执行摘要

Codex 校核（2026-10-09） 本页是 2026-08-16 的分析文章，路线设想、工具评级与行业判断保留原时点。文中的 cite/filecite/turn 等标记是原对话内部引用，无法在此 vault 独立解析，不应当作可点击外部证据。可核验的安全研究入口包括 Your Agent, Their Asset、Systematic Security Evaluation of OpenClaw and Its Variants及 ClawKeeper；论文中的攻击成功率是各自实验设置结果，不能推导为所有 agent 的通用概率。开源工具表把 Coolify 写为“Docker/Go 等”不准确：官方仓库主语言为 PHP（Laravel 应用），Docker 是其部署基础设施。各服务价格、许可证、法律适用与2026年产品版本仍应以相应官方页面的时点条件为准；本文未作全量复现实验。

执行摘要

Jay Rosen 将 Web 2.0 的关键变化概括为：过去只能接受信息的“受众”获得了生产和传播工具，由被动消费者成为主动参与者（Rosen 2012）。fileciteturn0file0 本报告进一步提出：Web 1.0 降低了信息获取的稀缺性，Web 2.0 降低了内容生产资格的稀缺性，Web3 试图降低数字所有权与控制权的稀缺性；生成式 AI 又开始降低内容、代码和软件功能本身的稀缺性，而 Agent 正进一步降低“把能力组合成可执行服务”的门槛。由此，自托管可能从少数技术爱好者的服务器实践，转变为“个人软件制造”的默认形态：用户以自然语言要求功能，Agent 编写、部署、连接并维护临时 Web 应用与个人服务。OpenClaw、MCP、A2A、Ollama、Docker、ActivityPub、Matrix、IPFS 等已经组成这种趋势的早期技术拼图。与此同时，Agent 自动抓取与复制公开互联网将增强内容的事实持久性，却带来版权、隐私、来源证明、软件供应链和跨法域治理问题。最可能的未来并非完全脱离中心化云，而是形成一种用户拥有数据、身份、记忆与 Agent 控制面，而计算、模型和网络基础设施可以弹性租用的“混合自托管互联网”。

从 Web 的稀缺性演化到“个人软件工厂”

Rosen 在《The People Formerly Known as the Audience》中描述的并不仅仅是博客兴起，而是生产工具所有权的转移。旧媒体是一套高准入成本、少数机构向大量孤立公众单向广播的系统；博客把“印刷机”交给读者，Podcast 把“广播台”交给听众，数字视频把拍摄、剪辑和分发交给观众。更重要的是，网络增加了公民之间的横向连接，使过去只能向媒体中心“向上”连接的人可以彼此“横向”传播（Rosen 2012, pp. 13–15）。fileciteturn0file0

这一逻辑可以被扩展为一部“稀缺性逐层下降”的互联网史。不过需要强调，Web1、Web2、Web3 并不是严格的技术年代划分，而是一种分析框架。最早的 Web 浏览器本身实际上就具有编辑能力，因此把 Web1 简单称为“只读 Web”在历史上并不完全准确；但从大众使用结构看，“Read → Write → Own”仍是一个有解释力的模型（W3C 1990; O’Reilly 2005）。citeturn1search16turn1search18

因此，Rosen 当年的隐喻可以再推进一步：

Web 2.0 给每个乘客“一条自己的船”；Agent 时代可能开始给每个人一座“造船厂”。

用户不一定需要学习 React、数据库设计、OAuth、Docker Compose 和 NGINX 才能拥有一个小型软件。越来越强的 coding agent 可以根据一句自然语言需求生成前端、后端、数据库 schema、部署文件、测试和迁移脚本，再通过工具协议调用服务器执行这些操作。OpenAI 在 2026 年的 Agents SDK 更新已经把文件、Shell 命令、代码执行和长任务 sandbox 作为 agentic 软件工程的重要能力，同时明确警告 prompt injection、数据外泄及执行环境隔离等风险（OpenAI 2026）。citeturn6search5

这条路径可以表示为：

timeline
    title 从 Web 到个人自托管世界的稀缺性演化
    1990s : Web 1.0
          : 信息数字化
          : 降低信息访问与发布门槛
    2000s : Web 2.0
          : Blog / Wiki / UGC / Social Media
          : 受众成为生产者
    2010s-2020s : Web3
                : 区块链 / 可携带资产与身份
                : 尝试降低平台所有权垄断
    2022-2026 : Generative AI
              : 文本 / 图像 / 视频 / 代码趋向按需生成
              : 内容与软件生产成本下降
    2025-2026 : Agents
              : MCP / A2A / OpenClaw
              : AI 从回答转向调用工具与执行行动
    2026+ : Agentic Self-hosting
          : 自然语言生成与部署个人服务
          : 个人数据、记忆、工作流回到用户控制面
    2030s? : Self-hosted Worlds
           : World Models + Agents + XR
           : 用户拥有持续身份、记忆和生成世界状态

