本页目录
2026 年的 AI 新闻，越来越像一份没有尽头的产品更新日志。模型换代，agent 改名，今天轮到本地部署，明天又是每个人一台云电脑。只看演示，很容易得到一个结论：助手终于能替人干活了。
问题是，替人干活从来不只需要聪明。它还需要钥匙。
文件目录、浏览器登录态、邮件发送权限、API key，最后可能是一张能付款的卡。一个产品接入的东西越多，演示就越完整；但它犯一次错能触及的范围，也可能越大。
这篇不排年度模型榜，也不凭 GitHub star 选冠军。沿着 OpenClaw、Hermes Agent、nanobot、Jev 这条线，更值得问的是：谁负责执行，什么会被记住，哪一部分交给模型判断，以及谁有资格批准最后一步。
研究范围：截至 2026 年 10 月 21 日的官方文档与公开源码阅读。本文不是四款产品在同一任务集上的运行评测，没有测得成功率、延迟或端到端成本。源码观察与项目方宣称分别标明；下文的流程和成本例子是分析示例，不是产品实测结果。
先别把四个名字放进同一个排行榜
前三个项目都提供让 agent 工作起来的运行环境：接入模型、组织上下文、调用工具、保存状态，再把结果送回终端或聊天软件。Jev 则是一个决策模型接口：读入状态，在预先定义的答案空间里作判断。它不能单独代替一个完整的个人助手。
| 项目 | 主要处在哪一层 | 本文关注的设计 | 不应直接推出的结论 |
|---|---|---|---|
| OpenClaw | 助手运行框架与 Gateway | 把模型、工具、设备和聊天入口连接起来 | 本地运行，所以数据不会离开本机 |
| Hermes Agent | 带持久记忆与技能机制的运行框架 | 把任务经验保存为可再利用的材料 | 保存经验，所以每次使用都一定变强 |
| nanobot | Python 个人 agent 框架 | 让运行过程、工具与技能更容易拆开看 | 代码少，所以权限面也一定小 |
| Jev | 托管的结构化决策模型 | 用 Choice、Score、Noul 表达有限判断 | 输出类型合法，所以判断正确、行动获准 |
OpenClaw、Hermes、nanobot 的框架代码采用 MIT 许可。[1][3][5] 这不意味着它们接入的模型、外部服务和插件都使用同一种许可。Jev 的客户端 SDK 有开源代码，也不能据此把模型权重称为开源。[8]
这里没有简单的“开源对闭源”。实际系统常常是混合的：框架自己部署，模型在远端，搜索另收费，浏览器又跑在另一台机器上。
OpenClaw：拿回运行环境，不等于消除信任
OpenClaw 的官方 README 把 Gateway 定义为本地控制平面，用来管理会话、工具、事件和聊天通道。模型与 agent harness 可以替换，状态、记忆和凭证保存在自己的硬件上。[1]
这是有价值的控制权。你可以知道程序在哪里运行，检查配置，也不必把整个工作流绑死在一个模型提供商上。
但“在自己的电脑上运行”和“所有数据只在自己的电脑上处理”不是同一回事。README 同样说明：提示词会发往所配置的模型提供商和聊天平台。[1] 本地保存一份记忆，不会让一次远程推理变成本地推理。
还有一个更实际的区别：运行框架的电脑和执行工具的隔离环境，不是天然分开的。
本次固定版本的官方 sandbox 文档明确写着：沙箱默认关闭；开启后，工具执行可以进入沙箱，但 Gateway 仍留在宿主机上。[2] 这不是说所有 OpenClaw 部署都裸奔，而是说“已经安装”不能代替“已经配置隔离”。
一封恶意邮件并不需要破解模型。只要它让模型把邮件正文误认成操作指令，再碰巧遇到一个权限过大的工具，影响就可能从文本扩展到文件、账号和对外通信。
所以，第一道问题不是模型够不够聪明，而是：它读到一段外部内容之后，究竟能调动哪些权限？
Hermes：会积累经验，也会积累错误
Hermes 的主张更进一步。Nous Research 将它描述为带有学习闭环的 agent：复杂任务之后创建技能，使用时继续改进，保存记忆并检索过去的会话。[3]
这比每次重讲一遍项目背景更有吸引力。但“自改进”需要拆开看，不能把所有持久化都理解成模型在重新训练自己。
本次阅读的 skills_tool.py 把 skill 定义为一个目录：里面有 SKILL.md，还可以放参考资料、模板、资源和脚本。memory_tool.py 则把 MEMORY.md 与 USER.md 作为持久记忆，并说明它们在会话开始时以冻结快照进入提示词。[4]
这里可直接观察到的，是外部知识与程序性经验的积累。这不等同于底层模型权重自动更新，也不能单凭这个机制推出“重复任务快 40%”。本文没有复现那个速度数字。
真正值得关心的是经验如何获得信任。
如果 agent 把一次错误排障总结成了 skill，下次执行会更快，却可能更快地重复错误。如果它从网页里抄到一句越权指令，又把这句话写进长期记忆，风险便不再局限于当次会话。
因此，技能生成至少应该回答三个问题：依据来自哪里，在哪个条件下有效，以及失败之后如何撤回。可持久化不等于可默认信任。
