HN 展示：AI 代理工具集，涵盖运行时、注册表、扫描器与收件箱

九月底，企业级 AI 代理的讨论多集中在治理仪表板和控制平面上。底层工具则通过更低调的渠道出现：Show HN 帖子。

那里出现了四个项目，共同勾勒出自托管代理栈的样貌。这个栈由零件组装而成，而非作为平台购买。它们都不是传统意义上的产品发布，而是仓库、单个二进制文件和文档站点，以源码开放形式发布。在大多数情况下，还有明确承诺：有趣的功能不会保留在付费层级中。

一个想要成为底线而非上限的运行时

Soma 于 12 月 2 日发布在 Show HN 上。其文档将其描述为开源、可自托管的 AI 代理和工作流运行时，面向从初创公司到企业的各类用户。定位刻意平淡：用普通代码定义代理和 MCP 函数，带入你已在使用的任何框架，让 Soma 处理容错、可恢复性以及周围的管道工作。

文档列出了单个二进制文件、自动 A2A (Agent2Agent) 端点（标记 OpenAI Streaming 兼容性即将推出）、预先集成第三方 SaaS 提供商的 MCP 服务器（处理凭据加密和轮换）、用于调试代理和 MCP 函数的 UI、细粒度 API 密钥管理、拦截对模型提供商请求的出站 AI 网关，以及通过本地、AWS 或计划中的 GCP KMS 进行密钥管理。TypeScript 支持今天已发布；Python 列为即将推出，Rust 尚不可用。

文档中的平台表格标记 macOS、用于 x86 和 ARM 的 Linux GNU 构建版对 TypeScript 和 Python 可用，Windows 不支持。文档将 Windows 的缺失归因于项目在 Rust 中使用 Unix 域套接字，并链接到相关 issue，而非承诺日期。

文档将 Soma 定位为“金字塔的底部”，提供核心构建模块和开发者体验，同时将代理逻辑留给团队已使用的任何框架。

这种定位对企业买家很重要。一个明确拒绝拥有框架层的运行时，比要求重写的平台更容易嵌入现有评估。这也意味着供应商问题从“哪个代理框架”转变为“谁运营运行时”，这是一个更小的承诺。

一个将代理视为另一种软件包格式的制品注册表

Artifact Keeper 于 2 月 6 日发布，它根本不是一个代理框架，而是自托管的制品注册表，被宣传为 JFrog Artifactory 和 Sonatype Nexus 的直接替代品。其 README 对商业模式的描述异常直白：没有开源核心，没有企业版，没有意外发票。

仓库表格列出了 Rust、Axum、SQLx、PostgreSQL 和 Wasmtime 后端，带有 45+ 格式处理器，Next.js 15 网络仪表板，SwiftUI iOS 和 macOS 应用，Jetpack Compose Android 应用，计划中的 Rust CLI，Helm 和 Terraform 基础设施模块，OpenAPI 3.1 规范（包含 277 个操作），以及为 Unity .unitypackage 格式构建的示例 WASM 插件模板。对于运行代理管道的团队，相关部分是代理和虚拟仓库，它们在首次请求时缓存来自 npmjs.com、PyPI、Maven Central 和 Docker Hub 的制品，并在公共包之前解析私有包，加上 Trivy 漏洞检测、OWASP Dependency-Track SBOM 分析、OpenSCAP 合规审计，带有密钥管理的 GPG 和 PGP 签名，以及带有质量门、严重性阈值和下载前扫描执行的政策引擎。

对等复制使用网格模型，带有基于标签的同步策略、反应式订阅和对等之间的 P2P 传输，README 建议将其用于将缓存靠近构建代理。认证涵盖 OpenID Connect、LDAP、SAML 2.0、JWT 和 API 令牌，每个仓库具有 RBAC。可观察性包括 Prometheus 指标（描述为 30+ ak_* 仪表、计数器和直方图），可选的 OpenTelemetry 追踪（通过 OTLP 导出到 Jaeger、Tempo 或 Datadog），以及 Kubernetes 健康探针 /livez、/readyz 和 /healthz。

快速启动是三个命令：克隆仓库，更改目录，运行 docker compose up -d，然后访问 localhost:9080。生产部署指向一个单独的基础设施仓库，包含 Helm 图表、用于 EKS、RDS 和 S3 的 Terraform 模块、ArgoCD GitOps 和监控栈。从 JFrog Artifactory 迁移的工具是内置的，描述为覆盖仓库、制品、用户和权限的单命令操作。

