开源雷达 · 2026-10-18：模型不再是主角，agent 的操作层才是

每天从 GitHub 本周在涨的项目里挑 5 个，偏向 AI Agent 和开发工具。我读了每个项目的 README、发布记录和最近的提交，没有逐个安装运行；哪条试过，会在条目末尾写明。Star 数等数字取自 GitHub，截至 2026-10-18。

今天这五个项目里没有一个模型。它们分别管 agent 记得住、跑得久、技能可管、权限收得住、状态看得见这五件事。

1. akitaonrails/ai-memory ⭐ 9,999 · Rust

GitHub：github.com/akitaonrail...

一句话：给编码 agent 用的长期记忆服务，记忆存成 git 托管的 markdown，二十多个 agent 运行时共用同一份。

它是什么 ：会话中途关掉一个 agent、换另一个在同一目录接着干，新 agent 不会知道你试过什么、哪条路失败了。这个 Rust 单二进制补的就是这段空白：生命周期钩子静默采集，会话结束编译成 wiki 页，下次会话注入一段有界摘要，再用手递记录交接未完成的工作。2026 年 5 月建仓，五个月做到 9,999 stars、725 forks、150 位贡献者；release 数在 GitHub 单页 100 条上限处被截断，最近三天连发 v3.0.1、v3.1.0、v3.1.1。

值得注意的地方：

• markdown 是唯一真源，索引可以随时重建。 正文是 .md，能 grep、能用 Obsidian 打开、能手改、能 rsync；SQLite 只是派生索引，删了能重建，没有必须维护的向量库。源页面保持可检查，索引可以重建；纯文本本身并不保证不会损坏。
• 交接记录只能被领取一次。 手递不是一段自由文本，而是带 owner 的类型化记录，claim 一次即失效。这一机制旨在避免两个执行者同时领取同一交接，不保证后续工作恰好执行一次。
• 默认路径零 LLM 调用，连「变老」都不用模型。 采集、检索、注入、交接都不需要 API key；按层可调的衰减曲线、访问加权保留（打开、搜索、被链接都算使用）、把冷掉的笔记压成持久事实、近似重复合并、矛盾标记，全是确定性逻辑。改写类操作默认关闭，且永不硬删，restore-page 能捞回旧版本。
• 召回数字是自己量的，还标了不可横比。 LongMemEval-S 470 题 hit@5：2.6 线零 LLM 0.666、本地 embedding 0.815；3.0 的 observation stream 打开后升到零 LLM 0.951、本地 embedding 0.945。项目的对比文档列出这些数字，也说明 Mem0、Zep 等公布的是端到端 QA 准确率，不能直接横比。
• 团队能力不做付费分层。 多人认证、按人归属、审计日志都内置；写入上限约 700 次/秒是实测值。

和同类比：Mem0、LangMem 这类每轮抽原子事实的工具，留下的是不透明的事实行；Zep、Graphiti 这类时序知识图谱拿到了类型化边，但要另起一个图数据库还要 LLM 在环；basic-memory 同样以 markdown 为真源，但缺自动采集、跨 agent 交接和多人共享。分野不在检索算法，在产物归谁、能不能手工改。

最近更新 ：v3.1.1（2026-10-17）修掉 lint 把过期页面算进去的问题，curator 的 TTL 行为与文档对齐；v3.1.0（10-16）、v3.0.1（10-15）是 3.x 线的连续补丁。最近提交是 10-17 19:50 UTC 合并 PR #1390。

适合谁：同时用两三个编码 agent、或者换机器接着干同一件事的人。要注意：它对部分运行时的支持只有 MCP，没有钩子采集，等于只能读不能自动记；原生 Windows 还是 experimental，建议走 WSL2。

我的看法：⭐⭐⭐。记忆工具里少见的克制：默认不花 API 钱、改写要过评估才能默认开、删了能捞回来。值得抄的是「claim-once 交接」和「访问加权保留」这两个机制。

核验：读了 README、release 列表、最近提交和它自己的 benchmark 文档，没有安装。

2. AMAP-ML/LongHorizon-Harness ⭐ 1,750 · Python

GitHub：github.com/AMAP-ML/Lon...

