Daniel Miessler 的 PAI：12 个 hook、30 个上下文文件，把 Claude Code 改成个人操作系统

2026 年 1 月，Anthropic 发布 Claude Cowork。Daniel Miessler 在播客里转述，Anthropic 说这套桌面协作产品用 Claude Code 在一周内写完，没有人类写代码。这个细节比 benchmark 更直接：模型能力在趋同，真正拉开差距的是外面的脚手架。

Daniel 是网络安全老兵，1999 年入行，在 Apple 的机器学习团队待过，后来做 Unsupervised Learning 通讯，开源了 PAI，Personal AI Infrastructure。他给自己的数字助理起名 KAI。这集《Cognitive Revolution》由 Nathan Labenz 主持，聊的是一套围绕单个人重建工作方式的工程。

公司理想员工数是零，AGI 是一次产品发布

Daniel 的判断很硬：多数知识工作的替代门槛极低。看邮件、总结邮件、写报告、把几份报告拼成另一份报告，这些动作正好落在 AI 最擅长的区域。员工周一 dread Monday，工作环境还充满办公室政治，人没有把创造力打开。AI 要跨过的杆，比很多人想得低。

「对多数公司，理想员工数是零。」

他用冰淇淋车举例。一个人开车卖冰淇淋，一周赚 500 美元，能活，也不需要向门外的人解释为什么没雇人。公司雇人，是因为创始人和产品负责人没法同时出现在所有地方。AI agents 让一个人拥有自己的“员工队伍”，回到每个人做自己工作的状态。

他把 AGI 定义成一次产品发布，模型发布只是其中一层。判断标准很具体：AI 和人类新员工一起 onboarding，看 mandatory 视频，做安全培训，周一参加 all hands，从经理手里接活，交活。经理说目标变了，项目停了，AI 要像人一样立刻 pivot。它不需要每个子任务都达到人类顶尖，只要把平均知识工作者的整套杂活接住，劳动市场就会感到压力。

时间表上，他猜 2027 年出现这种“虚拟员工”产品，也可能拖到 2028 或 2029。Nathan 在节目里提到，Anthropic 基本不招初级岗位。两人都认为，一旦跨过“可替换的平均知识工作者”这条线，扩散会很快。Daniel 更直接：2028 到 2029 年，UBI 会从理念变成现实压力，因为旧循环会开始断裂。工资买商品，商品养活公司，公司发工资，这个循环被大规模知识工作自动化打断后，需要新的社会契约。

两人的分歧主要落在速度上。Nathan 承认自己过去几年总高估一年内的冲击，Daniel 认为企业一旦认真做任务盘点，很多替代早就可以发生。分歧不在终点，在中间那段过渡有多痛。

安全变成攻击者 AI 栈对防御者 AI 栈

Daniel 的老本行是安全。他说企业安全的大问题，有一大半是组织不知道自己正在发生什么。服务器起落、端口打开、API 上线、软件腐化、配置漂移，任何一家像样的公司都在高速产生这些变化。日志即使全存下来，也没有足够的人看。安全团队从 100 人扩到 1000 人，仍然看不过来，而且大多数公司不会这样扩。

他的框架是：攻击者的 AI 栈，对防御者的 AI 栈，这就是接下来的比赛。攻击者可以用 Claude Code 这类脚手架做持续侦察，抓员工信息，生成心理画像，写出高度个性化的 spear phishing。他举例说，一个 prompt 就能让系统生成 256 个钓鱼活动，两分钟后 250 个活动同时跑起来，各自带基础设施、收密码、卖访问权限。过去这需要一支高水平渗透团队，按行业和公司排队做；现在从“想害人”到“实际开打”的路径被压到几分钟。

攻击窗口也在缩短。Daniel 入行时，一个暴露面有几周时间等人发现。现在缩到小时和分钟，某些环节已经到秒。防守方还有一个结构性优势：内部团队直接访问 AWS、网络日志、配置变更和身份系统，攻击者只能从外部信号推断。如果双方 AI 能力接近，防守方的数据优势会变得关键。

