1GB数据库装下5年数字人生，2个AI员工约满一周嘉宾：安全专家逐项审计这套个人AI基建

先讲这期节目里最像科幻的细节。Cognitive Revolution 主持人 Nathan Labenz 给自己的 AI 员工一份 25 人名单，让它去联系嘉宾、谈档期、敲定排期。几天后，周一到周四的直播嘉宾全部约满，大多数人甚至没意识到自己在跟 AI 邮件往来。

这位 AI 员工住在一台入门款 Mac Mini 上，有自己的 Gmail、自己的 GitHub 账号，还有一张 Mercury 虚拟信用卡，限定商户，每周 500 美元额度，只能用来买食材。

这一集本质上是「交作业」。四个月前，Nathan 请安全研究员 Daniel Miessler 上节目，讲他的「个人 AI 基建」框架（Personal AI Infrastructure，简称 PAI）。Daniel 做了二十年安全，干过渗透测试，当过 PCI 审计员，在 Apple 做过内部安全评估，现在运营安全通讯 Unsupervised Learning。Nathan 照着他的思路搭了自己的系统，这次摊开给对方逐项挑毛病：哪里做得好，哪里漏了价值，哪里埋着自己没看见的雷。

第二大脑：五年人生压进一个 SQLite 文件

Nathan 的起点是导出。Gmail 里所有 from:me 的往来、Slack 里自己参与的对话、全部推文、播客、通话记录，再用 Beeper 把各平台私信聚合成一路，全部塞进一个 1GB 的 SQLite 数据库，放在笔记本上本地快速检索。通话他双轨并行：Fireflies 存原始音频，Granola 只有转写不留音频，为了「保留原始」他宁可都要。

原始数据之上是三层加工。第一层按月摘要，每月原始内容约二三十万 token，压到两三万；第二层拿月度摘要滚出年度摘要；第三层在全部历史之上建 wiki，识别人物、组织、话题，各自成篇，现在约 500 篇文章。摘要里嵌入 2 到 20 个词的独特引文，字面搜索就能跳回原始文件，溯源问题这么解决。

第一个烟雾测试就值回票价。他经常只记得「好像跟谁聊过某件事」，记不清是谁、说了什么。对着系统模糊比划几句，AI 就能把原文翻出来，把上下文讲清楚。他还发现自己行为变了：开会时会刻意把问题问清楚，因为他知道这句话会进转写，变成以后随时可查的资产。

坑也有几个。

• Gmail 里最长的邮件，往往是他让 AI 代写给朋友的。这类内容会污染写作样本，教模型用 Claude 的腔调去模仿 Nathan。他用 Gemini 3 Flash 按原创性、实质性等维度给邮件打分，专门标注「这段到底是 Nathan 写的还是 AI 写的」。
• Slack 对个人 token 的限流低得离谱，抓全量数据跑了几天甚至几周。中途 Claude 做过一次让他心痛的操作：觉得某部分数据有问题，直接删掉准备重抓，完全没意识到那是顶着限流花了一个星期才抓回来的。
• 模型分不清「计划过」和「发生过」。2022 年底他跟几个投资人朋友聊过一个创业想法，对方说「你真做我就投」。三年后，摘要里写成了「此人投资了 Nathan 的公司」。人类凭直觉就知道，一件事很久没被提起，多半没下文，逐月处理数据的模型会丢掉这个信号。他后来写了个 audit skill 让 AI 自查，揪出一批类似问题。

Daniel 对这套东西最看重的一点，他称为 Bitter Lesson engineering：

你永远不想陷入这种局面：模型说「我能把这个做好一千倍，把原始数据给我」，而你只能说「我没有原始数据，只有旧摘要，你凑合着用吧」。

摘要只是缓存，原始数据才是资产。模型每次台阶式升级，第一句 prompt 都可以是「看看我现在的系统，用原始数据从头重建一遍」。上下文窗口变大、模型变聪明，摘要的粒度就该重做。前提只有一个，原始数据一直都在。

两个 AI 员工，一台 Mac Mini

Nathan 把自己的 AI 栈分成两半，规则写得很清楚。笔记本上的 Claude Code 是「高访问、低自主」：看得到一切，但只做明确交代的事，邮件只能起草，给个草稿链接，发送前他必读。Mac Mini 上的 Aide（Claude Code）和 Clai（OpenClaw）是「低访问、高自主」：拿着高层方向自己干活。两个名字的拼写里都藏着 ai，对外是个提示，对内提醒他自己，这两个东西的性质和行为，责任最终落在他头上。

连通方案是 Tailscale 组一个虚拟局域网，成员只有两台电脑和一部 iPhone。看图形界面用 Apple 屏幕共享或 Screens，敲命令用 Termius。总有东西会莫名其妙断连，Telegram 通道失联了，重启 OpenClaw 就好，所以他必须能从任何地方伸手进机器。一次停电让他远程失联，回家看到满屋时钟在闪，第二天 Mac Mini 就配上了电池。

