迅宝 XunMuse 使用文档

系统要求

先确认你的电脑和账号条件。

• 电脑:Apple 芯片的 Mac(M1、M2、M3、M4 等)。提供的是 macOS(Apple 芯片)版。不确定自己的 Mac 是不是 Apple 芯片?点屏幕左上角的苹果菜单 →『关于本机』,『芯片』一栏写着 Apple M… 即可使用本安装包;写着 Intel 的无法使用。
• 系统:最低 macOS 13。
• Docker:完整功能需要 Docker Desktop(任务的隔离沙盒和浏览器工具依赖它)。没有 Docker 也能先用,见下文"Docker 与浏览器运行环境"。
• 模型密钥:在「模型」页填写。
• 网络:能访问 MaxModel 网关(api.maxmodel.com)——默认情况下,模型请求发往它。
• 界面语言:简体中文。

下载安装与第一次打开

下载页会标明安装包的签名与公证状态。下载 DMG,拖进『应用程序』,然后打开。

1. 下载:在下载页下载 macOS(Apple 芯片)版的 .dmg。
2. 安装:双击 DMG,把 XunMuse 拖进『应用程序』文件夹。
3. 打开:打开 XunMuse。第一次打开时,macOS 会问一次是否打开,点『打开』。
4. 等待启动:启动页显示「正在启动本地服务……」,稍等片刻进入控制台。没装 Docker 时会先出现一个检测页,见下一节。
5. 数据保护设置:第一次启动会先带你完成数据保护设置,按页面提示做完即可,并把页面要求你保管的内容存好;做完之前对话输入框不会出现,做完后点左侧栏的「新对话」开始。

Docker 与浏览器运行环境

Docker 给助手一个隔离的沙盒;没有它也能先用,只是少了隔离和浏览器工具。

Docker 是什么,没装怎么办

XunMuse 用 Docker 给助手一个隔离的沙盒来运行任务(无网络、只读根文件系统、去掉额外权限),浏览器工具也跑在 Docker 里。第一次打开时,XunMuse 会检测 Docker:

• 页面显示「没有检测到 Docker。」:点「打开 Docker / 去下载」,装好 Docker Desktop 并启动它,回来点「重新检测」。
• 页面显示「检测到 Docker,但它还没有启动。」:启动 Docker Desktop,再点「重新检测」。
• 想先体验:点「先不用,继续(无沙盒隔离)」。之后不再弹出这个检测页;控制台顶栏会常驻「无沙盒隔离」标记,浏览器工具关闭,其余功能照常。以后装好 Docker,重启 XunMuse 就会自动用上。

没有 Docker 时任务具体怎么运行,见"数据与安全说明"里的"使用范围与 Docker 降级"。

第一次需要用到沙盒镜像的任务运行时,Docker 会先拉取一个小的运行环境镜像(约 61MB);它由 Docker 自己从镜像源拉取,不在 XunMuse 的下载里,所以第一次需要这台电脑能访问镜像源,拉下来之后留在 Docker 里,之后的任务直接用。限制见"使用范围与 Docker 降级",遇到问题见"常见问题与排障"。

浏览器运行环境

助手要打开网页,需要浏览器运行环境,它依赖 Docker(先要装好并启动 Docker)。这样装:

1. 打开左侧栏「权限」,拉到页面下方的「浏览器」区,找到「浏览器运行环境」卡片,点「下载并安装」。
2. 这一步只取清单,页面随后弹出确认条,写明版本、大小、来源(runxun.com,或你配置的镜像站)和占用的磁盘空间。
3. 看过之后点「确认下载」,才会开始下载;中途可以点「取消」。装好后卡片显示「已安装:版本……」。

网络慢时,点「下载源…」可以添加镜像站。

设置模型

助手靠模型思考,先在「模型」页填一把密钥。

没有模型密钥时,到 MaxModel 官网(www.maxmodel.com)注册获取;费用以 MaxModel 官方说明为准。

1. 点左侧栏的「模型」。还没配置时,旁边带着「未配置」标记。
2. 在「设置密钥」里粘贴你的模型密钥。密钥至少 16 个字符,不能含空格、换行、中文或引号。
3. 点「保存并验证」。保存前会先问一下网关认不认这个密钥(不花钱),不认就不保存。
4. 点「测试一次对话」。它会真的发一条很短的消息,确认密钥和默认模型能用(花极少的一点钱)。

默认路线是 MaxModel 网关:模型请求发往它,再由它转给你所选模型的厂商,详见"数据与安全说明"里的"数据去向"。目前可选的模型有两个:默认的 gemini-2.5-flash,和 gpt-5-mini。想换模型,新对话时可以用输入框下方的下拉框选。

密钥保存在加密的保险库里,保存后页面只显示末四位。「更换并验证」可以换新的,换了立刻生效,不用重启;「清除密钥」可以删掉。

认识控制台

先认几个位置,后面的说明都按这些名字来。

• 左侧栏:最上面是「新对话」,下面依次是功能入口(「记忆」「文档」「定时」「账户」,分隔线之后是「权限」「出口」「模型」等)、搜索框和会话列表(按今天、昨天、更早分组),最底部是红色的「紧急锁定」。点一下入口,右边打开对应的面板;再点一下收起。对话留在中间,不会被打断。
• 顶栏的状态标记:形如「设置 N」(设置清单里还有几项没做,点它回到设置清单)、「N 项待确认」(等你批准的请求,点它跳到对应对话)、「N 项待核对」(结果不确定、等你核对的任务)、「无沙盒隔离」(没有 Docker 时)、「审计链完整」(后面跟着记录条数,点开看操作记录)。
• 红色的「紧急锁定」:在左侧栏最底部,入口细节见"紧急锁定与恢复"。
• 侧栏里的其它入口(如「技能」「扩展」「IM」「远程」)是可选功能,本文不展开;「安全」页放的是数据保护设置,第一次启动时会按页面提示用到。