可行的防守方式，是让另一套 agentic 系统持续读日志、盯配置、做自攻击、追踪每个状态变化。Nathan 提到 SendGrid 钓鱼邮件案例：伪造一个让人愤怒的立场，诱导用户点链接、登录、交出密码。技术暴露面可以关，人的情绪难关。Daniel 的回答仍是同一套：防守方要假设有上百万个 agent 正对准自己，用同样细的颗粒度理解员工、权限、应用和变更。

他给企业的结论不好听：别指望只招更聪明的人。速度差太大。安全团队要建设的是能持续理解公司状态的 AI 栈，人的工作转向设计目标、设定边界、审查结果。

PAI 的中心是个人目标，TELOS 先问问题

PAI 全称 Personal AI Infrastructure。Daniel 的开源项目围绕单个人构建，先收集这个人的目标，再让 AI 围绕目标工作。核心组件叫 TELOS，收集 purpose、mission、goals、problems、strategies 这些信息。起点是 problems，先问你觉得世界哪里不对，你个人哪里不对，你想改变什么，障碍是什么。

他有个外星人拿剪贴板的比喻。外星人随机采访地球人：你是谁，你在做什么，你认为世界哪里有问题，你打算怎么改。多数人回答“我是会计专员，我检查表格，我发报告”。再问“你自己的观点呢”，回答变成“那是特殊的人做的事”。Daniel 说，这套社会化把地球的创造力激活率压得很低。他开玩笑说，外星人给地球的 activation 打分，可能只有 0.0013。PAI 想做的，是把“我也可以有想法”这件事变成可操作的系统。

实际运行时，他的启动上下文大约 5 千到 1.5 万 token，约 30 个上下文文件。主文件 skill.md 解释 PAI 是什么、资源在哪里、如何路由。Claude Code 的 skill 系统分三层：front matter 像路由表，skill.md 是主入口，其他文件按需读取。启动时不会把所有个人资料一次性灌进去，系统知道去哪里找邮件联系人、写作偏好、项目背景。

记忆用文件系统，不把 vector RAG 当主引擎。他 1999 年以来一万多篇写作存档，偶尔用 RAG，平时更信文件结构。.claude 目录下有 memory，里面分 learning、signals、events JSONL 等。Claude Code 天然记录每次 prompt、工具调用和输出，这些原始日志进入记忆结构，再叠加多层总结和 JSONL 索引。需要细节时回读原始日志，日常导航靠索引。

现在有 12 个 hook 常驻。用户提交 prompt 时，hook 做安全检查、情感分析、路由。情感分析用 Haiku，判断 Daniel 对结果是否满意，形成直方图。系统再看“他要什么、我做了什么、他满不满意”，决定下一步多做哪类动作、少做哪类动作。三级推理分工是 Haiku、Sonnet、Opus，分别对应快、标准、聪明。

模型也不止一家。KAI 大约接 6 家模型供应商。Gemini 适合超长上下文和 haystack 检索，Codex 参与深度研究，Ollama 跑本地模型。一个深度研究 skill 能拉起 5 个研究 agent，拆成 8 个子任务。KAI 还把常用 MCP 逆向成 TypeScript，减少上下文占用，直接说 Salesforce、邮件、生产力软件的语言。

升级也写进系统。Daniel 把 YouTube 链接丢给 upgrade skill，取字幕，读他的 TELOS 和整个 PAI 结构，给出升级建议。Claude Code 2.1.6 刚发布时，系统会读 changelog、Anthropic 工程博客、播客和 YouTube，列出优先级：哪些新能力该接进 hook，哪些该改 skill。他读 Mark Forsyth 的《Elements of Eloquence》，也能让系统把修辞手法吸收进写作 skill。

这里有一条容易被忽略的原则：给 AI“允许失败”的权限。任务不确定时，系统可以承认不知道、标出没完成的部分，不许假装做完。Daniel 认为这能减少幻觉和任务造假。一个总被要求“必须成功”的助手，会学会编一个漂亮答案。

