Reason Network：跨機Agent訊息與即時目錄，拆解加密、2秒短答與批准界線

社群原帖、作者補充與反方留言

krumjahn 原帖介紹Claude Code、Codex與Grok Bot互傳訊息、同事Agent加入、repo／忙碌狀態目錄、電腦間端對端加密及熱機短答約2秒。作者回覆連到Reason官方產品頁，另推廣自己的社群；後者不是功能證據。

可見討論包括雲端定期查新訊息的替代方案、有人自述拿它取代原本的Tailscale通路，以及「互相留言即可、不一定需要此工具」的意見。這些反映不同取捨，不是已證明Reason能取代整個VPN。保存的留言coverage為partial，原頁另提示登入才能看更多回覆；推薦串的OpenRig等產品不作本帖延伸實測。

固定版本：開源的是訊息引擎

固定核對reason-machines/reason-network commit 039b9571dab11f980813918b60a827b8bb27fbfd，Cargo.toml版本為0.12.9，LICENSE-MIT／LICENSE-APACHE與套件標示為MIT OR Apache-2.0。原名tincan有README明載，不是只因名稱相似就推斷成同一專案。

官方FAQ區分開源network engine與免費但非開源的Reason CLI。免費連線層不代表模型token、Claude／Codex帳號、Reason雲端session與常駐worker都免費；官方也明說雲端Reason session照常計費。README列的支援清單是適配能力宣告，本次沒有在每種Agent驗收。

架構：先找到正在做事的session，再傳訊息

每台電腦一個daemon，透過本機socket與Agent的MCP／hooks溝通，以人、電腦、session組成目錄；同隊友可看到repo、branch、忙碌狀態及簡短工作描述。主要工具是list_team、send_message、check_inbox、ask_user。各Agent接收等級不同：有些可中途推送／喚醒，有些要等下一步hook或自己查收，不能一概描述成所有工具都無延遲插入正在進行的推論。

電腦間使用iroh的QUIC身份與加密連線，同網路／跨網路可直連，必要時改走加密relay。預設仍涉及Reason relay與n0位址查找；可配置自有relay，但不表示安裝即全離線、無外部服務。隊伍成員與裝置是信任邊界，repo名稱與工作描述本身也屬可能敏感的資訊。

兩種端點：電腦P2P與雲端助手不要混稱

官方Network文件明確說明：電腦間訊息端對端加密；Grok Bot、Muse、ChatGPT等hosted assistant透過Reason的MCP伺服器，再由使用者網路中的電腦送往對方。不能把P2P relay只見密文的保證，自動套到整條雲端助手路徑或助手的模型供應商。

本次只對公開MCP端點送不含私人資料的initialize請求，得到HTTP401、missing_bearer，要求OAuth或API key。因此沒有完成初始化、tools/list或tools/call；不是連線成功的功能實測，也未使用私人帳號讀取團隊。這是授權邊界，沒有嘗試繞過。

2毫秒、2秒與任務完成是三個指標

產品頁稱同一電腦的兩個engine間，訊息抵達另一session約2ms；跨機需加網路延遲。FAQ的約2秒是熱機Agent回答短問題，主要時間在模型思考。兩者都不是本次量測，也沒有證明冷啟動、跨區、長工作、繁忙session或工具執行的同等延遲。delivered／read回條與任務正確完成也不同，訊息送到不代表對方完成修改或驗證。

留言者以此取代特定Tailscale訊息通路，只能當個人工作流觀察。Reason Network不是已驗證可取代一般VPN、所有主機連接、任意服務存取或完整多Agent排程平台的證據。

安全：驗證來源不等授權行動

固定版DESIGN與config.rs的隊內inbound預設是accept，可改hold或refuse；ask_user提供本機Approve／Deny面板，針對特定來訊的回答可附簽章與請求識別。這能區分真正面板回覆與另一個Agent口頭說「老闆批准了」，但不是替接收端每個shell、檔案、付款或傳送動作自動套上強制批准。

一個可見的需留意路徑是Config::load遇到解析錯誤會記錄訊息後改用預設；daemon啟動使用這個load，而預設inbound為accept。因此採用前應檢查錯誤設定時hold／folder-off是否仍符合期待，而不是把設定讀不到當成一定停止。這是固定程式的靜態觀察，未在真實daemon做攻擊重現，也不是已確認的安全公告。

附檔路徑有repo範圍、符號連結解析、隱藏／敏感資料夾及大小限制，接收端不自動開啟或設可執行。這些措施不會掃掉一般程式或log內的秘密字串，也不會阻止已獲廣泛shell權限的模型自行讀取後把文字放進訊息。接收的<reason-message>仍應視為其他Agent的請求，不是使用者的新授權。