Einen KI-Agenten 24/7 auf einem VPS betreiben.
Weg vom Laptop, hin zu Metall, das nicht schläft.
Um einen KI-Agenten 24/7 auf einem VPS zu betreiben, brauchen Sie vier Dinge, keines davon raffiniert: eine Box, die läuft, einen Supervisor, der sie neu startet, Secrets, die niemals ins Image gelangen, und eine Ausgabenobergrenze — plus einen Host, der Ihre Identität nicht verlangt.
- 01
Die meisten Agenten sind I/O-lastiger Klebstoff um eine gehostete Modell-API herum. Die Inferenz läuft nicht auf Ihrer Box, also bleibt die Box klein: 2 vCPU und 4 GB tragen einen Single-Loop-Agenten.
- 02
Uptime ist ein Supervisor-Problem, kein Hardware-Problem. Eine systemd-Unit oder eine Docker-Restart-Policy — aktiviert und gegen einen echten Reboot getestet — ist schon alles.
- 03
Die zwei Dinge, die tatsächlich beißen: ein Secret, das in einem Image-Layer gebacken ist, und ein Agent ohne Ausgabenobergrenze, der die ganze Nacht gegen eine abgerechnete API läuft.
Warum Ihr Laptop kein Deployment ist. Vier Fehlermodi, alle davon banal.
Ein Agent, der auf Ihrer Maschine läuft, ist ein funktionierender Agent, kein bereitgestellter. Die Lücke besteht aus vier unglamourösen Problemen, keines davon hat mit Prompt Engineering zu tun.
Ruhezustand. Klappen Sie den Deckel zu, und der Prozess wird angehalten. Das Energiemanagement drosselt Hintergrundarbeit schon lange, bevor der Deckel zuklappt, was die schlimmste Version dieses Versagens erzeugt: einen Agenten, der läuft, aber verspätet und unvorhersehbar.
IP-Wechsel. Eine Heim- oder Café-Verbindung gibt Ihnen bei jeder Neuverbindung eine neue Adresse. Alles, was per IP ratenbegrenzt ist, jeder Webhook, der einen stabilen Callback braucht, jede Allowlist, die Sie eingetragen haben, bricht immer wieder ab.
Neustarts. Betriebssystem-Updates starten die Maschine nach ihrem eigenen Zeitplan neu. Sofern der Agent nicht bei einem Service-Manager registriert ist, kommt er zu einem Desktop zurück, nicht zu einer laufenden Schleife. Die meisten bemerken es erst eine Woche später.
Umzug. Sie reisen, wechseln die Maschine, installieren neu. Alles, was nur in Ihrer Shell-History lebt, ist nicht reproduzierbar — ein Agent, der an einem Nachmittag im März eingerichtet wurde, hat überhaupt kein Deployment-Verfahren.
Ein Server behebt genau diese vier Dinge und sonst nichts — nicht Korrektheit, nicht Kosten, nicht Sicherheit. Er gibt Ihnen eine Laufzeitumgebung, deren Fehler zu beheben Ihre Aufgabe ist. Seien Sie misstrauisch gegenüber jedem, der ihn als mehr verkauft.
Die Box richtig dimensionieren. Welche VPS-Stufe für welche Agenten-Form.
Der Instinkt ist, zu überdimensionieren, weil künstliche Intelligenz schwer klingt. Ist sie nicht, solange das Modell auf der Hardware eines anderen läuft: Ein Agent, der eine gehostete API aufruft, verbringt seine Zeit mit Warten auf Netzwerk-I/O. Eine dritte Form — das Modell selbst auszuführen — liegt hier außerhalb des Rahmens; dieser Workload will eher eine GPU als eine virtuelle Maschine.
Form eins — die einzelne Schleife. Ein Prozess, eine Polling- oder geplante Schleife, eine gehostete Modell-API, Zustand in SQLite. Das ist der Großteil der Indie-Agenten und Monitoring-Bots, und es ist wirklich klein.
