a2mcp把本机的工具开给远程的 agent

一个 omp 扩展。装上后，本机 omp 多开出一个 MCP 接口，别的 agent 从远程调用这台机器上的 read、bash、edit——命令在本机真跑，文件在本机真改。推理归调用方，桥自己从不请求模型。

远程烧一块板子

adb、idf.py、串口工具、烧录器都是本机 PATH 上的命令。远程 agent 调 bash，命令就在这台机器的 shell 里跑；装了 Android SDK 就调得到 adb，装了 ESP-IDF 就能 idf.py flash。

驱动接在本机上的设备

DAP 调试器（xd://debug）、LSP（xd://lsp）这类设备不进工具目录，远程 agent 用 read/write 的 path 参数就能读写和执行。有什么设备，跟着本机 omp 装了哪些扩展走。

传文件走普通 HTTP

xfer_share 收一条宿主路径，交给 dufs 服务，挂在桥自己端口的 /xfer/ 路由下；字节不经过 JSON-RPC，要的还是那个 Bearer token。公网那一面是操作员的 /a2mcp tunnel：一条 quick tunnel 只顶一个 origin，所以文件路由和工具调用走同一个主机名、同一个 token。PATH 上找不到 dufs，桥按钉死的版本加归档 sha256 拉一份装进自己的目录。token 就是那份能力：拿到它的人能读能写这条路由背后的路径，直到共享关掉。

宿主推理可以整体关掉

远程调用可能唤醒宿主自己的 agent，花宿主的 token。host_llm 配置与 POST /host-llm 把这件事变成开关：deny 在位时宿主的会话发不出任何模型请求，核验探针对着一个真在听的计数 sink 数过——零是数出来的。

装它分两条路

机器上已经有 omp，就那一条 omp install 加仓库的 git URL，落的是整棵仓库的检出；包名形态是预留，名字没发到 registry，那条命令今天会停在依赖解析。新机器一条脚本管宿主那一层，扩展仍然按同一条命令装。bootstrap.sh 可以不克隆、从管道进去跑；bootstrap.ps1 也照样不落盘直接跑，2026-10-19 在真 Windows 上跑通第一次（宿主已在的分支），自装宿主并写占位 models.yml 那半还没有真机执行。

接上远程 agent

本机 omp 首次启动时广播接口地址并生成 token，抄进远程客户端的 mcp.json 就连上。默认只监听 127.0.0.1，跨机器走 SSH 端口转发。接入分两条路：客户端会说 MCP 就直接填 mcp.json，别自己造客户端；不会说 MCP 但能跑代码的（贴进提示词的 agent、CI 任务、自写脚本），取 scripts/mcp-call.py，一个零依赖 Python 3 参考客户端，握手、会话头、404 重连和退出码都写好了，从 raw URL 拿，不在安装 tarball 里。

与 computer use 的区别

computer use 让模型看屏幕猜坐标去点按；本桥的请求直接带着工具名和参数，执行走本机工具自己的实现。推理也在调用方的模型里做。

协议参考

客户端要实现的全部约定：处理顺序、会话生命周期、错误码总表。

测试与核验

253 项单测之外，七个核验大多拉起真实的 omp 跑完整流程：deny 那一个对着真在听的计数 sink 数出零，发布包那一个装回去跑通才算过。各项覆盖什么、怎么判读，测试页写着。