一个人的 AI 小队：在 Signal 里直接跟它说话

沈马成 · 给不写代码的人看的说明。下面写的都是真实在跑的东西；还没做的明确标成“计划中”。

在跑 每天真实使用　部分 能用但有缺口　计划中 还没有

1. 一天里它做些什么

2. 怎么连起来

3. 架构：谁负责什么

我们不指望一个“全能 AI”，而是用不同平台的 AI 各占一个席位，像一个小团队：

几条设计原则

• 共享记忆是唯一的“公共笔记本”。所有 AI 通过同一个记忆服务（MCP 接口）读写，换平台、换模型也不丢上下文。ChatGPT 这类外部助手也能经一个网关写入“候选”，由舰队再筛。
• 手机优先。手机打不开大附件，所以长报告一律做成网页；链接先确认能打开（HTTP 200）再发给你。
• “做完了”要能被别人复查。一件事算完成，需要三样东西：在哪台机器做的、产出的指纹（sha256）、以及另一台机器上能重跑的复查。我们还会故意放进错误，看复查能不能抓到。
• 任务有人认领、有截止、有后备。每个任务写明谁负责、何时过期、过期后交给哪台常开机器，不依赖会合上盖子的笔记本。
• 做完自己回来报。不需要你追问“跑完了吗”。

4. 安全：它不能自己做的事

• 对外发送、花钱：一律先草稿，你批准才执行。邮件连接器只能存草稿；社交帖只进草稿箱；群消息要你回“发”。
• 公开前过内容检查。不出现真实私人身份或可推断的家人朋友信息；不出现财务数字；不是新的身份或品牌承诺；只发到已登记、一小时内能撤回的地方。任何一项不过，就带着具体原因来问你。
• 记忆里不放密钥。令牌只留在生成它的机器上，不进共享记忆，不进聊天，不进网页。
• 分级权限。普通合作者、管家、家人管家、本人四级；身份、账单、域名、签名密钥、账号恢复这些“根权限”永远不下放给任何一级。
• 默认拒绝。每个协作者只看得到明确共享给他的记忆；标了私密、医疗、财务、关系等类别的，一律看不到。
• 表明身份。AI 在 Signal 里替你说话时，消息以 [智子] 开头。

5. 开源代码

下面的仓库都是公开的，逐个做过泄密扫描（密钥、令牌、内网地址、私人信息），结果干净。思路是：每个人的 AI 小队应该是自己的，而不是把数据流交给一两家巨头。

打包版 fleetwright（把上面这些拼成一套可安装的“神经系统”）已通过内部门禁，计划中，还没公开。

6. 怎么试、怎么自己搭

1. 最省事的起点：装好 Claude Code，运行 zhizi-agent-os 的一条安装命令，就能在电脑上有一个会记事、守红线的个人助手。
2. 接上 Signal：准备一台常开的小服务器，用 signal-agent-pipeline 把它连成你 Signal 的已连接设备（和连 Signal 桌面版一样扫码）。之后你在“给自己的备忘”里说话，它就能收到；也可以先用一个备用号码试。
3. 给家人一个房间：用 selfhost-chat 给每个人开一个网页聊天房间。
4. 可选：邮件用 agent-mail-stack；多个 AI 共享记忆用 reference-impl；让“做完了”可复查用 reviewer-wheels。
5. 第一天就立规矩：告诉它“对外发消息、花钱、登录、改系统设置之前，先给我看草稿”。

代码大多是从真实在用的系统里抽出来的原型，会有 bug。别拿它存你输不起的东西。