Form zwei — der kleine Stack. Der Agent plus Postgres, eine Redis-gestützte Queue, ein Worker und ein Vector-Store. Arbeitsspeicher ist jetzt die bindende Einschränkung — ein in-Prozess geladenes Embedding-Modell will ein oder zwei Gigabyte für sich.
Am Katalog gemessen: Sentinel (NB-V1 — 2 vCPU, 4 GB RAM, 120 GB NVMe, 1 Gbps, unbegrenzte Bandbreite, $3,90/Monat) deckt Form eins mit Reserve ab. Garrison (NB-V2 — 4 vCPU, 8 GB, 240 GB, $7,90/Monat) ist die ehrliche Untergrenze für Form zwei, sobald Postgres und eine Queue ins Spiel kommen. Ravelin (NB-V3 — 8 vCPU, 16 GB, 480 GB, 2.5 Gbps, $16,90/Monat) ist für mehrere Agenten gedacht, die sich eine Box teilen. Lokale Inferenz gehört auf dedizierte Hardware.
Laufzeiten sind monatlich, mit Rabatt bei längeren Verpflichtungen — 10 % bei drei Monaten, 20 % bei sechs, 30 % bei zwölf. Wenn Ihr Agent ein Windows-only-Trading-Client statt eines Python-Prozesses ist, gibt es dafür die Remote-Desktop-Stufen.
Der Deploy-Pfad — einen KI-Agenten in etwa fünfzehn Minuten auf einem VPS betreiben.
Stellen Sie die Box mit Ubuntu 24.04 LTS oder Debian 13 bereit — beide bei der Bestellung wählbar, neben Ubuntu 22.04, Debian 12, AlmaLinux 9 und Rocky Linux 9. Sie erhalten Root-Zugangsdaten; das Erste, was Sie damit tun sollten, ist, aufzuhören, sie zu benutzen. Falls SSH-Schlüssel-Authentifizierung Neuland für Sie ist, lesen Sie zuerst den unten verlinkten Hardening-Leitfaden.
1 — Einen Service-User anlegen. adduser --system --group --home /srv/agent agent. Der Agent sollte nicht als root laufen und keine interaktive Shell besitzen. Ein Befehl jetzt, und der Explosionsradius bleibt später klein, falls ein Tool, das er aufruft, gegen ihn gewendet wird.
2 — Den Code auf die Box bringen. git clone nach /srv/agent, oder rsync, wenn Sie lieber keinen Deploy-Key auf dem Server hinterlassen möchten. Pinnen Sie die Abhängigkeiten: Eine Lockfile ist der Unterschied zwischen einem Redeploy, das reproduziert, und einem, das Sie überrascht.
3 — Die Umgebung aufbauen. python3 -m venv /srv/agent/.venv, dann aus der Lockfile mit dem pip dieser virtualenv installieren. Oder uv installieren und sowohl den Interpreter als auch die Lockfile davon verwalten lassen. Beides ist in Ordnung; beides zu mischen nicht.
4 — Einmal von Hand ausführen. sudo -u agent /srv/agent/.venv/bin/python -m agent --once. Überspringen Sie das nicht, um direkt zu einer Service-Unit zu springen. Neun von zehn Fehlschlägen sind hier eine fehlende Umgebungsvariable oder ein Pfad relativ zu Ihrem Laptop, und beides liest sich in einem Terminal klarer als in journald.
5 — An einen Supervisor übergeben. Das nächste Kapitel. Das ist es, was aus einem Skript, das Sie gestartet haben, einen Dienst macht, den die Maschine besitzt. Wenn die Abfolge deutlich länger als fünfzehn Minuten gedauert hat, ist die Ursache fast immer eine implizite Abhängigkeit von Ihrer Entwicklungsmaschine — eine globale Binärdatei, eine Anmeldeinformation in Ihrem Shell-Profil, ein Pfad außerhalb des Repositorys.
Es 24/7 am Laufen halten. systemd, Docker und die Absturzschleifen-Falle.