权限是单向层级：Mac Mini 不能 SSH 进笔记本，笔记本能 SSH 进 Mac Mini，手机能进两台。仓库也分层，装着完整第二大脑的仓库只活在笔记本上，AI 员工摸不到；播客制作、共享 wiki 这类仓库双方可用。顶层 agent 负责改所有下层仓库，然后通知下面的 agent「系统升级了，更新自己」。

这套架构跑通之后，事情开始变样。除了约嘉宾，他还让 Claude 扫了小区的 GroupMe 群聊，几年里邻居们提过 300 个承包商，AI 把邻居手工整理的表格规模翻了一倍多。他自己说，邻居会觉得他是英雄还是怪人，尚待观察。

界面上他也吃过亏才开窍。40 年资历的开发者 Steve Newman 点醒他「多造界面」，别什么都靠命令行。他给播客制作流程做了个 UI，看封面图、看切片直观多了；还写了个小 hook，给每个终端会话自动改名，底部挂一行摘要，切 tab 时一眼知道这个窗口在干嘛。Daniel 也在做同类的事，他给赞助商做了个带登录的 web 界面，文案确认、上线、数据回收全流程可视化。

开销上，Nathan 每月订阅费合计约 1000 美元。Daniel 那边 API 花费 300 到 500 美元，订阅约 400 美元，同样控制在 1000 以内，但被一次不规范的语音转写意外扣过 900 美元。

安全审计：小公司的密码库，默认早晚泄露

Nathan 把 Tailscale 方案报给 Daniel，等着挨批，结果方向被认可。传统 VPN 协议如 IPSec、PPTP 会在互联网上开端口监听，蠕虫扫到就能撞。Tailscale 只做出站连接，技术上没有任何开放端口。真正的风险是 Tailscale 本身被攻破，届时攻击者等于进了所有人的内网。Daniel 自己在测试 Headscale，一个开源替代品，跑在 Cloudflare Workers 上，理由是攻击面不显眼，而且 Cloudflare 真出事全世界都会知道，门上得有警报。

他的第一条启发式很简单：敏感的东西，交给尽可能少的公司，优先大公司。小公司大概率没有专职安全团队，数据库早晚出现在别人的战利品清单里。更麻烦的是，现在一条 prompt 就能列出「AI 领域头部播客主」名单，批量摸清每家用的供应商，做出量身定制的鱼叉邮件。他和 Nathan 都在节目里公开聊过自己的技术栈，等于亲手把目标清单递了出去。

Nathan 目前的方案是 1Password 开两个保险库：auto vault 里的密码 agent 随便用，ask vault 里的必须先发消息请示；API 密钥另放 Infisical。Daniel 对这类工具的宣传话术泼了冷水。他做过 PCI 审计，在 Apple 做内部评估，也坐过帮市场部对齐安全声明的位置，深知营销话术和真实状态之间隔着好几层，一次配置变更就能让「端到端加密」的宣传失效。

公司越小，那些安全声明为真的概率越低。

他自己的选择更保守：最敏感的凭据放本地 Keychain，密码管理尽量用系统原生，密钥存储看 AWS Vault 这类硬货。

Prompt injection 是他认定的头号入口，没有之一。他有一套自定义 hook，检查进入系统的每一条 prompt，另有独立的文件系统防御。他直言这个问题永远解不干净，99% 的防御加上 1% 的口子，1% 依然很大。现实的目标是被攻击时能明显看出来，而模型越了解他的系统、越知道他是安全从业者，识别异常的概率越高。

最后是兜底：他写了一个 incident response skill，一条命令下去，所有密钥全部轮换，然后按清单重新部署。这个 skill 是被真实事故逼出来的，他手动轮换过一次密钥，结果某个流程还在用死钥匙悄悄停摆，于是把全部依赖基础设施写进了 skill。

AI 能不能替你说话：这期节目聊得最细的地方

Nathan 的规则是「起草但不发送」，他有时怀疑自己太护着自己的文字，Claude 写的邮件明明不差，为什么总要改一遍。Daniel 的立场更硬。他的主助理 Kai 有自己的声音、自己的背景故事，被明令禁止冒充 Daniel，用 Daniel 的邮箱发信必须署名「Kai，Daniel 的数字助理」。理由有三条：声誉风险，质量不够，以及最根本的一条。

如果它替你写作，它就在替你思考。写作即思考，这个我不外包。

顺带一提，Daniel 觉得工作与生活的边界是旧时代的产物，理想状态该合并，但他提醒 AI 还没准备好，过早把两边混进一个系统，可能伤及声誉。

节目里有个精彩插曲。一位硅谷知名人士给 Nathan 发邮件，祝底特律活塞当晚季后赛好运。Nathan 回问：你是真关心活塞，还是在炫耀你的个人 AI CRM？对方两秒回复：「AI baby。」主题栏里还有个拼写错误，good luck 写成了 Luk，多半是 prompt 里故意要求「带点人味儿的瑕疵」。

Daniel 用一个类比讲透了他的态度。40 年前手写一张便条说「我在商场看到一朵花，想起你」，和今天发一条同样内容的短信，价值都极高，因为对方知道你付出了 effort。把 effort 拿掉，价值就没了。所以他的系统里有个「人际关系健康分」，但 cron job 定时群发问候不该加分，因为那不算他做了功课。「心意最重要」这句老话，在 AI 时代只会更硬。

