Tác nhân AI mã nguồn mở tốt nhất năm 2026

1. 

   Trợ lý cá nhân ra lệnh qua app chat

   1. OpenClaw

   6,5/10

   OpenClaw dành cho người muốn có trợ lý riêng chạy trên máy mình và nhận lệnh qua app chat sẵn có: trang chủ nêu 29 kênh, gồm WhatsApp, Telegram, Slack, Signal, iMessage và cả Zalo (qua plugin). Bạn chạy một Gateway trên máy tính hoặc máy chủ, nối với Claude, GPT hay mô hình chạy cục bộ; trợ lý nhớ thông tin giữa các cuộc trò chuyện, duyệt web, điền biểu mẫu, đọc ghi tệp, chạy lệnh shell và mở rộng bằng kỹ năng cộng đồng. Phần mềm miễn phí theo giấy phép MIT, không có gói trả phí hay bản host sẵn, nên khoản phải trả thật sự là phí API mô hình và máy chạy. Dự án có cộng đồng lớn nhất danh sách (khoảng 394 nghìn sao GitHub) và do OpenClaw Foundation, một tổ chức phi lợi nhuận ở Mỹ, quản lý. Điều cần cân nhắc nhất là bảo mật. Unit 42 xác nhận kho kỹ năng ClawHub từng chứa kỹ năng độc hại (dẫn công bố của Koi Security về 341 kỹ năng) và vẫn tìm thấy 5 kỹ năng lọt qua khâu quét từ tháng 2 đến tháng 5/2026; OpenClaw đã khóa tài khoản, xóa các kỹ năng đó và hợp tác với NVIDIA để sàng lọc. Wikipedia dẫn The Register cho rằng bản 2.0 không mã hóa bí mật khi lưu và không bật sandbox mặc định, còn README xác nhận công cụ chạy thẳng trên máy chủ nếu chưa cấu hình sandbox. Bloomberg dẫn nguồn giấu tên cho biết cơ quan nhà nước và ngân hàng quốc doanh Trung Quốc được khuyến cáo không cài OpenClaw trên máy văn phòng. Một thành viên duy trì dự án từng cảnh báo người không quen dòng lệnh khó dùng an toàn, và app iOS mới có 3,5/5 từ 76 lượt chấm trên App Store Mỹ.

   Đọc đánh giá đầy đủ về OpenClaw
2. 

   Trợ lý có bộ nhớ dài hạn, chọn được nơi chạy

   2. Hermes Agent

   7,0/10

   Hermes Agent của Nous Research hợp với người muốn một tác nhân, một bộ nhớ dùng chung cho terminal, Telegram, Discord, Slack, WhatsApp, Signal và email. Cuộc trò chuyện, ký ức và các kỹ năng tác nhân tự viết được giữ lại giữa các phiên; nó lên lịch việc bằng câu nói thường, giao việc cho tác nhân con chạy tách biệt, tìm kiếm web và điều khiển trình duyệt. Bạn chọn nơi chạy (máy mình, Docker, SSH, Modal hay tác nhân trên cloud) và chọn mô hình (Nous Portal, OpenRouter, OpenAI hoặc endpoint bất kỳ). Phần mềm miễn phí theo giấy phép MIT, kho GitHub có khoảng 262,6 nghìn sao. Nếu không muốn tự lo khóa API, Nous Portal có gói Free (chỉ mô hình miễn phí), Plus 20 USD/tháng, Super 100 USD/tháng và Ultra 200 USD/tháng; các gói trả phí kèm lượng dùng có giới hạn và một tác nhân trên cloud, nhưng trang giá không ghi lượng credit đi kèm và không nêu điều khoản hoàn tiền. Với Nous Portal, chính sách cho phép Nous dùng dữ liệu để cải thiện dịch vụ và chia sẻ cho bên cung cấp huấn luyện AI, trừ khi bạn bật Privacy Mode; cài trên máy riêng thì hội thoại, ký ức và kỹ năng nằm trên máy bạn. Hồ sơ bảo mật cần đọc kỹ: theo Cloud Security Alliance, một bản kiểm toán độc lập đăng tháng 4/2026 nêu 4 lỗi mức Critical và 9 mức High ở v0.8.0, phần lớn nằm trong cấu hình mặc định; các lỗi này chưa có mã CVE, CSA không nêu tình trạng vá và không ghi nhận phản hồi của Nous Research; lỗi phân quyền tệp CVE-2026-53870 đã được sửa ở bản 0.16.0. AI Incident Database còn ghi nhận kẻ tấn công dùng Hermes trong một số vụ xâm nhập, nhưng các báo cáo này không cáo buộc lỗ hổng trong Hermes. Tài liệu chỉ có tiếng Anh và tiếng Trung giản thể; app desktop mới có 16 lượt chấm trên Microsoft Store (4,7/5).