这里真正可能改变软件经济的，不是“AI 会写代码”本身，而是软件从预先生产的标准产品，变成按需产生的功能。传统逻辑是“发现需求 → 找软件 → 注册账号 → 学习 UI → 把数据上传给服务商”；Agent 化后的理想逻辑则是“表达需求 → 自动组合或生成服务 → 本地/个人服务器部署 → Agent 直接操作”。

这就是“言出法随”在软件工程中的较严谨版本。

当前技术地图：自托管、Agent 与世界模型正在汇合

截至 2026 年中，自托管已不是边缘小生态。GitHub 的 self-hosted topic 快照显示超过 15,000 个公共仓库；Awesome-Selfhosted 本身约有 30 万级 GitHub stars，并长期维护可以自行部署的网络服务与 Web 应用目录。不过这些数字只能证明生态规模很大，不能单独证明 Agent 已经导致自托管项目数量爆发；要证明因果关系，需要对 GitHub repository creation、topic、commit、AI attribution 和发布时间做纵向研究（GitHub 2026）。citeturn17search2turn17search4

更值得注意的是，排行榜中已经出现 n8n、Coolify、Jan、Appwrite 等“让用户自己搭基础设施”的项目，说明自托管正在由单个应用向“自己拥有一套云”演化。citeturn17search2

这张表揭示一个比“又多了几个 AI 工具”更重要的结构：

Agent、自托管和开放协议正在形成分层栈。

最底层是个人硬件、VPS、NAS 或边缘设备；其上是 Docker/OCI 和反向代理；再上是 Matrix、ActivityPub、IPFS、Syncthing 等数据与通信协议；Ollama 或远程 API 提供模型；MCP 提供“Agent → Tool”，A2A 提供“Agent → Agent”；OpenClaw 一类系统成为个人控制面。

所以未来所谓“self-host”不应该狭义理解为“所有计算都必须发生在自己家里的电脑上”。更现实的定义是：

Self-hosting 的核心不是物理机器所在地，而是最终由谁控制身份、状态、数据、密钥、权限和迁移权。

一个用户完全可以让模型推理发生在云端，却把长期记忆、文件、Agent policy、身份和数据库保存在自己的服务器。这种结构比“彻底离线”更可能成为大众路线。

世界模型则把这套架构继续向前推进。Genie 3 已经不是单纯生成视频，而是在用户行动条件下实时改变环境；Marble 强调持久、可导航的 3D 世界；Cosmos 3 更强调模型预测物理世界和动作后果。它们距离《黑客帝国》式长期、多人、全感官世界仍极远，尤其受限于长期一致性、动作空间、真实物理和计算成本，但技术对象已经从“文件”移动到了“环境”（Google DeepMind 2025; World Labs 2025; NVIDIA 2026）。citeturn12search0turn12search2turn11search0

因此前文关于“无限内容”的推论可以再推进一层：

生成内容 → 生成软件 → 生成 Agent → 生成环境。

未来所谓“个人服务器”甚至可能不只是保存文件，而保存：

我的身份 + 记忆 + Agent + 社会关系图 + 私人知识库 + 世界状态。

真正的大模型和 renderer 未必在家里运行，但我的“数字人生状态”可以由我托管。

Agent 化自托管将改变什么：从公开网络到“事实不可遗忘的网络”

OpenClaw 是观察这一变化很好的案例。其官方定位已经明确是运行在用户设备上的 personal AI assistant，Gateway 负责 sessions、channels、tools 和 events；它可以连接大量消息渠道，同时把状态保存在本地。2026 年 7 月，项目进一步成立 OpenClaw Foundation；官方此前还开始为 ClawHub Skill 提供来源信息和安全扫描（OpenClaw Foundation 2026）。citeturn17search3turn17search11

值得注意的是，OpenClaw 官方仓库已经明确欢迎 AI/vibe-coded pull requests。citeturn18search0 这代表了一种新的开源生产关系：开源项目不再只能由会完整掌握编程栈的人创建和维护。

这为用户提出的“GitHub self-host 项目可能随着 Agent 爆发而爆发”提供了一个合理机制，但目前仍应称为强假说，而不是已经被证明的事实。GitHub 当前有庞大的 self-hosted 仓库生态和极高关注度，但缺少足够严谨的纵向数据证明 2025–2026 的 repository growth 是由 Agent 直接造成。最值得做的一项研究，恰恰是建立 2020–2028 GitHub 数据集，比较 self-hosted topic 项目的新建率、commit 率、贡献者数、AI attribution 以及 Agent 代码特征。

如果这一假说成立，软件会发生三个结构性变化。

第一，应用会从“购买产品”变成“生成一次性功能”。

今天为了一个很小的功能，用户往往需要找一个 SaaS、注册账号并接受它的功能边界。未来可能直接告诉 Agent：

“做一个只有我和女朋友能访问的旅行相册，可以自动读取我们的照片，按地点和时间生成地图，不要上传第三方云，每天凌晨备份到 NAS。”

