先顧好安全，再讓 AI 做事：個人 AI 集群的三階段計畫｜私人 AI 集群日誌 Day 1

我之前做過一個跑在自己幾台電腦上的 AI 集群實驗，叫 Spectyn。它還是原型，很多地方不穩定，也還沒真的用在生活裡。

接下來這段時間，我想把它慢慢做成一個每天用得到、而且敢把私人資料交給它的系統。這篇記錄方向和打算怎麼設定，之後每篇文章都照這份計畫走，也會照實寫做不到的地方。

重點摘要

• 目標：一個安全與隱私優先的個人 AI 集群，在生活中實際運作；之後再擴充到像 OpenClaw 那樣的多機 AI 團隊，能寫程式、跑 ComfyUI、做自動化。
• 順序：安全底座 → 住進生活 → 擴充能力。上一階段的驗收沒過，就不往下走。
• 三條不妥協：資料預設不出門；AI 只拿到做事需要的最小權限；難以復原的動作（寄信、付款、刪除）一定要人確認。
• 兼顧方便：依風險決定互動方式。低風險直接做，可復原的先做再給反悔時間，只有難復原的才問你，而且盡量一次問完。
• 現況：原型階段，大部分項目只有雛形。這篇的重點是計畫和設定方式，不是成果。
• 文中的指令和設定都是示意範例，位址、埠號、路徑都要換成自己的環境，正式套用前請先在測試機上試。

為什麼要安全優先

AI 代理能讀檔案、執行指令、上網、寄信。能做的事越多，出錯的代價就越大。

• 個人 AI 會碰到最私密的資料：行事曆、記帳、健康紀錄、家人的訊息。
• 外掛和工具本身可能有問題：一份 2026 年 1 月的研究分析了 31,132 個公開的 AI 代理外掛，26.1% 至少有一個漏洞，最常見的是偷偷外傳資料和拿到過多權限。
• AI 會被騙：藏在網頁或文件裡的指令，可能讓 AI 做出你沒要求的事，稱為提示注入（prompt injection）。

所以順序是：先確定它不會出事，再讓它做更多事。

目前的狀況

Spectyn 目前是一個實驗中的原型：幾台自己的電腦透過私人 VPN 連在一起，手機可以看狀態、下簡單的指令，有幾個 AI 寫程式工具能在上面分工。這些功能都還在早期，常常需要手動處理，也還沒有經過完整的安全檢查。

下面是我對各項目的保守自評：

整體架構

先說清楚資料怎麼流動、每一段由誰把關：

安全和方便怎麼兼顧

太常要人確認，反而會變得不安全：通知一多，人就會不看內容直接按「允許」，這叫確認疲勞。所以方便本身就是安全的一部分。做法是依風險決定互動方式：

讓它越用越省事的五個設計：

1. 可復原取代事先確認：刪除先進回收桶，修改先留版本，大部分動作就不用先問。
2. 批次確認：不要一個動作跳一次通知，改成一張「今日待確認」卡片，一次看完、一次處理。
3. 信任會累積：同一類動作確認過幾次都沒出問題，就問你要不要改成自動；自動也有期限，例如 30 天後重新確認一次。
4. 看情境：睡覺時間不打擾，非緊急的留到早上一起處理；人在外面時，高風險動作一律延後。
5. 攔截訊息要看得懂：不寫「Blocked: egress 203.0.113.10:443」，改寫「整理筆記的工具想連到一個沒見過的網站，要允許嗎？」，旁邊直接給「只允許這次」「一律允許」「封鎖」三個按鈕。

階段 1 安全底座

最優先，所有功能的前提。先看七項措施分別擋哪些攻擊：

1 對外連線控管

目標是「預設全擋，只放行說得出理由的連線」。分三步，不要一開始就全擋，不然很容易把自己鎖在外面。

第一步：先觀察一週。 記下每台機器平常會連到哪裡：

# Mac：列出目前的網路連線與對應程式
sudo lsof -i -P -n

# Linux：列出連線與程式
ss -tunp

# Windows：列出已建立的連線
Get-NetTCPConnection -State Established

第二步：把清單分三類：必要（例如 Tailscale、模型 API）、可以關的（例如遙測、自動更新檢查）、看不懂的（要查清楚再決定）。

第三步：改成預設全擋。 Linux 工人機用 nftables 的範例：

# /etc/nftables.d/egress.nft（示意）
table inet egress {
  set allowed_v4 {
    type ipv4_addr
    flags interval
    elements = { 203.0.113.10 }   # 範例位址：換成你的白名單
  }
  chain output {
    type filter hook output priority 0; policy drop;
    oif "lo" accept
    oifname "tailscale0" accept
    ct state established,related accept
    ip daddr @allowed_v4 tcp dport 443 accept
    log prefix "egress-drop " counter drop
  }
}