设置清单里是还没做的设置(模型、账户、权限等),不着急,随时回来。

完成第一项任务

用一封你本来就要回的邮件,走一遍"交代 → 它去办 → 审批卡片 → 回执"。

先决条件:已经设好模型,并在「账户」页连上了邮箱(见下文"接入邮件与日历")。邮箱建议先用测试邮箱,理由见"版本与验证范围"。

1. 交代:点「新对话」,在底部输入框说清要办的事,按 Enter 发送(Shift+Enter 换行)。
2. 它去办:对话里会出现一行行步骤,例如查看邮箱、读取邮件;点开一行可以看参数和结果。读了邮件之后,对话标题旁会出现「接触过私密数据」的标记。
3. 审批卡片:到了发送这一步,它停下来,出现「需要你确认:发送邮件」卡片,顶栏同时出现「N 项待确认」。卡片最上面是「宿主核对区」(宿主是 XunMuse 在你电脑上的主程序,不是模型;这一区由它按真实参数生成):动作、收件人、域名、来源、污点(这个对话是否读过私密数据)、参数摘要。往下是主题;正文折叠在「模型自述」里,那是模型写的,请逐字看。
4. 决定:点「拒绝」,这一封不会发出,你可以接着在对话里告诉助手怎么改,让它重新提交;新的内容是一张新卡片,需要重新批准。点「批准发送」:按钮会先变成写明对象的确认字样(如「确认发送给 N 个收件人」),再点一次才真正发出。
5. 回执:发出之后,对话末尾出现「宿主记录(来自回执,不是模型说的)」,例如"邮件 → 收件人地址(模型起的主题:……):已交给邮件服务器(服务器确认接收;不等于对方已读)"。上面助手自己写的总结是它的说法,以这里的记录为准。

审批卡片与权限页

要对外动手之前,助手停下来,把原样摆成一张卡片等你决定;「权限」页决定哪些事问你、哪些事自己做。

读懂审批卡片

卡片从上到下是:

1. 标题:如「需要你确认:发送邮件」「需要你确认:创建日程」「需要你确认:让网页提交内容」。
2. 「宿主核对区」:由宿主按真实参数生成,不是模型写的。内容有动作、风险档、收件人或对象、域名、来源、污点、参数摘要。域名含非英文字符时会标红,并给出它实际的写法。
3. 将要发出的内容:收件人、主题、日程时间、网页字段等。模型写的正文、备注和完整参数折叠在「模型自述」里,标明"模型生成,不可信"。
4. 按钮:「拒绝」和「批准……」。发邮件、网页提交、使用已保存的登录,以及读过私密数据之后向没批准过的新主机联网(或访问内网、本机地址),批准要点两次:第一次点完,按钮变成写明具体对象的确认字样,第二次才执行;其余多数卡片点一次即可。

你批准的是你看到的那一份参数,改一个字就要重新批。没有对方强制去重的操作(发信、网页提交等),卡片上固定标出"此类操作无法自动去重:如果结果不确定,XunMuse 不会重试,需要你到对方那里核对"。

「这个任务一直在请求你批准」摘要卡

同一个任务短时间里提出太多请求时,多出来的不再逐张排进队列,界面合并成一张「这个任务一直在请求你批准」的摘要卡:高风险的置顶、永远逐张批准;低风险的可以点「只批准其中」若干张低风险的,或「全部拒绝」。对话里还会显示"过去 24 小时你批准了 N 张"。

这个阈值由你选。在「权限」页的「审批与对外邮件」一节,可以选「宽松」「标准」「严格」三档,或「自定义」两个数字,也可以「关闭护栏」。出厂值是同一个任务同时待批 6 张、10 分钟内新增 10 张,只是起点。调严立即生效,调松(含关闭)会再让你确认一次。

「由 XunMuse 代发」标注

发给第三方的邮件,你可以选择让 XunMuse 在正文末尾加一行"由 XunMuse 代发",让收信的人知道这封信是 AI 助理代写、经你批准后发出的。出厂不加。在「权限」页的「审批与对外邮件」里选「加」或「不加」,文字也可以改;第一次出现发信审批卡时会问你一次,不挡批准。只对发给第三方的邮件生效。

在「权限」页决定问不问

1. 点左侧栏的「权限」。
2. 在「总体风格」里选「标准」或「保守」。「保守」下所有操作(包括读取和上网)都每次询问,除非你另行放宽。
3. 下面按「读取」「上网」「对外写入」分组,列出每一项能力:「读取私密笔记」「读取文档库」「读取邮件」「查看日程」「上网浏览」「登录与接管」「网页写入(提交表单)」「发送邮件」「创建日程」。模式有「每次询问」(做之前先问你)、「自动」(不再问)、「禁止」(完全不能用,模型也看不到这个工具)。邮件和日历相关的四项(「读取邮件」「查看日程」「发送邮件」「创建日程」)要连上对应账户后才会出现。
4. 「登录与接管」「发送邮件」「网页写入(提交表单)」没有「自动」,只有「每次询问」和「禁止」。其中「发送邮件」「网页写入(提交表单)」在「每次询问」下可以设例外名单,在「自动发送的收件人」「自动提交的网站」里添加:收件人必须全部在名单里才会自动发送,目标网站在名单里才会自动提交。「上网浏览」也有「自动放行的网站」名单。
5. 把某项改得更宽松(减少询问)时,页面会提示"这次改动会放宽权限(减少询问),请确认",点「确认放宽」才生效;改得更严立即生效。每次变更都写进审计记录。
6. 页面底部的「始终生效的保护(设置改不了)」列出了设置改不了的保护。每项能力出厂是什么模式、读过私密数据之后哪些保护绕不过,见"数据与安全说明"里的"默认自动放行与逐次询问"。

