Agent 想要个桌宠，自己写插件装上：openJiuwen 开源 RSI 原生 AgentOS

你对 Agent 说：给工作台加个桌宠吧，我想在桌面上点一下就能跟你聊天。几分钟后，它写好代码、打包、装进应用，桌面上真的多了一只小蜜蜂。这不是演示视频里的特效，而是 openJiuwen 想让”递归自我改进”变成日常操作的方式。

一分钟速览

• openJiuwen 发布 RSI 原生 AgentOS，为 Agent 的自我改进提供运行环境。
• 界面、网关、服务端、Agent 执行四个环节全部开放扩展点。
• 扩展以扩展包交付，manifest.json 声明包标识、版本、依赖与代码入口。
• 支持热插拔、版本管理、故障回退，不用改应用原有代码。
• WorkSwarm 是基于该 AgentOS 构建的应用，代码已在 GitHub 开源。

三层架构，五个扩展环节

从用户发出请求到 Agent 执行任务，系统分成三层：Web 客户端负责显示界面、接收操作；Gateway 负责接入与转发；Agent 层由 AgentServer 管理会话，由 Harness 组织任务执行和工具调用。三层都留了扩展入口。

沿着这条链路，扩展能力被拆成五个环节：Client 可以加按钮、面板、设置项；Gateway 可以接入鉴权、调整请求路由；AgentServer 可以处理会话、消息和服务端命令；Swarm 可以定制多 Agent 协作规则、跟踪任务进展；Agent 本身可以调整提示词，接入工具、MCP 服务或子 Agent。

这些改动统一通过扩展包交付。包里的 manifest.json 写明包标识、版本、依赖和代码入口；如果涉及界面，还能声明组件该出现在输入区、侧栏还是设置页。安装时系统读取并校验清单，按包 ID 和版本保存；加载时由 Gateway 和 AgentServer 各自挑选要运行的包，把处理函数注册到事件总线。

事件总线：让”改自己”变得可控

真正让这套机制跑起来的，是事件驱动。用户点按钮、网关收到请求、Agent 开始组装提示词时，相应组件会发出事件，事件总线找到匹配的处理函数并调用。处理函数可以参与当前流程，也可以通过 Ops 调用组件开放的能力，需要刷新界面时还能把数据推回 Web 客户端。

官方开放的扩展事件覆盖多个时机：会话与消息收发、上下文用量更新、Agent 组装系统提示词、Swarm 生成协作规则与状态变化、界面就绪与交互、网关分发请求前、服务端处理命令时。

处理函数能调用的 Ops 也做了边界划分：读取会话数据（历史消息、对话轮次、上下文用量）、登记 Agent 可用工具、查询团队信息（只读）、更新工作台界面、通过网关发起 HTTP 请求（仅限策略允许的地址）、在授权范围内读取文件与保存扩展自己的配置和状态。

这些限制很关键。允许 Agent 给自己加功能，等于把”改代码”的权限交了出去；如果没有白名单、没有只读边界、没有版本回退，一次错误的自修改就可能把整个工作台弄瘫。

从桌宠到故障回退

WorkSwarm 把扩展包在应用内称作”系统插件”。默认它只有工作台形态，用户想要桌宠，Agent 就按描述生成扩展包，作为”应用形态”的系统插件装上，点一下切换按钮，工作台收起，桌面只留桌宠；想回到工作台，双击桌宠即可，对话还在。

更实用的是回退机制。新插件引起故障时，可以从存档点恢复此前的插件配置，再继续调试。安装方式也有三种：放进安装目录、在扩展页面下载安装、在对话框里用命令安装。

另一个例子是 Token Weather：要求”在输入框上方加条状态栏，用晴天、多云提示上下文占用程度”，Agent 写代码、打包、安装；觉得占地方，就接着说”做得紧凑一点，保留用量百分比”，它改完重新加载。这种边聊边改的循环，才是”Agent 所想即所得”的完整含义。

企业场景：分布式与沙箱

扩展能力不只服务个人。分布式部署时，Gateway 和 AgentServer 可以分开运行，企业按业务选择连接关系，并在两侧分别加载所需扩展：网关侧接鉴权、调路由，Agent 侧补项目上下文、改命令参数处理。需要隔离执行时，还能通过适配器接入第三方沙箱。

在 WorkSwarm 里，新建单 Agent 会话时可以选择 Claude Code、Codex 或 openJiuwen 三种 Harness，前端界面也会随之切换。这说明 Harness 层被抽象成了可替换组件，而不是写死在系统里。

趋势洞察：Agent 的下一站是”造工具”

过去两年，Agent 的能力边界由”能调用多少工具”决定。现在开始出现另一种思路：工具不够，就让它自己造。RSI（递归自我改进）从一个学术概念，被工程化成了一套可安装、可回退、可审计的扩展机制。

这条路的风险同样明显：自我修改的代码质量谁保证？扩展包的供应链安全怎么管？多轮自改之后，系统行为是否还可解释？openJiuwen 给出的答案是版本管理、存档点、只读接口和 HTTP 白名单，但这些只是基础设施，真正的考验在生态——当第三方扩展大量涌入时，权限模型能不能扛住。

值得肯定的是开源这一步。AgentOS 这类底层设施，只有代码可查、接口可验，企业和开发者才敢把生产环境交出去。