一句话：套在现成编码 agent 外面的执行循环，把长任务拆成一轮轮有界步骤，每轮新开上下文、独立验证，通过才记账。

它是什么：给 Claude Code、Codex、OpenCode 这类 CLI agent 加一层长时程外壳。你给一次目标，它反复做四步：切出下一个明确步骤、在桌面应用或终端里执行、检查真实产物（文件、界面、日志、测试）、把通过的结果记成进度。上下文刷新、动作失败、验收不过，下一轮都从原始目标加最后一个已验证检查点重启。学术侧很热，论文 arXiv 2608.01964，2026-08-06 登顶 Hugging Face Daily Papers 周榜；工程侧 8 个 release 全部集中在 8 月 14 到 20 日，之后到 10 月 18 日没有新提交。

值得注意的地方：

• 三个角色是边界，不是三个各自长身体的 agent。 Manager 每轮从原始目标、已验证进度、失败证据重建状态；Executor 用全新上下文只做一个步骤；Auditor 独立去看真实文件和界面，不信 Executor 的自述。没通过验证的结果降级为「证据」，不计进度。这条规则让没有产物支持的完成声明更容易被发现。
• 新鲜上下文是设计，不是副作用。 每轮 Executor 不带上一轮对话，只带重建后的状态。长任务多半死在上下文腐烂上，它选择每轮重开、用状态文件承担记忆。
• 同后端、同模型，只换 harness 就有明显差距。 论文报告的对照使用 Qwen 3.7-Plus 做骨干、Claude Code 做执行后端；以下数字未由我复现：WeaveBench 114 题通过率 51.8 到 80.7；OSWorld 2.0 108 题二值完成 2.8 到 8.3，三倍；Terminal-Bench 2.1 成功率 69.7 到 77.2，同时省 24% 的 token。
• 角色可以各挂不同模型和权限。 Manager、Executor、Auditor 能分别指定后端和模型，读写范围按角色收窄。不同角色的模型与权限提供了明确的成本和访问控制入口。
• 跑完不是死路。 v0.1.7 把结束的运行变成可继续的对话，中途发的消息由下一轮领取；停止信号只有在 worker 无视时才升级成强制终止。

和同类比：OpenHands 这类平台会连 agent 一起接管，它只接管循环，模型和 CLI 都还是原来那套，坏一层能单独换。和 Claude Code 自带的子 agent 比，差别是验证由独立角色做，不是同一个人自查，而且状态落在磁盘上，能跨进程和跨天恢复。和 AutoGPT 式自循环比，它多了一个只读 Auditor，以及「未验证不算进度」这条硬规则。

最近更新 ：v0.1.7（2026-08-20）支持把跑完的任务当对话续跑，续跑基于已有轮次账本；每角色加 --reasoning-effort；只有 guard 失败时判该轮失败而不是整个运行失败（#28）；控制总线读到 EBADF 能自恢复（#33）。v0.1.6（08-17）加了 OpenCode 与一个 CLI 后端的适配。

适合谁：要让 agent 连续干几小时、且必须能说清「做到哪一步」的人。注意两点：仓库两个月没提交，长期维护是风险；README 明说只在 macOS 上测过，Windows 支持「已包含但未充分测试」。

我的看法：⭐⭐⭐。它把「长任务」从提示词问题变成状态机问题，而且给出了同后端对照的数字。就算不装，那三个角色的职责划分也值得照抄。

核验：读了 README、8 个 release 的说明、最近提交与论文主页链接，没有安装。

3. MadsLorentzen/ai-job-search ⭐ 50,666 · Python

GitHub：github.com/MadsLorentz...

