1 · Cos'è Metnos, in trenta secondi

Gli si affidano obiettivi in linguaggio naturale dal browser, da Telegram o da un altro canale ammesso. L'installazione di riferimento legge mail, file, foto, calendario, web e GitHub, ma sono esempi, non il confine: ogni capacità governabile che possa essere espressa come executor firmato può entrare nella stessa architettura. Si ferma a chiedere prima delle azioni che non si possono rifare. Non c'è un cloud di Metnos e non c'è un «registrati»: dati e controllo restano all'operatore.

Quello che succede a ogni richiesta, in un disegno:

Sei proprietà che lo distinguono da un agente generico:

• Chiede prima di agire. Un valutatore in due fasi — guardia binaria, poi giudice graduato sui vostri telos — decide se un'azione passa in silenzio, chiede conferma o viene rifiutata. La richiesta è tre righe e due bottoni. Vedi vaglio.
• Costruisce gli strumenti che gli mancano. Niente catalogo infinito scritto a mano: quando manca un executor, il sintetizzatore ne genera uno in pochi minuti — nome dal vocabolario chiuso, test di nascita, firma — con la vostra approvazione. Vedi synt e la scena 6.
• Può agentificare un executor senza agentificare il piano. Se il percorso è incerto ma lo scopo è stretto, un LLM interno disambigua i passi entro azioni e limiti fissati. Per il planner resta lo stesso executor tipizzato. Executor intelligenti.
• Porta l'esecuzione dove vivono i dati. Un executor compatibile può girare su un PC registrato; decisione, consenso, firma e audit restano sul server. Il dispositivo esegue, non diventa un secondo agente. Executor remoti.
• È riproducibile come il software, non come un prompt. Il pianificatore locale è vincolato a un vocabolario chiuso, il seme di generazione è fisso, i pareggi fra strumenti simili si rompono con affinità curate — non a testa o croce. Si può testare, verificare le regressioni, fidarsi.
• Non mente sull'esito. I conteggi riflettono ciò che è stato davvero fatto; i troncamenti vengono dichiarati; ogni azione che si dichiara annullabile lo è per costruzione (catalogo chiuso di pattern di reverse).

2 · Perché è diverso

Di agenti ce ne sono già, a famiglie intere — i framework da assemblare, gli agenti da terminale, i maggiordomi in chat (OpenClaw e simili) e l'ecosistema delle «skill» importabili. Metnos fa scelte diverse su più assi, e le fa per una ragione precisa: un pianificatore locale non è un modello di frontiera, e va messo nelle condizioni di non sbagliare.

La mappa, a metà 2026

Fotografia di luglio 2026: i nomi corrono, le famiglie restano.

1 · Framework di orchestrazione — LangChain/LangGraph, LlamaIndex, CrewAI, AutoGen (oggi confluito nel Microsoft Agent Framework), smolagents. Librerie aperte con cui uno sviluppatore si costruisce il proprio agente. Negli ultimi due anni hanno preso tutte la stessa forma: un grafo o un flusso di eventi garantisce il determinismo della struttura — instradamento fisso, punti di salvataggio, ripresa dopo un'interruzione — ma dentro ogni nodo il modello decide da capo a ogni esecuzione. Gli strumenti sono funzioni dai nomi liberi, scritte dallo sviluppatore; la sicurezza è affar suo, non una proprietà del telaio. Caso a sé smolagents, che fa scrivere al modello direttamente il codice Python da eseguire: flessibilità massima, e tutta la fiducia si sposta sulla sandbox che lo contiene.

2 · Stack dei fornitori di modelli — OpenAI (Responses API e Agents SDK), Anthropic (Claude Code e Agent SDK): prodotti curatissimi, costruiti attorno a modelli proprietari che vivono nel cloud. Il sistema di permessi di Claude Code — allow, ask, deny, più hook che bloccano fuori dal ciclo del modello — è il parente più prossimo della carta di conferma di Metnos; ma governa strumenti dai nomi liberi attorno a un modello remoto, mentre Metnos governa un vocabolario chiuso attorno a un modello che abita in casa. Sulla riproducibilità la distanza è netta: OpenAI dichiara il suo seme «best effort»; l'API di Anthropic, un seme, non ce l'ha proprio.

3 · Agenti autonomi di ingegneria — Devin, OpenAI Codex, Google Jules; sul versante aperto, OpenHands. Massima autonomia dentro una macchina virtuale isolata; il freno sta a valle, nella revisione umana della pull request. Quasi tutti in cloud e a consumo. OpenHands è l'eccezione — self-hosted, gira anche su modelli locali — ma resta un programmatore che esegue codice arbitrario dentro un contenitore, non un assistente dalle capacità enumerate.

4 · Assistenti personali self-hosted — la famiglia di Metnos, ed è qui che il confronto morde. Il fenomeno del 2026 è OpenClaw: stessa intenzione — un maggiordomo in casa vostra, che risponde in chat, anche con modelli locali — e governo opposto: skill libere in markdown più server MCP, permissivo in partenza, conferma umana riservata ai pagamenti. ZeroClaw, riscrittura minimale in Rust, ne è il cugino guardingo: pairing, spazi di lavoro isolati, liste di ammissione. Accanto a loro Goose (Block), Letta per la memoria persistente, Khoj per l'indice privato dei propri documenti, e l'assistente vocale di Home Assistant — che ha riscoperto per conto proprio il principio del fastpath: prima il riconoscimento deterministico dell'intento, il modello solo come riserva.