Hermes 还提供 hermes claw migrate，迁入 OpenClaw 的配置、记忆和技能。源码对凭证迁移单列了 --migrate-secrets 开关，未启用时跳过相应密钥。[3][4] 这个细节比“接替谁”的宣传更有意思：迁移的不只是聊天记录，也可能是访问能力。迁到新框架，不会自动抹掉旧材料里的错误或过大的权限。
nanobot：更好读，不等于更少责任
nanobot 选择了另一条路径：Python、自托管、轻量。官方 README 列出的能力包括文件操作、shell、网页检索、MCP、定时任务、记忆与多 agent 委派，并明确要求用户自行提供模型服务或本地模型服务器。[5]
这正好说明为什么不能只用代码行数评估 agent。
“小内核”可以降低理解和改造的成本，却不能直接证明部署后的攻击面更小。只要接上文件系统、shell、浏览器和外部服务，实际边界就取决于整套配置、依赖和权限，而非某一段核心代码的长度。
本次源码阅读也没有得到一个“只有几行循环”的玩具。loop.py 会把工具集合、运行参数和迭代上限交给 AgentRunner；skills.py 从 SKILL.md 读取技能；shell.py 包含工作区范围检查、命令规则和可配置的 sandbox 包装。[6]
这些是可以定位的实现，而不是安全证明。某个检查存在，不代表每条执行路径都经过它；某个选项可以开启，不代表当前部署已经开启。
因此，本文不复述“约 4,000 行”或“比另一框架小 99%”作为当前整个项目的规模结论。没有统一版本和统计口径，这两个数字更适合当项目的历史卖点，而不是今天的工程判决。
nanobot 的吸引力仍然成立：一个能读懂、能修改的运行框架，往往比黑箱更容易排查。但读得懂，是开始管理风险的条件，不是已经管理好风险的证据。
Jev：把判断从执行里切出来
前三个项目都在组织一个会使用工具的助手。Jev 则试着把其中一部分工作切成专门接口。
TypeSafe 的官方文档描述了三种原语：[7]
Choice：从事先列出的选项中选择，例如把工单分给账单组或技术组。Score：按定义好的等级和标准评分。Noul：返回一个是非命题的概率。
它读入状态与类型化问题，返回决策和概率，而不是长篇文字或推理解释。TypeSafe 把这一类模型称为 System One；这是项目方的产品与技术分类，不意味着分类、排序和概率预测是今年才出现的问题。
这个设计的价值很具体。一次完整的退款流程里，识别“用户是否提出退款”和执行“退给哪个人多少钱”，本来就是两件事。前者可以是模型判断，后者必须受交易记录、政策和明确授权约束。
类型安全也只解决其中一个层面。refund 是合法选项，不代表它就是正确选项。概率为 0.95，不代表这个用户批准了退款。TypeSafe 自己的文档也明确说：校准要在一组预测上衡量，不保证某个答案正确。[7]
截至本次查阅，官方模型页列有 Jev 1.13 与 1.14，默认上下文限制分别是每请求 64k、每问题 32k；长上下文需显式启用，官方同时提示更慢、准确性更低。[8] 这些接口细节比一个脱离任务的“零幻觉”标签更有用。
Jev 适合作为 agent 的一个器官，而不是完整替身。至于是否值得接进去，应在真实任务上测漏判、误判、转人工比例和总体耗时，不能用一次演示的速度代替。
真正的边界在最后一次写入之前
把四个项目放在一起，可以画出一条不依赖品牌的链路：
用户目标与授权
↓
编排层：读取资料、组织上下文、选择工具
↓
判断层：通用模型或专门决策模型提出下一步
↓
执行前检查：对象、范围、额度、审批、是否已经执行
↓
工具与外部服务
↓
结果证据 → 后续处理与记忆这是本文建议采用的设计分层，不是声称四个项目都实现了同一架构。
最容易被略过的是“是否已经执行”。如果支付接口超时，agent 只知道自己没拿到结果，并不知道钱有没有付出去。再试一次未必叫恢复，也可能叫重复付款。类似地，git push 成功不等于 PR 已创建，PR 创建也不等于已经合并或上线。
一个像样的助手必须区分：提出动作、动作获准、请求已发出、外部系统确认完成。把这四件事都写成“完成了”，只是把不确定性藏进自然语言。
MCP 和 skill 也不能替这个边界兜底。MCP 解决连接与调用的接口问题；skill 提供如何完成任务的知识。二者都不能单独证明一次外部操作得到了用户授权。OpenClaw 自己的技能文档就要求把第三方 skill 当成不可信代码，启用前阅读，并为风险工具优先考虑沙箱。[2]
云端没有消灭这道题，只是换了答题人
自托管与云端，经常被写成主权和省心的对抗。它们确实把运维责任放在不同地方，但都需要处理执行与授权的分离。
OpenAI 在 9 月 29 日发布 dots，官方介绍说明它由 GPT-6 Astra 驱动，有自己的云电脑、浏览器和连接的应用，可以在两次对话之间继续工作。[9] 这足以作为常驻云端 agent 的实例，不必再靠二手合集证明这个产品存在。
更值得对照的是它的边界设计。OpenAI 表示，主动研究阶段的工具只读；后续行动仍遵循通常的规则与检查。其安全说明还称，执行关键检查的控制系统位于 dot 不能修改的环境之外。[9][10]