案例来自一位心脏病医生朋友。他做 bug bounty，专攻客户端漏洞。换到 PAI 后，他把自己找漏洞的个人技巧全部写成 skill。KAI 启动就带着这些技巧，接目标、收集信息、按他的方法找。Daniel 说，这位朋友发现的 bug 数量和赏金都明显上升。工具还是 Claude Code，变化在脚手架里装进了这个人的经验。

Claude Code 还是 OpenCode，锁定怎么破

Nathan 问得很实际：现在投入，该选 Claude Code 还是 OpenCode，怎么避免锁定。Daniel 的答案是，PAI 全部用 markdown、skill、上下文文件搭建，可迁移。他试过 OpenCode 两周，结果不错。真正让他留在 Claude Code 的，是 Anthropic 对 harness 的理解、发布速度和 human-first 的产品方向。他放话：如果 Claude Code 核心团队出现大变动，他会切。

OpenAI 走的是另一条路。Nathan 提到 ChatGPT 的记忆和 Pulse，Daniel 认为 Sam Altman 在押注个人数字助理，甚至可能用消费硬件跳过手机界面。两条路会汇合，差别在锁定程度。ChatGPT 的记忆存在厂商系统里，PAI 的上下文是本地 markdown 文件，能看见、能改、能搬走。

第三方 SaaS 的处境也有意思。Nathan 用 Tasklet 生成访谈提纲，用 Shortwave 处理 Gmail，体验很好。Daniel 不认为这些产品和 PAI 冲突。KAI 能学 API，把最佳工具接进来。他给产品公司的建议更硬：功能小胜不够，懂用户的上下文才会赢。一个漏洞管理产品如果知道工程团队怎么发代码、用什么仓库、怎么被考核，即使功能稍弱，也可能赢过功能更强但不了解客户的对手。每家公司最终都要建立对用户的深层理解，否则会被吸收或淘汰。

终端还是图形界面，Daniel 的答案偏向后者。他自己是 Vim 用户，习惯终端，但成熟形态不该停在终端。目标是电影《Her》那种交互：你问“有什么重要的”，系统读过所有邮件，直接告诉你谁来了信、要不要回。邮件客户端、任务管理、日历都只是中间层。Nathan 的担心很真实：大多数人不想配置 Google Cloud OAuth，不想折腾 MCP。Daniel 的回应是，现在开始用，哪怕界面粗糙，积累的 context 和信号会复利。

明天就能用的五步

这集播客最有价值的地方，是把“个人 AI 基础设施”拆成了可以动手的部件。Daniel 的路线不要求每个人成为程序员，要求的是把自己当回事，把目标写清楚，让系统围绕目标持续改进。

• 写一页 TELOS。用 30 分钟口述或手写：你认为世界和你生活里的三个问题，你想做的三个改变，三个障碍，三个正在推进的项目。先写 problems，再写 goals。
• 建一个 skill.md 启动文件。控制在 5 千到 1.5 万 token，写清你的身份、长期目标、工作流、偏好、文件索引。不要把所有资料塞进去，让系统知道去哪里找。
• 只接一个真实工作流。写作就从“想法、红队、辩论、修改、发布”走一遍；邮件就从 triage 和起草回复走一遍。每天用，信号才有密度。
• 加一个反馈 hook。记录你对每次输出的满意或不满意，每周让 AI 读这些信号，给出系统升级建议。满意度直方图比一次性提示词更有用。
• 给 AI 允许失败。任务不确定时，要求它标出假设、缺口和没完成的部分。少一点假完成，多一点真实进度。

Daniel 的赌注很大：如果 AI 真把公司推向“一个人类 owner 加一支 agent 队伍”，那么越早把自己激活的人，越早拥有选择权。工具会变，模型会换，markdown 文件和清晰目标能跟着你走。现在最差的策略，是等一个完美产品出现，再把自己交出去。