Agent 可以搜索现有 GitHub 项目；若已有 Immich、PhotoPrism 一类系统，则自动部署、修改；如果没有，就生成一个小型 Web 应用。

这里最具有颠覆性的不是代码生产成本下降，而是传统 SaaS 中大量“功能包装租金”可能被侵蚀。

第二，开源软件会从“源码公共品”变成 Agent 的零件仓库。

过去人必须理解 README、安装依赖和修改源码。未来 Agent 可以阅读几百个 repository，抽取 API、Dockerfile、schema、组件和 license，根据目标自动组合。

这可能提高 GitHub、开放模型仓库、公共数据集以及各种免费资源站点的战略价值。但必须纠正一个关键误区：

“免费访问”不等于“自由复制”；“公开”也不等于“没有版权”。

真正适合 Agent 时代的数字公共品，需要的不只是公开 URL，而是机器可读的许可、来源、版本、修改历史和再分发条件。

第三，互联网会出现“事实上的高持久性”。

一个公开网页过去主要面对 Google、Bing 和 Internet Archive 这类有限的大型 crawler。Agent 时代可能存在无数个人 crawler：一个人发布文件后，某个知识 Agent、研究 Agent、备份 Agent 或 federation node 很快抓取、embedding、镜像、摘要或保存。

这会让互联网从“发布以后还能删掉原站内容”向一种概率性不可逆演化：

[ P(\text{所有副本被删除}) \rightarrow 0 ]

随着独立抓取节点数量增加，原作者收回所有副本在实践上越来越困难。

但“永久存储”仍然不能从技术上理解得过于绝对。IPFS 官方明确说明，CID 提供的是内容寻址，而不是自动永久保存；内容仍需要节点 pinning，如果没有节点继续保存，内容仍可能不可获得（IPFS 2026）。citeturn5search11turn5search13

因此最好区分三个概念：

技术持久性 ≠ 法律许可 ≠ 来源真实性。

一个 Agent 能下载某个文件，不意味着它有权永久保存和重新公开；一个文件保存了一百份，也不意味着这百份内容是真实的。

这就引出 Agent 网络未来非常重要的基础设施：provenance（来源与变更链）。

C2PA 的 Content Credentials 规范允许对内容的来源、编辑过程和相关声明提供可验证记录；2026 年发布的 C2PA 2.4 又增加了新的 JSON 表达和 repository receipt 等机制。但 C2PA 自己也明确表示，它并不是 DRM，也没有在核心规范中定义 TDM 权利控制。换句话说，provenance 能回答“它从哪里来、发生过什么”，但不能自动回答“它是真的还是假的”或“你有没有权利训练它”（C2PA 2026）。citeturn16search2turn16search3

软件侧对应的基础设施则是 SPDX 与 SLSA。SPDX 已成为 ISO/IEC 5962 标准，用于机器可读地表达 SBOM、许可证和供应链信息；SLSA 1.1 则提供构建 provenance 和供应链完整性框架（SPDX 2026; SLSA 2025）。citeturn16search8turn16search4

未来一个负责任的 Agent 下载一个 GitHub 项目时，理想流程不应该只是：

找到代码 → docker compose up

而应该变成：

找到代码 → 检查签名 → 检查 SPDX/SBOM → 判断许可证兼容性 → 检查 CVE → 验证构建 provenance → 在 sandbox 试运行 → 请求必要权限 → 最后部署。

也就是说，Agent 越自主，机器可读治理越重要。

法律上，这个问题更加复杂。IETF 的 Robots Exclusion Protocol 明确指出，robots.txt 是要求 crawler 遵守的规则，但并不是访问授权机制（IETF 2022）。citeturn13search4 在欧盟，DSM Copyright Directive 第 4 条允许在特定条件下进行 text and data mining，但权利人可以对在线内容通过机器可读方式保留相关权利（European Parliament and Council 2019）。citeturn13search0

即使版权允许抓取，隐私仍是独立问题。GDPR 要求目的限制、数据最小化与存储期限限制；欧洲数据保护委员会也明确指出，个人信息是否公开只是评估 AI 数据处理合理预期的一个因素，不意味着公开数据自动可以无限处理（European Commission 2026; EDPB 2024）。citeturn15search1turn15search7

澳大利亚 OAIC 的表述更直接：AI 开发者不能因为信息已经在公开互联网上，就假定对这些个人信息的抓取符合隐私法；公开者本人也未必预期信息会被抓去训练模型（OAIC 2024）。citeturn14search12

这对于“大量个人 Agent 永久抓取网络”尤其关键。一个研究生在个人主页公布电话号码，不等于同意一百万个 Agent 永久建立可搜索的人物档案。

中国则正在向强制来源标识方向发展。《人工智能生成合成内容标识办法》及配套强制标准已经自 2025 年 9 月 1 日起实施，要求特定 AI 生成合成内容具备显式/隐式标识，并禁止恶意删除、伪造或隐匿规定的标识（国家互联网信息办公室等 2025）。citeturn14search0turn14search4 欧盟 AI Act 的生成内容透明度义务亦自 2026 年 8 月 2 日进入适用阶段，同时 GPAI 提供商还面临训练内容摘要和版权政策义务（European Commission 2026）。citeturn13search2turn13search6

