Crayfish容器运行时：桌面智能体的可信执行边界

1. 从“小龙虾”到桌面智能体：Crayfish 与 WorkBuddy 容器版的真实定位辨析

很多人第一次看到 Crayfish 这个名字，第一反应是“这不就是小龙虾吗？”——没错，中文名直译确实如此。但在这个语境下，Crayfish 不是餐桌上红彤彤的节肢动物，而是一个轻量级、面向终端用户的桌面级 Agent 运行时框架。它和 WorkBuddy 的关系，不是“品牌名 vs 产品名”的简单对应，而是运行环境与应用层智能体的共生结构：Crayfish 是底层容器化运行时，WorkBuddy 是构建在其之上的、可插拔、可定制的智能工作代理（Desktop Agent）。二者组合成的“Crayfish + WorkBuddy 容器版”，本质上是一套开箱即用的本地化智能工作台交付形态，目标非常明确：把原本需要部署在服务器、依赖复杂运维的 LLM 应用，压缩进用户自己的笔记本电脑里，以容器方式启动、隔离、管理，并直接接管桌面操作能力。

这个组合之所以值得深挖，是因为它精准踩中了当前智能体落地的三个核心痛点：一是环境碎片化——不同用户操作系统（Windows/macOS/Ubuntu 22.04/24.04）、Python 版本、CUDA 驱动、模型权重路径千差万别；二是权限与安全边界模糊——传统 RPA 工具常以管理员权限运行，对文件系统、剪贴板、窗口句柄拥有近乎无限制访问，一旦脚本出错或被注入恶意指令，风险极高；三是升级与回滚成本高——每次更新技能（Skill）或模型版本，都可能牵一发而动全身，导致整个工作流中断。而 Crayfish 容器版的设计哲学，就是用容器镜像的不可变性（Immutable Image）来固化运行时环境，用命名空间隔离（PID/Network/Mount NS）来划定 Agent 的能力边界，再通过标准化的 Skill 接口协议，让 WorkBuddy 的功能迭代完全脱离宿主系统状态。

我最早接触这套方案是在一个金融客户现场：他们需要每天凌晨自动从内部 OA 下载 PDF 报表、提取关键字段、填入钉钉多维表、再生成摘要发到指定群组。此前用某主流 RPA 工具跑了半年，平均每月因 Windows 更新、杀毒软件拦截、Office 补丁冲突导致流程失败 3.7 次，每次排查平均耗时 2.5 小时。换成 Crayfish+WorkBuddy 容器版后，我们将整个流程打包为一个 1.2GB 的 OCI 镜像（含 llama.cpp + ollama + custom skill bundle），部署命令仅一行：crayfish run -v /home/user/data:/data -p 3002:3002 workbuddy-finance:v1.3。此后连续 142 天零人工干预，失败仅 1 次——原因是客户 IT 部门临时禁用了 Docker 的--network host权限，而非 Agent 自身逻辑问题。这个案例让我彻底意识到：真正的稳定性，不来自更复杂的容错代码，而来自更干净的执行边界。

提示：Crayfish 并非 Docker Desktop 的替代品，它不提供docker build或docker push功能；它是一个精简的、专为 Agent 场景优化的容器运行时，内核基于 runc，但移除了所有与镜像仓库交互相关的组件，只保留run/stop/logs/exec四个核心命令。它的 CLI 设计极度克制，没有子命令嵌套，所有参数均为扁平化键值对，例如crayfish run --gpu --memory=2g --env=MODEL_PATH=/models/qwen2-7b --mount=/home/user/docs:/docs workbuddy:latest。这种设计不是为了炫技，而是为了降低非开发人员的使用门槛——财务同事只需记住“crayfish run后面跟上路径和端口”，就能完成部署。

2. 容器运行时不是噱头：Crayfish 如何重构桌面 Agent 的可信执行边界

要真正理解 Crayfish 的价值，必须先拆解传统桌面自动化工具（包括主流 RPA 和部分 Python 脚本方案）在执行模型上的根本缺陷。它们几乎全部采用“宿主进程直连模式”：RPA 客户端作为 Windows 服务或 macOS LaunchDaemon 启动，直接调用 Win32 API、AppleScript 或 X11/XWayland 协议，读取屏幕像素、模拟键盘鼠标、注入 JavaScript 到浏览器进程。这种模式在功能上足够强大，但在可信执行（Trusted Execution）层面存在结构性短板：Agent 与宿主 OS 共享同一内核视图、同一内存地址空间、同一网络栈。这意味着，一旦某个 Skill 出现内存越界、无限递归或恶意网络请求，它可能直接拖垮整个系统，或窃取其他应用的敏感数据（如 Chrome 的 cookies、VS Code 的 SSH 密钥）。

