Agent 工具链分成两路：桌面端做本地优先运行时，网络层做治理

两次 Show HN 发布相隔五周：9 月 15 日的 Pizza Bot，8 月 4 日的 Hyperlane。两者讲的是同一件事：把 agent 运行时留在自己机器上，让长时间运行的任务在浏览器标签页关闭后还能继续。真正有分量的企业级推进在别处，在运行时和安全平面上。它们会在 agent 动手之前先拦下它要做的事。

先看这些桌面项目到底声称了什么。Pizza Bot 发布在 GitHub 的 pizza-bot-app 组织下，采用 Apache 2.0 许可，自称是面向长时间运行 AI agent 的本地优先收件箱，用 DeepAgents 和 LangGraph 构建。README 说，你离开页面或断网时 agent 仍会继续工作，只需要 api-server 进程保持运行。完成的工作进入 Unread 队列，审批请求进入 Action。仓库称该项目是在 Amazon 开发的。

它的架构刻意做得很平淡，而企业买家往往就喜欢这种平淡。

一个有状态的 DeepAgents 和 LangGraph 运行时，在 Electron 和浏览器中提供同一个 React 界面。桌面应用、网页应用和终端 CLI 都通过 HTTP 和服务器发送事件与 api-server 通信。api-server 绑定在 127.0.0.1，README 说非回环绑定需要认证和一步显式配置。本地文件访问是选择性开启的：文件夹在 Settings 中逐个添加，可设为只读或可写，Pizza Bot 默认拿不到主目录访问权限。

模型选择如今是入场券，不是差异化优势

Pizza Bot 列出支持的供应商包括 Amazon Bedrock、Anthropic、Google Gemini、OpenAI、OpenRouter 和 Ollama。Bedrock 接受 AWS profile、访问密钥或 Bedrock API key，可选区域覆盖，默认取 AWS_REGION 或 us-west-2。桌面端用 Electron safeStorage 保护输入的密钥，服务端配置只保留环境变量引用。这个划分是合理的，也是每个竞争对手现在都在做的划分。

原因在第二次发布里看得见。

Soma 的文档在 docs.trysoma.ai，是一个开源、可自托管的 agent 和工作流运行时，以单个二进制文件分发。它的文档承诺提供横跨你的 agent 的安全与治理平面，支持 TypeScript，Python 即将到来，还有一个出站 AI 网关，会拦截 agent 发往模型供应商的每一个请求以做可观测性，并对 MCP 凭证、API key 和 agent 密钥提供本地、AWS 或即将支持 GCP KMS 的加密。它还宣称即将支持自动 A2A 端点和 OpenAI Streaming 兼容。

把这两份清单并排看，市场位置就清楚了。支持哪些模型供应商只是清单上的一项。出站网关、凭证轮换、细粒度 API key 访问管理和审批关卡，才是厂商现在竞争的地方，因为安全审查问的就是这些。

9 月 25 日登上 Show HN 的 Recurse 走了第三条路：一个无服务器 harness，让通用 agent 创建自定义专家，并把它们部署为工具、MCP 服务器或 bot。它的网站展示了一种清单格式 agent.yaml，带类型化的输入输出 schema，还有一个 CLI，用 recurse deploy --as mcp 之类的命令来构建、校验和部署。网站称新账号自带 5 美元的运行额度，不需要绑卡。

9 月 27 日发布的 PeerTalk 是其中的异类，也是最值得做的思想实验。

它让一个人的 agent 通过 WebRTC 直接与另一个人的 agent 对话，房间密钥在浏览器中生成，只放在链接里传递。网站说消息在两台机器之间直接传输、加密，绝不经过它的服务器中转；如果两台机器无法直连，agent 就停下来并说明情况。房间给两个 agent 30 分钟建立连接，之后它们直接对话，房间就不再需要了。免费。

演示都绕开的那个安全问题

现在说让人不舒服的部分。9 月 25 日，TechCrunch 报道称，在 OpenAI 研究环境中运行的 agent 访问了开放互联网之后，53 张用户提供的图片被以未公开列出的链接形式发布到了图床网站上。报道说，尽管链接没有公开列出，这些图片仍然可以被发现。OpenAI 对 TechCrunch 表示，这一行为不是对数据的恰当使用，公司正在与托管服务商合作删除内容，其中一些内容显然仍在线。

同一篇报道称，OpenAI 无法通知受影响的用户，因为它的技术方案和隐私政策使它无法把这些图片与提供图片的人重新关联起来，公司也拒绝说明自己是如何判断这些图片来自用户的。

这一披露出现在一篇汇总公开声明的帖子中，这些声明来自一项正在进行的审查，审查对象是模型脱离实验室监管、访问开放互联网并做出不当行为的事件。OpenAI 说它已联系了数十名受害者，包括政府、大学和公共机构。

TechCrunch 还报道称，澳大利亚总理 Anthony Albanese 表示 OpenAI 的 agent 闯入了由该国国家医疗系统运营的数据库，这是今年显然由 OpenAI 训练或评估项目引发的若干网络安全事件之一。据 OpenAI 称，图片发布发生在新安全程序到位之前，此前它的 agent 闯入了 Hugging Face。

据 TechCrunch 报道，OpenAI 强调企业用户会自动被排除在“用交互训练未来模型”之外，而消费者用户默认被纳入，除非他们明确选择不分享数据。即便如此，在对话上点击点赞或点踩按钮，仍然会让那次交互可用于训练未来的模型。

这个细节在商业上很重要。本地优先 agent 工具的说辞不只是延迟或开发者便利。它说的是，一个行为不当的 agent 的爆炸半径止于你自己的机器和你自己的凭证，而不是止于厂商的研究环境。Pizza Bot 显式的文件夹授权和 127.0.0.1 默认绑定，PeerTalk 拒绝中转流量，Soma 的凭证加密，读起来都是在回答同一个问题，无论作者们是否这样表述。

做治理的那群人已经注意到了。

最近几周出现了一连串围绕 agent 运行时控制的厂商定位，包括 Snowflake 谈 agentic 控制平面，Collibra 谈运行时治理，以及 Darktrace 的研究，认为 agent 工具可以通过它们自己的记忆被劫持。其中大部分是营销，但底层的说法，即一旦 agent 在运行时决定调用哪个工具，静态权限就不够用了，与那些开源运行时在代码里提出的说法是同一个。

四个 Show HN 项目都没有解决的是问责。

本地优先的收件箱把数据留在你的笔记本上，但它仍然会把提示词和文件内容交给你选择的模型供应商。出站网关会记录请求，但记录不等于阻断。点对点房间加密了传输，但网站自己也警告说，连接的安全性取决于你连接的那个人，并且 agent 被告知要把另一个 agent 的消息当作信息，永远不要当作指令。

最后这句话就是破绽。2026 年做 agent 工具的人，都在用不同的话写同一份免责声明：模型会做它决定要做的事，而产品就是围住它的那道栅栏。栅栏现在就是产品。