Ein Prozess, den Sie über eine SSH-Sitzung gestartet haben, stirbt, wenn die Sitzung endet, und kommt nach einem Reboot nicht zurück. Überwachung ist nicht optional, und Sie haben zwei vernünftige Optionen.
systemd, für einen einzelnen Prozess. Eine Unit in /etc/systemd/system/agent.service mit User=agent, WorkingDirectory=/srv/agent, ExecStart, das auf den virtualenv-Interpreter zeigt, Restart=always und RestartSec=5. Dann systemctl daemon-reload, dann systemctl enable --now agent. Das enable ist es, was einen Reboot übersteht; zu starten ohne zu aktivieren ist die häufigste Art, einen Agenten drei Wochen später zu verlieren.
Docker, für eine Gruppe von Dingen. Wenn der Agent Geschwister hat — eine Datenbank, eine Queue, einen Headless-Browser — beschreiben Sie sie in einer Compose-Datei mit restart: unless-stopped auf jedem Service. unless-stopped unterscheidet sich von always in einem Punkt, der zählt: Ein Container, den Sie absichtlich gestoppt haben, bleibt über einen Daemon-Neustart hinweg gestoppt.
Die Absturzschleifen-Falle. systemd drosselt Neustarts standardmäßig. Stürzt es innerhalb des Intervalls oft genug ab, geht die Unit in den failed-Zustand über und gibt auf — ein Agent, der still gestorben zu sein scheint, während die Unit-Datei unmissverständlich Restart=always sagt. Setzen Sie StartLimitIntervalSec=0, um unbegrenzt weiter zu versuchen, und erhöhen Sie RestartSec, damit ein kaputter Agent nicht die ganze Nacht einen Kern durchdreht.
Liveness ist nicht Health. Eine Schleife, die neun Stunden lang an einem Socket-Read hängt, ist nach jedem Maßstab, den systemd sehen kann, ein laufender Prozess. Legen Sie einen Heartbeat offen: einen Watchdog mit WatchdogSec, ein Docker-HEALTHCHECK, oder eine Zeitstempeldatei, die der Agent bei jedem Zyklus berührt, mit einem Timer, der Alarm schlägt, wenn sie veraltet.
Secrets. Die Umgebungsdatei, die niemals ins Image gelangen darf.
Ein Agent hält gefährlicheres Material als eine Webanwendung. Ein Modell-API-Schlüssel ist ein Ausgabeninstrument; ein Trading-Schlüssel ist eines mit Hebelwirkung; ein Wallet-Schlüssel sind die Gelder selbst. Und anders als eine Web-App handelt ein Agent auf Basis von Text, den er nicht selbst geschrieben hat, was die Grenze zwischen dem Agenten, der einen Schlüssel hält, und einem Angreifer, der ihn hält, dünn macht.
Halten Sie sie aus dem Image heraus. ENV- und ARG-Werte in einem Dockerfile werden in Image-Layer geschrieben und sind mit docker history für jeden lesbar, der das Image erhält. Verwenden Sie env_file: in Compose oder EnvironmentFile= in der systemd-Unit, und halten Sie die Datei außerhalb des Build-Kontexts.
Halten Sie sie aus dem Repository heraus. .gitignore und .dockerignore beim ersten Commit, nicht beim fünfzigsten. Ein Schlüssel, der jemals committet wurde, gilt als kompromittiert — auch nachdem der Commit umgeschrieben wurde —, weil das Objekt in Clones und Forks weiterlebt. Rotieren Sie ihn, statt die History umzuschreiben.
Beschränken Sie, was die Datei erreichen kann. Übertragen Sie die Umgebungsdatei dem Service-User und setzen Sie Modus 600. Kombiniert mit einem Nicht-root-Service-User kann eine kompromittierte Abhängigkeit anderswo auf der Box Ihre Schlüssel nicht einfach von der Platte lesen.