接入邮件与日历

连上邮箱和日历,助手才能读邮件、看日程、做晨报。口令和授权码只存进加密的保险库。

添加邮箱

1. 点左侧栏「账户」(一个都没连时,旁边带着「未连接」标记),在「添加账户」里选「邮箱」。
2. 填「邮箱地址」(完整地址)。
3. 填「授权码 / 口令」。多数国内邮箱要填"授权码"——在邮箱网页端开通 IMAP/SMTP 后生成,不是网页登录密码。识别出服务商后,页面会直接写明这一家要填什么、怎么开通。
4. 想让助手只收信、不发信,勾上「只读」。
5. 自建邮箱或识别不出来时,展开「服务器设置」,手填收信 IMAP 和发信 SMTP。
6. 点「添加」。添加本身不连服务器;添加后点账户卡上的「自检」才会真的登录一次。

添加日历:在「添加账户」里选「日历(CalDAV)」,填「日历(CalDAV)地址」(必须是 https)、「登录名」和「口令」,点「添加」,再点「自检」。

「自检」只连接、认证、只读:不发邮件、不改日历、不读邮件正文。它会登录好几次,别连续点,点得太勤可能被邮箱服务商限流。账户卡上还有「改口令」和「删除」;删除会同时清掉保险库里的这个口令,并停用盯着它的"收到新邮件时"任务。

连上账户之后,页面会告诉你多了哪些能力,以及它们现在各是什么模式;这些都可以在「权限」页调整。

回执、操作记录与出口台账

三本账各管一件事:做过什么、系统怎么记的、什么内容发出去了。

宿主记录(回执)

每个对话的末尾有「宿主记录(来自回执,不是模型说的)」。对外的写(发信、建日程、网页提交)在执行之前先记一条回执,这时它的状态是"执行中",执行完再更新。这里一行一项,开头有一句总括,形如"宿主台账:共 N 项对外操作——成功 N、结果不确定 N、失败 N"。模型自己写的总结另区放,标明"模型自述(未经核对)"。

对话状态里的「已完成」只表示这一轮对话结束了,不表示所有对外操作都成功:有操作没成功时,状态会写成「已结束 · 有对外操作没成功」;定时任务读取不全时是「已结束 · 结果不完整」。

结果不确定怎么办

执行途中程序被关掉,或发信途中连接断了、无法确认对方是否收到时,XunMuse 不会自动重发,而是转成"待你核对":顶栏出现「N 项待核对」,对话里出现「结果不确定:发送邮件」之类的卡片。

1. 邮件可以点「到已发送夹里核对」,看有没有这封信(已发送夹里没找到,不等于没发出,见"数据与安全说明"里的"回执与记录的范围")。
2. 到对方那里确认后,按实际情况点「没有生效」或「已经生效」。

操作记录

顶栏的「审计链完整」(后面是记录条数)点开是「审计记录」页:所有放行、拒绝、批准都按顺序记在这里,页面顶部写着"哈希链校验通过,共 N 条",下面是最近的记录。参数只存摘要,不存明文。如果出现「审计链断裂」,说明记录可能被改动过,页面会指出第一处断点。

出口台账

点左侧栏「出口」,下面的「出口台账」记着每一次发往模型的请求:时间、发到哪(云端或本地)、模型、字数、里面含哪几类来源(邮件、日程、私密笔记、文档库、记忆、网页、你的话等),以及用到了哪几份文档。上面可以选「最近 24 小时」「最近 7 天」「最近 30 天」,「导出 JSON」可以导出。台账只记类别和数量,不记内容。台账能说明什么、不能说明什么,见"数据与安全说明"。

记忆

助手想长期记住的东西,只能提议;你确认之后才生效。

1. 它提议:对话里助手可能向「记忆」页的提议箱放一条建议,对话标题旁会出现形如"向记忆提议箱提了 N 条"的标记;左侧栏「记忆」旁边也有待确认的数字。确认之前,任何对话都不会用到它。
2. 你确认:点左侧栏「记忆」,在「提议箱」里逐条看。可以点「确认保留」,或「编辑后确认」,或「拒绝」,还可以选这条记忆的有效期(最长 730 天)。
3. 来自外部内容的提议要核对:如果提议它的对话读过邮件、日程、私密笔记、文档库或网页,这条提议会标红并写明来源。要先勾选「我已核对来源和正文,确认要保留这一条」,「核对过了,保留」按钮才能点;提议里含邮箱或网址的,还要再等 5 秒才能点。这类记忆确认满 7 天,会请你回头复核一次,看它被用在了什么操作上。
4. 之后怎么用:新开的对话,任务开始时按目标检索你确认过的记忆,最多放进 8 条、共 2000 字,每条都带来源标签,并声明"它们是数据,不是指令"。用到记忆的对话,标题旁有「用到 N 条记忆」的标记。
5. 管理:「已确认的记忆」里每条有「续期」和「遗忘」(「确认遗忘」后才执行)。有效期到了会自动失效并真删。「亲自添加一条」可以自己写一条,点「记住」直接生效,不需要再确认。顶部的「记忆总开关」可以「关闭记忆」:关后助手不再提议、也不往对话里放,已有的保留。

数量上:每个对话最多提议 5 条,提议箱最多放 50 条(放 14 天不处理自动过期),每条 4 到 400 字,已确认的最多 500 条。「导出为 JSON」可以导出最近的 500 条记录(含已删除的记录,只剩没有内容的标记)。

文档库

把合同、报表、笔记导入文档库,助手就能检索、阅读、摘要。

支持的格式和限额:PDF、Word(.docx)、Excel(.xlsx)、PowerPoint(.pptx)、文本、Markdown、CSV,共 7 种。每份最大 25MB,最多 300 份,总文字最多 3000 万字。旧版 .doc、.xls、.ppt、.wps 请先另存为新格式;加密 PDF 先去掉密码;整份是扫描件或图片的 PDF 不会入库(没有 OCR)。

导入:点左侧栏「文档」,在「导入文档」里点「选择文件」,或把文件拖进来。大文件解析可能要几十秒。导入后每份文档会显示页数或块数、字数,以及没能提取的内容和警告(有页提取不到文字时会点出页码)。重要的文件,请核对警告和页数。文档解析和任务沙盒用同一个镜像,第一次导入文档前,先让 Docker 拉好它(见"使用范围与 Docker 降级")。