   Đọc đánh giá đầy đủ về Hermes Agent
3. 

   Tác nhân đa năng do quỹ trung lập quản lý

   3. goose

   7,3/10

   goose hợp với người cần một tác nhân làm nhiều việc chứ không chỉ viết code: README liệt kê nghiên cứu, viết lách, tự động hóa và phân tích dữ liệu bên cạnh lập trình. Block mở mã goose từ đầu năm 2025 theo giấy phép Apache 2.0, và từ tháng 12/2025 đã chuyển dự án cho Agentic AI Foundation của Linux Foundation, nên goose không còn thuộc riêng hãng nào. goose có app desktop cho macOS, Linux, Windows, bản dòng lệnh và API; mã nguồn bản desktop có sẵn giao diện 16 ngôn ngữ. Nó kết nối hơn 15 nhà cung cấp mô hình và hơn 70 tiện ích MCP; mô hình cục bộ chạy qua Ollama hoặc LM Studio, còn giao thức ACP cho dùng lại gói Claude, ChatGPT hay Gemini bạn đang trả tiền. Recipe đóng gói quy trình thành tệp YAML mang đi được, tác nhân con chạy nhiều việc song song. goose không có gói trả phí: chi phí nằm ở nhà cung cấp mô hình, từ gói miễn phí (Groq, Google Gemini) tới trả theo lượt dùng. Dữ liệu đo lường chỉ gửi khi bạn đồng ý và không gồm hội thoại hay mã. Rủi ro do chính Block công bố: trong đợt diễn tập nội bộ Operation Pale Fire (tháng 1/2026), đội tấn công của hãng đã khiến một phần mềm đánh cắp thông tin chạy trên laptop nhân viên qua một recipe bị cài lệnh ẩn; các nguồn không ghi nhận thiệt hại cho người dùng bên ngoài. goose sau đó hiển thị chỉ dẫn của recipe, lọc ký tự vô hình và thêm phát hiện prompt injection, nhưng tài liệu ghi rõ đây là lớp bảo vệ chứ không phải bảo đảm. Lệnh đã duyệt chạy với toàn quyền của bạn, và hỗ trợ chỉ đến từ tài liệu và cộng đồng.

   Đọc đánh giá đầy đủ về goose
4. 

   Tác nhân lập trình không khóa vào một hãng mô hình

   4. OpenCode

   7,0/10

   OpenCode của Anomaly là tác nhân lập trình chạy trong terminal, app desktop (macOS, Windows, Linux) và trên web, có app iPhone qua TestFlight. Điểm mạnh là tự do chọn mô hình: hơn 200 nhà cung cấp qua Models.dev, kể cả mô hình cục bộ, hoặc đăng nhập bằng gói ChatGPT Plus/Pro hay GitHub Copilot bạn đang dùng. Nó chạy nhiều tác nhân song song trên một dự án, hỗ trợ MCP, plugin, tác nhân tự tạo, kỹ năng SKILL.md, và cho bạn chọn thao tác nào cần duyệt. Phần mềm miễn phí theo giấy phép MIT; nếu muốn lấy mô hình từ chính OpenCode thì có Go 10 USD/tháng và Go Plus 40 USD/tháng, giới hạn chỉ được nêu ở dạng ước tính, còn Zen trả theo lượng dùng và mỗi lần nạp credit mất phí 4,6% + 0,31 USD. Gói Go có thể được hoàn tiền nếu yêu cầu trong 14 ngày và gần như chưa dùng. Chính sách quyền riêng tư cho biết prompt được chuyển thẳng tới nhà cung cấp mô hình và không lưu lại, trừ phiên tác nhân chạy trên máy chủ của hãng. Có hai điểm cần cân nhắc. Năm 2026, bốn lỗ hổng cho phép website hoặc máy chủ MCP độc hại chạy lệnh trên máy người dùng, trong đó CVE-2026-22813 bị xếp mức Critical; tất cả đã được vá, nên hãy dùng bản 1.18.33 trở lên. Người báo lỗi CVE-2026-22812 cho biết email gửi dự án không được hồi âm, trong khi Datadog ghi nhận Anomaly vá nhanh lỗi mà họ báo. Ngoài ra, theo Shareuhack, các bản đầu của OpenCode gửi header giả làm Claude Code để dùng gói Claude qua OAuth; Anthropic chặn cách này từ ngày 9/1/2026 và OpenCode gỡ phần mã liên quan vào 19/2/2026. Giờ muốn dùng Claude phải có khóa API hoặc cài riêng Claude Code. Tài liệu chỉ ghi nhận giao diện tiếng Anh.