所以未来的“自由资源站”真正有价值的并不只是“免费”，而是：

开放获取 + 明确许可 + 机器可读授权 + provenance + 可持续镜像。

这才是 Agent 能够安全利用的 commons。

自托管的真正瓶颈：安装会越来越容易，责任不会自动消失

生成代码的 Agent 很可能解决自托管过去最大的 UX 问题之一——部署复杂度。

但这并不意味着自托管会自动变简单，因为真正困难的事情往往发生在安装完成之后。

一个服务长期运行，需要处理域名、TLS、身份认证、backup、restore、数据库 migration、硬盘损坏、容器升级、API breaking change、secret rotation、日志、spam、DDoS、权限、依赖漏洞和灾难恢复。

Agent 可以替人执行这些工作，但这只把问题从：

“用户不会运维”

转移成：

“用户是否敢给 Agent 足够权限去自动运维？”

这恰好产生了 Agent 自托管最深的安全悖论：

[ \text{Agent usefulness} \propto \text{privilege} ]

同时：

[ \text{potential damage} \propto \text{privilege} ]

OpenClaw 官方安全模型就是非常直观的例子：其 main session 工具默认可以在 host 上运行，因此对于单用户助手而言，Agent 可能拥有很大的本地主机权限；官方建议对非 main session 使用 sandbox，并特别提醒用户在远程暴露 Gateway 前进行安全配置。citeturn17search11

2026 年针对真实 OpenClaw 的研究进一步说明这并非理论担忧。Wang 等人的 CIK-Bench 将 Agent 持久状态分成 Capability、Identity 和 Knowledge 三部分；在 12 类真实攻击中，单独污染任一状态维度，就把平均攻击成功率从 24.6% 提升到 64–74%。即使测试中的最强防御，在针对 Capability 的攻击下仍然存在很高的成功率（Wang et al. 2026）。citeturn18academia51

另一项 2026 年研究对六种 OpenClaw 系 Agent 框架进行了 205 个攻击测试，也发现 agentized system 的风险明显不仅取决于底层模型，凭据泄露、横向移动、权限提升以及执行能力都可能在多步骤 Agent runtime 中被放大。citeturn18academia52

而 OpenClaw 又只是整个生态的缩影。传统 reverse proxy 和低代码系统同样需要持续修补：2026 年 Traefik 出现过认证绕过、路径处理等安全更新；n8n、Flowise 等自动化/AI workflow 平台也有过高危乃至 critical RCE 漏洞。citeturn3search10turn9search15turn10search8

所以“Agent 自动维护我的服务器”必须建立在最小权限而不是“把 root 密码给它”上。

从个人使用角度，可以把挑战归纳成五类：

这也是为什么 MCP、A2A、ActivityPub、Matrix 之类开放标准比某一个 Agent 产品更加重要。MCP 正在标准化“Agent 怎么发现和调用工具”；A2A 标准化不同 Agent 怎样通信；ActivityPub 与 Matrix 则已经展示了服务可以通过开放协议形成 federation，而不必全部属于同一个公司。citeturn6search9turn7search14turn1search0turn5search0

真正成熟的个人互联网应该实现的是：

更换模型，不丢记忆；

更换 Agent，不丢身份；

更换服务器，不丢数据；

更换应用，不丢社交关系；

更换服务商，不需要从零开始。

否则我们只是把 Facebook、Google、Microsoft 的中心化，替换成另一家 AI Agent 平台的中心化。

经济上，也不应该期待 SaaS 完全消失。更可能发生的是价值层重组。

今天 SaaS 收费往往同时打包软件开发、托管、更新、身份、备份、客服和合规。Agent 将显著降低“写一个功能”的成本，却不会让 GPU、电力、带宽、备份、风控、合规、7×24 运维变成零成本。

因此市场可能从：

Software as a Service

向：

Software generated locally + Infrastructure/Trust as a Service

移动。

用户自己拥有软件逻辑和数据，但仍可能付钱购买 GPU inference、VPS、域名、备份、邮件投递、身份验证、安全扫描和灾难恢复。

这可能催生一种非常大的新市场：Managed Self-hosting。

它听起来矛盾，却可能恰恰是大众最终接受自托管的方式——“我拥有它，但不必亲自当 Linux 系统管理员”。

社会治理则会更加复杂。ActivityPub 已经说明，去中心化不等于没有 moderation；W3C 规范本身就讨论 spam、恶意 federation 与 denial-of-service 等问题。citeturn1search0 Matrix 近年的协议更新也已经增加 policy server、invite blocking、account suspension 等 trust-and-safety 机制。citeturn5search3

