从 Omarchy 说起：agent 权限、月度节奏与全量自举

2026-09-22。Omarchy——DHH（Rails 创始人）基于 Arch + Hyprland 的发行版——在几个月内聚起了可观的社区与生态，被称为”Agentic Linux Distro”。它值得认真研究；研究之后，更能说清我们的路线为什么不同。

Omarchy 做对了什么

• 开箱即用的完整体验：上游是 Arch，交付的是一套调校好的键盘优先桌面，不是一堆零件。
• 拥抱 AI 工作流：预装十来个 AI coding agent，提供官方 AGENTS.md 指引，让”装完系统就能让 agent 干活”成为默认事实。
• 社区速度：从发布到形成生态，只用了极短的时间。“要理性看待”的判断没有错，但生态与人气的增长确实超出预期。

这套东西验证了一个方向：AI agent 是桌面的新入口。这也是 Linxira 关注的方向——但我们走的是另一条路。

设计分歧：agent 的权限从哪来

Omarchy 的思路是让 agent “拿来即用”：借助 sudo 临时提权，直接在真实系统上操作。快，但 agent 与主用户共享同一套权限，动作边界与审计粒度都模糊。

Linxira 的路线是给 agent 一个独立的用户与用户组：agent 在自己的组内拥有与其职责对应的权限范围（scoped capability）——比如安装包、管理服务、访问特定目录——而不持有完整 root，也不与主用户混权。桌面超算的定位决定了 agent 会跑长任务、调度算力资源，权限必须可审计、可回收、可枚举。这是接下来的设计重点，落地后我们会把权限矩阵公开。

节奏：月度滚动是经济解

CachyOS 每月发一次内核构建。一个月滚一次，是时间成本与稳定性之间最经济的平衡：太频密则打包与验证疲于奔命，太稀疏则安全修复堆积。Linxira 认同这个节奏——离线镜像按月重打，间隙由签名仓库增量交付。

联网安装，装的就是最新

一个自然的问题：镜像里的包是打包日的版本，联网安装的用户为什么还要装完再手动升级一次？下一版镜像起，安装器在 mirror 可达时，pacstrap 完成后会对目标机自动执行一次全量升级——装出来的就是当前最新；断网或失败则静默跳过，保持镜像版本，首启由 linxira-update 补齐。我们的软件挑选全部来自官方仓库而非 AUR 用户维护包，滚动挂掉的风险本就低，这一步把”装完即最新”变成默认。

全量自举：把借来的底座换成自己的

长期方向是全量 Linux 自举式系统开发。两套自研工具正在路上：Bio SDK（本地优先生信工具链）已可用，卡在打包接入主线；Zeta 正在大规模重构——上游核心级更新与漏洞修复太频繁，持续跟随上游是它的常态。自举不是一时兴起，而是把信任根一层层收回自己手里的必经之路。

签名仓库（见此前文章）解决”交付可信”；自举解决”构建可信”。两层加起来，才是完整的供应链答案。