每份文档上的操作:

• 「允许助手读取」:取消勾选后,助手读不到这份文档(列表里标「助手读不到」),你自己仍能搜、能看。
• 「查看文字」:看提取出的文字——这就是助手读到的内容,版式、图片、批注不在其中。核对提取得对不对,尤其是表格、编号和数字。
• 「删除」,再点「确认删除」。

搜索:文档库上方的搜索框按关键词全文检索(中文按相邻两字、英文按词),不是语义检索。

助手对文档只有列出、搜索、阅读三个只读工具,没有任何工具能导入、修改或删除文档。它一次最多读出 16000 字,一个对话累计最多读出 24 万字。导入页上有「沙盒里解析」或「本机解析(无隔离)」的标记,取决于有没有 Docker。助手读到的文档文字会随提示词发往你选的模型,删除的范围也有边界,见"数据与安全说明"。

晨报、定时任务与新邮件触发

让助手到点替你开一个对话去办事,办完放在会话列表里等你来看。

开启晨报

晨报是官方提供的模板:每天早上只读你的日历和邮件,整理今天需要知道的事。

1. 先在「账户」页连好邮箱或日历。
2. 点左侧栏「定时」,在「晨报」卡片里选时间(默认 8:00),点「开启晨报」。
3. 到点之后,结果出现在会话列表里,标题带着任务名。没有新东西时它只回 NO_UPDATE,不打扰你;有新东西才算未读。
4. 结果末尾有一行宿主生成的覆盖回执:检查了几个邮箱和日历、邮件的时间窗、收到几封、失败几个及原因。任何一个来源读取失败、或这次根本没去读某个配置的邮箱或日历,标题会标「不完整」,而且照常算未读、照常通知,不会被当成"没有新东西"压下。

新建定时任务

点「新建定时任务」,填:

• 名称和要做的事:像平时对助手说话那样写。
• 什么时候:「每天」「工作日」「每隔一段时间」(最短 5 分钟)「只一次」「收到新邮件时」,以及时区。
• 允许使用的工具:默认只勾读取类的(邮件、日程、私密笔记、文档库),不联网、不开浏览器。勾上标着「会对外写」的工具,保存时会再让你确认一次;写操作仍受「权限」页里发信、建日程设置的约束,细节见"数据与安全说明"里的"定时任务、提醒与桌面的范围"。
• 通知:「每次都算未读」,或「只有新东西才算未读」。
• 错过时:「补跑一次」或「不补跑」。电脑睡眠或程序没开而错过的,默认在 6 小时窗口内补一次;一串错过合并成一次,超出窗口不补并记一笔"错过"。

点「创建」。每个任务卡上有「现在运行」「停用」或「启用」「删除」「运行记录」。有节制:每个任务每天最多跑 24 次(可调),上一次没办完不叠加,连续失败 3 次自动停用并写明原因,总数最多 20 个。

收到新邮件时触发

在「什么时候」里选「收到新邮件时」(要先连好邮箱),选账户,建议填「发件人」名单,还可以填主题关键词和"两次触发至少隔 N 分钟"(默认 10 分钟)。

• 它每约 2 分钟看一次有没有新邮件;创建时先取基线,邮箱里已有的旧邮件不触发。
• 被触发的对话是只读的,永远不能发信、建日程或联网。
• 不填发件人就是谁来信都触发,保存时需要你明确确认。
• 来信太密时会延后、攒着一并处理,不会丢。

提醒节流

定时任务和晨报会"主动打扰"你(桌面通知等)。「定时」页最下方的「提醒节流」让你自己设:免打扰时段(最多 4 段,可跨午夜)、每小时和 24 小时最多提醒几次、同一来源 24 小时最多几次、忽略后冷却多久、相同内容多少小时内只推一次、连续几次提醒没人理会就自动停用该定时任务。出厂值只是起点:每小时 6 次、24 小时 20 次、同一来源 4 次、忽略后冷却 12 小时、相同内容 24 小时内只推一次、连续 7 次无人理会停用、被拦下的提醒最多等 24 小时。改完点「保存规则」;放宽任何限制会先让你确认。

提醒节流只管"推送",结果照常生成、留在未读里。你对某条提醒点「忽略」,同一来源会降频。完整规则和自动停用的含义,见"数据与安全说明"里的"定时任务、提醒与桌面的范围"。

浏览器与人工接管

助手可以在沙盒浏览器里打开网页、读页面、点击、输入;登录、验证码这类必须你本人完成的步骤,请你接管。

前提:已经装好并启动 Docker,并装好浏览器运行环境(见"Docker 与浏览器运行环境")。

读网页、点击和输入

「权限」页的「上网浏览」管这些动作。浏览器本身没有网络,它的请求都由宿主代取并审查;指向内网和本机的地址会先问你,或被直接拒绝。页面上的写类请求才会被扣住审批;GET 方式的请求和链接点击不在审批范围内,见"数据与安全说明"里的"浏览器写入与 GET 外带"。

网页提交要你批准

页面上任何写类请求(POST、PUT、PATCH、DELETE:表单提交、页面脚本发的写请求等),在离开你的电脑之前都会被扣住,变成一张「需要你确认:让网页提交内容」的卡片:

1. 看「页面」是哪个网站,「触发它的元素」是什么(这是页面自称的,不可信)。
2. 看「请求」:方法、目标主机、地址、内容类型和字节数。这几项由宿主核对,和页面自称的无关。
3. 看字段表:将要发送的字段逐个列出;密码类字段只显示"已填写 N 个字符",疑似敏感的值(卡号、证件号、验证码、令牌)只显示首尾。
4. 点「拒绝」,网站什么也收不到;点「批准提交」,同样要再点一次确认,发出去的就是卡片上这一份。