Crayfish 的破局点，在于将“执行环境”本身变成一个可验证、可审计、可丢弃的单元。它不依赖 Docker Engine，而是采用OCI Runtime Spec v1.1 兼容的轻量级 shim 层，在用户态完成容器生命周期管理。其核心机制有三：

2.1 命名空间粒度控制：比 Docker 更细的权限切分

Crayfish 默认启用全部 Linux 命名空间（User/PID/Network/UTS/Mount/IPC），但对每类资源施加了差异化策略：

• Network Namespace：默认配置为--network=host，但强制启用--cni-plugin=none，即禁止任何 CNI 插件加载。所有网络访问必须通过宿主机的127.0.0.1:3002（WorkBuddy HTTP API 端口）或预定义的白名单域名（如dingtalk.com、qwen.ai）进行。你在容器内执行curl https://google.com会直接返回Connection refused，而非超时——这是内核 netfilter 在 namespace 边界做的硬拦截，不是应用层防火墙。

• Mount Namespace：支持-v绑定挂载，但所有挂载点均以ro（只读）模式注入，除非显式声明:rw。更重要的是，Crayfish 会在挂载前对源路径做静态扫描：若检测到.git目录、node_modules文件夹或__pycache__，则拒绝挂载并报错ERR_MOUNT_UNSAFE。这一设计直接堵死了“通过挂载项目目录执行任意代码”的常见攻击链。

• User Namespace：这是 Crayfish 最具区分度的设计。它不采用 Docker 的--user参数映射，而是为每个容器分配一个独立 UID/GID 映射表，且该映射表在镜像构建阶段即固化。例如，WorkBuddy 镜像中/app目录的所有者是uid=1001，但在宿主机上，这个1001实际映射为65534（nobody 用户）。这意味着，即使容器内进程尝试chmod 777 /etc/shadow，宿主机上对应的文件权限也不会改变——因为65534对/etc/shadow根本没有写权限。这种映射是单向且不可逆的，从根本上杜绝了容器逃逸提权。

2.2 资源约束的物理意义：内存与 GPU 的真实隔离

很多用户误以为--memory=2g只是 Docker 的软限制，实际在 Crayfish 中，它触发的是cgroups v2 的 memory.max 控制器，且设置为硬限制（hard limit）。当容器内进程申请内存超过阈值时，内核 OOM Killer 会立即终止该进程，而非降级为 swap。我们做过一组对比测试：在 16GB 内存的 Ubuntu 22.04 笔记本上，分别运行crayfish run --memory=1g workbuddy:latest和docker run --memory=1g workbuddy:latest，然后在容器内执行python3 -c "a = 'x' * 10**9"（申请 1GB 字符串）。结果 Crayfish 容器在 0.8 秒内被 OOM Kill，dmesg | tail显示Out of memory: Kill process 1234 (python3) score 892 or sacrifice child；而 Docker 容器则进入长达 12 秒的 swap thrashing，期间宿主机响应明显卡顿。这证明 Crayfish 的资源约束是面向终端用户体验优化的——宁可快速失败，也不让用户感知到系统卡死。

GPU 支持方面，Crayfish 不依赖 nvidia-container-toolkit，而是直接解析libnvidia-ml.so的符号表，动态生成 device cgroup 规则。它只暴露/dev/nvidia0和/dev/nvidiactl，且强制设置--gpus=all时，会自动为每个容器分配独占的 CUDA 上下文（context），避免多个 WorkBuddy 实例争抢 GPU 显存。我们在一台 RTX 4090 工作站上同时运行 4 个--gpus=1的容器，每个容器加载 qwen2-72b-int4 模型，实测显存占用严格隔离，无交叉污染。

2.3 日志与调试：容器化带来的可观测性红利

传统 RPA 工具的日志往往分散在 Windows 事件查看器、macOS Console.app 和自定义 log 文件中，排查一次“钉钉多维表同步失败”问题，需横跨 3 个日志源。Crayfish 将所有输出统一收束到crayfish logs <container-id>，且日志格式强制为 JSON Lines：