Grenzen Sie jeden Schlüssel beim Aussteller ein. Ein Schlüssel pro Agent, mit den engsten Berechtigungen, die der Anbieter bietet — nur lesend, wo Lesen genügt, Abhebungen deaktiviert bei Exchange-Schlüsseln, per IP-Allowlist auf den Server beschränkt. Eine stabile IP ist ein stiller Vorteil des Umzugs vom Laptop: Allowlisting wird endlich möglich. Brauchen mehrere Personen dieselben Zugangsdaten, legen Sie sie hinter den selbst gehosteten Tresor aus dem Begleit-Leitfaden.
Scheduling. Schleifen, Timer und die Zeitzone, die Sie beißt.
„Durchgehend laufen“ beschreibt drei verschiedene Architekturen, und die falsche zu wählen ist eine häufige Quelle für doppelte Arbeit und verpasste Läufe.
Die residente Schleife. Ein langlebiger Prozess, der zwischen den Zyklen schläft. Am einfachsten zu durchdenken, und der richtige Standard. Seine Schwäche ist der Zustand: Alles im Arbeitsspeicher geht bei einem Neustart verloren, also gehört alles, was einen Absturz überleben muss, in SQLite oder Postgres, nicht in eine Variable.
Der geplante Lauf. Ein Prozess, der startet, eine Arbeitseinheit erledigt und beendet wird. Ein systemd-Timer mit OnCalendar ist hier das bessere Werkzeug, vor allem wegen Persistent=true: Nach einer Ausfallzeit löst ein persistenter Timer den verpassten Lauf nach, während cron ihn einfach überspringt.
Die Queue. Ein Producer reiht Tasks ein, Worker verarbeiten sie. Das ist es, was Sie wollen, sobald Tasks schneller ankommen, als sie fertig werden. Es liefert außerdem Retries, Dead-Letter-Handling und eine Obergrenze für Nebenläufigkeit.
Zwei Regeln, egal wofür Sie sich entscheiden. Machen Sie jeden Task idempotent — ein Supervisor, der bei einem Absturz neu startet, wird Tasks wiederholen, und ein wiederholter Task darf nicht doppelt posten oder doppelt bestellen. Und lassen Sie die Serveruhr auf UTC, konvertieren Sie nur an den Rändern: Ein Zeitplan, der zweimal im Jahr um eine Stunde verrutscht, ist ein mühsamer Bug zum Auffinden.
Dem Agenten Tools geben. Ein Tool-Server auf derselben Box.
Ein Agent ohne Tools ist eine Chat-Schleife. Die Tools sind es, die ihm erlauben, ein Repository zu lesen, eine Datenbank abzufragen, eine Bestellung aufzugeben oder ein Issue anzulegen — und sobald der Agent auf einem Server lebt, sollten sie es auch.
Das Model Context Protocol hat sich als der gängige Weg etabliert, diese Tools bereitzustellen, und ein Server, den Sie privat betreiben, lässt sich leicht neben den Agenten stellen: gleiche Box, gleiche private Schnittstelle, keine öffentliche Exposition nötig. Die Begleit-Leitfäden behandeln das ausführlich — einen entfernten MCP-Server anonym hosten führt durch TLS, den Streamable-HTTP-Transport, OAuth und die Agent Card, während der Blickwinkel des No-ID-Hostings denselben Stack von der Identitätsseite her beleuchtet.
Zuerst an localhost binden. Wenn der einzige Konsument der Agent auf derselben Maschine ist, hat der Tool-Server keinen Grund, einen öffentlichen Port zu belegen. Binden Sie an die Loopback-Adresse und sparen Sie sich das Zertifikat. Setzen Sie ihn nur dann öffentlich frei, wenn eine zweite Maschine ihn braucht — und dann braucht er TLS und Authentifizierung, nicht nur eines von beidem.