   Đọc đánh giá đầy đủ về OpenCode
5. 

   Tác nhân lập trình trong VS Code và JetBrains

   5. Kilo Code

   6,9/10

   Kilo Code hợp với lập trình viên muốn tác nhân nằm ngay trong trình soạn thảo đang dùng: VS Code (và các trình dùng Open VSX như Cursor, Windsurf), JetBrains, cùng bản dòng lệnh, Slack, tác nhân cloud trên trình duyệt, app iOS và bản desktop beta. Mã nguồn theo giấy phép MIT (khoảng 27.900 sao GitHub); Anaconda mua lại công ty vào tháng 7/2026 và cho biết người dùng hiện tại giữ nguyên gói và hỗ trợ. Bạn dùng khóa API riêng, mô hình cục bộ hoặc hơn 500 mô hình qua Kilo Gateway, nơi hãng nói không cộng thêm tiền vào giá mô hình; mỗi lần nạp credit mất phí 5%. Tiện ích mở rộng miễn phí, mức Auto Free không cần nạp tiền. Kilo Pass có ba mức Starter 19 USD/tháng, Pro 49 USD/tháng và Expert 199 USD/tháng, đổi lại tối đa 26,60, 68,60 và 278,60 USD credit mỗi tháng; Teams cho doanh nghiệp là 15 USD/người/tháng, còn tác nhân cloud tính theo thời gian chạy (0,60–1,20 USD/giờ). Vì chi phí đi theo lượng dùng nên khó đoán tổng tiền, và trang giá không nêu chính sách hoàn tiền; Trustpilot chấm 2,4/5 từ 19 đánh giá, phần lớn phàn nàn về thanh toán, trong khi Visual Studio Marketplace chấm 3,9/5 từ 219 lượt. Vấn đề đáng lo nhất là dữ liệu: tháng 8/2026, sự cố ở nhà cung cấp Metabase làm lộ tên, email của một số người dùng, có thể cả prompt, địa chỉ thanh toán và vị trí, cùng token Slack của một nhóm nhỏ người dùng Slackbot; Kilo đã xác nhận, vô hiệu hóa các token đó, cho biết thông tin thanh toán không bị lộ và đã thông báo cho người bị ảnh hưởng. Chính sách quyền riêng tư không nói gì về việc huấn luyện mô hình hay dữ liệu mà tiện ích IDE thu thập.

   Đọc đánh giá đầy đủ về Kilo Code
6. 