La presa universale, dietro il cancello — Il Model Context Protocol (MCP), nato in Anthropic a fine 2024 e passato a fine 2025 alla Linux Foundation, è diventato la presa universale degli strumenti: OpenAI, Google e Microsoft l'hanno adottato, migliaia di server espongono connettori pronti. Un client MCP tipico, però, legge le descrizioni in prosa che i server dichiarano e se ne fida: è il vettore dell'avvelenamento degli strumenti ben documentato dalla letteratura di sicurezza. Metnos non ignora quell'ecosistema e non lo innesta crudo: la via dichiarata è un executor dedicato che parla MCP — nome ammesso dal vocabolario, firma, sandbox e carta di conferma come per ogni altro strumento; il server esterno resta un ospite mediato, mai un'autorità. Migliaia di connettori diventano raggiungibili, ma nessuno entra senza passare dal cancello.

Dove il mainstream vince — Onestà dovuta anche qui. Chi innesta MCP senza mediazione eredita in un pomeriggio migliaia di connettori; il cancello di Metnos quell'ecosistema lo raggiunge, ma non alla stessa velocità. Un modello di frontiera interpellato a ogni turno affronta le richieste inedite e disordinate meglio di un pianificatore locale ancorato a rotte ripetibili. E le piattaforme gestite offrono osservabilità, strumenti di valutazione e una scalabilità che un progetto self-hosted non pareggia. Metnos non gareggia su questi assi: gareggia su provenienza, riproducibilità e confine — strumenti firmati, piano ripetibile, giudizio sui vostri telos, dati che non lasciano mai la vostra macchina.

Nove sistemi, una tavola

Due scelte che cambiano il perimetro

Non sono due nuovi strumenti: sono due modi generali di far lavorare gli executor senza allargare il linguaggio del planner.

Perché Metnos non ha adottato il formato «skill» standard

I formati di skill in voga — le skill in markdown, i server MCP — sono comodi e pericolosi in pari misura: importate un pacchetto e l'assistente ne esegue il codice coi propri privilegi. Per un assistente che tocca file, mail e shell di casa vostra, è esecuzione remota di codice per disegno: basta un pacchetto malevolo o sciatto. Metnos sceglie la sicurezza per costruzione: vocabolario chiuso (non potete nominare uno strumento che la grammatica non ammette), cancello di ammissione a 7 strati per ogni executor nuovo o importato (firma → sovrapposizione di affinità → invecchiamento → sandbox → test di fumo → verifica LLM → audit append-only), consenso esplicito prima di ogni azione distruttiva. Lo slogan: il pacchetto non si fida, il pacchetto si guadagna il posto. L'ecosistema pubblico delle skill non viene ignorato: viene tradotto dentro questo modello, mai eseguito crudo.

Il determinismo è una scelta, non un caso

La maggior parte degli agenti tratta l'LLM come un oracolo da rilanciare a ogni turno. Metnos fa la scommessa opposta: un pianificatore locale su vocabolario chiuso si può rendere riproducibile — il seme di generazione è fissato, e quando due strumenti fratelli pareggiano decide un segnale di affinità curato, non il caso. Risultato misurabile: il banco di prova interno ripete ogni richiesta cinque volte e pretende lo stesso piano, cinque su cinque. E si compone: una forma di richiesta risolta una volta viene rigiocata dal fastpath senza alcuna chiamata LLM — latenza più bassa, costo zero, esito identico. La flessibilità (il modello di frontiera) resta disponibile, ma è la riserva, non il motore.

Cosa fa meglio un agente da terminale

Onestà dovuta: come compagno in tempo reale di chi scrive codice dentro un repository, un agente da terminale maturo resta superiore, con un ecosistema di estensioni che Metnos non ha né insegue. Ma Metnos non è definito dalle attività domestiche né da un solo verticale. È un'architettura operativa che tiene pianificazione, capacità eseguibili, autorità, memoria e audit dentro un unico confine governato. Posta, foto e calendario sono usi di riferimento; manutenere Metnos attraverso i suoi flussi GitHub è già un uso non domestico. I due tipi di sistema convivono benissimo.

3 · Nove casi, un solo sistema

I casi che seguono non sono moduli separati e non definiscono un perimetro esaustivo del prodotto: usano lo stesso planner, gli stessi contratti e le stesse guardie. La linea li tiene insieme; ogni tappa mostra soltanto la richiesta, la catena rilevante e il limite operativo che cambia. Il caso di manutenzione GitHub mostra deliberatamente che l'architettura non è confinata alla casa.

4 · Il Tutor: Metnos sa spiegare Metnos

Un sistema governato serve davvero solo se l'utente può chiedergli che cosa sa fare, perché si è fermato e come si usa una funzione. Il Tutor rende leggibili capacità e procedure senza trasformare il manuale in un altro agente onnipotente.

