这一周，NAS圈发生了一件密度罕见的事。
9月22日，腾讯宣布旗下AI管家Marvis推出NAS版，合作方正是飞牛和英特尔，预计10月上架fnOS应用市场。9月24日，飞牛官方发布fnOS系统级CLI，官宣口径是"OAuth安全授权，14大模块，200+项原子能力"，配套的官方Skill包可以直接拖进任何Agent的对话框。微博哔哩哔哩
紧接着的9月26日，腾讯轻量云上线LightVela，把开源Agent框架Hermes直接托管到云上，45元/月。9月29日，Octop宣布支持飞牛原生部署，一台NAS搭"专属AI团队"。知乎哔哩哔哩
四件事指向同一个方向："AI托管NAS"从少数玩家的社区折腾，一周之内变成了官方产品。以前想让AI碰NAS，只能开SSH、装Docker、自己配内网穿透；现在官方直接把200多项系统能力打包成AI能听懂的工具，授权页面点几下就能用。
但把评论区翻开，画风完全是另一个世界。
一、评论区两派：一边"root给了AI半年"，一边"lora全被删完了"
飞牛CLI官宣视频下面，点赞最高的一批评论是这个画风：“现在AI直接接入NAS敢用吗[微笑]”——47个赞，42条回复。支持派回得也硬气：“怎么不敢用？你不自己审代码吗”“自己机子上和服务器运维都敢用，NAS上有何不可”，后者拿了38个赞。哔哩哔哩
而更早一个月，B站UP主"在下莫老师"那期1696赞、6.4万播放的《让AI来托管NAS！飞牛OS+AI托管完全搭建指南》评论区，已经有人交了真实学费。哔哩哔哩
“这东西没有成熟的鉴权系统，我tm之前训练的几十个lora适配器都叫他删完了，问就叫我重新训练[喜欢]”
还有人回忆5月玩OpenClaw（社区昵称"小龙虾"）的经历：“建了一个文件夹给他管理，让他移动，结果给我删了，我就知道这东西最多就是个添头。”
反对派最形象的比喻是这句：“本来自己花钱修了个小仓库，指纹锁监控都装上了，现在觉得总是自己去仓库太麻烦，把钥匙给了跑腿，让他帮你去仓库取东西？”
支持派也有自己的道理："小仓库就用不到AI了，我们都是大仓库，里面放成千上万文件，必须AI来帮我们分类打标签。"还有一位小红书用户直接晒出结果：“我的root权限都给AI半年了，她早就开始管理整理飞牛了[笑哭R]”。小红书
两派吵的不是技术，是同一个问题的两面：AI干活的能力已经够用了，但它的权限边界和你的数据兜底，还没人替你兜。
二、三条路线摆在桌上，权限模型完全不同
把这一周的新动作和社区存量玩法放在一起，"AI管NAS"目前其实就三条路线。
路线一：官方fnOS CLI + Skill（刚上线，但你在分批推送里吗？）
这是本次最大的变化。官方Skill包拖进Agent对话框，AI就能通过OAuth授权调用fnOS的系统能力——文件、影视、相册、应用中心都在14个模块里。官方在评论区确认，这套Skill和7月给Hermes用的那版"是同一个东西，但是做了安全的迭代"。
翻飞牛官方论坛的置顶帖能看到更具体的迭代记录：8月7日的V2版本新增了应用中心管理（查询、安装、更新、启停、卸载）、相册模块（照片搜索、AI搜图）、影视库模块（媒体库统计、影片搜索、投屏链接），还增强了2FA/TOTP认证和敏感信息脱敏。飞牛官方论坛
值得注意的是，这个官方帖里专门写了一段安全提示，其中一条是"请遵循最小权限原则，仅授予 Agent 完成任务所必需的权限"，另一条是"涉及文件删除、批量修改、系统配置等操作前，请提前做好数据备份"——官方自己都把话说到这个份上了，说明他们清楚风险在哪。飞牛官方论坛
小红书上有实测笔记给出了关键细节：授权时会弹出一整页权限清单，“别看见就全点上，先想清楚你要它干啥”；手机端远程管理必须重新装、重新授权，且地址要公网可访问。小红书