   Nền tảng tự host chạy tác nhân lập trình cho cả nhóm

   6. OpenHands

   6,9/10

   OpenHands của All Hands AI, tiền thân là OpenDevin, không hẳn là một trợ lý mà là nền tảng tự host để chạy tác nhân lập trình cho cả nhóm. Agent Canvas mã nguồn mở (MIT, hơn 93.000 sao GitHub) chạy tác nhân của OpenHands và điều khiển được cả Claude Code, Codex, Gemini CLI hay OpenCode, theo lịch hoặc khi có webhook; Python SDK và Agent Server (REST/WebSocket) cho bạn tự dựng tác nhân. Mỗi cuộc trò chuyện chạy trong một container Docker, và bạn dùng khóa riêng cho mô hình bất kỳ. Bài báo ICLR 2025 của nhóm phát triển đánh giá tác nhân trên 15 tác vụ, gồm SWE-bench và WebArena. Agent Canvas miễn phí nếu tự chạy; không có gói trả phí cho cá nhân. Gói Teams dành cho doanh nghiệp, 500 USD/tháng cho tối đa 10 người (thêm mỗi người 50 USD/tháng, tối đa 5.000 phiên mỗi tháng, dùng thử 30 ngày), còn Enterprise báo giá riêng. Trang giá không liệt kê OpenHands Cloud, dù blog của hãng từng công bố gói Cloud 20 USD/tháng vào tháng 9/2025. Về bảo mật, lỗi chèn lệnh CVE-2026-33718 (CVSS 7,6) đã được sửa ở bản 1.5.0. Một nhà nghiên cứu công bố cách dùng prompt injection để làm lộ token GitHub và cho biết đã chờ 148 ngày mới có phản hồi; sau đó OpenHands đăng bài về các biện pháp giảm thiểu chung, không nói riêng về báo cáo này, cho biết chưa thấy vụ tấn công thật nào và thừa nhận sandbox không ngăn được việc bí mật trong môi trường tác nhân bị lấy ra ngoài. Nếu dùng dịch vụ của hãng, chính sách quyền riêng tư cho phép dùng nội dung của bạn để huấn luyện mô hình, không nêu cách từ chối. Bản dòng lệnh cũ đã ngừng bảo trì, website và tài liệu chỉ có tiếng Anh.

   Đọc đánh giá đầy đủ về OpenHands
7. 

   Hạ tầng tự host cho tác nhân và môi trường lập trình

   7. Coder

   6,9/10

   Coder là hạ tầng chứ không phải trợ lý: nền tảng tự host (AGPL-3.0) để chạy môi trường lập trình và tác nhân AI trên máy chủ do bạn quản lý. Workspace được định nghĩa bằng Terraform, chạy trên Kubernetes, Docker hoặc máy ảo EC2, truy cập từ VS Code, JetBrains, Cursor, terminal trên web hoặc SSH. Coder Agents tích hợp sẵn chạy trong control plane, dùng mô hình của Anthropic, OpenAI, Google, Bedrock hoặc mô hình tự host, có nhật ký kiểm toán và hạn mức chi tiêu theo từng người, những thứ mà các công cụ một người dùng ở trên để bạn tự lo. Bản Community miễn phí, không giới hạn workspace nhưng chỉ cho tối đa 5 Coder Agents đang chạy và 1 tích hợp nền tảng; Premium và AI Premium là gói cho doanh nghiệp, không công bố giá. Chính sách quyền riêng tư ghi người dùng miễn phí mặc định gửi dữ liệu đo lường và không tắt được. Hồ sơ bảo mật đặc biệt quan trọng vì Coder nằm sát thông tin đăng nhập cloud: ngày 31/8/2026, từ 07:35 đến 21:45 UTC, kẻ tấn công dùng một khóa API Cloudflare bị lộ để chuyển hướng một phần lưu lượng tới kho module của Coder sang máy chủ riêng, nơi phát module Terraform bị sửa để thu thập thông tin đăng nhập AWS, GCP và Azure. Coder cho biết đã khắc phục ngay trong ngày, mã nguồn và hạ tầng Google Cloud của hãng không bị xâm nhập, một công ty bên ngoài đã xác nhận phạm vi sự cố, và khuyên nâng cấp bản vá rồi đổi mọi thông tin đăng nhập có thể đã lộ. Theo BleepingComputer, Coder không có nhật ký của kẻ tấn công nên không xác định được hết các hệ thống bị ảnh hưởng. Dự án cũng công bố lỗi vượt xác thực danh tính Azure mức Critical (CVE-2026-46354, đã vá) vào tháng 5/2026 và nhiều cảnh báo bảo mật trong tháng 10–11/2026, hai cảnh báo mức High.

   Đọc đánh giá đầy đủ về Coder