这是一份以安全为第一优先级的家庭本地 AI 智能体部署指南，让你完全不依赖云服务，自主掌控所有数据与权限。我并不反对使用 VPS，我自己也有一套 VPS 运行方案，但相比之下，用树莓派或 Mac mini 本地运行要简单得多，相信我。树莓派是原生环境，使用起来更直观方便。
我写这份指南，就是希望非技术人员也能轻松跟着做，全程只需要复制粘贴命令就能跑起来。市面上虽然有不少一键部署方案，但我最看重的始终是安全性。这套方案会通过多层防护降低风险，本文会重点教你从最小权限、Tailscale 加密、干净的手动配置开始，搭建一套足够安全的私人 AI 智能体。
文章内容比较长，建议准备一杯咖啡慢慢看。
运行它完全安全吗？
没有任何 AI 系统或模型是绝对安全的，但通过一些安全加固方案，可以显著缩小潜在风险的影响范围。什么是风险影响范围？简单说：万一出问题，这些方案能把智能体可能造成的破坏降到最低。
为何将安全放在首位？
OpenClaw 是一个非常强大的工具，你甚至能用它在手机上直接生成网站。但这也意味着，它需要访问你的私人文件、系统登录信息与关键安全配置。如果安全级别不够，后果会很严重。
整套方案要花多少钱？
如果你手里已经有树莓派，那么你唯一的成本就是模型 API 的费用。
我自己在树莓派上用 Kimi 2.5，在 VPS 上用 GLM，两者都很好用，只是速度略有差异，最大区别在价格。Claude 的成本至少是它们的 10 倍，速度确实很快，但对非技术、非开发人员来说，GLM 和 Kimi 已经完全够用。
这需要多少钱？
1. 树莓派4b或5，配备4GB内存（如果你已经有一台，则忽略此项）
2. GLM 4.7模型Lite计划（Claude Code使用量的3倍） - 每月3美元
3. 如果你想使用Kimi 2.5 - 20美元（它的性能比GLM更快更好）
仅此而已！这些就是你唯一的费用。其余费用取决于你是否需要任何自定义技能或不同的语言模型。
让我们开始设置吧！
1.在Mac上创建SSH密钥以访问树莓派
什么是SSH密钥？可以将SSH密钥视为一种极难猜测的特殊密码。每次连接到树莓派时，无需输入密码，你的计算机就会自动使用此密钥证明其身份。当你想以无头方式（即无需任何屏幕或键盘）控制树莓派时，这种方法非常有效。
为何它更安全：
无需记住或担心密码被盗
无法被暴力破解
每个设备都有自己唯一的密钥
双密钥系统
创建SSH密钥时，你会得到两个文件：
1. 私钥 - 保存在你的Mac上（这很重要！它赋予了对树莓派的远程访问权限）
2. 公钥 - 放置在你的树莓派上
这就像锁和钥匙：树莓派有锁（公钥），你的Mac有钥匙（私钥）。
如何创建SSH密钥
shell
ssh-keygen -t ed25519 -C "raspberry-pi"
此命令的作用：专门为你的树莓派创建一个新的SSH密钥。对于接下来的命令，只需按回车键，因为密钥将存储在默认位置。
获取树莓派的公钥
shell
cat ~/.ssh/id_ed25519.pub
这将输出一个公钥地址，如下所示。
ssh-ed25519 AAA23423sfdafsdfTE5AAAAIJw... raspberry-pi
复制此密钥，并在安装树莓派操作系统时粘贴到SSH设置中。
2.使用笔记本电脑设置树莓派的SSH。
此设置假设你已将树莓派操作系统安装到SD卡上，并启用了SSH。这里唯一需要记住的是要启用SSH并粘贴公钥而不是密码。这将省去存储任何密码的麻烦。
3.使用Tailscale连接你的设备
什么是Tailscale？
想象一下为你的设备创建一个专用互联网。这就是Tailscale的作用。普通互联网：你的树莓派和Mac通过路由器、ISP和公共互联网进行通信。任何人都有可能拦截。Tailscale是你的第一道防线，即使这一步感觉很长，也请不要跳过。
使用Tailscale：你的设备会直接创建一个加密隧道进行通信。就像它们在同一个专用网络上一样，即使一个在家，一个在咖啡店。
为何你需要它：
从任何地方（工作、度假、任何有互联网的地方）访问你的树莓派
所有通信都会自动加密
无需复杂的路由器设置
即使在防火墙后也能工作
创建Tailscale账户（个人使用完全免费）
访问：https://tailscale.com
点击“开始使用”并用你的电子邮件ID注册。就这样。这里需要记住的是，它最多支持3台设备免费使用，如果你只使用Mac和树莓派，那就足够了。
在树莓派和Mac上安装Tailscale