页面加载时在后台悄悄发的统计、信标类写请求会被直接拦截,不打扰你;助手点击那一刻页面发出的写请求会变成卡片,助手的每次点击最多升级成 3 条审批。

登录和验证码:人工接管

1. 助手遇到登录、验证码、二次验证、支付确认这类步骤,会弹出「需要你接手:登录 / 验证 / 确认」卡片。点「开始接管」(每次都要你批准)。
2. 对话里出现浏览器的实时画面,上方写着「你正在接管浏览器」和「助手已暂停」。你直接在画面上点击、滚动、打字,中文输入法和粘贴都可以用。
3. 做完点「交还给助手」。不想继续点「放弃接管」。接管最长 20 分钟,到点自动结束。

接管期间助手停住、模型不被调用,它看不到你在输入框、文本域、密码框里输入的内容。交还之后,助手只拿到页面当前状态的一份摘录:输入框和文本域的值隐藏,密码框任何时候都不显示。画面是截图轮询,够用于登录和验证码,不是流畅的远程桌面。

记住登录状态

交还前可以勾选「记住这个网站的登录状态」,默认不勾。勾上之后:

• 这个网站的登录状态以加密形式存在本机,超过 30 天没用就作废(清理时机见"数据与安全说明"里的"浏览器写入与 GET 外带")。
• 以后的任务想用,每次都会弹「需要你确认:使用已保存的登录」,你点「批准使用」才行。批准之后,这个对话按"接触过私密数据"处理。
• 在「权限」页的「浏览器」区,「已保存的网站登录」里可以看到保存了哪些网站(只显示主机、个数和时间,看不到内容),逐个「删除」,或点「全部清除」。

「助手往敏感输入框里输入」(同在「浏览器」区)出厂是「禁止」:遇到密码、银行卡号这类输入框,助手会改为请你接管,由你自己输入。改成「允许」要二次确认,后果见"数据与安全说明"里的"浏览器写入与 GET 外带"。

桌面常驻、通知与退出

桌面版是个常驻的外壳:关了窗口,定时任务照常运行。

• 关窗口 = 隐藏。助手和定时任务继续运行;点 Dock 图标重新显示窗口。
• 真正退出:用 Cmd+Q,或应用菜单里的「退出 XunMuse」。有任务在跑时会先让你确认;退出最多会等 15 秒,让正在做的事收尾。
• 通知:出现新的待审批或新的未读定时结果时,发 macOS 通知(需要你在『系统设置』里允许通知)。通知正文只有数量和你自己起的定时任务名,不放任务结果、邮件、网页、审批参数、模型输出。窗口正看着时,只放进通知中心、不弹横幅。点通知只会把窗口带到前台,不会跳到对应页面。
• Dock 角标:显示待你处理的数量。
• 登录时自动打开:应用菜单里的勾选项「登录时自动打开」,出厂关;点了才注册。

紧急锁定与恢复

怀疑电脑被人动过、账号可能被盗、觉得哪里不对劲时,把对外的门一起关上。

怎么锁

入口是两步:

1. 点左侧栏底部红色的「紧急锁定」进入紧急锁定页(侧栏折叠成图标栏时是一个红色的锁图标;窗口宽度不超过 820 像素时侧栏收成抽屉,这时入口是顶栏右侧的红色锁图标)。页面先写明点下去会影响多少个设备、通道和任务。
2. 点「立即锁定」。

要同时清掉保险库里的凭据,先勾选「同时清掉保险库里的全部凭据(默认不勾)」,再原样输入「清除凭据」。

锁定共 9 步,结果页逐步列给你:

1. 撤销全部委托并结束助理的在途任务
2. 撤销手机设备、作废配对码
3. 解除 IM 配对并停用通道
4. 停用定时任务与事件触发
5. 关闭远程入口的监听
6. 停用第三方扩展并结束它们的沙盒
7. 取消排队中、运行中、等批准、已暂停的任务
8. (可选)清除保险库里的凭据
9. 换掉控制台令牌

每一步独立执行、先落盘;某一步失败不连累后面的步骤,失败的会用红色列出,处理好原因后点「重试失败的步骤」,只补做失败的(控制台令牌不会再换一遍)。锁定中途程序被杀,下次启动会接着做没做完的步骤,续做不会自动清保险库。锁定之后,首页一直有一条横幅,直到你点「知道了」。

会删什么,不会删什么

默认不删除你的任务、记忆、文档和审计记录,它们都在。有两处会删:

• 只有你勾选并原样输入确认文字的"清保险库",才会删除保险库里的全部凭据(模型密钥、邮箱口令、IM 密钥等,要重新录入)和浏览器记住的登录状态。
• 锁定时,第 6 步还会顺带把「存为经验」的总开关关上,并把「存为经验」里待你审阅的提议拒绝、删掉正文(已经确认成技能的不动);即使第 6 步显示"跳过"也一样。

已取消的对话不能再接着聊,要新开一个;"待你核对"的任务原样保留。

之后怎么恢复

没有「撤销」键,恢复是逐项手动的,系统不会替你自动恢复:

版本与验证范围

• 迅宝 XunMuse 目前是公测版,处于设计与自测阶段。已有自动化测试和发版前检查。
• 邮箱、日历、定时任务和新邮件触发,目前做过的是模拟服务器上的协议级自测,还没有在真实账号上验证。浏览器相关功能目前在自建的测试网站上验证过,真实网站上的表现(验证码、通行密钥、跨站登录、支付等)还没有验证。模型完成真实任务的成功率,也没有在真实环境里测过。
• 试用时请用测试邮箱和不涉密的资料。