一句话：把编码 agent 变成求职流水线的技能库，抓职位、按五维打分、定制简历和求职信，再让第二个 agent 挑毛病。

它是什么 ：fork 走、填完个人画像就能用的端到端工作流，12 个斜杠命令（/setup、/scrape、/rank、/apply、/interview、/outcome 等）加 6 个招聘站技能目录。作者是地球物理出身，2025 年底被裁后用这套流程找工作，69 份定制投递、20 次一面、1 份签下的合同，2026 年 6 月入职做 AI 工程师。仓库只有 4,679 KB，10 个 release、78 位贡献者，重量在流程和文本契约上，不在代码量上。

值得注意的地方：

• 每个技能是自包含目录，带硬契约。 SKILL.md 带 enabled: 开关，一个 search / detail CLI，输出支持 --format json|table|plain，自带测试；/scrape 自动发现所有符合契约的技能，不用注册表；/add-portal 负责生成新的。
• CI 会 lint 技能本身。 仓库里有 lint_skills.py，检查 skills、commands 和 settings.json 的一致性。技能不是散落的提示词，是被 CI 当代码管的产物。
• 写手和审稿人是两个上下文。 起草 agent 写完，另起一个全新上下文的 reviewer 去研究这家公司并挑刺；草稿以 inline 递过去而不是让它重读文件；所有断言都要对回画像，不允许编造技能和经历。
• 把招聘启事当不可信输入。 不执行正文里的指令、不抓正文里的链接，同时老实说这是指令层防御、不是沙箱。安全声明写成这样，比写「已加固」有用。
• fork 的隐私坑写在最显眼处。 公开仓库的 fork 必然公开，而初始化会把姓名、联系方式、薪资期望写进被追踪的文件；所以自用应当建私有仓库、把上游设为 upstream。

和同类比 ：简历 SaaS（Rezi、Teal 这类）解决排版和关键词，不管检索、评估、投递后的反馈；prompt 合集给的是话术，没有可执行入口，也没有测试。它落在中间：能力有 CLI 边界、有 enabled 开关、有 CI，产物是本地 LaTeX 文件。代价是绑死���个无免费档的工具链。

最近更新 ：v1.7.2（2026-09-29）主题是「文档里写的检查真的会跑」：编译出的 PDF 改成实测版式、招聘站 CLI 不再盲信 URL 里的数字、Python 工具能处理非 ASCII。更早的 v1.7.0 修了一个真实隐私泄漏，gh repo fork --clone 会把上游设成默认仓库，自动化提 issue 就提到了上游。

适合谁：正在找工作、愿意自己维护一份画像的人；以及任何在给 agent 写技能库的人，它的目录结构和评审协议可以直接借。注意需要付费的 Claude Code 加 LaTeX 环境，招聘站偏丹麦市场。

我的看法：⭐⭐。作为求职工具它很小众，作为「技能库该怎么组织」的样本它值钱：契约、开关、测试、lint，四样齐全。

核验：读了 README、release 说明、最近提交，并数了命令与技能目录，没有安装。

4. NVIDIA/NemoClaw ⭐ 22,764 · TypeScript

GitHub：github.com/NVIDIA/Nemo...

一句话：把现成的 agent 运行时装进沙箱的一套厂商参考栈，管推理路由、网络出域、凭证和状态生命周期。

它是什么 ：NVIDIA 给「怎么安全地跑别人的 agent」的答案。它不实现 agent，支持三个运行时（默认 OpenClaw），把它们连同配置、工具、凭证装进 OpenShell 沙箱，外面套一层带版本号的 blueprint。主机端 CLI 管安装、体检、引导和日常操作；网关管沙箱生命周期、凭证、网络策略、推理路由和受控出口。仓库约 476 MB、185 位贡献者、797 个开放 issue，PR 编号已到 #13377；但 2026-03-16 起就是 early preview，文档版本只到 v0.0.135，GitHub 上唯一的 release 是 10 月 1 日的 CI 工具链快照，不是产品版本。

