Se stai valutando i runtime per agenti AI nel 2026, probabilmente hai gia notato che il panorama appare molto diverso rispetto a un anno fa. OpenClaw sta affrontando una seria crisi di sicurezza. ZeroClaw e emerso come l'alternativa in piu rapida crescita. PicoClaw si e ritagliato una nicchia per gli sviluppatori che vogliono qualcosa di minimale.
I tre progetti
OpenClaw e l'originale. Ha oltre 300.000 stelle su GitHub. Sta affrontando CVE-2026-25253 (RCE con un clic, CVSS 8.8) e CVE-2026-26327 (bypass autenticazione).
ZeroClaw e una riscrittura nativa in Rust. Usa 4 MB di RAM a riposo, si avvia in meno di 10 ms e viene distribuito come singolo binario senza dipendenze.
PicoClaw e un fork minimale basato su Python. Puoi leggere l'intera codebase in un pomeriggio.
Prestazioni
| Metrica | OpenClaw | ZeroClaw | PicoClaw | |--------|----------|----------|----------| | RAM (inattivo) | ~1,2 GB | ~4 MB | ~180 MB | | Cold start | ~8 sec | <10 ms | ~3 sec | | Dimensione binario | ~800 MB | ~12 MB | ~50 MB | | Linguaggio | TypeScript | Rust | Python |
Sicurezza
OpenClaw ha due CVE critici. CVE-2026-25253 consente RCE con un clic. CVE-2026-26327 consente il bypass dell'autenticazione. Oltre 42.000 istanze sono esposte su internet e il 41,7% delle skill su ClawHub contiene vulnerabilita.
ZeroClaw parte da assunzioni diverse. Rust elimina buffer overflow e data race in fase di compilazione. Il gateway pairing richiede autenticazione crittografica. Il modello deny-by-default significa che le skill accedono solo a cio che e esplicitamente autorizzato.
Supporto canali
ZeroClaw supporta 30+ canali out of the box. OpenClaw ne supporta 15+ tramite plugin. PicoClaw ne supporta 5.
Quale fa per te
Se hai bisogno del piu grande ecosistema di plugin e sei disposto a investire nell'hardening della sicurezza, OpenClaw e ancora valido.
Se ti importa dell'efficienza delle risorse, della sicurezza e del deployment su hardware limitato, ZeroClaw e la scelta ovvia per la produzione.
Se vuoi una codebase Python minimale per progetti personali, PicoClaw vale uno sguardo.
L'era della sicurezza abbastanza buona sta finendo. L'infrastruttura AI di produzione deve essere costruita come infrastruttura di produzione.