nanoMuse 发布开源个人智能体，跨设备共享对话并内置 Sentinel 动作审查

个人智能体应由本人可检查，并能在自有硬件或自选服务器上运行；闭源云端形态还没有可运行的开源完整对应物。

• 场景：作者把个人智能体定义为替一个人在其账号、设备和文件上行动的程序，可跨周、部分时间人不在，事后用日志、账本和所持权限清单交代。作者认为谁运行、在哪运行、在谁眼前，不是部署细节，而是产品本身。
• 已有形态：2026年9月Meta的Muse展示了这一产品：一个有名字的智能体、一段长对话、可读记忆、主动消息、批准后的钱包，以及公开写出的安全架构。它在Meta云中每人一个Linux VM，仅在美国销售；除10月2日的小工具SDK外不开源。
• 作者的判断：作者认为前半（替一个人持有其生活）与后半（厂商云、闭源）形状不对。这样的智能体应可由本人或所信任的人检查；能在已有硬件上跑就在那里跑，否则在自选服务器上跑；设备汇合点应是任何人可读、可跑的代码。作者称这不是反对Muse，而是开源对应物必须作为可运行的完整物存在。
• 另一处缺口：作者称上述云端计算机够得到有API或网页的东西，够不到许多日常应用（从银行到政务）。作者称nanoMuse的Hands是为这个缺口。
• 本文给出的东西：定义与2011至2026年9月的简史；依公开记录和一份生产提示词副本阅读Muse，每句标来源；五问与三个时间层（作者标明第4节是意见）；GPL-3.0的nanoMuse（设备端智能体、Sentinel、文件记忆、自选模型），以及尺寸费用估计和路线图。

相关工作写在第2节，没有单独的Related Work。分组按该节的时间线。

问答助手与按任务行动

• 2011–2016的助手：Siri、Alexa、Google Assistant回答后等待。Figure 2把此后分成任务智能体与个人智能体。
• 让模型去行动：AutoGPT（2023）让循环无人值守；Open Interpreter（2023）在用户电脑上写并跑代码；CogAgent、AppAgent、Mobile-Agent、Anthropic的computer use、AutoGLM用截图或无障碍树操作屏幕；MCP（2024）给工具一个标准。其后有OS-Atlas、Aguvis、UI-TARS、OpenCUA与GUI-Owl；测量环境包括Mind2Web、WebArena、OSWorld、AndroidWorld。
• 厂商云、按任务：Operator与ChatGPT agent是用户旁观的托管浏览器，Manus是每任务一台云电脑。作者称这些都为一个任务行动，都不属于某一个人。

跨向“属于一个人”的开源项目

• Hermes Agent与OpenClaw（2025）：在本人的计算机或服务器上运行，跨会话记忆，经已有聊天应用到达。作者称二者都没有屏幕。Table 1记许可证为MIT。
• OpenMinis（2026年6月）：Android应用内的完整智能体，GPL，无服务器。Table 1记其手机屏幕为无障碍执行器，无电脑屏幕。
• OpenMuse（CopilotKit，2026年9月15日）：作者称它按Muse的形状开源，服务器上有持久浏览器，应用是通向它的窗口。Table 1记手机与电脑屏幕均为否，图形桌面列为后续；许可证MIT。

2026年9月的闭源产品

• Muse（Meta，9月8日）：作者称它是第一个把这些部件组装给一个人、并在首句如此说的产品。每人一个Linux VM；10月2日小工具SDK为Apache-2.0，智能体、服务和模型不开源。
• 同月其余三家：Today（9月15日）有记忆、主动跟进和云电脑，Table 1电脑屏幕栏作者注明未由他们核实。Manus Cue（9月28日）给每个智能体邮箱、号码、钱包和电脑。OpenAI dots（9月29日）被写成始终在线、各有云电脑。作者称四家公司、五周、一种架构：厂商云里每人一台电脑，设备上是瘦客户端，模型由厂商训练。

对照表

• Table 1：按运行位置、手机屏幕、电脑屏幕、是否开源并列，不是任务分数。nanoMuse一行是2026年9月25日，手机与电脑上运行、中继可选；注a写明手机屏幕仅Android，因为iOS不允许一个应用操作另一个。
• 屏幕基准名：第2节把Mind2Web、WebArena、OSWorld、AndroidWorld当作此前的测量环境；第6节把AndroidWorld、OSWorld、MemGUI-Bench、OS-Harm列为下一步要并排跑的套件。正文没有这些套件上的分数。