值得注意的地方：

• 四层防护，且明确区分能不能热改。 网络层挡未授权出域，运行时可热加载；推理层把模型调用重路由到受控后端，也可热加载；文件系统层把系统路径设成只读、只放开 /sandbox 和 /tmp，建沙箱时锁死；进程层挡提权和危险系统调用，同样锁死。哪些能改、哪些必须重建，这个区分比防护本身更有用。
• 越权访问变成一次人工审批。 agent 访问未批准的主机时，网关拦下并推到终端界面让人批；批准过的端点只在当前沙箱实例有效，不写回基线策略文件。临时放行不会沉淀成永久后门。
• 凭证是作用域句柄，不是原始密钥。 写进配置的是引用；切换推理供应商时存的是句柄，重建时只在端点与凭证键都对得上才刷新，用户自管的凭证不动。
• 失败要 agent 自己说清原因。 运行时上下文要求 agent 先尝试允许范围内的操作，失败后报告到底是策略拒绝、DNS、超时、TLS 还是文件权限。这条对排查和审计都关键。
• 给 agent 自己读的安装路径。 提供一段 starter prompt，让本地编码 agent 带着人装：一次问一个问题、命令必须经人批准、密钥不进对话。

和同类比：E2B、Daytona 这类代码执行沙箱，沙箱的是「跑一段代码」；这边沙箱的是整个 agent 运行时，推理、MCP 凭证、出域、状态都在边界内。和自己拿 Docker 套一个 agent 比，差别不在容器，在策略的生命周期：基线策略、实例内临时批准、热加载与锁死的边界，DIY 方案通常一条都没有。代价是绑 NVIDIA 的 OpenShell 和 DGX、WSL 宿主。

最近更新 ：v0.0.135（2026-10-15）强化凭证处理、沙箱恢复与失败诊断；受管工具网关改用专用 provider profile 加不透明 broker token，创建或复用前先校验绑定（#13102）；推理侧拒绝解析到自家端点的非规范 URL（#12925）；新沙箱默认渐进式工具披露（#13173）。

适合谁：要给团队批量部署第三方 agent、并且需要向安全或合规交代边界的人。它还是 alpha，README 写维护者按 best effort 处理、不承诺响应时间；硬件门槛也不低。

我的看法：⭐⭐。装不上也不该装，但那四层的分法和「临时批准不写回基线」这两条，是任何 agent 系统都该有的自查表。

核验：读了 README、NVIDIA 官方架构与发布说明文档、最近提交，没有安装。

5. penso/herdr-gpui ⭐ 1,476 · Rust

GitHub：github.com/penso/herdr...

一句话：一个 agent 运行时的第三方原生桌面客户端，把工作区、worktree、每个 agent 的状态和终端画在同一屏。

它是什么 ：Herdr 是一个让编码 agent 一直活着的运行时（herdrdev/herdr，44,531 stars，Apache-2.0），agent 跑在守护进程里，关窗口也不停。这个仓库是它的第三方 GUI，作者明确声明与官方无关；客户端不安装、不启停守护进程，只管看和操作。客户端本身 2026-09-20 建仓，一个月发了 41 个 release（10-13、10-14、10-16 连续三版），53 位贡献者。

值得注意的地方：

• 不做终端模拟器，只画单元。 它连守护进程的客户端 socket，拿到终端网格后自己绘制，包括分屏。实线框线、块元素、四种 powerline 分隔符直接画在单元网格上，边缘对齐到设备像素，整格高的框线不会因为行距被切掉。自己画而不是嵌终端，换来的是同一份会话能被多个前端同时渲染。
• 一个任务一个 worktree，是默认姿势。 侧栏按仓库列 worktree，右键能新建、重命名、fan out、关闭；PR 合并后可以一键移除对应 worktree。
• Teleport：把 worktree 搬到另一台机器。 项目描述可迁移提交、未提交改动、标签页、分屏、运行程序与 agent 会话。我没有测试运行中的进程是在目标端继续执行还是重新构建；tmux 本身不提供这种 worktree 迁移流程。
• 评审意见直接回会话。 打开 diff 按行留注，一键发给 agent；浏览器标签页里也能框选元素、写注、发回。人看结果、人提意见这条回路做进了界面。
• 状态是一等公民。 每个 agent 带状态点：空闲、干活、等你。需要人介入会走系统通知、声音和 Dock 角标；状态栏还显示各 AI 服务的额度余量。
• 性能有可复现口径。 自带 160×50 单元、40 个工作区、40 个 agent 的合成基准，用真实鼠标事件走框架的事件分发，p95 预算可配（默认 release 250 ms，作者本机校准到 30 ms）。