Geben Sie Tools die geringste Autorität, die funktioniert. Der Agent entscheidet anhand von Text, welches Tool er aufruft, und ein Teil dieses Texts kommt von außen. Prompt Injection ist für einen Agenten, der Webseiten oder Postfächer liest, keine Hypothese: Es ist der zu erwartende Fall. Ein Tool, das nur lesen kann, lässt sich nicht zum Schreiben überreden. Wo ein Tool schreiben muss, sollten destruktive Pfade eine menschliche Bestätigung erfordern.
Wenn Sie Tools für die Agenten anderer Leute bauen statt für Ihre eigenen, dokumentieren die Machine API und die agentenseitige Oberfläche, wie diese Plattform die Bereitstellung direkt einem Agenten zugänglich macht.
Observability und Kosten. Was zu loggen ist, und der Kill-Switch für den Ausreißer.
Zwei Fehlermodi dominieren reale Agenten-Deployments, und keiner davon ist ein Absturz. Der eine ist der Agent, der perfekt läuft und nichts Nützliches produziert. Der andere ist der Agent, der perfekt läuft und über Nacht eine vierstellige API-Rechnung produziert.
Loggen Sie die Form, nicht den Inhalt. Zeitstempel, Task-ID, Schrittzahl, aufgerufene Tool-Namen, Token-Summen, Dauer, Ergebnis. Das beantwortet jede operative Frage, die Sie tatsächlich stellen werden. Vollständige Prompts und Completions sind ein Protokoll von allem, was der Agent jemals aufgetragen bekam — im Klartext, auf einer Festplatte im Gebäude eines anderen.
Aufbewahrung begrenzen. journald wächst immer weiter, bis Sie ihm sagen, dass es aufhören soll. SystemMaxUse und MaxRetentionSec in journald.conf setzen eine Obergrenze für Größe und Alter. Ein geschwätziger Agent füllt sonst innerhalb von Wochen eine Festplatte, und eine volle Festplatte scheitert auf Arten, die viel schwerer zu lesen sind als ein sauberer Absturz.
Drei Schichten Ausgabenkontrolle. Beim Anbieter eine harte Obergrenze auf dem API-Schlüssel — das einzige Limit, das kein Bug in Ihrem Code umgehen kann, und dasjenige, das die meisten überspringen. Im Agenten ein Token-Zähler pro Lauf mit einem Abbruch-Schwellenwert. Um den Agenten herum eine maximale Schrittzahl und ein Wall-Clock-Timeout, damit ein mit sich selbst streitendes Modell nach zwanzig Iterationen aufhört statt nach viertausend.
Bauen Sie den Kill-Switch, bevor Sie ihn brauchen. Ein Befehl, der alles stoppt: systemctl stop agent, oder docker compose down. Stellen Sie sicher, dass er keinen Laptop mit einem bestimmten Schlüssel darauf voraussetzt. Der Unterschied zwischen einer schlechten Nacht und einem schlechten Monat ist, ob das Stoppen eines Ausreißers zehn Sekunden oder eine Stunde dauert.
Die Identitäts-Untergrenze. Was der Host weiß — und wovor er Sie nicht schützen kann.
Ein Agent ist ein langlebiger Prozess mit Zugangsdaten, der kontinuierlich in Ihrem Namen von einer stabilen Adresse aus handelt. Das macht den Mietvertrags-Eintrag interessanter als bei einer statischen Website: Er tut Dinge, die Ihnen zurechenbar sind, jede Stunde, über Monate hinweg.
Die Untergrenze hier ist eine E-Mail-Adresse und ein Passwort zur Anmeldung, Zahlung in acht Assets — Bitcoin, Ethereum, Tether auf zwei Chains, Monero, Litecoin, TRON und Solana — und zu keinem Zeitpunkt ein Ausweisdokument. Die Rechenzentren liegen in vier nordischen Verfassungsregimen: Stockholm, Helsinki, Oslo und Reykjavík. Die Betriebsdoktrin legt fest, was aufbewahrt wird; die Netzwerk-Seite behandelt das Routing.