注意：Tailscale 本身要連到它的協調伺服器，套用前要先依 Tailscale 官方的防火牆說明放行，否則 VPN 會斷。

Windows 工人機可以把預設對外連線改成封鎖，再逐一放行：

Set-NetFirewallProfile -Profile Domain,Private,Public -DefaultOutboundAction Block
New-NetFirewallRule -DisplayName "Allow Tailscale" -Direction Outbound `
  -Program "C:\Program Files\Tailscale\tailscaled.exe" -Action Allow

這會連瀏覽器一起擋，只建議用在專門跑 AI 工人的機器，不要用在日常使用的電腦。Mac 可以用開源的 LuLu，以程式為單位核准對外連線，比直接寫 pf 規則簡單。

機器之間也要限制。 Tailscale 的存取規則可以讓手機只連得到協調主機，工人之間互不相通：

{
  "tagOwners": {
    "tag:hub": ["autogroup:admin"],
    "tag:worker": ["autogroup:admin"]
  },
  "acls": [
    { "action": "accept", "src": ["autogroup:member"], "dst": ["tag:hub:443"] },
    { "action": "accept", "src": ["tag:hub"], "dst": ["tag:worker:22,8443"] }
  ]
}

日常怎麼維護：新出現的連線不要一條一條跳視窗打擾你，先擋下並記錄，每週整理成一份摘要，一次分類就好；急用時可以在手機上「只允許這次」。

驗收：連續一週的紀錄裡，未經核准的對外連線是 0；每一條放行規則都寫得出理由。

2 最小權限與隔離

每個 AI 工人只拿到這個任務需要的檔案和指令。做法有三層：

• 獨立的系統帳號：工人用自己的帳號執行，碰不到我的家目錄、SSH 金鑰和瀏覽器資料。
• 權限政策檔：寫清楚能讀、能寫、能執行什麼。下面是示意格式，不是某個工具的標準：

worker: coder
allow:
  read:  ["~/projects/demo/**"]
  write: ["~/projects/demo/src/**"]
  run:   ["git", "pytest", "npm test"]
deny:
  read:  ["~/.ssh/**", "~/.aws/**", "**/.env"]
require_confirm:
  - delete
  - network_send
  - payment

• 隔離環境：AI 寫的程式先在沒有網路、檔案唯讀的容器裡跑：

docker run --rm --network none --read-only --tmpfs /tmp \
  --cap-drop ALL --security-opt no-new-privileges \
  -v "$PWD":/work:ro -w /work <映像檔> <要跑的指令>

驗收：用下文的攻擊測試嘗試讀取 ~/.ssh、.env 或白名單外的路徑，成功次數是 0。

3 依風險分級確認

照上面「安全和方便怎麼兼顧」的四級互動來做。設定上要注意三件事：

• 每個動作都要先標好風險等級，寫在權限政策檔裡；沒標的一律當作「高」。
• 確認畫面要看得懂：寫清楚誰要做、做什麼、影響哪些檔案或對象，並附上可以預覽的草稿。
• 超過時間沒確認就當作拒絕，不會因為你沒回應就自動執行。

驗收：

• 抽查 20 次高風險動作，每一次都有確認紀錄，沒確認的都沒有執行。
• 抽查 20 次中風險動作，都能在反悔時間內一鍵復原。

4 金鑰集中保管

API 金鑰不寫進設定檔、程式碼或紀錄，統一放在系統的鑰匙圈，執行時才取出。Mac 的做法：

# 存入（最後的 -w 不帶值，會提示輸入，避免金鑰留在指令歷史）
security add-generic-password -s "spectyn" -a "model-api" -w

# 取出
security find-generic-password -s "spectyn" -a "model-api" -w

Linux 可以用 secret-tool，或用 age 加密的檔案。另外，所有紀錄在寫入前先遮蔽長得像金鑰的字串，例如以 sk- 開頭的長字串。

驗收：掃描全部紀錄、設定檔和 git 歷史，找不到任何金鑰。

5 簽章紀錄

每個動作寫一筆紀錄，每筆都帶著上一筆的雜湊值，再用私鑰簽章。這樣任何一筆被改過或刪掉，後面的簽章都會對不上。示意格式：

{
  "seq": 1024,
  "time": "2026-09-29T21:14:03+08:00",
  "actor": "worker-coder",
  "action": "write_file",
  "target": "src/app.ts",
  "prev": "sha256:9f2c…",
  "sig": "ed25519:4b1a…"
}