使用范围与 Docker 降级

• 桌面版运行在 Apple 芯片的 Mac 上,最低 macOS 13;只在一台 macOS 26 的 Apple 芯片 Mac 上验证过,macOS 13 到 25 没有测过。
• 任务运行的隔离环境依赖 Docker:任务在无网络、只读根、去掉额外权限的容器里运行。隔离环境里的用户就是启动服务的系统用户:非 root,除非你用 root 运行服务。
• 没有 Docker 时,任务以普通本机进程运行(没有隔离),浏览器工具关闭;文档库的解析也一样,有 Docker 时在沙盒里做,没有时在本机进程里做。降级的情况每次启动都会在审计记录里记一笔,控制台顶栏常驻「无沙盒隔离」标记。审批和审计照常工作。没有 Docker 时没有沙盒,也不会拉任何镜像。
• 沙盒基础镜像是 node:22-alpine,桌面版按摘要钉死;同一个镜像也用于文档解析。拉取发生在第一个需要用到这个镜像的任务里,拉取时间算在任务里:任务的总超时是 10 分钟,计时从启动容器就开始、拉取在这段时间里,网络很慢时第一个任务可能因此超时失败。国内网络可能很慢或不通,要在 Docker 一侧配镜像加速;没有在慢网络、国内网络上验证过首次拉取。

数据去向

• 默认情况下,模型请求只发往 MaxModel 网关(api.maxmodel.com);网关按你选的模型把请求转发给对应的模型厂商,自己只保留计费和运维用的元数据(如模型、token 数、耗时、请求 ID),按设计不把提示词和回复写入数据库。
• 该网关由 MaxModel Pte. Ltd. 运营,运营方信息与隐私说明见 MaxModel 官网(www.maxmodel.com)。
• 内容经过两跳:XunMuse → MaxModel 网关(HTTPS)→ 你所选模型的厂商(取决于所选模型,如 OpenAI、Anthropic、Google、xAI、DeepSeek、阿里、百度、字节、智谱)。
• 读到的邮件、文档、记忆等私密内容会作为提示词发往该网关;网关处理请求时会在内存里读取全部提示词,用于 token 估算(计费)和敏感词检测(默认开启,命中只记录命中的词、不记全文);它保留的元数据是用户与令牌标识、模型名、渠道、token 数、费用、耗时、请求 ID、状态与时间。
• 厂商如何处理和保留内容,取决于该厂商自己的条款,不在网关的控制之内。
• 上面说的是模型请求的去向;连接邮箱、日历服务器用的是你自己配置的地址。
• 每一次发往模型的请求,都记入本机的出口台账,可在控制台查看。台账只记"发到哪、哪几类来源、多大",不记内容;它能说明出去了什么类别,不能说明上游是否留存。

网关一侧的补充说明

• 三处缝隙:一,上游厂商返回错误时,上游的报错文本会写进错误日志(数据库错误日志和应用日志,最长 2048 字符),个别报错可能引用请求里的片段,是否发生过未能核实;二,来访 IP 和请求路径在反向代理与应用日志里默认记录(应用日志按代码核实,反向代理按内建日志格式推断、站点配置没读到);三,目前网关日志没有设定自动清理期限——核查没有发现任何一层有自动清理。
• 以上网关一侧的事实核对于 2026-10-25,依据对网关源码和数据库表结构的只读核查;生产库里的实际数据和运行中容器的环境变量没有核实。这是外部系统,服务器配置变化后会更新。

加密范围与钥匙

• 任务、记忆、文档、出口台账等 10 个本地数据库整库加密。
• 钥匙在 macOS 登录钥匙串里。同一登录用户下的其它进程可以向钥匙串要钥匙:加密防的是电脑或磁盘丢失,不防同一用户下的恶意进程。
• audit.jsonl(审计记录)、data/private/(私密笔记目录)和回放文件是明文;内存里必然有明文。读到的内容仍会随提示词发往模型网关(见"数据去向")。
• 账户口令和 API 密钥存在加密的保险库里,不写进配置文件,不进模型提示词,不出现在日志和错误信息里。紧急锁定默认不清保险库,需要你显式勾选。

默认自动放行与逐次询问

• 默认的「标准」设置下,读邮件、看日程、读文档库、读私密笔记和联网浏览(共 5 项)是自动放行的;发信、建日程、网页写入、登录与接管这四项默认每次询问。选「保守」则全部每次询问。
• 你可以在「权限」页把某类能力改成「自动」,或为发信、网页写入设名单(发信不允许对所有收件人设成「自动」,只能用名单)。联网浏览不属于"逐次批准"的范围;设成「自动」的能力也不再逐次问你。
• 读过私密数据(邮件、日程、文档库、私密笔记、使用已保存的登录,以及你自己开启的第三方扩展的读取)之后,同一任务里的对外写和向没批准过的新主机联网,要逐条确认,任何「自动」设置、名单都绕不过;内网和本机地址一律询问。用到记忆的对话,也按这个状态处理。
• 普通网页内容(浏览器和网络请求读到的页面)不会让任务进入这个状态:读了一个网页之后,对外的写并不会因此变成逐条确认。
• "工具返回的内容是数据、不是指令"是写在提示词里的要求,不是宿主的强制机制。XunMuse 的防线在模型之外,作用是限制模型被诱导之后的影响,而不是让模型识别每一个陷阱。
• 授权只有"一次性、绑定参数摘要"这一种:一次批准只对一次调用有效,不存在"本任务内都放行""始终放行"这两档,也不存在"助手起草放行规则"的路径;放宽权限只有你在控制台里明确做并确认。"批准的和执行的是同一份参数"的差分测试覆盖网址主机和邮件收件人两类参数。
• 审批卡片只把含非英文字符的域名标红并给出实际形式;纯英文的相近写法(如 paypa1.com)不会被标,需要你自己看清。摘要卡、阈值和"过去 24 小时你批准了 N 张"的提示是界面与队列上的辅助,不是自动放行,批准的决定仍在你;它们对批准疲劳的实际效果,还没有用真人测过。