和同类比 ：tmux、zellij 管的是终端会话，不知道哪个 pane 里跑的是哪个 agent、它在等谁；编辑器附带的终端能跑命令，但 worktree 和状态都要自己开、自己看；同生态的 herdr-web-ui（1,153 stars）走浏览器和手机，胜在远程可达，这个客户端胜在原生渲染和桌面交互。真正拉开距离的是三件事的组合：原生渲染、worktree 为一等对象、跨机 teleport。

最近更新 ：v20261016.1（2026-10-16）状态栏加网络延迟与丢包、侧栏设备可拖拽排序；v20261014.1（10-15）标签拖出即开新窗口、pane 可移到另一台设备、浏览器标签渲染 markdown；v20261013.1（10-13）PR 合并后移除 worktree、worktree 可在云设备间 teleport、新增控制运行中应用的 CLI。

适合谁：同时养着十几个 agent 会话、又主要在 macOS 上干活的人。前提是你已经在用 Herdr 守护进程；Linux 包和 Windows 版都标 experimental，macOS 需要 14.2 以上。

我的看法：⭐⭐。装不上（缺守护进程），但「一个任务一个 worktree」「状态点」「评审发回会话」这三条设计，比它多出来的那点渲染技巧更值得抄。

核验：读了 README、仓库里的性能报告、41 个 release 的说明与最近提交，没有安装。

速览

项目	定位	最独特的一点	适合谁	值得深入
ai-memory	编码 agent 的长期记忆	markdown 为真源，跨 agent 交接只能领一次	多 agent 并行、换机器干活的人	⭐⭐⭐
LongHorizon-Harness	长时程执行循环	独立 Auditor，未验证的结果不算进度	让 agent 连续干几小时的人	⭐⭐⭐
ai-job-search	求职工作流技能库	技能带 CLI 契约、测试与 CI lint	写技能库的人、求职者	⭐⭐
NemoClaw	agent 沙箱参考栈	四层防护并区分热改与锁死	要交付 agent 安全边界的人	⭐⭐
herdr-gpui	agent 会话桌面客户端	worktree 为一等对象，可跨机 teleport	多会话、macOS 用户	⭐⭐

本期观察

• 今天的五个入选项目集中在 agent 操作层。 五个项目没有一个模型：记忆、循环、技能、沙箱、会话界面，刚好覆盖一个 agent 从记得住到看得见。即便使用相同模型，这些环节也值得分别比较。
• 记忆之争的判据换成了「谁拥有文件」。 能不能 grep、能不能手改、删了能不能捞回来，比检索分数更影响长期使用。项目的检索分数只适用于其自测设置，不能证明所有记忆流程都无需模型调用。
• 长任务的天花板是「谁验证」。 同后端同模型，只把循环换掉，通过率从 51.8 到 80.7。这个报告结果值得用固定模型、独立验证的方式继续核对，不能据此排除模型能力的影响。
• 技能库开始有工程约束。 带开关、带 CLI 契约、带测试、进 CI，这四样一旦齐了，技能就从提示词变成了模块；没齐的，写多少条都还是提示词。

作者：Renchao Wu ｜ 原文：开源雷达 · 2026-10-18：模型不再是主角，agent 的操作层才是