作者把nanoMuse放在设备上，而不是Muse的每用户VM，也不是OpenMuse那种对着服务器开窗口。相对OpenMinis，作者称加上了从面孔到中继、使智能体属于一个人的部分。作者同时写它没有自有模型、每用户VM及其内核级taint与替代凭证、钱包和工件库。

nanoMuse是GPL-3.0下的个人智能体，报告对应版本0.1.40（2026年10月），首次发布2026年9月25日。作者称“最小”是字面意思：每块都在且端到端能工作，多数是能做成该事的最简单做法。Figure 1的屏幕是绘图，不是截图。

怎么读Muse，以及作者取走什么

• 来源：三份Meta公开文档加一页帮助中心为documented；2026年10月的生产提示词副本为prompt，作者不复述该提示词，一次最多引几个词；已发布客户端为observed；其余为inferred。Figure 3图注把提示词副本与Meta公开记录分开标色。
• 作者对Muse的概括：作者称其技术核心是带一层子智能体和定时任务的标准工具调用；作者称新意是每个安全机制都放在智能体够不到的地方，以及把设计预算花在可读性上。作者称每用户VM和自有模型不能迁到开源系统，前两项可以。
• 与Hands的关系：公开记录里，浏览器子智能体看的是无障碍树快照而不是DOM。作者推断这是有意用能力换安全，因此不能操作没有无障碍树的界面（原生手机应用、自助机、游戏）。作者称nanoMuse的Hands从这里开始。
• 第7节的收回：作者写明nanoMuse的Sentinel是同一进程族里的策略边界，不是Muse那种权限边界。

五问（第4节，作者标明是意见）

• 知道什么、在哪行动：记忆应是本人语言的纯文件，可打开、改正、删除、导出；每行应带撰写模型、日期和把握；人写的行高于模型写的行。一个人一个智能体，有屏幕、麦克风或马达的东西都是手。作者称2026年手机自己的屏幕只在nanoMuse里。
• 对谁负责、如何学习、谁付钱：批准应是小而规则的语言：一次、这次对话，或对某收件人、站点、文件夹始终；支付批准和密码永不被记住。打断的门槛应可见、可调。作者认为双手这个最敏感的环，应用人们选择分享的轨迹来训，并用任何人可跑的套件来测。费用上应能直接付给提供者，或自跑设备汇合点。
• 三层与自评：Figure 4的三环是2026已有、开源对应物下一步、能持续多年。作者称第5节拿这五问衡量，多数还没达到。

设备、中继与模型

• 每台设备一份智能体：Android与iOS改自OpenMinis。Android内有沙箱化Alpine Linux、shell、浏览器、MCP、技能和定时任务，可接任何OpenAI兼容模型；改动放在上游旁边，以便仍能合并上游发布。桌面是包着DeepSeek harness的Electron壳加nanoMuse插件，内带Python运行时；同一运行时从本人的电脑提供Web。电脑侧Hands移植自UI-TARS-desktop。iOS有智能体但没有Hands。
• 中继可选：nanoMuse Cloud是一个进程。账本只记模型、token数和费用，不记内容；默认同步主对话文本，不存文件、图像或工具返回。Data里一个开关可关同步并删除已存文本；删账号会删全部，撤销密钥的哈希保留九十天。两人共用一台设备时，同步对话记住所属账号。
• 三种跑法：自有密钥或ChatGPT套餐、无账号无服务器；社区中继（邮箱，或中国大陆短信）；或自建中继，Docker加一份脚本上TLS，登录者记到自己的提供者密钥。自有密钥时，Figure 5写调用从设备直达提供者，不经中继。
• 模型自选：应用与中继共用十八家提供者目录，中外都有，每条写明该密钥覆盖聊天、视觉、图像还是视频；最先建议哪家取决于人所在地。ChatGPT套餐走OpenAI自己的Codex授权，覆盖聊天和Hands，不含图像或视频；作者称它取决于OpenAI的条款，密钥仍是可依赖的路径。

Sentinel

• 不直接执行：智能体从不执行工具。固定顺序是：被拒绝的工具；本人规则；始终允许与始终询问名单；taint；工具风险对照本人设定的模式；最后是任何模式和名单都不能放行的警告。
• taint与警告：对话一旦读过私有数据，把数据发到允许名单之外的调用变成询问，且永不反向。警告包括破坏性shell、当场执行的管道下载，以及标签里的提交类用词。
• 批准是范围而不是一句是：一次、这次对话；能点名目标时，可对该收件人、站点、文件夹、设备或应用始终有效，列在Permissions下并可撤销。带警告的调用只能批一次，因此支付或密码不会被记住。每次决定写入本人可打开的日志。