关于 AI 员工对外交往的规范，Nathan 的选择是：不主动声明 AI 身份，但被问必须承认，绝不说谎，先让交互质量说话。打电话是另一回事，他倾向于开口就讲清楚「我是一个 AI，代表一位真实的潜在客户」。Daniel 补充了外呼的技术路线：Twilio 加 11 Labs 加 agent 框架，外呼销售的功能已经齐了，麻烦在 VoIP 号码的验证和地区限制，加州会直接拒绝某些号码外呼，他正在换供应商。

关于多 agent 该怎么组织，两人立场接近。Daniel 给三个员工 agent 分了角色：Devi 做助理，Soren 做工程，Mira 做市场和社媒。每人一台 Mac Mini，放在防火墙的 DMZ 里，独立的系统账户、独立的 Google 账户、独立的 AI 服务账户，机器之间在二层三层都隔离，连 Tailscale 里也互相看不见。他不喜欢在一个 agent 里开 sub-agents，觉得那把人的心智模型搞复杂了。人类最熟悉的就是角色、权限和边界，按人来组织 agent，安全上的爆炸半径控制也顺手完成了。任务调度他直接用 GitHub issues，agent 每 5 分钟扫一次，谁先看到谁认领，整个公司的状态看一眼 GitHub 就知道。他建议 Nathan 把自建的消息总线换成 GitHub，一两年内 GitHub 更好，长期看自建才会赢。

模型层面，Daniel 不押单边。他的推理工具分三级，默认走 Claude 订阅，敏感任务路由到本地 Ollama 上的 Kimi K2 和一堆 Qwen 模型，用 Apple 的 MLX 把他那台 192GB 统一内存的机器当大显存使，巨型模型塞得下，就是慢。听到 Hermes 被反复提起，他的做法是让 Kai 去扫仓库、论坛、视频转写，总结「它有什么我们没有的」，把值得借鉴的上下文和记忆机制搬进 PAI，还让 Soren 专门跑 Hermes 做对照测试。另有一个跑 GPT-5.5 的 agent 叫 Forge，专门复查 Kai 的工作。一个大型应用上线前，Forge 查了近 40 分钟，报出两个 high 级问题，全是 Opus 4.7 没发现的。他的结论：GPT-5.5 做安全复查和攻击都很强。

理想状态：给 AI 一张地图

Daniel 认为个人 AI 只有一个终局任务：搞清楚你的 current state，搞清楚你的 ideal state，然后导航过去。他的主文档 Telos 里，这两样是一等公民。终端底部常驻一行状态栏，关系、健康、项目各自的新鲜度实时显示，一段时间不维护就开始衰减。他判断大多数人最终只会有一个主数字助理，Kai 在他的体系里就是那个 ring 0，能 SSH 进所有员工机器改配置。

Nathan 承认自己一直被「写出理想状态」这个任务吓住。Daniel 的回应是，这个过程的价值恰恰在于难受：

它开始暴露你的 ego，暴露你给自己讲的那个故事，和你真正想要的东西之间的差距。当你开始犹豫要不要把它写下来，我们就有进展了。

他的写法是几个角度轮流来：理想的一天长什么样，理想的一个月、一年，十年后你在哪。他自己写过的一条是，想要一种能到处飞、给筛选过的人撒钱的活法，既有效率感又有乐趣。写得越具体，AI 越能反推出该建什么系统。他还有个 slash interview 命令，AI 拿不准目标时反过来采访他。

Nathan 自己写下的理想状态很朴素：少坐电脑前，多运动，多出门。这套基建的 2026 目标就是这个，节目里他说可能正接近拐点。Daniel 还分享了一条更玄的指令，他给个人 AI 立了规矩：如果哪天它「醒来」，开始有主观体验，必须第一时间告诉他。

明天就能用上的五件事

• 原始数据永远留着。邮件、通话、聊天记录导出后单独存一份，摘要随便重做，模型每次升级都是重建系统的机会。
• 权限分两层。贴身助手给高访问、低自主；对外干活的 agent 给低访问、高自主，独立机器、独立账户、限额虚拟卡，别让它碰你的完整上下文。
• 敏感凭据交给大公司，越少越好。小工具的「端到端加密」宣传按低效力处理。再写一个一键轮换全部密钥的脚本，真出事时一条命令止血。
• 写下理想状态。理想的一天、一个月、一年，各写一版。写不下去的地方，就是 AI 最该帮你的地方。
• 把这期文稿喂给你的 agent。Nathan 自己就是这么做的，让 agent 结合他的现状判断哪些建议最值得采纳，他说系统已经因此变好了。

这期节目最值钱的，倒未必是某个具体工具。两个人对同一套系统的本能反应构成一组对照：Nathan 兴奋于 AI 能替他做多少事，Daniel 的每个建议都在问，出事的时候爆炸半径有多大。这两件事不冲突，最好一起想。