容器化个人 AI 助理

先解决什么问题

想让个人 AI 助理帮你读收件箱、进群组跟进消息，直接在本机跑会很危险：它可能误碰全盘文件，网络出口完全敞开，出了问题之后卸载清理也很麻烦。

容器化个人 AI 助理 的思路是把代理关进沙箱——用容器隔离它的文件、网络和凭证，同时允许它通过官方 bot token 接入 WhatsApp、Telegram、Slack、Discord、Gmail。你拿到的是一个随时可以销毁重建的干净代理环境，而不是一个在本机横行的常驻进程。

技能如何工作

核心能力是把“代理能做什么”拆成可控制的五个维度：

• 文件系统：容器只挂载代理真正需要的工作目录，其余路径不暴露给代理。
• 网络：默认关闭全开出口，只放行所需 API 域名，用白名单约束代理的出网行为。
• 凭证：bot token 通过环境变量注入，不写入镜像层，销毁容器即等于回收凭证。
• 工具集：只开启当前任务需要的工具（例如发消息、读邮件），而不是把全部工具默认打开。
• 重建成本：代理出问题后一键销毁容器即可，不需要在本机做卸载手术。

落地步骤按以下顺序推进：

1. 起容器：使用最小基础镜像，只安装当前运行所需的依赖。
2. 挂卷：显式挂载代理需要读写的工作目录，其余路径一律不挂。
3. 连消息端：用官方 bot token 接入目标消息应用，token 走环境变量，不进入镜像。
4. 限网络：设置出口域名白名单，默认只允许访问所需 API。
5. 最小工具集：只开启本次任务真正要调用的工具，避免给代理一套全功能工具箱。

上线前检查清单：

• 容器是否只挂载了必要目录？
• 消息端 token 是否来自环境变量？
• 是否限制了出网域名？
• 是否禁用代理主动外发未确认内容？

适用边界与注意点

这个技能解决的是隔离与权限收敛，不是消息平台合规问题。接入他人群组或收件箱前，需要遵守对应平台的规则，并获得相关方的知情同意。自动操作尤其要注意不扰民、不越权——代理能发消息不等于应该发消息。

常见陷阱：把全部消息历史明文存进容器卷，重建时造成数据泄露；给容器 host 网络权限，等于放开了本机的网络边界；bot 权限配置过宽，代理可能具备踢人、删群等高影响操作能力。这些都属于配置问题，技能提供的是隔离框架和检查项，实际安全程度取决于你如何挂载、如何限网、如何授权。

AI 输出以官方为准，自动化消息操作造成的纠纷由部署者负责。