Hands、记忆与对等设备

• 梯子：能用技能、命令行或MCP就用；其次是带本人登录态取页面；再是浏览器；最后才是本机屏幕。作者称这是MAS-Bench所测的快捷方式与屏幕的混合。Hands默认关，是MemGUI-Bench手机操作器那种一动作一截图的循环。
• 一步一屏：模型看到一张截图、目标、每步一句历史，以及设备报告时的无障碍元素；回答一段思考、一句本人语言的“将要做什么”，和一个手势。作者称确定性策略不能判图，但能判这句话。提交类标签、一次就提交的打字、没有标签的步骤会提高敏感度。Android上同时读落点的无障碍文本，取更严的一边。操作器提示词禁止输入密码、PIN、卡号和一次性验证码。
• 人看见的：手机上是盖在应用上的胶囊，有面孔、步骤和红色Stop，以及下一触点的环。电脑上轨迹留在对话里，每步截图画有动作，并可接手鼠标。作者称做过Muse那种变暗的实时舞台后放弃，因为轨迹可回看，活动画面不能。
• 记忆与跨设备：手机上是可打开的Markdown：SOUL.md、USER.md、GLOBAL.md、日期日记、HEARTBEAT.md。电脑上每条记忆有变更记录和撤销，按稀有词或（有嵌入端点时）按意思召回；整理只提议合并与丢弃，不丢本人写的。Feed、Ideas、Goals由智能体在隐藏对话里写、由人读；Feed打断门槛是人可移动的设置。各设备是对等体，别的设备是工具；要动手的设备先同意，任务在该设备自己的Sentinel下跑，询问方不能借出自己没有的权限。

实验设置

• 被测模型：论文未报告在任一模型上跑任务。模型由使用者从十八家提供者中自选，或用ChatGPT套餐、自建模型服务；正文未给出一次实测调用的模型名。
• 版本与平台：描述的代码是0.1.40（2026年10月），首次发布2026年9月25日。客户端为Android、iOS（TestFlight）、macOS、Windows、Linux桌面和Web，加中继。作者称以后版本会不同，以更新日志为准。
• Table 2量的是什么：发布文件体积、一次安装、一台Linux工作站上的内存。费用来自项目文档和提供者价目。作者称这里不衡量任何人的使用。
• 对照：Table 1是形态对照，不是分数基线。第6节点名AndroidWorld、OSWorld、MemGUI-Bench、OS-Harm为下一步要并排跑的套件，正文没有这些套件上的数字。
• 任务指标：论文未定义ASR或成功率。第7节写明成功率不存在，人工接管次数也不存在，作者宁可这样写，也不估计。
• Muse阅读的材料：四份公开文档、已发布客户端、2026年10月的提示词副本。这不是量化实验。

主结果

论文没有模型×指标的主结果表。定量内容是Table 2的体积、内存和费用估计。

项目	数字	条件与出处
Android下载	38 MB（arm64）	发布文件，Table 2
桌面下载	Linux 256 MB；macOS 498 MB；Windows 266 MB	发布文件，Table 2
Linux安装与空闲内存	安装928 MB；空闲about 0.5 GB（全部进程，proportional set size）	一次安装；内存在一台Linux工作站，Table 2
中继	一个Python进程加一个SQLite；空闲about 85 MB（新数据库）	本机测得；按1 vCPU、1 GB规模，Table 2
自建中继月费	on the order of ¥30–¥60（中国大陆）或US$4–6（境外），另加模型用量	自托管页估计，Table 2
模型单价	忙时聊天¥2入、¥8出；Hands模型¥3入、¥12出；每百万token	百炼2026年10月价目，估计，Table 2

• 作者称Table 2回答“nano有多重、多少钱”。体积来自发布文件和一次安装，内存是本机测得，费用是估计。
• 作者称一天聊天是几分钱。论文未写出该句背后的token假设。
• 任务是否做成、Hands失败多少、人工接管多少，论文未给数字（第7节）。

对Muse的阅读（无分数）

• 做法：每句标documented、prompt、observed或inferred。作者不复述那份提示词。
• 作者的分层解读：作者推断概率层降低被说服的次数，确定层限制被说服之后能做的事。论文未给这两层的次数或比例。
• 记述的边界：作者写明提示词副本的出处只能靠与另两份材料一致来核对，不能再核实；提示词随部署改变，2026年10月读到的未必是读者打开报告时在跑的（第7节）。

其他消融与分析

论文未报告消融、参数扫描或重复测量次数。

• Linux上Hands只在X11会话工作（第7节）。
• 社区中继上，改进模型的开关对新账号默认开，旁边写明，一键可关；自建中继自定默认（第5节）。作者在第7节称这是本项目里最没把握的选择。
• 纯图标且应用不标文字时，标签和无障碍文本都判不了；作者称在密集专业屏幕上连找到它也尚未解决，看着环的人是最后一道（第7节）。