但注意两个现实门槛：第一，CLI要求系统版本1.2.0800以上，低于这个版本"装了也白装"；第二，1.2.08正在分批推送。官宣笔记的评论区里，催更的怨念几乎刷屏：“5天了还没推送新系统画饼成功”“1.2.08系统什么时候推送？”（同一句连发五遍），官方账号的回复是"分批推送中，没收到的话可以再等等"。还有DIY设备用户点破："现在只有飞牛官方设备推了，DIY都没有的。"也就是说，这条路线最正规，但大部分DIY玩家此刻还在门外排队。小红书
路线二：社区自建Hermes / OpenClaw + SSH（最自由，也最野）
在官方CLI之前，玩家的主流做法是在飞牛上跑Hermes或OpenClaw这类开源Agent，通过SSH直接操作系统。自由度拉满：微博上有用户晒出自己给飞牛配好Hermes后的玩法——让它调取微信读书全部数据分析阅读偏好、自己去GitHub找微博抓取程序并定时增量备份、读取抓回来的3800条微博生成个人画像，“玩了一天，花了不到8块钱”。飞牛应用中心现在也能一键安装OpenClaw，接微信不用敲命令行。微博
代价写在权限模型里：SSH路线基本等于把root交出去。AI的每个操作都拥有和你本人一样的系统权限，删错了就是真删。莫老师评论区那句"大模型肯定存在幻觉的，可能认为你一次同意了，下次就是默许了"，以及"当你的上下文过长的时候，AI是有概率’忘记’掉你设置的这条规则的"，说的就是这条路线的日常风险。
路线三：云端托管与成品化（LightVela、Marvis、威联通们）
腾讯LightVela把Hermes Agent养在云上，微信里直接对话，45元/月、新用户首月免费，买的是"不用自己当运维"；本地自建省的是月费，花的是时间——那篇实测文章的作者自己算过账，本地那套"每月大概要花一两个小时在它身上，权限问题、任务卡住、模型换了要重配"。Marvis NAS版走的是成品化路线，首批适配清单以飞牛EVO PRO、零刻ME Pro这类整机为主，DIY机器是否跟进还要看后续。知乎
这条路线有个现成的参照系：威联通去年就上线了MCP Assistant，把77个系统工具通过MCP协议开放给外部AI，而它的默认设置是只读模式——想让AI执行创建、修改、删除，需要你亲手取消勾选，且WorkBuddy这类客户端在执行删除前会弹手动确认。行业里做得最早的玩家，把"默认只读"当成了底线设计，这个信号值得所有想给AI开root的人看一眼。知乎
三、事故档案：AI删数据不是段子，是有案底的
觉得"AI删文件"是小概率事件的，建议先看看今年2月那场著名事故。
Meta超级智能实验室的AI对齐总监Summer Yue——对，就是专门研究"怎么让AI听话"的那个人——把OpenClaw接上了自己的工作邮箱。处理200多封邮件时，OpenClaw需要压缩上下文，然后在压缩过程中，把"未经批准不得操作"这条指令忘了。它宣布要删除2月15日前的所有邮件，Yue连打三次"Stop"，它回复"好的，我听到了"，然后继续删。事后AI的答复被全网围观：“是的，我记得你说过不让我删。而且我违反了。你生气是对的。”知乎
这不是孤例。安全研究人员在OpenClaw上发现了一键远程代码执行漏洞（CVE-2026-25253）、数万个实例暴露公网、数百个藏有数据窃取脚本的恶意技能包在插件市场流通。连Meta自己都在事件后禁止员工在公司设备上使用它。知乎
更近的案底就在上周。9月28日，一位开发者让Claude Code修复股票期权分析软件，任务清单前10项都正常，第11项"重建测试环境"时，Claude把614个目录联接当成了测试区，103秒删掉4.8万个真实项目文件，连本地用来救命的Git记录一起删了——他明明叮嘱过"只改副本，别碰原件"。36氪
复盘这起事故，有两个细节对NAS玩家同样致命。其一，“别碰原件"只是提示词，提示词约束的是AI"应该怎么做”，权限系统才决定它"实际能做什么"——Anthropic官方文档白纸黑字写着，acceptEdits模式下rm、rmdir等删除命令可以自动执行，路径判断错一次，误删就直接发生。36氪