Jetzt zur Grenze, die wichtiger ist als das Verkaufsargument. Ein Host, der keine Identität verlangt, entfernt den Mietvertrags-Eintrag. Er rührt die Inferenzebene nicht an: Ihr Agent authentifiziert sich bei einem Modellanbieter mit einem Schlüssel, der an ein Konto gebunden ist, von einer stabilen IP aus, bei jedem Aufruf. Läuft dieses Konto auf Ihren rechtlichen Namen — und bei den meisten Menschen tut es das —, wird die Identität dort festgestellt, unabhängig davon, wer das Metall mietet. Die Host-Ebene entfernt ein einziges Glied: ein echtes, und nur eines.
Was folgt, ist unglamourös. Kompartimentieren Sie: ein Agent, ein Server, ein Schlüssel, eine Wallet. Härten Sie die Box an Tag eins statt an Tag dreißig — die Erste-Stunde-Checkliste ist eine gut investierte Stunde auf einer Maschine, die monatelang unbeaufsichtigt läuft. Muss der Agent ein privates Netzwerk erreichen, terminieren Sie es auf dem Server mit einem Tunnel, statt Dienste offenzulegen — der Tunnel-Leitfaden behandelt die Konfiguration. Und zahlen Sie in Krypto aus einer Wallet, die nicht diejenige ist, aus der Ihr Agent handelt.
Nichts davon ist exotisch, und nichts davon ist eine Garantie. Es ist die gewöhnliche Disziplin, etwas zu betreiben, das in Ihrem Namen handelt, während Sie schlafen — genau das und nichts anderes bedeutet kontinuierlicher Betrieb. Der Rest des Clusters findet sich im Leitfäden-Index.
Fragen, beantwortet.
Sieben Fragen, die Entwickler stellen, bevor sie einen Agenten von localhost wegziehen — und im ersten Monat danach.
Wie viel VPS brauche ich, um einen KI-Agenten 24/7 zu betreiben?
Weniger, als man erwarten würde, denn die Inferenz läuft auf der Hardware des Anbieters, nicht auf Ihrer. Ein Agent, der eine gehostete Modell-API aufruft und eine Polling-Schleife ausführt, ist ein I/O-lastiger Prozess: Die Sentinel-Stufe (2 vCPU, 4 GB RAM, 120 GB NVMe, $3,90/Monat) passt bequem. Steigen Sie auf Garrison um (4 vCPU, 8 GB, $7,90/Monat), sobald Postgres, eine Queue und ein lokales Embedding-Modell hinzukommen.
Sollte ich systemd oder Docker verwenden, um den Agenten am Laufen zu halten?
Beides funktioniert; die Fehlermodi unterscheiden sich. Eine systemd-Unit mit Restart=always ist der kürzeste Weg für einen einzelnen Prozess und liefert journald, Ressourcenlimits und Boot-Reihenfolge gratis dazu. Docker mit restart: unless-stopped ist besser, wenn der Agent Geschwister hat, weil Compose die gesamte Gruppe in einer Datei beschreibt. Wichtiger ist, dass Sie es tatsächlich aktivieren (enable) und einen Reboot testen, bevor Sie sich zurücklehnen.
Warum hört mein Agent nach ein paar Abstürzen auf, neu zu starten?
Weil systemd Neustarts drosselt (rate-limits). StartLimitBurst und StartLimitIntervalSec erlauben eine kleine Anzahl von Neustarts innerhalb eines kurzen Zeitfensters; werden sie überschritten, geht die Unit in den failed-Zustand über und bleibt dort — was genau wie ein stiller Tod aussieht. Beheben Sie entweder den zugrunde liegenden Absturz — die richtige Antwort — oder setzen Sie StartLimitIntervalSec=0, um den Begrenzer zu deaktivieren, und RestartSec=10, damit ein in der Absturzschleife hängender Agent nicht einen ganzen Kern beim Wiederholen verbrennt.
Wo lege ich die API-Schlüssel ab?