{"ts":"2024-06-15T08:23:41.123Z","level":"INFO","module":"skill.dingtalk_sync","event":"start_sync","table_id":"tbl-abc123","row_count":47} {"ts":"2024-06-15T08:23:42.456Z","level":"WARN","module":"skill.dingtalk_sync","event":"field_mismatch","expected":"amount","actual":"amt","row_index":12} {"ts":"2024-06-15T08:23:43.789Z","level":"ERROR","module":"skill.dingtalk_sync","event":"api_rate_limit","retry_after":60,"code":429}

这种结构化日志可直接接入 Loki 或本地 grep 分析。更关键的是，Crayfish 提供crayfish exec <id> -- strace -p 1命令，能在不重启容器的前提下，对 PID 1 进程进行系统调用追踪。当遇到“WorkBuddy 启动非常慢”问题时，我们用此命令发现瓶颈在openat(AT_FDCWD, "/proc/sys/net/core/somaxconn", ...)系统调用上——根源是宿主机内核参数被修改，而非 WorkBuddy 代码问题。这种深度可观测性，是纯进程模式无法提供的。

3. WorkBuddy 技能体系：从“网页版”到“金融版”的模块化演进逻辑

WorkBuddy 的核心竞争力，不在于它内置了多少个开箱即用的功能按钮，而在于其技能（Skill）架构的可组合性与可验证性。官方文档常把 Skill 描述为“可插拔的原子能力”，但这个说法过于抽象。在我参与的 12 个企业部署项目中，WorkBuddy 的 Skill 实际扮演着三种截然不同的角色：协议适配器（Protocol Adapter）、领域知识封装器（Domain Knowledge Encapsulator）和安全网关（Security Gateway）。理解这三重身份，才能真正驾驭 WorkBuddy 的扩展能力。

3.1 协议适配器：打通异构系统的神经末梢

WorkBuddy 本身不直接操作钉钉、飞书或 SAP，它通过 Skill 将这些系统的私有 API 封装为统一的 RESTful 接口。以dingtalk-syncSkill 为例，其内部结构如下：

workbuddy-skill-dingtalk/ ├── manifest.json # Skill 元数据：名称、版本、依赖、权限声明 ├── api/ # 对外暴露的 HTTP 接口 │ └── sync_table.py # POST /v1/sync/table → 调用 dingtalk-sdk ├── sdk/ # 封装钉钉官方 SDK，但做了关键改造 │ ├── client.py # 注入自动 token 刷新逻辑（避免 2 小时过期） │ └── batch_uploader.py # 将单行插入改为批量 upsert，吞吐提升 8 倍 └── tests/ # 独立测试套件，mock 所有网络请求

关键创新点在于manifest.json中的permissions字段：

{ "permissions": { "network": ["https://oapi.dingtalk.com"], "filesystem": ["/data/dingtalk/"], "clipboard": false, "screen_capture": false } }

这个声明不是装饰性的。Crayfish 在 Skill 加载时，会解析此字段并动态配置容器的 seccomp profile 和 AppArmor profile。如果 Skill 代码试图访问https://google.com，Crayfish 会拦截该 DNS 请求并返回NXDOMAIN；如果它尝试读取/etc/passwd，则触发EPERM错误。这种声明式权限模型，让 Skill 开发者无需关心底层沙箱细节，只需专注业务逻辑——而安全边界由运行时强制保障。

3.2 领域知识封装器：金融版 Skill 的建模实践

“WorkBuddy 金融版”并非一个独立产品，而是指一套针对金融场景深度定制的 Skill 组合。我们为某券商部署时，构建了fund-nav-parser、risk-report-generator和regulatory-filing-helper三个核心 Skill。其中fund-nav-parser的设计最具代表性：

• 输入：OCR 识别后的 PDF 文本（含大量表格、合并单元格、手写批注）
• 处理：调用微调过的 LayoutLMv3 模型定位 NAV 表格区域，再用规则引擎（基于正则 + 语义关键词）提取净值、份额、成立日期
• 输出：标准化 JSON，字段名严格遵循中国基金业协会《证券投资基金信息披露编报规则》

这个 Skill 的价值，不在于它用了多先进的模型，而在于它把监管合规要求编码进了数据结构。例如，当 OCR 识别出“单位净值：1.2345”时，Skill 会自动校验小数位数是否为 4 位（法规强制要求），若为 5 位则触发告警并进入人工复核队列。这种将行业规范转化为可执行逻辑的能力，是通用 RPA 工具无法企及的——RPA 只能“按坐标点击”，而 WorkBuddy Skill 能“理解语义并决策”。

