在 VPS 上 24/7 运行 AI 代理。
离开你的笔记本，搬到不会休眠的实体机上。

一个在你自己机器上能跑的代理，只是一个能运行的代理，还算不上一个已部署的代理。这中间的差距是四个毫不光鲜的问题，没有一个和 prompt 工程有关。

休眠。 合上盖子，进程就被挂起了。而且电源管理在盖子合上之前很久，就已经在限流后台任务，这带来了这种失败最糟糕的一种版本：代理确实在运行，但运行得又晚又不可预测。

IP 变动。 家里或者咖啡馆的网络，每次重新连接都会给你分配一个新地址。任何按 IP 限速的东西、任何需要稳定回调地址的 webhook、任何你登记过的白名单，都会时不时地失效。

重启。 操作系统更新会按自己的日程重启机器。除非代理已经注册到某个服务管理器里，否则机器醒来看到的只是一个桌面，而不是一个正在运行的循环。大多数人一个星期后才会注意到。

搬迁。 你出差、换机器、重装系统。任何只存在于你 shell 历史记录里的东西都是不可复现的 — 一个在三月的某个下午手动搭起来的代理，根本没有任何部署流程可言。

一台服务器只解决这四件事，别的什么都解决不了 — 不解决正确性，不解决成本，也不解决安全性。它给你的只是一个运行环境，运行环境本身出的问题依然要靠你自己修。如果有人把它吹得更神，你应该多留个心眼。

开机器时选 Ubuntu 24.04 LTS 或 Debian 13 — 下单时都可以选，此外还有 Ubuntu 22.04、Debian 12、AlmaLinux 9 和 Rocky Linux 9。你会拿到 root 凭据；拿到之后第一件该做的事，就是不再用它。如果 SSH 密钥认证对你来说还是陌生的领域，先去读下面链接的加固指南。

1 — 创建一个服务账户。 adduser --system --group --home /srv/agent agent。代理不应该以 root 身份运行，也不应该拥有交互式 shell。现在多敲一条命令，日后如果它调用的某个工具被人反过来利用，波及范围也能保持很小。

2 — 把代码搬到机器上。 git clone 到 /srv/agent，或者如果你不想在服务器上留一个部署密钥，用 rsync 也可以。把依赖锁定版本：有没有 lockfile，决定了重新部署时是能复现，还是会给你意外惊喜。

3 — 搭建运行环境。 python3 -m venv /srv/agent/.venv，然后用这个 virtualenv 的 pip 从 lockfile 安装依赖。或者安装 uv，让它同时管理解释器和 lockfile。两种方式都可以；但把两者混着用不行。

4 — 先手动跑一次。 sudo -u agent /srv/agent/.venv/bin/python -m agent --once。不要跳过这一步直接上 service unit。这里十次失败里有九次，要么是缺了某个环境变量，要么是用了相对于你笔记本电脑的路径，这两类问题在终端里都比在 journald 里看得清楚得多。

5 — 把它交给监督进程。 见下一章。这一步会把一个你手动启动的脚本，变成一个由机器自己管理的服务。如果整套流程花的时间明显超过十五分钟，原因几乎总是对你开发机产生了某种隐性依赖 — 一个全局安装的二进制文件、一个藏在 shell 配置里的凭据、一个仓库之外的路径。

一个代理手里握着的东西，比一个 web 应用要危险得多。一个模型 API 密钥就是一件可以花钱的工具；一个交易密钥自带杠杆；一个钱包密钥就是资金本身。而且和 web 应用不同，代理会根据它自己没有写过的文本采取行动，这让“密钥握在代理手里”和“密钥握在攻击者手里”之间的界线变得很薄。

别让密钥进入镜像。 Dockerfile 里的 ENV 和 ARG 值会被写进镜像层，任何拿到这个镜像的人都能用 docker history 读出来。改用 Compose 里的 env_file:，或者 systemd unit 里的 EnvironmentFile=，并把这份文件放在构建上下文之外。

别让密钥进入代码仓库。 .gitignore 和 .dockerignore 要在第一次提交时就写好，而不是等到第五十次。一个曾经被提交过的密钥，即使之后重写了那次提交，也已经算是泄露了，因为对象会留存在各个 clone 和 fork 里。正确做法是轮换密钥，而不是去重写历史。