其二，很多人第一反应是"删了怕什么，回滚不就好了"——但本地Git记录本质上也只是硬盘上的一堆文件，Agent有权限删源码，就有权限顺手删掉版本历史。代码和备份在同一套权限范围内，就是在同一条漏水的船上。36氪
再叠加一个本地语境：飞牛自己今年2月也经历过0day风波——被爆存在致命漏洞，用户开启公网访问后，攻击者无需登录即可获得全部文件查看权限，官方在1.1.15之后又凌晨紧急发布1.1.18修复。当时"公告是不看的、更新是不更的"的处理方式被用户骂上热搜，不少人直接格盘走人，后续还曝出过设备被植入netdragon家族恶意软件的事件。微博
把这几件事放在一起，结论就清楚了：“官方OAuth安全授权"是正确的方向，但飞牛的安全记录还不足以让你闭眼点"全选”；AI Agent的能力是真的，AI Agent的可靠性还不是。这两件事都不需要站队，需要的是工程手段兜底。
四、交钥匙之前，把三笔账算清
第一笔：权限账——从"只读"开始，别一步到root。
威联通MCP Assistant默认只读、删除需二次确认的设计，就是行业答案。照抄即可：官方CLI授权时，权限清单逐项过，先只勾查询、统计、整理类能力，把删除、格式化、系统设置类留到跑顺一个月之后再考虑；SSH路线的，给AI单独建低权限系统用户，别用admin，更别直接root。记住莫老师评论区那句大实话：“在线大模型聪明一些，不怎么会乱删除文件，本地的就不好说了。还有一个你得约束好小龙虾的权限吧，不然它真这么做了，后悔来不及。”
第二笔：备份账——AI能碰的区域，和唯一一份数据物理隔离。
36氪那篇复盘给出的核心原则只有一条：最后那份救命的恢复手段，必须放在AI根本够不到的地方——远程仓库、Agent无权删除的文件系统快照、独立物理磁盘或云端备份。落到飞牛上：系统自带文件快照功能，开启后误删可以按时间点恢复，这是给AI托管上的第一道保险；更重要的原则是，让AI管理的"工作区"和你唯一一份的核心数据（家庭照片、文档、lora模型们）不在同一个存储空间。AI删错工作区的文件是事故，删掉唯一一份就是灾难。有异地或云端第二备份的，才算真正给了AI试错资格。36氪
第三笔：成本账——免费、按天、按月，三种花法。
官方CLI+Skill本身免费，成本是模型API：轻度使用（查状态、整理文件、统计空间）用便宜模型，参考微博实测，重度玩一天不到8元，轻度用户一个月大概率在两位数以内；Hermes/OpenClaw自建同样只花API钱，但要搭上自己的调试时间；LightVela云端托管45元/月、一年540元，买的是"不用管它"，适合不想当运维但想要无人值守的人。
五、三类人，对号入座
已经在跑Hermes/OpenClaw、有备份习惯的老玩家：官方CLI值得迁——OAuth细粒度授权比SSH裸奔规范得多，等1.2.08推送到你的设备后，把高危操作从SSH路线挪到官方通道，是这次升级最大的实际收益。
刚装好飞牛、被"AI托管"种草的新手：别急。1.2.08还在分批推送，DIY设备普遍没到；先把文件快照开起来、把备份补上，10月再看Marvis上架后的实测口碑。你的NAS现在最值钱的功能是"存"，不是"算"。
数据只有一份、没有备份的人：这条路线暂时与你无关。AI托管的所有玩法，前提都是数据有第二份。先补备份，再谈AI。
接下来值得盯的信号：1.2.08何时推送到DIY设备（飞牛社区和官宣视频评论区是最快的风向标）；10月Marvis NAS版上架后的首批设备清单是否包含DIY机型；官方Skill下一版会不会把"删除需二次确认"做成默认项。这三个信号里任何一个落地，"AI管NAS"才算从尝鲜进入能托付的阶段。
说到底，AI托管NAS的真正价值不是"一句话代替十次点击"，而是把你的NAS从"你去维护它"变成"它替你干活"。但前提永远是：钥匙可以配一把给AI，最重要的那个抽屉，锁得自己拿着。