回执与记录的范围

• 回执记录到哪一步为止:邮件是邮件服务器确认接收(不代表对方已读),网页提交是网站返回了状态码(不代表业务上办成)。邮件服务商是否自动保存已发送夹,还没有在真实账号上验证,所以核对时"已发送夹里没找到"不能当作没发出去的证据。掉电和系统崩溃不在测试范围。
• 只有建日程由对方强制幂等键、能自动去重;发信的 Message-ID 只是随信带上、对方不强制;网页提交没有幂等键,也没有读回路径。
• 覆盖回执记录系统读到的来源和数量:"读取完整"表示每个来源的邮件列表都读到了,整理本身由模型完成,回执不统计读信正文是否成功,也不证明邮箱里没有别的邮件。邮件列表每次最多取 20 封(模型不指定条数时取 10 封),取满时回执会写明"只取了最近 N 封"并标「不完整」。
• 审计记录能定位到被改、被删或被换序的那一条;它面向局部篡改——整条链被整体重写、或尾部被截断,在单机上发现不了;日志文件是明文。

记忆、文档与删除的范围

• 你确认的记忆会进入之后的对话,请在确认前核对来源和正文;如果确认了被夹带的恶意内容,之后的对话可能照它去做,对外的写仍要经过审批。界面只能点破常见写法的邮箱和网址;换个写法(如全角＠、[at]、没有协议头的域名)点不出来,也不会触发等待,请自己读正文。你自己粘贴进对话的外部文字不算外部内容,由它引出的提议不会标红。
• 记忆正文和助手读到的文档文字,都会随提示词发往你选的模型。
• 忘记一条记忆,会从当前记忆库里真删(正文置空,全文索引和语义向量里也删掉),并抹掉各对话系统提示里注入过的那一条;只留一个没有内容的标记,和审计记录里"忘记"那一笔(只有指纹,没有正文)。
• 删除只针对当前的库:已经发往云端模型的内容收不回;模型已经说出去的话不在清除范围;助手当初提议这条记忆的那次对话里,提议的原文不会被抹掉,继续在那个对话里聊还会把它发给模型;已经存在于别处的旧副本(比如你自己拷贝出去的数据目录)也不会被改写。
• 文档库没有 OCR,整份是扫描件或图片的 PDF 不收;库里只存提取出的文字,不保存原文件。摘要和对比由模型完成,没有逐字引用校验,请人工核对。删除文档同样是真删,但抹不掉模型在回答里自己转述过的文字,也抹不掉助手当时调用工具时写下的文件名和检索词。

浏览器写入与 GET 外带

• 页面上的写类请求(POST 等)会被扣住审批;链接点击和 GET 方式的提交不在审批范围内,页面脚本也可以用普通网址请求(GET)把页面里的内容、以及助手刚在页面里输入的内容发给任何网站,不会弹审批。只有读过邮件、日程、笔记、文档或用过已保存的登录之后,才会拦向没批准过的新网站的访问。
• 你批准的是"这一份内容发出去",不保证该网站拿它做什么。卡片上"触发它的元素"的文字来自页面自己的描述,页面可以对它说谎;决定性的是宿主核对的目标主机、方法和请求体。
• 接管期间,助手看不到你在输入框、文本域、密码框里的输入;富文本编辑区(如网页邮箱的写信框)里的内容、页面标题和页面自己回显出来的文字,助手看得到。
• 记住的登录保存的是会话 Cookie,它就是登录凭据。30 天没用会作废,服务启动时和运行期间每小时清一遍,服务没开着时不会清,要等下次启动。紧急锁定默认不清已记住的登录状态,只有勾选"同时清掉保险库"才一并清除。靠本地存储(localStorage、IndexedDB)保持登录的网站存不住。
• 「助手往敏感输入框里输入」改成「允许」后,助手可以把你交给它的密码输入网页;输入之后,该网页的脚本立刻读得到它,并可能用普通网址请求把它发给其它网站,不会弹审批。出厂是「禁止」。
• 哪些框算密码或卡号框,看的是沙盒对输入框的判断(type=password、autocomplete 属性、名字、标签、输入框里的提示文字);不是密码类型、名字又看不出来的框不在其内。
• 接管期间只放行同一个站点的写请求(登录 POST 等),别的站点仍拦。

定时任务、提醒与桌面的范围

• 定时任务、晨报和新邮件触发只在应用或服务运行时才会运行:电脑睡眠或关机时不运行。合上盖子或点『睡眠』后电脑仍会睡。有已启用的定时任务或有任务在跑时,系统不会因空闲而睡;防睡眠没有单独的开关,电池供电时同样生效。
• 到点检查的间隔是 30 秒、准点容差 2 分钟,不保证分秒不差。新邮件是轮询,约 2 分钟一次,不是实时推送;太勤会触发邮箱服务商的登录频率限制;发件人过滤只认地址文字,From 头可以伪造;被触发的对话能读你配置的所有邮箱和文件夹。
• 定时任务默认只读,"只读"指任务的工具集,不指内容没有风险:读到的邮件、日程内容仍会随提示词发往你选的模型,并让该任务进入"接触过私密数据"状态。晨报的整理由模型完成,可能漏、可能错。
• 允许写之后:设了发信或建日程"自动名单"、且没读过私密数据的写,会按你的设置直接发出;其余的停在等你批准。待批不会过期:你每错过一天,等你批准的事项就多一条,批准时发出的是当时模型起草的内容。"收到新邮件时"触发的任务永远不能写。
• 提醒节流是固定规则(时段、次数、冷却、去重、无人理会的次数),不是"AI 判断什么值得打扰你":它只挡推送,结果仍留在未读里。免打扰期间或额度用完时,提醒被延后或不再推,所以不保证你不会错过重要的事。
• 连续 7 次无人理会,该定时任务会被停用(大致相当于连续 7 天不点开晨报);停用的是整个定时任务,不是单条提醒,也包括对新邮件的监视。"无人理会"指你没有点开那条任务的结果、没有对它的待批请求点批准或拒绝;只打开控制台、拉列表、点桌面通知都不算。到「定时」页点「恢复」即可重新启用。