限制这份文件能触及的范围。 把环境变量文件的属主设为服务账户，权限设为 600。再配合一个非 root 的服务账户，即便机器上别处的某个依赖被攻破，也不能直接从磁盘上读走你的密钥。

在发放密钥的一方就限定好权限范围。 每个代理一个密钥，选服务商提供的权限里最窄的那一档 — 只读够用就只给只读，交易所密钥就禁用提现，把 IP 白名单锁定到这台服务器上。一个稳定的 IP 是离开笔记本电脑之后一个不太起眼的好处：终于可以做 IP 白名单了。如果有好几个人需要用到同一套凭据，就把它们放进配套指南里那个自托管密钥库后面。

一个没有工具的代理只是一个聊天循环。正是工具让它能够读取一个代码仓库、查询一个数据库、下一笔订单或提交一个 issue — 一旦代理住进了服务器，这些工具也应该住进去。

Model Context Protocol（MCP）已经成了暴露这些工具的通用方式，而一个你自己私下运行的服务器，很容易就能部署在代理旁边：同一台机器，同一个私有接口，不需要任何公网暴露。配套的指南对此有更完整的讲解 — 托管一台远程 MCP 服务器会带你走一遍 TLS、streamable-HTTP 传输、OAuth 和 agent card，而无需身份认证的托管角度则从身份这一侧讲解同一套技术栈。

先把它绑定到 localhost。 如果唯一的调用方就是同一台机器上的代理，工具服务器就没有理由占用一个公网端口。绑定到回环地址，证书也可以省了。只有在第二台机器需要访问它的时候，才把它公开暴露 — 而到了那时，TLS 和身份认证都得要，而不是二选一。

给工具的权限，只给刚好够用的那一份。 代理是根据文本来决定调用哪个工具的，而这些文本里有一部分来自外部。对于一个会读网页或收件箱的代理来说，prompt 注入不是什么假设性的风险，而是理所当然会发生的情况。一个只能读的工具，是没法被诱骗着去写的。凡是必须写入的工具，凡是具有破坏性的路径，都要求人工确认。

如果你是在为别人的代理而不是自己的代理构建工具，机器 API和面向代理的接口文档说明了本平台如何直接向代理开放开通流程。

一个代理是一个长期存活、持有凭据的进程，从一个固定地址持续地代表你行事。这让这份租赁记录比一个静态网站的租赁记录更有意思：它每小时都在做着可以追溯到你身上的事情，一做就是好几个月。

这里的底线是：注册只需要一个邮箱地址和一个密码，支付可以用八种资产 — Bitcoin、Ethereum、两条链上的 Tether、Monero、Litecoin、TRON 和 Solana — 全程不需要任何身份证件。数据中心位于四个北欧宪政国家：Stockholm、Helsinki、Oslo 和 Reykjavík。运营准则说明了哪些数据会被留存；网络页面说明了路由方式。

现在说说这个限度，它比宣传语更重要。一个不要求身份信息的主机，移除的是租赁记录。它触及不到推理这一层：你的代理每次调用，都是用绑定到某个账户、从一个固定 IP 出发的密钥，向模型服务商认证的。如果那个账户是用你的真实姓名注册的 — 对大多数人来说确实如此 — 那么无论这台实体机是谁租的，身份都已经在那里确立了。主机这一层只移除了一环：确实是真实的一环，但也仅此一环。

接下来要做的事都不怎么光鲜。做好隔离：一个代理，一台服务器，一把密钥，一个钱包。在第一天就把机器加固好，而不是等到第三十天 — 对于一台要无人值守运行好几个月的机器来说，第一小时清单这一个小时花得很值。如果代理必须访问一个私有网络，就用一条隧道在服务器上终结它，而不是把服务直接暴露出去 — 隧道指南讲解了具体配置。还有，用加密货币支付时，用的钱包不要和代理用来交易的那个钱包是同一个。

这些做法都不算什么稀奇的技巧，也都不是什么保证。这不过是在你睡着的时候，运行一个代表你行事的东西所需要的日常自律 — “持续运行”说到底也就是这个意思。这个主题群的其余内容都在指南索引里。