04 — 关于

为什么做 M3 Agent。

M3 起步于一个很朴素的问题：为什么手机上的 AI 助手，要么只能答问题不能动手，要么动手了你却不敢让它碰支付页面？

想两头都要

要让模型真的操作手机，就得让它看得见界面、点得中按钮；要让人敢把手机交出去，就得让每一步都可查看、可停下、可回退。M3 的做法是把这两件事拆开：模型只负责在有限动作集里选一个，执行器负责做，安全闸负责停。

安全机制不是营销词，是执行器层面的硬约束：敏感操作先确认，连续 3 步没变化就自停，每一步都留检查点。

读屏结果只发往你配置的模型端点，后端跑在你自己的机器上。不设分析服务器，不做行为画像。

「它到底能看到什么」不应该靠信任，应该靠审计。App 与后端全部开源，权限用在哪，代码里见。

界面可以换九种风格，但读屏、点按、回读的顺序不能换。这一版先把执行链路做扎实。

危险动作一律弹确认，判不判危险是规则写的，不是模型说的。

每一步都摆出来：读了什么、点了哪、为什么这么点。你可以随时叫停。

输入框里打了什么，不进记忆、不进日志；写入前都过 PII 过滤。

模型端点自己填，后端可以自己部署，记忆随时能导出成 JSON。