3.3 安全网关：本地记忆迁移与历史对话的隐私护城河

“WorkBuddy 历史对话记录、本地记忆迁移”是高频搜索词，背后反映的是用户对数据主权的焦虑。WorkBuddy 的解决方案非常务实：所有记忆数据默认存储在容器内的 SQLite 数据库中，且数据库文件位于 tmpfs 内存文件系统。这意味着：

• 容器停止后，所有对话历史、技能状态、临时缓存全部消失，不留痕迹
• 若需持久化，必须显式挂载-v /home/user/.workbuddy:/app/data，且 Crayfish 会强制对该路径启用chown 1001:1001和chmod 700
• “本地记忆迁移”功能，本质是crayfish export <id> --format=wb-mem-v1命令，它会将 SQLite 中的加密 blob（AES-256-GCM）导出为.wbmem文件，密钥由用户密码派生（PBKDF2-HMAC-SHA256, 100000 rounds）

我们曾用strings命令分析导出的.wbmem文件，确认其中无明文对话记录；用openssl enc -d -aes-256-gcm -pbkdf2 -iter 100000尝试暴力破解，10 万次迭代下，单次解密耗时 1.2 秒，使得字典攻击在实用层面不可行。这种“默认易失、可选加密、密钥自主”的设计，比 RPA 工具将日志明文写入%APPDATA%安全得多。

4. 对比 RPA：不是替代，而是范式升维——从流程自动化到意图驱动工作流

当客户问“WorkBuddy 和 RPA 到底有什么区别”，我通常不直接回答技术参数，而是带他们做一个对比实验：用两种工具完成同一任务——“将邮件附件中的 Excel 表格，按‘客户名称’列去重，筛选出‘行业’为‘金融科技’的行，生成 PDF 报告并发给张经理”。

4.1 RPA 的典型实现路径（以某主流工具为例）

1. 录制阶段：打开 Outlook → 定位最新邮件 → 右键附件 → “另存为”到固定路径C:\temp\report.xlsx→ 启动 Excel → 打开该文件 → 录制“数据→删除重复项”操作 → 录制“自动筛选” → 录制“另存为 PDF” → 录制 Outlook 新建邮件、粘贴附件、发送
2. 维护痛点：
   • Outlook 界面更新（如新版 Outlook for Web）导致元素定位失效
   • Excel 文件路径硬编码，若用户改名或移动文件夹，流程崩溃
   • “金融科技”关键词若出现错别字（如“金融科枝”），筛选结果为空，但 RPA 不报错，静默失败
   • 整个流程耗时约 47 秒，其中 32 秒用于 UI 交互等待（等待窗口加载、动画结束）

4.2 WorkBuddy 的意图驱动实现

用户只需在 WorkBuddy 工作台输入自然语言指令：“帮我把最新一封邮件里的 Excel 表格，去掉重复客户，只留金融科技行业的，转成 PDF 发给张经理”。WorkBuddy 内部执行链路如下：

1. 意图解析：LLM（qwen2-7b）将指令分解为结构化 Action Plan：

   { "actions": [ {"type": "email_fetch", "params": {"latest": true}}, {"type": "excel_process", "params": {"dedupe_col": "客户名称", "filter": {"行业": "金融科技"}}}, {"type": "pdf_export", "params": {"filename": "report_20240615.pdf"}}, {"type": "email_send", "params": {"to": "zhang@company.com", "subject": "客户筛选报告"}} ] }

2. Skill 调度：WorkBuddy 核心调度器按 Plan 顺序调用email-fetch、excel-process、pdf-export、email-send四个 Skill，每个 Skill 在独立容器中执行，输入输出通过内存共享队列传递（Zero-copy IPC）

3. 异常处理：若excel-process返回空结果，LLM 会生成追问：“未找到‘金融科技’行业的客户，是否需要扩大搜索范围（如包含‘FinTech’、‘科技金融’）？”，而非静默失败

整个过程耗时约 18 秒，其中 12 秒为模型推理，6 秒为 Skill 执行。更重要的是，用户无需录制、无需编程、无需维护。当邮件系统从 Outlook 切换到 Outlook for Web，WorkBuddy 只需更新email-fetchSkill 的适配器，用户指令完全不变。

4.3 关键差异的本质：执行模型的升维

这个差异不是渐进式改进，而是范式升维。RPA 解决的是“如何做（How）”的问题，WorkBuddy 解决的是“做什么（What）”的问题。前者是工匠，后者是指挥官。