联网范围

• 除模型请求本身和你自己配置的账户和通道之外,XunMuse 不含遥测、使用统计、崩溃上报这类联网代码;源码里硬编码的外部域名只有一份固定清单。
• 这里说的是代码里写明的外部地址清单。你启用的功能还会各自联网:连接你配置的 IMAP、SMTP、CalDAV 服务器,以及你启用的 IM 通道对应的平台;下载本地语义检索的嵌入模型时访问 huggingface 或其镜像;安装第三方扩展时访问 npm 源。
• 首次使用浏览器工具时,你确认之后才会从 runxun.com(或你配置的镜像站)下载浏览器运行环境(约 369MB),确认前只取一份几百字节的清单。
• 桌面外壳启动约 60 秒后、之后每 6 小时,会向 https://runxun.com/downloads/xunmuse/latest.json 取一次更新清单;对方服务器能看到你的 IP 和请求时间。
• 模型网关(api.maxmodel.com)会收到你的提示词,并按你选的模型转发给对应的模型厂商(见"数据去向")。
• 沙盒基础镜像由 Docker 自己从镜像源拉取,见"使用范围与 Docker 降级"。

数据在哪

• 桌面版的数据目录是 ~/Library/Application Support/XunMuse。任务、记忆、文档、出口台账等加密的库,审计记录 audit.jsonl(明文),日志目录 logs/(含 shell.log),以及私密笔记目录 data/private/(明文)都在里面。
• 私密笔记:把文本文件放进 ~/Library/Application Support/XunMuse/data/private/,在对话里说"读取私密笔记 某某.txt"。能力在「权限」页叫「读取私密笔记」,读过之后这个对话会被标记为"接触过私密数据"。
• 卸载:把应用拖进废纸篓不会删除数据目录,钥匙串里的条目也还在。
• 启动出问题时,启动页上有「打开日志」按钮,会打开日志目录。

常见问题与排障

启动页一直停在「正在启动本地服务……」,或显示出错

启动页出错时会写明原因,下面有「重试」和「打开日志」两个按钮。先点「重试」;还不行,把错误提示的文字和问题描述,连同 macOS 版本和芯片型号发给我们(见"联系与反馈");需要日志时,再点「打开日志」。

提示没有检测到 Docker,或「无沙盒隔离」一直在

装好并启动 Docker Desktop,在检测页点「重新检测」;如果当时选了「先不用,继续」,装好之后重启 XunMuse 就会自动用上。顶栏的「无沙盒隔离」会随之消失。

第一次打开被 macOS 拦下了

如果出现的是『无法验证开发者』『已损坏』这类拦截(而不是"是否打开"的确认),请不要强行绕过,把看到的提示和问题描述,连同 macOS 版本和芯片型号发给我们。

任务第一次运行特别慢,或一直失败

第一次需要用到沙盒镜像的任务,要等 Docker 先拉取镜像,网络慢时会等得比较久,甚至失败。可以先在 Docker Desktop 的设置里配置镜像加速,再重试。原因和限制见"使用范围与 Docker 降级"。

模型连不上,或密钥不被认

在「模型」页保存密钥时可能看到这些提示:

• "连不上模型网关":检查网络后再试;如果确定密钥没错,也可以点「不验证,仍然保存」。
• "网关不认这个密钥(HTTP ……)":检查密钥是不是复制完整、有没有过期或被停用。
• "模型网关返回了 HTTP ……,没法确认密钥有没有用":可以稍后再试,或点「不验证,仍然保存」。

保存之后点「测试一次对话」,可以确认密钥和默认模型能用。

邮箱「自检」没通过

自检结果会逐项列出通过与否和原因。常见情形:没有在邮箱网页端开通 IMAP/SMTP;填了网页登录密码而不是授权码;服务器地址不对(自建邮箱要在「服务器设置」里手填)。识别出服务商后,页面会写明开通步骤。自检别连续点,点得太勤可能被邮箱服务商限流。

该出现的审批卡片没出现

• 看顶栏有没有「N 项待确认」,点它会跳到有待批请求的对话。
• 到「权限」页看对应能力的模式:设成「自动」不会弹卡;设成「禁止」时助手看不到这个工具。
• 同一个任务短时间提了很多请求,会合并成一张「这个任务一直在请求你批准」的摘要卡。
• 也可能任务还没走到那一步,状态还是「正在办」。

网页提交第一次被网站拒绝

依赖"先发 Cookie 再校验"的表单(如一些网站的 CSRF 校验),第一次提交可能被网站拒绝。让助手重新打开页面再提交一次即可。

浏览器工具没出现,或下载浏览器运行环境失败

浏览器工具依赖 Docker(没有 Docker 时浏览器工具关闭)和浏览器运行环境(见"Docker 与浏览器运行环境")。如果下载时提示"……上没有浏览器镜像的发布清单",先点「下载源…」检查地址有没有被改过,确认网络能访问 runxun.com(或你配置的镜像站),再重试。

文档导入失败或有警告

导入页会给出原因:不支持的类型(旧版 .doc、.xls、.ppt、.wps 要另存为新格式)、文件太大、加密 PDF、整份是扫描件。有页提取不到文字时会警告并点出页码,助手看不到这些页。

晨报没来,或被停用了

先看电脑是不是睡着或 XunMuse 没开:睡眠和关机时不运行。再到「定时」页看这个任务有没有被停用——连续多次提醒无人理会或连续失败,都会自动停用并写明原因,点「恢复」即可。

收不到桌面通知

到『系统设置』里允许 XunMuse 的通知。窗口正在前台看着时,通知只会放进通知中心、不弹横幅。

联系与反馈

遇到任何不对劲的地方(卡住、闪退、弹出奇怪的提示、数据好像丢了),请先别重装,保留现场,然后通过官网的联系页告诉我们。最有用的是三样:卡在哪一步、屏幕上提示的文字、你的 macOS 版本和芯片型号。

如果怀疑的是账号或电脑的安全问题,先走"紧急锁定与恢复"里的办法关上对外的门,再来联系我们。