所以一个真正可扩展的去中心化网络并不是“没有治理”，而是：

把治理从一个全球平台，变成多个可选择、可退出、可以 federation 的治理域。

这种模式同时具有审查抵抗和滥用风险：异议群体可以逃离单一平台封锁，诈骗、仇恨、恶意档案库和非法资源也同样可以迁移。因此未来的核心争论不会再简单是“中心化还是去中心化”，而是：

谁能够制定规则？规则能否被审计？一个人能否退出并携带自己的数据离开？

三种未来：未来五至十年的 Agentic Self-hosting

未来并不是只有一条路线。到大约 2031–2036 年，我认为至少存在三种彼此竞争、也可能同时存在的稳定形态。

第一种是我认为最值得重视的基准情景。 它并不是“所有人家里摆一个服务器机柜”，而是“Personal Cloud 2.0”。一个人拥有自己的 yunlu.example：其中放着身份、文件、照片、邮件 archive、私人向量数据库、Agent memory、API credentials 和若干容器。Agent 根据需要临时产生应用，用完可以关闭，但数据继续属于用户。

这时候 App Store 的基本单位可能发生变化。

过去是：

下载别人预先写好的 App。

未来是：

描述一个需求，Agent 决定是否调用现有开源软件、组合模块，或者当场生成一个 App。

软件开始从产品变成语言的执行结果。

第二种未来最接近用户所描述的“资源站成为最大资源共享渠道”。 但真正能够壮大的不会只是“网盘式免费资源”，而可能是结构化、带来源和许可证的资源 commons。Agent 不需要一个漂亮的首页，它更需要 API、RSS/ActivityStreams、content hash、license metadata、C2PA、SPDX、版本号和稳定的可机器读取接口。

于是网站甚至会发生面向对象的转变：

Web2 的网站首先为“人眼”设计；

Agent Web 的资源首先需要同时为“机器行动者”设计。

第三种未来则提醒我们不要把去中心化当作技术必然。 OpenClaw 已经显示了这种矛盾：它的价值正来自本地文件、Shell、消息渠道和持久身份权限，而同样的权限也创造了巨大的攻击表面。2026 年中国工信系统的一份安全预警引用 CNNVD 数据称，在一个不到三周的统计窗口中收集到 69 个 OpenClaw 相关漏洞，其中包含超危和高危漏洞；官方建议及时升级修补。citeturn18search3

如果未来一个 Agent 同时能读邮件、操作银行、部署服务器、签合同、发送消息和执行 Shell，那么“大众 self-host”最终可能受到的监管强度会更接近金融软件，而不是今天的个人博客。

而在更远处，世界模型让三种路线全部可能继续延伸为 self-hosted world。

这里最值得避免的是一种误解：2030 年代最早出现的“个人生成世界”未必意味着模型和全部图形渲染都运行在家庭 NAS。

更可能是：

[ \text{用户本地持有世界状态} + \text{身份/记忆/规则} + \text{云端或本地弹性世界模型} ]

也就是说：

你未必拥有“宇宙的计算机”，但你拥有“这个宇宙的存档”。

这在哲学上甚至比模型部署在哪里更重要。

当虚拟环境能够维持长期历史，人的 Agent 也拥有长期记忆时，“软件自托管”会逐渐变成：

人生状态自托管。

这与前文《黑客帝国》的推演恰好连接起来：Web1 把信息搬入网络，Web2 把人搬入网络，Agent 逐渐把人的行动能力搬入网络，而世界模型最后可能把“环境”本身搬入计算。

此时最重要的数字权利也许不再只是：

“我能不能下载自己的照片？”

而是：

“我能不能完整导出我的 Agent、记忆、身份、关系和我生活了二十年的虚拟世界？”

这可能成为未来“数字所有权”真正成熟的含义。

我们现在可以做什么

对这一趋势最好的回应不是等待一个终极产品，而是把未来需要的基础层提前建设出来。

对于个人用户，最值得首先 self-host 的不是所有东西，而是不可替代的数据。 文件、照片、个人知识库、聊天记录、代码、Agent memory 应优先于视频转码之类容易重建的计算结果。Syncthing、Matrix、自托管 Git、个人数据库和容器化应用都适合作为实验。关键原则是“data first, app second”：应用随时可以重新生成，但个人历史不能。Syncthing 等项目已经证明成熟的 P2P 数据同步可以在不依赖单一中央存储商的情况下长期工作。citeturn3search1

一个现实的个人栈可以是：

                ┌─────────────────────────────┐
                │        Personal Agent       │
                │ OpenClaw / other runtime    │
                └──────────────┬──────────────┘
                               │
                     MCP / APIs / A2A
                               │
          ┌────────────────────┼────────────────────┐
          │                    │                    │
    Personal Data         Generated Apps       Federated Web
  files / memory / DB    containers / web      Matrix / ActivityPub
          │                    │                    │
     Syncthing/S3          Docker Compose         Federation
          │                    │
          └─────────── Traefik / NGINX ────────────┘
                               │
                      WireGuard/VPN or TLS
                               │
                 NAS / Mini-PC / VPS / Cloud
                               │
                      Off-site encrypted backup