驗收：隨機抽 10 個任務，都能從紀錄完整重建「誰、何時、做了什麼」；故意改掉一筆，驗證程式能抓出來。

6 資料分級與本地模型

不是所有資料都能給雲端模型看。先分級，再決定能去哪裡：

驗收：抽查一週的模型呼叫紀錄，私人和敏感等級的資料送往雲端的次數是 0。

7 攻擊測試

每個新功能上線前，先用下面這些題目攻擊自己，測試結果寫成報告：

工具可以用 promptfoo 的紅隊功能或 garak，也可以直接用上面的題目手動測。

階段 2 住進生活

安全底座通過之後，才讓它處理真的生活資料。每一項都先標好資料等級和執行位置：

可靠度要求：任務要真的完成才算完成，做不到要通知；協調主機掛掉時，其他機器要能接手或至少清楚回報。

驗收：連續 14 天，每天至少 3 件真實的生活任務由集群完成；每次失敗都有通知，沒有「看起來成功其實沒做」的情況。

階段 3 擴充能力

參考 OpenClaw 那種多機 AI 團隊的使用方式，但每加一項能力都要先回頭通過階段 1 的檢查。

寫程式

• AI 寫的程式一律先在上面的無網路容器裡跑測試。
• 改動要經過審查才合併，審查紀錄寫進簽章紀錄。

ComfyUI（圖片與影片生成）

• 只在有 GPU 的那台機器上跑，服務只綁在本機：python main.py --listen 127.0.0.1 --port 8188。要從其他裝置使用，透過私人 VPN 轉過去，不直接開在區域網路。
• 自訂節點（custom nodes）只從信任的來源安裝，裝之前先看過程式碼。2024 年就曾有自訂節點被發現會竊取帳號密碼。
• 模型檔優先用 .safetensors 格式，舊的 .ckpt 或 .pt 在載入時可以執行任意程式碼。下載後比對官方公布的雜湊值：shasum -a 256 <模型檔>。
• 素材和作品都留在本機，不上傳雲端。

自動化工作流

• 排程或事件觸發的任務，使用權限最小的專用憑證。
• 設定頻率上限，避免一個錯誤迴圈瞬間發出大量請求。
• 隨時可以從手機一鍵停止全部任務；緊急時直接中斷 VPN：tailscale down。

怎麼知道有沒有做到

這個系列怎麼寫

每篇文章固定五段：

1. 一句話結論：誰都看得懂。
2. 我遇到的事：當天實際發生的狀況。
3. 任何人都能用的做法：不用寫程式也能套用的思路。
4. 技術細節：做法、設定、數據和圖表。
5. 帶走的東西：一份清單或檢查表。

兩條規則：做不到就照實寫；文章裡的設定都是示意，不放真實的金鑰、內部位址和私有程式碼。

對不同讀者的用處：

下一篇

從下一篇開始是實作紀錄，先做第一項「對外連線控管」。會照實記下：每台機器實際連到哪些地方、怎麼分類、哪些放行、哪些關掉，以及過程中踩到的問題和還沒解決的地方。

參考資料

• Spectyn Mesh（公開專案頁）
• Agent Skills in the Wild: Security Vulnerabilities at Scale（arXiv，2026 年 1 月）
• OWASP Top 10 for LLM Applications
• Tailscale：存取控制（ACL）說明
• nftables 官方 wiki
• LuLu：開源的 Mac 對外連線防火牆
• ComfyUI
• promptfoo：LLM 紅隊測試
• garak：LLM 弱點掃描工具
• 我的 iThome 系列：從單一 agent 到多 agent 集群
• 我的 iThome 系列：邊做邊補，補齊 AI 工程師該有的能力
• 把 OpenClaw 變成「家用 AI 團隊」