结论先行：OpenClaw 和 Hermes 火了，但都是"个人 Agent"——让 Agent 接管浏览器、邮箱和本地电脑后，权限混乱、隐私泄露、凭据管理、团队协作这些企业级问题没人解决。YC（Y Combinator）开源的内部自用 Agent 项目 qm，从架构第一天就把这些当核心：用户隔离、权限审批、安全沙箱、操作审计全都有，还能同一套系统里切换 Pi Agent、Codex 和 Claude Code。开源不到一周，GitHub 8K Star。
一、个人 Agent 爆火背后的安全隐忧
去年底 OpenClaw 带火"全民养虾"，紧接着 Hermes Agent 走红——大家开始让 Agent 接管浏览器、邮箱、本地电脑。但这些开源 Agent 的安全性做得并不好：容易遭到攻击导致数据泄露，很多企业直接禁止员工部署。
更大的麻烦是协作：个人用户部署后想让朋友家人一起用，但一旦开放访问，凭据泄露、误操作导致设备中毒等问题接踵而来。而企业要把这类 Agent 改造为团队用，往往要自己开发用户系统、权限系统、数据库和管理后台，还得长期维护一套被大幅改动的代码——上游一更新，要么无法升级，要么重新合并。
二、qm 是什么：YC 跑了 50 多个 Agent 后的经验结晶
qm 源自 YC 内部真实经验：他们之前用 Ruby 循环和内部工具运行 50 多个 Agent，很快遇到配置漂移、凭据管理、任务失败、资源共享和大规模运维等问题。qm 就是这些问题沉淀后的开源实现。
它真正值得关注的地方，不是 YC 背景或 8K Star，而是它瞄准了 OpenClaw 和 Hermes 都没优先解决的问题：
1. 身份与隔离：Agent 进入公司后，如何区分不同员工的身份、文件、记忆、权限和账号？怎样避免一个人看到另一个人的私人对话？
2. 凭据安全：怎样防止 Agent 在错误的项目里调用不属于它的 API key？
3. 风险控制：怎样限制高风险命令，并让每一次敏感操作都有权限控制、人工审批和审计记录？
qm 的答案：为每个用户和每个项目建立独立的工作空间、记忆、KeyChain（钥匙链）和持久化沙箱，所有命令在沙箱中执行。
三、实测：记忆、多人协作、隐私隔离
作者本地部署后测试了几个关键场景：
记忆系统：告诉它"我习惯用 Claude Code 写代码、Codex 做 Review"，它立刻写入记忆并可查看、修改、删除。自带 19 个已激活 Skills，也支持创建和安装第三方 Skills。
多人协作：创建一个"AI研究"项目，邀请新注册用户加入，两人在项目里提问、续聊、看文件，对话实时同步——团队共享一个项目，所有成员都能看到进展。
隐私隔离：设为私有的项目，其他成员完全看不到；管理员的隐私内容，新用户也看不到。个人项目只有自己可操作。一套系统里同时实现了个人项目与团队项目的隔离，权限管理、用户隔离、项目共享、记忆共享一次到位。
四、执行流程：沙箱+审批+审计的完整闭环
qm 没有自己的 Agent 内核，而是调用 Pi Agent、Codex、Claude Code 等成熟工具执行任务。执行流程：用户发起会话（Web UI 或 Slack）→ qm 核心根据消息来源判断作用域（私聊还是项目）→ 判断任务直接执行还是限制工具调用或需放行 → 交给对应 Agent 处理 → 工具命令在沙箱中执行 → 结果返回 Agent → 再判断是否继续调用工具 → 最终回复用户。
整个过程全程留存和审计，可以追踪每一个步骤和响应内容。通过持续审计，qm 像 Hermes 一样具备自我进化和迭代能力。
安装也降低了门槛：仓库 README 给出详细步骤，推荐直接用 Codex 或 Claude Code 读取 README 自动部署，手动配置容易出错又耗时。
总结：qm 和 OpenClaw/Hermes 不是替代关系，而是补上"个人→团队→企业"这一环。个人折腾选 OpenClaw/Hermes，要团队协作、权限隔离、审计合规，qm 是开箱即用的答案。它的设计哲学值得所有 Agent 项目学习：安全不是后期打补丁，而是第一天就写进架构里。2026 下半年，这波"Agent 企业化"的浪潮，qm 大概率是领跑者。
放眼全球，中国 AI 早已不是追赶者：斯坦福 HAI 2026 报告显示中美模型能力差距已缩小到 2.7%；虽然 AI 投资额美国仍是中国的 23 倍，但中国论文与专利数量双双全球第一，工业机器人装机量达到美国的 9 倍——应用落地的速度，正在反哺技术本身。AI 代理时代，拼的不是谁的模型最贵，而是谁先把流程跑通。