交互层
会话、项目、工作区、附件、浏览器/WebView、连接器与输出结果，回答“人和 Agent 围绕什么任务发生了什么”。
最新研究 / 2026.08
MyHex AI Forensics
面向本地 AI Agent 应用痕迹的结构化研究：识别数据留存面、建立来源与时间关系，并把复杂技术信息转化为可复核的审查线索。
查看研究成果项目提出
AI 应用正在成为新的电子数据现场
AI Agent 已从单次对话工具，扩展为可管理任务、调用工具、读写工作区、连接浏览器与输出文件的本地工作环境。案件调查中，关键问题不再只是“有没有安装”，而是要厘清数据在哪里、何时产生、由什么能力触发，以及其保存与展示是否能够复核。
MyHex AI Forensics 是 CFLAB 云迹围绕这一变化开展的研究方向。当前工作聚焦于本地元数据结构、人工可核验的关系链，以及合成数据验证，不替代专业人员的法律判断。
研究对象
六类 AI Agent 样本
研究覆盖桌面工作台、命令行 Agent、任务型助手与编码 Agent，提炼跨产品可复用的痕迹分类方法，而不是把单一产品或单一个案的目录规则硬编码为结论。
研究结果
从六类样本归纳两层痕迹结构
交互层记录任务如何展开，控制层记录能力如何配置、启用和执行。
控制层
目标、任务图、模型设置、记忆、工具、自动化与策略，回答“哪些能力在何种状态下可以被调用”。
Alpha-Claw
关注 Agent 工作区、配置根目录、浏览器状态与任务执行记录之间的关联。
~/.openclaw-alphaclaw/
WorkBuddy
关注用户状态目录、可见工作区、任务文件与外部工具调用边界。
~/.workbuddy/ + ~/WorkBuddy/
Hermes
关注本地配置、会话、技能与运行记录，区分已配置能力和已执行行为。
~/.hermes/
Claude
关注项目、会话、工具调用环境与本地缓存状态的可复核关系。
~/.claude/
MiniMax Agent
关注项目目录、任务产物与配置状态，建立任务到输出的时间线。
~/.minimax-agent-cn/projects/
Codex
关注会话、工作区、运行信息、技能与配置，审查 Agent 协作的过程线索。
~/.codex/
上述为研究中关注的常见本地保存面。实际位置与内容会随操作系统、版本和安装方式变化，应以现场核验结果为准。
取证挑战
目录存在，不等于行为发生
痕迹分散
同一任务可能分布在工作区、SQLite/JSONL、浏览器存储、日志和输出目录中。
状态易被误读
配置、安装或插件存在，只能说明具备条件，不能直接证明某项行为已发生。
时间语义复杂
创建、修改、访问、同步和导出时间需要分开记录，并与采集过程交叉核验。
隐私与最小化
令牌、账号、对话正文和私有文件必须按照授权范围处理，默认只提取必要元数据。
审查方法
用状态链取代“看到即认定”
研究将每项能力或线索放入统一状态链：已观察到、已配置、已启用、已调用、已成功。只有获得相应来源材料与时间关系支持，状态才向后推进。
- 观察到发现目录、文件或元数据
- 已配置存在有效配置或关联记录
- 已启用满足可运行或授权条件
- 已调用出现任务或调用痕迹
- 已成功存在可验证输出或结果
MyHex 研究路径
让复杂本地痕迹进入可读、可查、可复核的工作流
发现与清单
按应用适配器识别可能的工作区、会话、配置与输出保存面。
结构化档案
以统一字段记录来源、时间、哈希、应用状态与采集范围。
关系与时间线
把任务、工具、文件与输出组织为可排序、可回溯的证据关系。
人工复核
把发现、待补材料和风险提示交给专业人员确认，不自动作出法律结论。
当前边界
研究设计与合成验证，先于产品化接入
当前成果用于建立数据模型、采集合同和解析验证基线：以合成真相库检验字段、关系和状态推断；不读取未授权真实案件数据，不默认提取私密正文或凭据，也不以自动化结果替代专业审查结论。
研究合作