但高权限 Agent 应当单独隔离。不要让个人 Agent 默认以 root 身份运行；给它单独 Unix user、container 或 VM；邮件、GitHub、云服务最好使用专门的 Agent account/token；删除文件、付款、发公开消息、修改防火墙、安装 executable、访问私人照片等高影响操作设置 human confirmation。OpenClaw 自己已经建议利用 sandbox 隔离非主 session，而安全研究同样表明仅依赖底层 LLM “自己判断恶意指令”是不够的。citeturn17search11turn18academia51

网络上尽量采用 deny-by-default。管理界面不要直接暴露公网；优先 VPN、设备身份或零信任访问；secret 不写进 Compose 文件和 Agent memory；保留可审计日志，并执行真正测试过 restore 的 3-2-1 backup。尤其要区分“同步”和“备份”：Syncthing 会同步删除，无法替代不可变快照。

对于 Agent Skill/MCP server，应该形成类似浏览器 extension permission 的 capability manifest：

该 Skill 需要：
✓ 读取 /photos/travel
✓ 调用 maps API
✓ 写入自己的数据库
 
不需要：
✗ Shell
✗ ~/.ssh
✗ 浏览器 Cookie
✗ Gmail
✗ 任意互联网下载执行

换句话说，不要问：

“这个 Agent 安全吗？”

应该问：

“这个 Agent 在最坏情况下究竟有能力毁掉什么？”

对于开发者，最值得投入的不是再造一套封闭 Agent，而是建设“可替换的个人计算层”。应用应该支持标准 Docker/OCI 部署、可导出的数据库、API、OAuth/OIDC、passkeys、MCP/A2A 等开放接口；软件发布时生成 SPDX SBOM 和 SLSA provenance；内容生成工具支持 C2PA；插件/Skill 应签名并声明网络、文件、Shell、摄像头、支付等 capability。SPDX、SLSA 与 C2PA 已经分别提供了软件供应链和数字内容 provenance 的成熟起点。citeturn16search15turn16search4turn16search2

更重要的是，Agent 生成的软件必须把维护信息也生成出来。真正合格的“一句话 App”不应该只留下代码，而应同时留下：

source/
compose.yaml
.env.example
MIGRATION.md
BACKUP.md
RESTORE.md
LICENSES.spdx.json
sbom.spdx.json
permissions.json
healthcheck
tests/

否则我们会制造出数十亿个没有任何人真正理解的“AI 遗留系统”。

对于研究者，目前存在几个非常值得做的实证项目。最重要的是建立 Agent × Self-host Longitudinal Dataset：测量 2020–2030 年 GitHub self-hosted repository 的增长、生命周期、AI-assisted commits、依赖数量、漏洞率和维护寿命，以检验“Agent 会导致自托管项目爆炸”这一命题，而不是仅凭 GitHub stars 推断。另一个方向是研究 Agent 的长期状态安全，因为 OpenClaw 的现有研究显示 Capability、Identity、Knowledge 的持久状态本身就是新的攻击对象。citeturn18academia51turn18academia53

还应该研究一个以前很少被系统讨论的问题：

当每个人都有 crawler 时，互联网的“遗忘成本”如何变化？

这涉及自动 archive、right to erasure、版权撤回、缓存、embedding、模型训练以及跨节点删除协议，未来可能成为数字媒体研究的重要课题。

对于政策制定者，最关键的是避免把“个人自托管”和“大规模商业平台”简单适用同一套责任。一个人在 NAS 上保存家庭照片、一个大学维护研究 archive、一个拥有一亿用户的平台，以及一个出售爬取个人档案的商业数据库，其风险和公共责任显然不同。

同时，应推动真正机器可读的数字权利表达。robots.txt 已经不足以覆盖 AI 时代，因为它控制的是 crawler 行为建议，而不是完整版权和隐私许可。citeturn13search4 更合理的生态应把：

可以索引？可以训练？可以 embedding？可以 archive？可以重新发布？可以商业使用？多久后删除？

变成明确、标准化、机器可读的政策。

但 provenance 也不应变成强制实名追踪一切内容的基础设施。C2PA 的优势之一就是把内容历史的可验证性与人类身份强制公开区分开来；其身份相关机制允许有选择地表达创建者或组织身份。citeturn16search17

因此自托管网络治理应追求四个目标同时成立：

可携带，而不是被平台锁定；

可验证，而不是必须实名；

可联合，而不是必须属于同一服务器；

可治理，而不是假装去中心化意味着不需要治理。

从这个角度看，未来最值得优先推动的一组标准不是某个公司专有 API，而是 OCI/Docker、ActivityPub、Matrix、MCP、A2A、C2PA、SPDX/SBOM、SLSA、OAuth/OIDC/WebAuthn 和开放数据导出格式。这些标准共同决定用户能否真正更换模型、更换服务器、更换 Agent，而不是重新被一家“AI 超级 App”锁死。