这是厂商对自身系统的描述，不是本文独立完成的安全审计。它说明了一种值得关注的工程方向：不要让负责完成任务的执行环境，同时拥有关闭约束自己的开关。
反过来，自托管也不是只能依赖提示词。可以在模型之外限制账号、文件挂载、网络出口和外部写入。关键不在机器属于谁，而在那道边界由谁实现、谁能修改、出了事谁能查清。
Atlas 的调整也提醒了同一件事。OpenAI 官方说明把其浏览器 agent 能力迁入 ChatGPT 与 Codex，并安排 Atlas 在 8 月 9 日停止工作。[12] 这能支持“产品入口在重组”，却不足以证明“用户永远不会为 AI 换浏览器”。一个产品的退场，不是整个品类的因果实验。
成本要除以完成的任务，不是除以演示时长
模型单价当然重要。但 agent 的账单还来自反复读取上下文、失败重试、浏览器环境、搜索服务，以及人重新检查结果的时间。
一个最基本的口径是：
每个被验收任务的直接成本
=（所有尝试的模型费 + 工具费 + 执行环境费）/ 被验收任务数人的检查时间另外记录。若要折算成钱，先公开使用的时薪，别把它悄悄算成零。
模型发布文案里也有容易混淆的口径。Anthropic 对 Opus 5.5 写的是：输入、输出 token 单价比 Opus 5 低 20%；典型工作负载总成本低约 40%，还涉及 token 使用量和缓存等因素。[11] “跑任务便宜约 40%”不能改写成“所有 token 都打六折”。
按官方标准输入、输出单价做一个纯算术例子：如果一次尝试恰好有 100,000 个非缓存输入 token 和 10,000 个输出 token，按每百万 token 4 美元和 20 美元计算，模型费就是 0.60 美元。假设完整重来三次、每次用量相同且没有缓存收益，便是 1.80 美元。这里还没有浏览器、搜索或人工检查费用，也不是本文测得的典型用量。
Jev 的官方价格是每百万输入 token 0.042 美元、输出免费。[8] 但一个便宜的分类请求，不能直接和一个完成调研、改代码、验证结果的 agent 任务比总价。只有它确实替掉了原流程里的某个判断，而且新增调用没有带来更多错路和返工，低价才会进入最终收益。
我的判断：别先问哪个 agent 最强
OpenClaw 的控制平面、Hermes 的经验积累、nanobot 的可读运行框架，以及 Jev 对有限判断的拆分，分别回答了不同的问题。把它们当作四个能互相替换的助手，反而看不见设计上真正的变化。
个人 agent 不只是一个更会说话的模型。它是一个长期持有上下文、能够触及外部系统、必须处理失败和等待的软件系统。
给这样的系统选型，我更在意四件事：
- 它能明确说出一次任务最终碰过哪些数据和权限。
- 它不会把网页内容、记忆或高置信度答案当成新的授权。
- 它能区分尝试和结果，遇到未知的写入状态不会盲目重试。
- 它能把失败成本与人工返工一并留在账上。
2026 年值得追的，不只是哪个模型又涨了几分，而是谁开始把这些责任做进产品里。
钥匙可以交出去。判断权、批准权和完成的证据，不能一起省略。
来源与阅读边界
资料查阅日期：2026-10-21。链接中的固定提交用于锁定本文实际阅读的代码；在线文档可能继续变化。仓库源码阅读不等于运行评测或全量安全审计。
- OpenClaw README，固定提交 d9387f6：Gateway、模型可替换性、数据流向与 MIT 许可。
- OpenClaw sandbox 文档；skill 信任边界：默认隔离设置、宿主机与工具环境、第三方技能警告。
- Hermes README，固定提交 7dcb1b4：项目方的学习闭环描述、迁移命令与 MIT 许可。
- Hermes 同一提交的 skills_tool.py、memory_tool.py、迁移脚本：文件式技能、记忆快照和密钥迁移开关。
- nanobot 官方仓库；MIT 许可，固定提交 29d1600：项目定位、能力与安装前提。
- nanobot 同一提交的 loop.py、skills.py、shell.py：运行编排、技能读取与执行边界。
- TypeSafe：System One：Choice、Score、Noul、文本输入、概率校准与单次正确性的区别。
- TypeSafe：Models；官方 Python SDK：模型版本、上下文开关、价格及客户端代码。
- OpenAI：Introducing dots：2026-09-29 发布、云电脑与主动研究范围。
- OpenAI：How we build safety, security, and privacy into dots：厂商披露的隔离与执行前检查设计。
- Anthropic：Claude Opus 5.5：2026-09-22 发布；标准 token 单价、缓存定价及典型任务成本口径。
- OpenAI：Evolving Atlas into ChatGPT for browser-based agentic work：Atlas 的停止运行安排及能力迁移，不构成浏览器市场因果结论。