小さなVPS上に置かれたintentional agent design

Hacker News threadでGeorge Larsonのdigital doorman記事が注目された理由は、公開側のAI agentであるnullclawが意図的に小さく設計されている点にある。nullclawは$7/month VPS上で678 KBのZig binaryとして動作し、使用量は約1 MB RAMとされる。接続先はErgo IRC serverで、訪問者はサイトにembedされたgamja web IRC client経由で到達する。つまりこの構成は、豪華なchat UIよりも、単純で追跡しやすいtransportを選んだagent systemとして読まれた。

投稿でもう一つ重要なのは、publicとprivateを明確に分離した構成だ。private agentであるironclawは、Tailscaleで接続されたseparate boxに置かれ、email、calendar、private contextを扱う。一方でpublic boxにはprivate dataを置かない。この分離がHNで評価されたのは、internet-facingなmachineを万能なagent hostとして扱うのではなく、限定されたgatewayとして扱っているからだ。関心を集めたのは機能の派手さよりも、信頼境界の切り方だった。

small footprintより目立ったblast-radius control

Larsonによれば、全体のfootprintはbinariesで10 MB未満、idle時のRAMは5 MB未満に収まる。会話はHaiku 4.5、tool useはSonnet 4.6が担当し、費用には$2/day capが設定されている。さらに投稿はA2A passthroughも強調する。private-side agentがpublic gatewayのinference pipelineを借りられるため、1つのAPI keyと1つのbilling relationshipで両側を運用できる。それでいてprivate contextをpublic machineへ複製しない点が、この設計の実務的な意味として読まれていた。

nullclawはpublic entry pointとして動く。
ironclawはseparate boxでprivate contextを処理する。
Ergo IRCとgamjaの組み合わせがtransportを単純に保つ。
Haiku 4.5とSonnet 4.6の分担がtiered inferenceを明確にする。

security postureも比較的はっきりしている。read-onlyまたはworkspace-only allowlist、audit logs、Cloudflare proxy、limited ports、そしてpublic boxにprivate dataを置かないという原則が示されている。これらはagentを強く見せるための装飾ではなく、問題が起きたときの影響範囲を狭くするための選択として受け止められた。だからHNの議論も、単なる低コスト運用の話では終わらなかった。

コメントの焦点は主に3点だった。tiered inferenceが妥当なtradeoffなのか、IRCがagent transportとして十分に有効なのか、そしてこうした境界を設けてもprompt-injectionやmonitoringの懸念がどこまで残るのか、という点だ。このスレッドが注目された理由は、安いVPSでAI agentを動かした事実だけではない。intentional agent systems design、small footprint、explicit blast-radius control、そしてtransport simplicityが一つの構成として見えていたからだ。

#irc

$7/month VPSとIRC transport layerで組んだAI agent設計にHacker Newsが注目