖点的平台。若企业已有LangGraph、CrewAI等Agent框架投资，OpenBot的AG-UI协议接入方式可以保留现有框架资产，仅增加治理层。

对于以软件开发效率为核心目标的团队，OpenHands的自主编码能力和可视化工作区更加直接，但其审计与策略能力主要在企业版中提供，自托管场景下需要自行补充管控措施。对于需要轻量级代码执行沙箱的开发者，E2B的microVM方案在隔离粒度和启动速度上有优势，但策略与审计需要在外层自行构建，且不支持BYOC部署，数据主权受限。

6. 编辑总结

OpenBot在AI Agent治理领域提供了一个值得关注的架构范式。其核心创新在于将安全从"Agent行为约束"下沉为"基础设施能力"：每个Agent拥有独立的Docker容器和浏览器登录态，从物理层面隔离了Agent之间的相互影响；唯一审计网关确保所有操作在执行前即被记录，从根本上消除了操作路径盲区；CEL策略引擎的fail-closed设计将默认安全姿态从"放行后堵漏"反转为"拒绝后开白"，这种设计思路在企业安全实践中已被验证为更可靠的模式。

从实用价值看，OpenBot解决了Agent落地过程中最棘手的信任问题。Take the Wheel人工接管机制为登录、2FA等无法全自动化的场景提供了标准化的协作流程，使得Agent能够在人工监督下安全地操作企业内网系统。完全自托管的部署方式配合加密存储的密钥管理，使平台能够满足金融、医疗等行业的合规要求。

OpenBot适合对安全治理有明确要求的企业技术团队，尤其是已经投资了LangGraph等Agent框架、但缺乏执行环境管控能力的组织。其AG-UI协议设计降低了迁移成本，治理能力可以随协议层延续到未来的框架升级中。作为一个较新的项目，OpenBot的社区生态和文档完善度仍在成长中，但其"治理优先"的产品理念在Agent大规模落地进程中具有清晰的实践价值。

7. 应用场景

• 企业知识问答助手： 接入公司内部知识源（如Google Drive连接器），让"知识型同事"回答员工关于公司制度、文档的问题，所有查阅行为留痕可审计，满足内部知识管理合规要求。

• 风险与合规分析： 预置的Risk Analyst同事可执行风险监控、交易审查、合规检查等任务，策略网关确保它只能访问被授权的数据和系统，降低人为违规操作风险。

• 内部系统自动化操作： 通过"人工接管"模式处理需要登录企业内网系统、完成2FA认证的场景，人完成一步认证后，Agent全自动执行后续流程，兼顾安全与效率。

• 财务/运营数据处理： Bot在自己的工作区执行脚本、处理表格文件、安装所需依赖，命令和文件操作全部经过网关审计，适合需要处理敏感财务数据的运营场景。

• 敏感数据环境下的AI助手： 凭据加密存储、密钥不进对话记录、审计只记录长度不记录内容，适合对数据安全有严格要求的金融、医疗等行业，在合规前提下引入AI辅助能力。

• 多Agent协作工作台： 不同职能的Bot（通用助理、知识库、分析师）各有专属频道和独立电脑，员工像@同事一样与多个Agent并行协作，每个Agent的操作边界清晰可控。

8. 常见问题FAQ

Q：OpenBot与CopilotKit是什么关系？
A：OpenBot是CopilotKit团队开源的企业级AI Agent平台，CopilotKit是团队维护的开源AI Copilot框架项目。OpenBot可以理解为CopilotKit在Agent治理方向的延伸，它使用AG-UI协议作为Agent接入标准，与CopilotKit框架本身并不绑定。

Q：OpenBot支持哪些Agent框架？
A：任何遵循AG-UI协议的endpoint都可以接入为Bot，包括LangGraph、Mastra、CrewAI、Pydantic AI、Google ADK以及手写Agent。治理逻辑运行在协议层，因此更换底层Agent框架不会丢失审计和策略能力。

Q：fail-closed策略具体如何工作？
A：fail-closed意味着没有匹配策略的操作默认被拒绝，deny规则优先于allow规则，规则解析出错时按拒绝处理而非放行。管理员在/admin/boundaries中编写CEL策略，每次拒绝都会在审计中心记录并附带触发的具体规则。

Q：OpenBot的数据和密钥如何存储？
A：平台完全自托管，数据存储在自己的PostgreSQL数据库中。模型密钥由管理员在.env中配置，凭据通过KEY_ENCRYPTION_KEY加密存储，API永不返回，审计只记录密钥长度不记录内容，密钥不进入对话记录。

Q：如何让Agent处理需要登录和2FA的系统？
A：当Bot遇到登录墙或2FA时，会主动向用户求助。用户可以在同一面板点击"接管"操作浏览器完成认证步骤，接管期间Bot的动作被直接拒绝，完成后交还控制权让Bot继续自动执行，整个过程全程留痕。

Q：OpenBot的部署要求是什么？
A：需要安装Docker（用于PostgreSQL和Bot容器）和Bun 1.3+（用于前端和API服务器），并准备一个大模型API Key。生产环境还需要通过openssl rand -base64 32生成自己的KEY_ENCRYPTION_KEY，并获取Intelligence运行时密钥。

Q：OpenBot的开源许可证是什么？
A：OpenBot采用MIT开源许可证，允许商业使用和二次开发。与OpenHands等竞品相比，MIT许可在商用友好度上具有明显优势，企业可以基于OpenBot构建内部Agent治理平台而不受许可限制。

9. 项目地址

• GitHub仓库： https://github.com/CopilotKit/openbot （官方开源仓库，包含源码、文档和部署脚本）