1. 从你的Mac上，首先打开终端并通过SSH连接到你的树莓派。
shell
ssh
你的用户名是你在设置树莓派时保存在树莓派成像器中的用户名。
2. 安装Tailscale：
shell
curl -fsSL https://tailscale.com/install.sh | sh
3. 将你的树莓派连接到Tailscale：
shell
sudo tailscale up
你将看到一条消息，如：
要进行身份验证，请访问：
https://login.tailscale.com/a/abc123xyz
按照链接登录到你的Tailscale账户。你刚刚连接了第一台设备。你应该能在Tailscale仪表板上看到你的设备用户名，并显示绿色信号表示已连接。
4. 将你的Mac连接到Tailscale：
访问：
https://tailscale.com/download
下载macOS版本并安装（拖到应用程序文件夹）。
从应用程序文件夹中打开Tailscale。
点击“登录” - 它将打开你的浏览器。
使用你之前使用的同一个Tailscale账户登录。恭喜！现在你的两台设备可以通过安全通道相互通信了。
如何通过Tailscale将你的Mac与树莓派连接
还记得之前你学到的如何使用SSH与树莓派通信吗？现在，你将使用Tailscale IP而不是用户名来控制树莓派。
shell
ssh ( This is your tailscale IP)
这里的问题是，我如何知道我的Tailscale IP是什么？这很简单，有两种方法可以做到：
1. 在浏览器中访问你的Tailscale仪表板，并复制PI设备列表旁边的IP。
2. 从树莓派终端（即当你从Mac远程控制时），输入以下命令。
shell
tailscale ip -4
注意 - 请确保你的两台设备在开机时都连接到Tailscale，最简单的方法是在设备终端中输入sudo tailscale up。
恭喜你读到博客的这里。现在你已经建立了第一道防线，所以我们可以开始安装OpenClaw了。记住，Tailscale只是你的安全加固协议之一，还有很多其他协议，但我的目的是让你开始行动。
让我们安装OPENCLAW
这部分实际上是所有步骤中最简单的，它的设置非常周到，考虑到了用户的入门体验。
先决条件
在开始之前，请确保你已具备：
连接互联网的树莓派
通过Tailscale使用SSH访问你的树莓派
确保你的Mac也连接到Tailscale
步骤 1. 要安装OpenClaw，只需在树莓派终端中输入以下命令
shell
curl -fsSL https://openclaw.ai/install.sh | bash
步骤 2：完成入门向导
安装脚本会自动启动入门向导。按照提示进行配置：
1.网关模式 - 选择本地
2.工作空间目录 - 选择默认位置，这样更容易管理和遵循文档说明
3.模型认证 - 配置你的AI模型提供商和API密钥。这是你将输入模型API密钥的地方。我正在使用GLM和Kimi2.5。GLM模型的链接 -
4.网关配置 - 端口 - 18789 绑定地址 - Tailnet - 仅Tailscale IP 认证 - 令牌（推荐），为了更好的安全性，选择令牌。网关令牌 - 按回车键自动生成一个安全的随机令牌，或输入你自己的令牌。Tailscale配置 - 关闭（不暴露Tailscale）
5.频道 - 配置Telegram、Discord或其他消息平台。我将只使用Telegram ----> Telegram（Bot API），按照接下来的步骤获取此令牌
Telegram配置
你需要先创建一个Telegram机器人：
在手机上打开Telegram
搜索
发送：/newbot
按照提示为你的机器人命名
复制BotFather给你的令牌
将其粘贴到上一节步骤5中
回到你的OpenClaw设置中：
Telegram的直接消息访问策略
1.现在是否配置直接消息访问策略？ ----> 是
2.Telegram直接消息策略：----> 配对（用户必须获得批准）
配对：最安全 - 你批准每个新用户
允许列表：预先批准的用户列表
开放：任何人都可以发送消息（不推荐）
现在来添加技能
这取决于你想要哪些服务，但这部分也是最危险的，容易受到提示注入攻击，所以请小心操作。恭喜！你现在拥有了一台完全属于自己、本地运行、安全加密、低成本的 AI 智能体。希望这份指南能帮你顺利搭建自己的私人 AI 助理。