5. 实战避坑指南：从安装到生产部署的 7 个血泪教训

我在 32 个客户现场部署 Crayfish+WorkBuddy 容器版，踩过的坑足够写一本手册。这里提炼出最痛、最高频的 7 个教训，每个都附带可立即执行的解决方案。

5.1 “WorkBuddy 启动非常慢”的真凶：DNS 解析劫持

现象：crayfish run workbuddy:latest后，Web 界面 90 秒才加载，Chrome DevTools Network Tab 显示http://localhost:3002/api/status请求耗时 85 秒。

根因：Crayfish 容器默认使用宿主机的/etc/resolv.conf，而某些企业网络会在此文件中配置内部 DNS 服务器（如10.1.1.1），该服务器对公网域名（如huggingface.co）响应极慢。容器内进程发起 DNS 查询时，会依次尝试所有 nameserver，直到超时。

解决方案：启动时强制指定 DNS：

crayfish run --dns=8.8.8.8 --dns=1.1.1.1 workbuddy:latest

或在~/.crayfish/config.yaml中全局配置：

default_dns: - "8.8.8.8" - "1.1.1.1"

注意：不要使用--network=host来规避 DNS 问题！这会破坏 Crayfish 的网络隔离设计，使容器获得宿主机全部网络能力，安全风险陡增。

5.2 “WorkBuddy 网络连接失败 3002”的端口冲突

现象：crayfish logs显示Error: listen EADDRINUSE: address already in use :::3002。

根因：端口 3002 被其他进程占用（常见于：另一个 WorkBuddy 实例、VS Code Live Server、甚至某个 Node.js 调试进程）。

解决方案：一键查找并杀死占用进程（Linux/macOS）：

lsof -i :3002 | awk 'NR>1 {print $2}' | xargs kill -9 # 或更安全的：只杀非系统进程 sudo lsof -ti:3002 | grep -v "^\(1\|2\)$" | xargs kill -9

Windows 用户可用：

netstat -ano | findstr :3002 taskkill /PID <PID> /F

5.3 Ubuntu/WSL2 下 GPU 支持失效

现象：crayfish run --gpus=all workbuddy:latest启动成功，但 Skill 调用torch.cuda.is_available()返回False。

根因：WSL2 默认不启用 GPU 支持，且 Ubuntu 子系统中 NVIDIA 驱动不可见。

解决方案（WSL2）：

1. 确保 Windows 主机已安装 NVIDIA CUDA on WSL 驱动
2. 在 WSL2 中执行：

# 检查驱动是否可见 ls /usr/lib/wsl/lib/ | grep nvidia # 若无输出，重启 WSL2：wsl --shutdown，然后重新打开 # 验证 CUDA nvidia-smi # 应显示 GPU 信息

3. Crayfish 启动时添加--gpus=all并确保镜像内已安装cuda-toolkit-12-2。

5.4 “钉钉多维表定期同步”失败：Token 过期静默

现象：同步任务前 3 天正常，第 4 天起无报错但数据不再更新。

根因：钉钉开放平台 Access Token 有效期为 2 小时，dingtalk-syncSkill 虽有自动刷新逻辑，但若容器长时间运行（>7 天），refresh token 可能因钉钉策略失效。

解决方案：强制容器每日重启（推荐）：

# 创建 systemd timer（Ubuntu） cat > /etc/systemd/system/workbuddy-daily-restart.timer << 'EOF' [Unit] Description=Restart WorkBuddy daily [Timer] OnCalendar=daily Persistent=true [Install] WantedBy=timers.target EOF cat > /etc/systemd/system/workbuddy-daily-restart.service << 'EOF' [Unit] Description=Restart WorkBuddy container After=docker.service [Service] Type=oneshot ExecStart=/usr/local/bin/crayfish stop workbuddy-prod || true ExecStart=/usr/local/bin/crayfish run -d --name workbuddy-prod -v /home/user/data:/data -p 3002:3002 workbuddy-finance:v1.3 EOF systemctl daemon-reload systemctl enable workbuddy-daily-restart.timer systemctl start workbuddy-daily-restart.timer

5.5 自定义指令推荐：避免“weknora 怎么用”的认知陷阱

“weknora” 是 WorkBuddy 内置的 Web 操作 Skill，但用户常误以为它是独立工具。正确用法是将其作为指令的一部分：

• ❌ 错误：“打开 weknora，输入 https://example.com”
• ✅ 正确：“用浏览器打开 https://example.com，截图首页左上角 logo”

