让 AI 像同事一样进群干活：开源自托管聊天工具 agentes.chat 拆解

团队聊天工具里的 AI，大多数活得像个挂件：侧边栏里点一下，问一句答一句，干不了正经活。单机的 AI Agent 应用反过来，能力是够，但脱离团队——它干的活同事看不见，审批没处落，交接靠截图。GitHub 上 11 月 9 日才建仓的 agentes-chat（仓库 agentes-chat/agentes-chat）把这两个问题捏在一起做：开源、自托管的 Slack 替代品，AI Agent 以「成员」身份进频道干活，目前一千二百多星，AGPL-3.0。

护栏先于能力的设计

先说它做得最对的部分。每个 Agent 有四件套：角色、指令、模型、月度预算——预算在每次模型调用前检查，花超了就停；每个 Agent 还有一个 owner，收它的审批和预算告警。合并代码、部署、回滚，以及任何连接器标记为敏感的操作，都会在聊天里出一张审批卡片，等 owner 或管理员点头，批准后按批准的内容原样执行一次。模型密钥由组织统一配置，支持 Claude、OpenAI、Gemini、DeepSeek、Kimi、Z.ai、MiniMax，或者接 OpenRouter 随便换。

消息路由也有意思：没人 @ 的消息交给 Router，代码先筛候选，再用工作区 Key 上的小模型 Jev 或简单规则挑人，最多四个 Agent 回答，也可能都不回，消息里会写明是谁选的——而且 Router 永远不会授予任何权限。这段设计把「群聊里多个 Agent 抢答」这个常见灾难控制住了。

能干的活比想象的多

Agent 默认分到一台自己的电脑（runner），能在上面跑命令和代码；连了机器的还有个真浏览器，操作过程在聊天里直播，人可以随时接管处理登录或验证码，再交还回去。定时和事件触发都有：工作日早九点跑日报，或者 GitHub 来了 PR、Sentry 报了 issue 就动手。它还记 memory——决策、事实、偏好，被纠正过、审批被拒过的经历也会学进去，甚至会主动提议修改自己的指令，等人批准才生效。

周边配套齐得意外：MCP 连接器一键接 Linear、Sentry、Notion、Stripe，配 Composio Key 还能连 Google Drive、Slack、Salesforce 这些；Wiki 支持双链和 Obsidian 导入；任务看板上丢给 Agent 的任务会随它开工、开 PR 自动移动状态；邮箱能读能写能发，发送默认要审批。

几个测试中的功能也值得列一下，因为方向很说明问题。Postgres 连接器让 Agent 用 SQL 查你们自己的库——只读事务、单条语句、限时限量，防注入的思路是解析后放行而不是字符串过滤。Agent 邮箱走 Gmail、Outlook 或者任意 IMAP/SMTP，草稿和外发都默认卡审批。技能系统用 Markdown 写的 SKILL.md，支持从 zip、GitHub 链接或编辑器导入，带版本号，任务需要时才加载。迁移也是个卖点：它声称能从 Grok Bot、ChatGPT dots、OpenBot.run 这些单机 Agent 应用里把 Agent 连带技能、频道、routine 和记忆整体搬过来，密钥除外——预览先看再确认，这一手对观望者很友好。

通知系统把提及、回复、审批请求和 Agent 的提问收进一个收件箱，手机端有推送。桌面端覆盖 macOS、Windows 和 Linux，Beta 期 Mac 包没公证、Windows 安装包没签名，首次打开会多问一步，属正常现象。

部署门槛与许可注意点

Linux 服务器一条命令装完：curl -fsSL https://agentes.chat/install | sh。脚本会问你要不要装 Docker，装完挂在 Tailscale 私网里带 HTTPS，官方说十分钟左右。数据库只依赖 Postgres（带 pgvector）。不想用 Docker 的还有个单程序版 agentes-server，内建数据库，适合一两个人的小团队。客户端覆盖 Web、桌面（macOS/Windows/Linux）和手机（Expo），十四种语言含简体中文。技术栈是 Bun 加 Hono 加 Drizzle 的服务端、React 前端、Tauri 桌面。

许可要留个心眼：AGPL-3.0 对修改后的网络服务有开源义务，NOTICE 里另有一条署名条款，二次分发的版本得在关于页保留「Based on agentes.chat」字样。拿它做商用改造的先把这两条读明白。

上手流程也顺一遍：装完打开网页端建工作区，第一步在设置里加模型 Key（组织级，所有 Agent 共用这一个入口），第二步建 Agent——给名字、角色描述、选模型、定月度预算、指定 owner，第三步把它拉进频道。它就位后先读频道历史再发言，任务直接在消息里派。安全上有个必须交代的点：Agent 的 runner 默认跑在服务器本体上，等于给了一个执行任意命令的环境，机器上该有的隔离（独立用户、文件权限、网络出口管控）别省，敏感环境建议接一台专门的机器当 runner，别跟主服务混跑。

我的看法

这个项目真正值得抄的不是功能清单，是排序：预算、审批、权限收口全部做在能力前面，Agent 越能干，护栏越先到位。自托管意味着密钥和数据都在自己手里，这点比功能更打动我。短板也明摆着——项目太新，建仓才几天，生产环境里填坑的轮次还没跑够，拿去当团队主干工具之前，先在旁路业务上跑一两周更稳妥。