Agent NAS：为 AI 智能体而生的网络附加存储。 智能体在这里工作，你始终掌控。

一览 #

类别

为 AI 智能体而生的网络附加存储，也称智能体原生存储（agent-native storage）。

核心理念

访问的单位是运行，不是账号：运行在分支上工作，凭租约访问，留下记录。

四个承诺

有界、可恢复、可追责、可检视。

核心名词

Tree、Commit、Principal、Run、Lease 和 Record。

概念

九个命名概念，分为三簇：工作、权限与知识。

接口

数据面：挂载、Git、S3、WebDAV；控制面：MCP、HTTP、CLI。

规范

草案 v0.2，符合性等级从 L0 Files 到 L4 Sync，每一级都有可执行的验收测试。

状态

概念与规范阶段，尚无参考实现。L0 与 L1 可以用现成零件今天搭出来。

许可

内容采用 CC BY 4.0。

为什么是现在 #

过去一年里，四件事已经发生。

• 智能体在文件里工作。 AGENTS.md、Agent Skills、以 Git 为后端的记忆（Letta Context Repositories），以及把长输出写成文件的动态上下文发现，让文件成了智能体的工作介质。
• 错误来得又快又贵。 2026 年 4 月，一个编码智能体用在无关文件里翻到的、权限过宽的令牌，9 秒内删掉了一家公司的生产数据库和同卷备份。
• 人审不了每一步。 Anthropic 披露，用户批准了 93% 到 97% 的权限提示；在它的受控实验里，人只拦住了 13.6% 被植入的危险命令。
• 记忆成了攻击面。 2026 年的多项研究表明，恶意指令一旦写进持久记忆就能跨会话存活，只在输入或检索处设防，效果有限。

存储厂商也动了：QNAP QuAgent、Synology DSM Agent 和 TrueNAS MCP 都让智能体来管理这台盒子。可是别的智能体怎样在盒子里的数据上安全地工作，据我们所见还没有一份自托管、开放、可验收的契约。参见 Agent NAS 与现有做法的比较。

四个承诺 #

九个概念，三个问题 #

Agent NAS 提出九个命名概念。每个概念都有独立页面：一句可以直接引用的定义、一套机制、一条“从小处开始”的路径、一份接口草图、规范对它提出的要求，以及它坦诚的局限。

四层，六个名词 #

Store 层直接使用成熟的存储。其余各层都可以从它重建，核心只有六个名词：Tree、Commit、Principal、Run、Lease 和 Record。我们不发明存储引擎，创新放在契约上。

阅读架构。

一次运行的旅程 #

1. 申请租约。 研究智能体 Cleo 的编排器为这次运行申请一张 Capability Lease（能力租约）：读取 /shared/launch、提议修改、有效四小时。所有者预先设定的策略包络自动批准了这次申请。
2. 开工。 NAS 创建这次运行和它的分支 cleo/run_91ab；沙箱把分支当作普通目录挂载。Cleo 从自己的 Agent Home（智能体之家）读到 AGENTS.md 和已审阅的记忆。
3. 在预算内阅读。 它用 Budgeted Reads（预算化读取）读一份长报告：先看 400 token 的轮廓，再按需读具体的行范围。每次读取都记进这次运行的读清单。
4. 在分支上工作。 修改落在 Agent Branch（智能体分支）上。共享的 main 此刻没有任何变化。
5. 遇到闸门。 Cleo 读过一个网页，所以 Trust Labels（信任标签）让它的会话带上 external 污点。向 main 提议合并时，策略要求经过 Human Gate（人类闸门）：所有者在手机上看到由 NAS 计算的真实差异和不可信的来源，然后批准。
6. 留下记录。 合并产生一个带来源的提交。读过什么、写过什么、谁批准了什么，都写进 Flight Recorder（飞行记录仪），以哈希串联。
7. 沉淀记忆。 Cleo 顺手记下几条新事实。因为这次会话读过外部内容，这些 Agent Memory（智能体记忆）笔记先进入隔离区：可以被召回，但在人审阅之前不会自动加载。
8. 遗忘。 几周后，一位客户要求被遗忘。Cascade Forget（级联遗忘）沿血缘删除相关的摘要与索引，并出具一份写明覆盖不到范围的报告。

它说智能体早已会说的语言 #

起步不需要新的 SDK。只要智能体能读写文件、用 Git 或 S3，或者调用 MCP 工具，就能使用 Agent NAS。下面这段会话只是对计划中命令行的示意。

$ nas lease create --role cleo --paths "/shared/launch/**" --actions read,write,propose --ttl 4h
lease lse_7Qk3 · run run_91ab · branch cleo/run_91ab · expires 16:00
$ nas mount --lease lse_7Qk3 ~/work       # plain files, on a branch
$ ./draft-release-notes.sh                # the agent works with ordinary tools
$ nas propose --into main
gate gt_2Mx4 waiting for approval: merge cleo/run_91ab into main (4 files)
$ nas gate approve gt_2Mx4                # the owner, from another terminal or a phone
merged · commit 91ce3a7 · record 18211

查看全部接口。

我们押注什么 #

一份希望几年后仍然成立的设计，应当说明自己押注了什么，以及押错时会怎样。

• 智能体会继续把文件系统和 Git 当作主要的工作介质。 如果不是，Agent Home 退化为一种导出格式，其余概念仍然成立。
• “一次运行”仍是自然的授权与追责单位。 如果出现长期常驻的自治进程，租约就改为滚动续期加预算。
• 提示词注入在可预见的将来不会在模型层被根除。 如果被根除了，Trust Labels 就成为纵深防御里便宜的一层。
• 人的注意力仍然稀缺。 如果全自动足够可靠，Human Gate 由策略预授权取代，审计仍然保留。

全部七个赌注见设计原则。

本站同样可以被智能体读取 #

每个页面都有 Markdown 孪生版本，本站发布 llms.txt，并运行一个小型的只读 MCP 服务器。在终端里试试：

curl -H "Accept: text/markdown" https://agentnas.com/what-is-agent-nas/
curl https://agentnas.com/llms.txt
curl -X POST https://agentnas.com/api/search \
  -H "content-type: application/json" \
  -d '{"query": "capability lease", "limit": 5}'

把文档服务器加入 MCP 客户端：

{
  "mcpServers": {
    "agentnas-docs": { "url": "https://agentnas.com/mcp" }
  }
}

人们最先会问的问题 #

全部问答。

目前进展 #

• 规范草案 符合性等级与可执行的验收测试。
• 路线图 现在、下一步、以后，以及不做什么。
• 关于本项目 许可、如何引用，以及如何参与。