In einer Datei, die das Container-Image nie zu Gesicht bekommt. Halten Sie eine Umgebungsdatei außerhalb des Build-Kontexts, referenziert über EnvironmentFile= in der systemd-Unit oder env_file: in Compose, im Besitz des Service-Users mit Modus 600. Verwenden Sie niemals ENV oder ARG in einem Dockerfile für ein Secret: Diese Werte werden in Image-Layer gebacken und sind mit docker history für jeden lesbar. Fügen Sie die Datei vor dem ersten Commit zu .gitignore und .dockerignore hinzu.
Wie verhindere ich, dass ein Agent über Nacht mein gesamtes API-Budget verbraucht?
Drei Schichten, und Sie wollen alle drei. Beim Anbieter: eine harte Ausgabenobergrenze auf dem API-Schlüssel — das einzige Limit, das kein Bug in Ihrem Code umgehen kann. Im Agenten: Tokens oder Aufrufe pro Lauf zählen und oberhalb eines Schwellenwerts abbrechen. Um den Agenten herum: eine Schrittobergrenze pro Aufgabe und ein Wall-Clock-Timeout. Kein Host kann das für Sie übernehmen — ein VPS ist gemietete Kapazität, kein Budgetwächter für die API eines anderen.
Was sollte ich niemals in die Agenten-Logs schreiben?
Vollständige Prompts und Completions, rohe Tool-Argumente, API-Schlüssel, Wallet-Material und alles, was ein Nutzer eingegeben hat. Loggen Sie stattdessen die Form des Laufs: Zeitstempel, Task-ID, Schrittzahl, Tool-Namen, Token-Summen, Dauer, Ergebnis. Ein geschwätziges Agenten-Log ist ein Protokoll von allem, was der Agent jemals aufgetragen bekam — im Klartext, auf einer Festplatte, die Sie physisch nicht kontrollieren.
Macht ein KYC-freier Host meinen Agenten anonym?
Nein, und es lohnt sich, hier präzise zu sein. Eine Anmeldung ohne Ausweis und eine Krypto-Zahlung bedeuten, dass der Host keine rechtliche Identität hat, die er dem Server zuordnen kann. Am Modellanbieter ändert das nichts: Ihr Agent authentifiziert sich bei dieser API mit einem Schlüssel, der an ein Konto gebunden ist, von einer stabilen Server-IP aus, bei jedem Aufruf. Die Host-Ebene entfernt ein einziges Glied der Kette — den Mietvertrags-Eintrag — und das ist alles, was sie entfernt.
Mieten Sie einen KYC-freien VPS, zahlen Sie in Krypto, verlagern Sie den Agenten noch heute Nacht vom Laptop.
Sentinel — 2 vCPU, 4 GB RAM, 120 GB NVMe, unbegrenzte Bandbreite, $3,90/Monat — trägt einen Single-Loop-Agenten mit Platz für seinen Tool-Server nebenbei. Eine E-Mail-Adresse und ein Passwort zur Anmeldung; zu keinem Zeitpunkt ein Dokument.
Zuletzt überprüft · 2026-08-24 · Quellen · Man-Pages von systemd.service, systemd.timer und journald.conf, Docker-Restart-Policy- und Compose-Dokumentation, Model-Context-Protocol-Spezifikation, NordBastion-Katalog · Rhythmus · jährlich
Anonymous VPS hosting in 2026 — the cluster.
This guide is one spoke of a larger series. The pillar walks the three privacy layers end to end — the sibling spokes below dive into the specifics.
Three independent layers — signup, payment, network — explained, legal context included, common mistakes flagged.
Deploy your own MCP server on a no-KYC VPS — TLS, streamable HTTP, OAuth.
Host an MCP server with no ID — the privacy stack, crypto-paid.
Docker Compose, PostgreSQL, funktionierende Webhooks — Automatisierung, die Ihnen gehört.
LLM selbst hosten: Ollama auf CPU statt GPU — was in 4, 8, 16 oder 32 GB passt.