4 MB，还要什么自行车
按需闭包 + LTO 的精简宿主把体积砍掉近四成，模型、搜索、MCP、C 模块与自动更新一个不少。
看体积工程 →Capabilities
一个工作台的完整能力
从一次对话到一条计划任务，所有能力运行在同一套权限与审计边界之内。
设备互联 · 重磅上线
手机与电脑同账号互控：选中设备后，对话、文件、设置与更新全部作用于目标设备，离线冻结绝不回退本机。设备主动出站连接官方中继，免开端口；只读 / 控制双模式，写操作带回执与指纹去重。
三步开启互控 →会话与时间线
流式回复经同端口 WebSocket 实时推送、无轮询；确认、提问与未完成回复三卡呈现；历史按轮分页加载，上下文压缩不删显示历史。
发起首个任务 →工具与审批
写准入令牌、逐调用审批与中断恢复——每个带副作用的动作先过准绳，RETRY 与 RECORD_UNCERTAIN 由你显式决定。
配置权限边界 →文件式记忆
Agent 与你编辑同一份 MEMORY.md：普通文件工具直接读写，快照指纹做乐观并发，直接改文件也能让过期保存显式失败。
组织长期记忆 →Skill · MCP · C 模块
渐进披露的 Skill 目录、stdio 与 Streamable HTTP 的 MCP、以及经受限 TCC 热重载的 C 模块——三种扩展方式共用版本化 ABI。
扩展墨斗 →联网三件套
有界的 web_search、web_open 与 web_find：只有前两者真正联网，解析与拨号路径限制公网访问，find 只读进程内文档快照。
了解联网边界 →计划任务
复用同一套 Agent、模型、权限与审计链的后台任务；重启续跑、游标不回退，完成历史与运行 ID 共同落账。
安排一条任务 →Device Link
设备互联，重磅上线
登录同一账号，手机与电脑互相指挥。你看到的会话、文件与设置，全部来自被控制的设备——不存在悄悄回退本机的路径。
三步开启互控
本机默认关闭远控 · 每台设备独立加密身份
- 1登录同一账号
PC 与 Android 登录同一个会员账号，设备列表即互相可见；跨账号设备不可查询、不可连接。
- 2选择目标设备
侧栏设备入口选中要控制的设备，先以只读模式观望，或切到控制模式直接操作。
- 3像在本机一样工作
对话、项目、文件、审批、设置与更新全部作用于目标设备；流式事件与图片附件实时回传。
安全边界，先说清楚
设备主动出站 · TLS 加密传输
- 免开端口：设备主动连接官方中继，家庭与办公网络无需任何入站放行。
- 同账号隔离：连接前服务端校验会员会话与设备所有权，票据短时单次生效。
- 写操作有回执：写请求携带唯一 ID 与内容指纹，目标设备去重执行，断线不盲目重放。
- 离线即冻结：目标离线时保留设备、禁止新操作，绝不静默回退控制端本机数据。
- 中继不留存：转发内容仅在内存中经过，不写数据库、不落访问日志。
- 移动端克制：Android 仅在远控开启期间申请后台资源，关闭即释放。
首版由墨斗 PC / Android 端互控，需登录会员账号；网站端控制入口规划中。
Data Stays Yours
数据不出门，安全看得见
每一条承诺都写进合同文档与测试，而不是营销页脚的一行小字。
本地优先
会话、记忆、文件与配置只写在本机 mdo-home/，不上传云端；不登录也能使用全部本地功能。
零遥测
没有统计 SDK、崩溃上报与行为收集；网络请求只发生在你主动使用的功能里，模型对话只发往你配置的服务。
密钥不出本机
明文密钥永不落盘、永不外传：配置只存 secret_ref 引用，凭据设备内加密，API 只返回"已配置"状态。
互联最小暴露
设备中继仅内存转发、不留存、不落日志；同账号隔离，支持只读模式。→ 设备互联
MIT 开源
公开仓库 + 94 篇合同文档 + 562 个测试 + 确定性构建，欢迎逐行审计。
阅读源码 →Architecture
全栈自研 C，一层不多一层不少
从跨平台基础设施到浏览器界面，每一层都出自同一工程体系，由依赖锁与确定性构建连成一体。
四层技术栈 C11
每层职责单一 · 由 deps.lock 锁定提交与源码哈希
mdo 产品层会话 · 记忆 · 审批 · 设备互联
/api/v1Web 界面device relay账号与搜索自动更新Agent 编排工具 · 权限 · 审计 · 账本
xwork 3xllm 3.1xllm-session 3应用宿主HTTP · WebSocket · 编译
xserver xsTCCVFS / pack基础设施网络 · 并发 · 安全 · 数据
xrtTLSJSON内存 · 错误链单一可执行交付
deps.lock 锁定全部依赖提交与生产源码哈希，构建器先验证再生成 unity 入口；发布物可以只有 mdo.exe 一个文件。
服务端权威状态
浏览器不复制运行状态：资源域只保存快照与游标，会话切换或页面重载都从服务端恢复，游标缺口显式呈现。
版本化模块 ABI
公共 ABI 只存在于 include/mdo/module.h 且只依赖 C 标准类型；C 模块经受限 TCC 编译，与主程序独立演进、事务式热重载。
Platforms
三种平台姿态，同一个墨斗
Home 在哪，工作台就在哪——放 D 盘、进 U 盘、搬移动硬盘，C 盘零占用。
Windows6.0
原生 WebView2 窗口，任务栏与窗口使用产品图标。不写注册表、不进 AppData；首次开窗才在 Home 中创建 data/cache/webview2/，无窗口启动与退出零写入。
Android5.6
arm64-v8a 精简 / 完整双版本 APK，应用私有 Home，与桌面版同一套合同。计划任务、审批、恢复与设备互联边界在移动端保持一致，界面覆盖 390×844 视口。
便携模式
U 盘、共享目录、随版本并存的多套 Home，一个参数搞定——数据放哪个盘，你说了算。
PowerShell
# 把整个工作台放到 D 盘，C 盘零占用 mdo.exe -- --home D:\mdo-home
Engineering excellence
卓越，落实在每一条发布路径
合同检查、真实运行时探针、确定性打包与体积工程共同构成发布门禁，打开源码即可复验。
182 项合同检查
严格 C11 · 真实探针 · 确定性 pack
Python 合同检查、全部前端 ES 模块语法与交互测试、116 个真实 TCC 低负载运行时探针、两次确定性 pack、零写启动与便携 Home 回归——不做压力与高负载测试，只做可复验的检查。
查看门禁源码 →−37.7% · mdo.exe 体积缩减
按需闭包 + LTO，砍体积不砍功能
同一份应用代码，只换宿主：Windows mdo.exe −37.7%、Android APK −41.2%、Android libxs.so −50.8%、Linux xs −49.7%。TCC SDK 从 305 项压到 179 项；模型、搜索、MCP、C 模块与更新全部保留。
mdo.exe −37.7%APK −41.2%libxs.so −50.8%Linux xs −49.7%94 篇合同文档与代码同仓同审 · docs/ 里的每条规则都有对应测试