作者指出的局限与后续方向

• 策略边界不是权限边界：单设备上Sentinel与智能体在同一信任域。规则能拦住被说服的模型，模型也不能改规则，但没有Muse那种在智能体够不到处保管真实凭证的宿主。设备被攻破即智能体被攻破。决策顺序、taint和Linux沙箱缓解这一点，作者写明它们并不解决它（第7节）。
• Hands靠话来判，且还没测量：纯图标、应用又不标文字时，标签和无障碍文本都判不了；作者称密集专业屏幕上找到它尚未解决，看着环的人是最后一道。作者写明没有成功率，也没有人工接管次数，数字还不存在，他们宁可说明也不估计。Linux上Hands只在X11（第7节）。
• 记忆还不知道谁写的：弱模型猜的一行会被更强的模型当成事实来读。存储记下变更时间并允许撤销，但没有模型、日期或置信度，也没有重查旧行的规则。作者写明在有这套规则之前，记忆页应被当成一位尚未完全信任的同事的笔记来读（第7节）。
• 中继是共享的，并且留文本：同步对话就是把文本放在自己不运行的服务器上；社区中继是项目运营的一台机器上的一个进程。作者称共享部分被做小、可在家里跑，但不是不必要。改进社区模型的默认开启偏向开源模型，而不是最安静的默认；作者称这是本项目里最没把握的选择（第7节）。
• 对Muse的记述偏薄：依据是四份公开文档、已发布客户端，以及一份生产提示词副本；副本出处不能超出与另两份材料的一致性来核实。提示词每次部署都会变。作者写明标prompt或inferred的陈述应据此权衡；Meta若公布更多，他们会改正（第7节）。
• 路线图里的下一步：第6节把近处工作写成补上会在该出现时浮现的记忆、日程之间的主动性、用过Muse的人不会感到落差的对话、失败更少的Hands、一条命令自托管。接着用失败轨迹做评测套件，与AndroidWorld、OSWorld、MemGUI-Bench、OS-Harm并排跑，再训一个双手用的小开源模型，轨迹来自人们选择贡献的记录。更后是把相机、电器或机械臂当作又一台设备，以及能跨年留下的记忆与身份。Figure 6不写日期。

实验覆盖范围

• 正文描述的代码是0.1.40（2026年10月），首次发布2026年9月25日（第5节）。
• 客户端包括Android、iOS、macOS、Windows、Linux桌面和Web；Hands在Android与电脑屏幕，iOS没有Hands（第5节，Table 1注a）。
• Table 2的体积来自发布文件和一次安装，内存在一台Linux工作站上测量；费用写明是文档与价目估计，不衡量任何人的使用。
• 论文未报告任务成功率、人工接管次数，也未报告Table 2内存数字的重复测量次数（第7节写明前两项还不存在）。
• 对Muse的阅读使用四份公开文档、已发布客户端和2026年10月的提示词副本，陈述分为documented、prompt、observed、inferred（第3、7节）。

nanoMuse是一份系统报告：用GPL-3.0做Muse那类个人智能体的开源对应物，并对照2026年9月的闭源云端形态。

• 问题：个人智能体替一个人在其账号、设备和文件上行动，可跨周，事后用日志、账本和权限清单交代。作者认为谁运行、跑在哪、在谁眼前可检查，就是产品本身。Muse在Meta云里每人一个Linux VM，仅美国销售；除10月2日小工具SDK外不开源。作者另称云端计算机够不到没有API或网页的日常应用。
• 做法：0.1.40在Android、iOS、桌面和Web各放一份智能体。Android改自OpenMinis；桌面用DeepSeek harness，电脑侧Hands移植自UI-TARS-desktop。工具调用不由智能体直接执行，而走Sentinel的固定顺序；带警告的调用只能批一次。Hands默认关，一屏一步，用模型说出的下一动作接受策略判断。记忆是本人可打开的文件。设备经可选中继对等会合；自有密钥时调用直达提供者。模型从十八家提供者中自选。
• 数字：Table 2里，Android下载38 MB；桌面下载Linux 256 MB、macOS 498 MB、Windows 266 MB；Linux安装928 MB，空闲about 0.5 GB。中继空闲about 85 MB。自建最小档on the order of每月¥30–¥60（中国大陆）或US$4–6，另加模型费。百炼2026年10月忙时价为聊天¥2入、¥8出，Hands模型¥3入、¥12出，每百万token。作者称费用是估计，不衡量实际使用。第7节写明没有成功率，也没有人工接管次数。
• 作者的位置：开源对应物应是一个人能跑起来的完整物。第4节的五问是意见；作者称第5节拿这五问衡量，多数还没达到。他们还不愿把同信任域里的Sentinel当成Muse那种权限隔离，也不把没有出处的记忆当成事实。评测套件、双手开源模型和物理设备写在路线图里，不是已经做成的部分。