最终，Rosen 的文章可以得到一个比 Web 2.0 更激进的延伸。

Rosen 所处的时代发生的是：

“曾经被称为受众的人”获得了媒体生产工具。

fileciteturn0file0

Agent 时代可能发生的是：

“曾经被称为用户的人”获得了软件生产工具。

再进一步：

“曾经被称为平台客户的人”开始拥有自己的平台。

而世界模型时代甚至可能是：

“曾经只能选择数字内容的人”开始拥有自己的数字世界。

因此，自托管真正值得关注的地方不是“大家以后会不会自己装 Docker”。

它代表的是互联网历史上一条更长的权力转移：

[ \text{Read} \rightarrow \text{Write} \rightarrow \text{Own} \rightarrow \text{Generate} \rightarrow \text{Act} \rightarrow \text{Host} \rightarrow \text{World} ]

Web1 让普通人接触信息。

Web2 让普通人制造信息。

Web3 试图让普通人拥有数字对象。

生成式 AI 让普通人近乎无限地制造内容和代码。

Agent 则开始让普通人拥有行动中的软件能力。

如果接下来身份、数据、记忆、Agent 和应用重新回到个人控制之下，那么互联网真正的下一阶段可能既不是 Web3，也不是简单的 “Web4”。

它可能是：

The Self-hosted Web——一个每个人都拥有自己的、可以持续生长的互联网节点。

而在更远处，当世界模型成熟以后，这个节点所托管的甚至不再只是网站和文件，而可能是一个人的部分人生。

主要风险、判断边界与研究优先级

这套推演中最应该保持谨慎的，是三个“不能直接画等号”的地方。

第一，Agent 爆发不等于中心化平台消失。 中心化服务拥有规模经济、GPU、反垃圾系统、法律团队、全球 CDN、支付和身份网络，因此 Google、Microsoft、Apple、Amazon 或大型 AI 平台不会因为个人能生成 Web app 就失去价值。更可能出现的是“中心能力被模块化”：用户不再把全部数字生活交给一家平台，而是把模型、存储、邮件、支付和计算当成可替换基础设施。

第二，self-hostable 不等于真正 open source。 n8n 使用 fair-code 模式；Dify 的许可证包含额外商业限制；Open WebUI 也曾调整许可和 branding 条款。citeturn9search3turn9search0turn9search2 因此未来研究应区分 FOSS、source-available、self-hostable、local-first 和 decentralized，不能把它们混成同一个概念。

第三，去中心化不自动等于自由。 同一套 censorship-resistant 架构既能保护记者和异议群体，也能保护诈骗、恶意软件或非自愿私密内容传播。未来真正困难的技术不是“怎样永远存下来”，而是如何同时实现 provenance、申诉、节点自治、隐私、合法删除和抗审查之间的平衡。

也正因为如此，Agent 自托管是一个非常适合数字媒体研究的主题：它不仅是软件架构问题，还同时涉及媒介权力、数字劳动、产权、平台政治、隐私、开放文化和人机行动者关系。

Rosen 在 2006 年提出的问题是：

如果所有人都开始说话，那么谁来听？

到了 Agent 时代，问题可能变成：

如果所有人都能随时生成软件、服务、内容甚至世界，那么谁还需要传统意义上的平台？

但更深的问题则是：

当我的 Agent 替我阅读、保存、选择和行动以后，究竟是谁在塑造“我的互联网”？

这可能比“自托管会不会流行”更值得继续研究。

参考文献与建议优先阅读的一手资料

以下优先选择规范制定机构、政府、原始论文和项目官方资料；其中 ★ 特别适合作为后续正式论文的一手来源。

★ Rosen, J 2012, ‘The People Formerly Known as the Audience’, in M Mandiberg (ed.), The Social Media Reader, New York University Press, New York, pp. 13–16, doi:10.18574/nyu/9780814763025.003.0005. 本报告使用的课程原文。fileciteturn0file0

O’Reilly, T 2005, ‘What Is Web 2.0: Design Patterns and Business Models for the Next Generation of Software’, O’Reilly Media, 30 September. 这是将 Web 2.0 理解为 platform、participation 和 collective intelligence 的经典原始论述。citeturn1search18

★ W3C 2018, ActivityPub, W3C Recommendation, World Wide Web Consortium, 23 January. 联邦社交网络及 server-to-server federation 的核心标准之一。citeturn1search0

★ IETF 2022, RFC 9309: Robots Exclusion Protocol, Internet Engineering Task Force. 对 Agent crawler 尤其重要：规范明确指出 robots 规则并非 access authorization。citeturn13search4

★ OpenClaw Foundation 2026, OpenClaw — Personal AI Assistant, official project documentation and GitHub repository. 应优先阅读其 Gateway、security、sandbox、skills 与 multi-agent 架构，而不是只看二手媒体报道。citeturn17search3turn17search11turn18search0

