过去九个月，AI Agent 的默认叙事是「接更多工具、跑更多任务」。ZeroClaw 反过来先问一句：Agent 要碰你的 Shell、文件和 API Key，凭什么信它？这个 2026 年 2 月才建仓的 Rust 项目，靠「单文件、可自托管、审批默认开着」攒到 3.3 万星。它不是又一个画布平台，而是一台放在你自己机器上的 Agent 运行时。
它到底是什么
ZeroClaw 把自己叫 agent runtime：一个 Rust 编译出来的单文件，跑在 Linux、macOS、Windows、FreeBSD 和 NixOS 上。你在 Telegram、Discord、Slack、Matrix、邮件、Webhook 或 CLI 里发消息，它把消息送进同一个 Agent 循环，再调用模型和工具。
- 模型侧：Anthropic、OpenAI、Ollama，以及任何 OpenAI 兼容端点，支持 fallback 链。
- 工具侧：Shell、浏览器、HTTP、硬件（GPIO、I2C、SPI、USB）、MCP Server，外加 WASM 插件。
- 记忆：SQLite 存会话，带向量检索。
- 配置：只有一份
~/.zeroclaw/config.toml，当前 schema 版本是 4；一个 provider、一个 agent、一个 risk profile 就能跑。
它不是「拖拽工作流」那一派：没有画布，也没有几百个现成模板，核心是一个常驻的 agent 循环，加 cron、SOP、子代理，以及给 IDE 用的 ACP 接口。官方 Release 直接发 aarch64、armv7、musl 和 deb 包，树莓派、ARM NAS 不用自己编。
从代码划分也能看出它的取舍：渠道、网关、模型、工具、记忆、插件各是一个独立 crate，Runtime 管循环和策略，其余都拆在外面。你可以只开 CLI，也可以把 Telegram、Slack、邮件一起挂上；换模型提供方不用改 Runtime，换渠道也不用改 Agent。这种「内核小、边缘可插拔」的结构，是它敢说自己「deploy anywhere」的底气。
真正的卖点是权限
ZeroClaw 的差异不在功能数量，而在默认值。每个 Agent 绑一个 risk profile，只有三档：
readonly：只能读，HTTP 只允许 GET；supervised：默认档。低风险工具直接跑，中风险（工作区内写文件、白名单 Shell、向允许域名 POST）弹审批，高风险直接拦；full：全放行，但always_ask里的工具仍然要问。
审批默认回到你发起对话的那个渠道：Telegram 用 inline 键盘，Slack 用 Block Kit，Discord、Matrix 用一次性 token 回复。还能配 approval_route，把审批转到独立的运维频道；审批人不在线就默认拒绝，不会「自己批自己」。
再往下是 OS 级沙箱、workspace_only 路径限制、Shell 命令白名单，以及给成功工具结果签 HMAC 的 tool receipts。10 月底的 v0.8.7 刚修了 Wasmtime 和 TLS 的一批安全公告，81 个提交、19 位贡献者。这个项目把安全当版本主线，不是发版前补一下。
上手
安装就三行：
curl -fsSL https://raw.githubusercontent.com/zeroclaw-labs/zeroclaw/master/install.sh | sh
zeroclaw quickstart
zeroclaw service install && zeroclaw service start
quickstart 会问你选哪家模型、建哪个 agent、用哪档权限，然后写出 config.toml。想接国内模型，选 OpenAI 兼容 provider，把 base_url 指向你的网关即可；本地模型就填 Ollama。
日常用 zeroclaw agent -a <alias> -m "..." 发单条，或者直接跑 zerocode 进终端界面。要常驻就跑 service，systemd、launchctl、Windows 服务都给你注册好。官方仓库在 zeroclaw-labs/zeroclaw，文档在 docs.zeroclaw.com。
实话
第一，它还是 0.x。v0.8.7 对预编译插件是 breaking change，配置 schema 也在往前走，升级前先看 release notes。
第二，别被「3MB 单文件」的旧文章带偏。v0.8.7 的 aarch64 压缩包是 34.5MB，解压后更大；单文件的意义是不用装 Node、Python 运行时，不是体积小到能塞进单片机。
第三，默认安全会「烦」你。中风险操作要审批，图省事开 full 或 YOLO，等于把沙箱拆了，只适合开发机。
第四，生态比 OpenClaw 小。OpenClaw 已经 39.4 万星、几千个 skill；ZeroClaw 3.3 万星、1,160 个 open issue/PR，工具和教程都还在长。
第五，它不替你运维。密钥、备份、systemd、模型账单都是你自己的事；官方路线是自托管，没有一键托管云版。它也不是 Dify 那种「给客户做一个聊天产品」的应用平台，没有知识库管理后台和应用发布 UI，定位就是常驻的个人/小团队助手。
所以它适合谁？手里有 ARM 盒子、NAS 或 VPS，想让一个 Agent 常驻在聊天软件里，又不想把 Shell 权限无条件交出去的人。想要开箱即用的画布和模板，去看 Dify 和 Langflow；想要最大插件生态，去看 OpenClaw。ZeroClaw 的取舍很明确：功能少一点，权限清楚一点。
Agent 平台竞争到最后，比的可能不是谁多接一个模型，而是谁能在出事之前拦住那一下。ZeroClaw 把「审批」放在默认路径上，这个设计不酷，但很实用。