注册表是否属于代理栈是一个合理的问题。README 的答案是隐含的：代理生产和消费软件包、容器镜像和签名制品，适用于人类编写代码的相同供应链控制也适用于它们。

一个针对机器上已有 MCP 服务器的扫描器

Golf Scanner 于 3 月 8 日发布，解决了一个大多数企业清单尚未覆盖的问题。它是一个免费、开源的 CLI，用纯 Go 编写，只有三个依赖项，用于发现机器上的 MCP 服务器配置并针对它们运行安全检查。它以单个静态二进制文件发布，零遥测，无需账户。

发现列表列出了七个 IDE：Claude Code、Cursor、VS Code、Windsurf、Gemini CLI、Kiro 和 Antigravity。扫描器运行 20 项安全检查，分为 9 项离线和 11 项在线，其中在线检查查询 OSV、GitHub、npm、PyPI、OCI 注册表和 MCP Registry。每个服务器获得 0 到 100 的风险分数，使用严重性加权评分和硬性上限。

检查是具体的。命令安全性查找权限提升和 shell 注入模式。凭据检查在参数、URL 和环境变量中发现明文秘密。脚本位置标记从 /tmp 或主目录运行的脚本，脚本权限检测全局可写文件。容器隔离标记 --privileged 模式、危险能力和主机命名空间共享，而容器卷标记根文件系统、/etc 或 Docker 套接字的挂载。注册表列表确认 MCP Registry 的包含。漏洞查询 OSV.dev 以查找 npm 和 PyPI 软件包中已知的 CVE 和恶意软件。Typo 攻击识别类似名称的软件包，分发评估下载指标和软件包年龄，GitHub 信任权衡仓库活动、许可证和贡献者数量。

评分有详细文档：每个检查产生发现，最严重的严重性设置每个检查的分数从 0 到 10，分数通过严重性加权平均组合，关键为 10 倍，高为 7.5 倍，中为 5 倍，注意为 1 倍。硬性上限适用。任何关键发现将总分上限设为 30；任何高发现将其上限设为 59。

CLI 接受标志，包括 --offline、--format table 或 json、--json 作为简写、--fail-on（阈值从 note 到 critical）、--verbose 和 --quiet。退出代码为 0 表示成功，1 表示无参数、未知命令、--fail-on 阈值违规或标志冲突，2 表示 JSON 错误或无效的 --fail-on 值。GITHUB_TOKEN 环境变量是可选的，并将 GitHub API 速率限制从每小时 60 次提高到 5000 次请求。

一个用于超越对话的工作收件箱

Pizza Bot 于 9 月 15 日发布，采取了对同一问题的相反方法。它不给代理治理，而是给它们一个报告的地方。GitHub 描述称它是一个本地优先的长时运行 AI 代理收件箱，使用 DeepAgents 和 LangGraph 构建，README 声明它是在 Amazon 开发的，并以 Apache 2.0 许可证发布。

README 的框架是队列，而不是聊天。开始或安排一个任务，走开，然后回来在 Unread 中查看已完成的工作，在 Action 中等待决策。当你导航离开或断开连接时，代理继续工作，只有 api-server 进程必须保持运行。有状态的 DeepAgents 和 LangGraph 运行时在 Electron 和浏览器中提供相同的 React 体验，桌面应用、网络应用和终端 CLI 都通过 HTTP 和 SSE 与 api-server 通信。

检查点运行在客户端断开连接后幸存，cron 或 webhook 触发器可以在没有打开对话的情况下启动工作。技能成为工具范围的子代理，其进度显示在 Activity 面板中。模型提供商包括 Amazon Bedrock、Anthropic、Google Gemini、OpenAI、OpenRouter 和 Ollama。人在回路审批、长期记忆、文件附件和桌面通知被描述为内置于工作流程中。

关于访问，README 很具体。api-server 绑定到 127.0.0.1，非回环绑定需要认证和明确设置。文件夹必须在设置下单独授权为只读或可写，项目声明它不接收默认主目录访问。桌面安装程序附带在每次发布中，带有 SHA256SUMS 文件；macOS 构建已签名和公证，Windows x64 提供设置可执行文件，Linux x64 和 arm64 的 .deb 和 .rpm 构建未签名，必须对照校验和文件进行验证。

综合来看，这四个项目并不形成一个栈。它们在运行时上重叠，只有 Artifact Keeper 和 Golf Scanner 直接涉及主导企业代理头条的合规性问题。但它们展示了底线是如何设定的：本地优先默认值、明确的文件权限、签名发布、文档化的评分和开放许可证。这与控制平面是不同的销售说辞，对于某些团队来说，这将是一个更容易批准的说辞。