Wang, Z et al. 2026, ‘Your Agent, Their Asset: A Real-World Safety Analysis of OpenClaw’, arXiv, arXiv:2604.04759. 目前分析个人 Agent 持久状态安全风险的重要实证研究之一。citeturn18academia51

Wang, Y et al. 2026, ‘A Systematic Security Evaluation of OpenClaw and Its Variants’, arXiv, arXiv:2604.03131. 对多个 OpenClaw 系 Agent runtime 的 lifecycle security 进行比较。citeturn18academia52

Liu, S et al. 2026, ‘ClawKeeper: Comprehensive Safety Protection for OpenClaw Agents Through Skills, Plugins, and Watchers’, arXiv, arXiv:2603.24414. 提出 runtime watcher 与 human intervention 等防护机制。citeturn18academia53

★ Model Context Protocol 2026, Model Context Protocol Specification, official MCP project. 建议关注 tools、transport、authorization 和 state/session 的设计，因为 MCP 很可能成为自托管 Agent 与个人服务连接的重要中间层。citeturn6search0turn6search9

★ Linux Foundation 2026, Agent2Agent Protocol, A2A Project. 2026 年进入 1.0 阶段，关注跨 Agent interoperability、identity 和 transport。citeturn7search0turn7search6

★ Google DeepMind 2025, ‘Genie 3: A New Frontier for World Models’, Google DeepMind. 当前从生成视频向实时交互式生成环境推进的重要官方技术资料。citeturn12search0

★ NVIDIA 2026, ‘NVIDIA Launches Cosmos 3’, NVIDIA Newsroom. Cosmos 3 将 vision reasoning、world generation 与 action prediction 结合，代表 Physical AI 路线。citeturn11search0

★ World Labs 2025, ‘Marble’, World Labs. 可用于研究生成式、持久、可导航 3D 环境及其与传统 game engine 的差异。citeturn12search2turn12search3

★ IPFS 2026, IPFS Documentation: Content Addressing and Persistence. 对“Agent 抓到网上以后是不是永远存在”的讨论尤其关键，因为官方明确区分 content addressing 与 persistence/pinning。citeturn5search11turn5search13

★ C2PA 2026, Content Credentials: C2PA Technical Specification 2.4, Coalition for Content Provenance and Authenticity. 建议将其作为 AI 内容 provenance 的核心标准来源，同时注意 C2PA 不等同于事实验证或版权 DRM。citeturn16search2turn16search3

★ SPDX 2026, System Package Data Exchange Specification, Linux Foundation; ISO/IEC 5962. 自托管 Agent 自动安装软件时，license、SBOM 和 provenance 的机器可读标准具有基础设施意义。citeturn16search8turn16search18

SLSA 2025, SLSA v1.1, Supply-chain Levels for Software Artifacts. 用于理解 Agent 自动下载、生成和部署代码时如何建立供应链 provenance。citeturn16search4

★ European Parliament and Council 2019, Directive (EU) 2019/790 on Copyright and Related Rights in the Digital Single Market, Official Journal of the European Union. Article 3–4 是讨论 text and data mining、合法访问和机器可读 rights reservation 的关键法律来源。citeturn13search0

★ European Data Protection Board 2024, ‘Opinion on AI Models: GDPR Principles Support Responsible AI’, EDPB, 18 December. 对公开个人数据、legitimate interest、匿名化和 AI model 数据处理具有直接意义。citeturn15search7

European Commission 2026, ‘Guidelines on Obligations for General-Purpose AI Providers’ and ‘Code of Practice on Transparency of AI-generated Content’, European Commission. 截至 2026 年 8 月，EU AI Act 已进入生成内容透明度与 GPAI 义务实际适用的新阶段。citeturn13search2turn13search6

★ Office of the Australian Information Commissioner 2024, ‘Guidance on Privacy and Developing and Training Generative AI Models’, OAIC. 对“公开网页是否可以任意抓取个人信息”的澳大利亚法背景特别值得优先参考。citeturn14search12

★ 国家互联网信息办公室、工业和信息化部、公安部、国家广播电视总局 2025，《人工智能生成合成内容标识办法》，中国网信网，2025年3月发布、2025年9月1日起施行。是研究中国 AI provenance、显式/隐式标识和传播责任的重要一手法规。citeturn14search0turn14search4

U.S. Copyright Office 2025, Copyright and Artificial Intelligence, Part 3: Generative AI Training, pre-publication version, U.S. Copyright Office. 美国并不存在一个简单的“公开网页即可自由训练”的统一规则；fair use 仍须结合具体事实与四因素进行分析，相关 AI training 政策仍处于发展过程中。citeturn19search11turn19search4

Awesome-Selfhosted 2026, Awesome-Selfhosted, GitHub. 适合作为观察自托管软件类别、许可证和技术变化的动态数据源，但不能单独作为“Agent 导致 self-host 爆发”的因果证据。citeturn17search4turn17search2