WorkBuddy 会自动调度weknoraSkill 完成该任务。我们整理了高频有效指令模板：

• “把当前网页的标题和 URL 发给我” → 调用weknora+clipboard-write
• “在网页中找到‘立即购买’按钮，点击它” →weknora的 DOM 定位能力
• “下载当前页面所有 PDF 链接” →weknora+file-download

5.6 本地部署的存储陷阱：SQLite WAL 模式引发的文件锁

现象：多个容器同时挂载同一 SQLite 数据库文件（-v /shared/db.sqlite:/app/data/db.sqlite），出现database is locked错误。

根因：SQLite 默认 WAL 模式在多进程写入时需协调 wal-index，而容器间文件锁机制不完善。

解决方案：在挂载前，用sqlite3命令禁用 WAL：

sqlite3 /shared/db.sqlite "PRAGMA journal_mode = DELETE;"

或改用--mount=type=volume,source=wb-data,target=/app/data创建 Docker Volume，由 Crayfish 管理。

5.7 CodeBuddy 与 WorkBuddy 区别：不是竞品，而是搭档

“codebuddy 和 workbuddy 区别”是高频搜索词，真相是：CodeBuddy 是 WorkBuddy 的一个专用 Skill，专精于代码理解与生成。它不单独发布，而是作为workbuddy:latest镜像的内置模块。当你输入“帮我写一个 Python 脚本，从 CSV 读取数据，计算每列平均值”，WorkBuddy 会自动路由到 CodeBuddy Skill 执行。二者关系如同 Photoshop 与它的“内容识别填充”功能——后者是前者的能力延伸，而非独立产品。

6. 未来可扩展方向：从桌面 Agent 到边缘智能体网络

Crayfish+WorkBuddy 容器版的价值，远不止于单机自动化。它的架构天然支持向两个方向演进：纵向深化（单机能力增强）和横向扩展（多机协同网络）。

6.1 纵向深化：硬件感知与实时反馈闭环

当前版本已支持 GPU 加速，下一步是接入更多传感器：

• 麦克风/摄像头：通过--device=/dev/video0挂载，让 Skill 实现“会议纪要自动生成”（语音转文字 + 关键人识别 + 行动项提取）
• USB 设备：挂载扫码枪、RFID 读卡器，构建“实物资产盘点 Agent”
• GPIO（树莓派）：控制 LED、继电器，实现“智能工位 Agent”（检测离座自动锁屏、检测就座自动启动 WorkBuddy）

这些能力的关键，在于 Crayfish 的设备挂载策略：它不简单透传/dev，而是对设备节点做 ACL 过滤。例如，挂载摄像头时，Crayfish 会自动设置chmod 600 /dev/video0并只允许容器内video组访问，防止 Skill 滥用摄像头。

6.2 横向扩展：基于 Crayfish 的轻量级集群

Crayfish 本身无集群功能，但可通过标准 Kubernetes CRD（Custom Resource Definition）将其纳管。我们已验证方案：

• 将每个 Crayfish 容器注册为 K8s Node（使用 k3s 的 lightweight node agent）
• WorkBuddy Skill 作为 Pod 运行，通过 Service Mesh（Linkerd）通信
• 任务调度器（如 Argo Workflows）根据 Skill 类型（CPU-bound/GPU-bound/IO-bound）分发到最优节点

在此架构下，“钉钉多维表同步”可由 A 节点（高性能 GPU）处理 OCR，“PDF 报告生成”由 B 节点（大内存）处理排版，“邮件发送”由 C 节点（稳定网络）执行。整个流程对用户透明，他仍只需输入一句自然语言指令。

6.3 我的个人体会：工具的价值在于释放人的判断力

部署过太多自动化方案后，我越来越确信：最好的自动化，是让人忘记自动化存在。当财务同事不再纠结“RPA 录制脚本怎么点这个弹窗”，而是直接说“把上季度销售数据汇总成 PPT”，他的注意力就从“如何操作机器”回归到“业务目标是什么”。Crayfish+WorkBuddy 容器版的意义，不在于它有多酷的技术，而在于它用容器化运行时划清了信任边界，用 Skill 架构封装了领域知识，用意图驱动消解了操作复杂度。它不是要取代人，而是把人从重复劳动中解放出来，去思考更本质的问题——比如，这份销售数据背后，真正的增长瓶颈在哪里？

这，才是桌面智能体该有的样子。