Conoscenza compilata, non una risposta a memoria

Il Tutor indicizza le descrizioni multilingue dei manifest che il loader ha realmente ammesso, un insieme chiuso di documentazione pubblica esplicitamente elencata e poche procedure curate ad alta autorità. Fonti, vettori e metadati vivono in un catalogo SQLite firmato e sostituito atomicamente. Non scandisce Documenti, mail, calendari, log, ADR o conversazioni.

Una lingua nuova non richiede un terzo manuale

La documentazione resta italiana e inglese. Una domanda francese, tedesca o spagnola viene confrontata dal modello di embedding multilingue con la migliore fonte disponibile, di norma inglese; il modello locale formula poi la risposta nella lingua corrente. Il fallback avviene per singolo concetto, così una traduzione parziale non nasconde il resto del catalogo.

5 · Dove vive e come gli si parla

Metnos gira su una macchina Linux vostra. I livelli LLM sono ruoli astratti, non modelli fissati: un endpoint su CPU, un modello locale o remoto che già servite e un eventuale ripiego di frontiera sono percorsi di prima classe. Telefoni e laptop sono client: la mente, la memoria e l'audit vivono su una macchina sola.

Due superfici, una mente

Il browser: una chat servita dal server stesso (porta 8770), con le anteprime delle foto, la galleria, e i cruscotti di amministrazione (proposte del synt, executor, esecuzioni, turni). Telegram: lo stesso cervello in tasca, con le carte di conferma come bottoni in linea. Per chi automatizza, l'API HTTP (/agent/turn, anche in streaming) è la stessa porta che usa la chat.

La chat web mostra anche i badge di feedback ✓/✗ per ogni risposta: il gradimento alimenta la cura del catalogo.

Chi siete, per il bot: il pairing

Telegram è una superficie pubblica: chiunque conosca il nome del bot può scrivergli. Metnos lega ogni coppia (canale, mittente) a un livello di autonomia con un codice firmato monouso: /pair PAIR.<codice> (Ed25519, scade in pochi minuti) per gli accoppiamenti decisi dall'host; /start <token> per gli ospiti creati dall'interfaccia di amministrazione. Niente account centrale, niente password: una rubrica per-canale-per-mittente che solo l'host modifica. Vedi pairing.

La lingua è un dato, non una costante

Ogni messaggio visibile, ogni descrizione di strumento e ogni prompt LLM vive come dato per-lingua: italiano e inglese sono validati, una lingua nuova si aggiunge per traduzione dei pacchetti, senza toccare codice (prompts_cli add-language <codice> prepara la struttura; la traduzione si rivede e si promuove a mano). Onestà: oltre IT e EN, oggi, è terreno non testato. Vedi multilang.

6 · Cosa succede quando dice «posso?»

È il pezzo di esperienza più importante del progetto. Ogni azione che cambia lo stato del mondo — inviare, scrivere fuori dal perimetro concesso, eseguire shell — passa per quattro componenti reali, in quest'ordine. Il punto non è chiedere sempre: è chiedere bene, e sempre meno.

Sempre meno fastidio, mai meno controllo. La carta si modula sulla ricorrenza: piena le prime volte, poi due righe, poi una. E alla prima approvazione di una tipologia potete concedere un territorio («tutte le scritture dentro ~/Documenti/fatture/») — da quel momento, lì, Metnos smette di chiedere; la concessione è revocabile quando volete. Vedi approval_ux.

E quando ha agito, può tornare indietro. L'undo non è un LLM che «ci prova»: è un catalogo chiuso di pattern di reverse dichiarati nel manifest di ogni executor mutante (scambia sorgente/destinazione, cancella i creati, ripristina il backup del blob, cancella per id). Conteggi onesti: se dice che ha annullato tre cose, erano tre.

7 · La sua memoria: cosa ricorda e cosa no

Quattro depositi distinti, con durate e regole di scrittura diverse — tabelle SQLite e file di testo che potete aprire, non un vettore opaco da qualche parte.

Memoria del mondo (le prime tre righe) e memoria di sé (il mnestoma), tenute separate per disegno. Il quarto deposito è il più insolito: il mnestoma registra anche i vuoti — le richieste che nessuno strumento ha saputo chiudere — perché sono il motore della crescita.

Il dettaglio che conta: Metnos non promuove mai un fatto a memoria permanente da solo. Propone («ho notato che parli spesso del nuovo dentista: lo salvo come contatto abituale?»), voi decidete. E un tentativo fallito non viene dimenticato: resta come proto-mnest — un'aspirazione registrata, con abbastanza contesto per riconoscere la stessa forma la prossima volta. Vedi mnestoma e scratchpad.

8 · Come cresce: synt, skill, backend

Un executor è un piccolo file Python che fa una cosa sola, con un manifest che ne dichiara argomenti, capability e profilo sandbox. Una volta firmato è un artefatto stabile: non impara, non cambia. L'intelligenza di crescita sta altrove — nel sintetizzatore.

La sintesi in cinque stadi

All'uscita, il cancello di ammissione (7 strati): firma → sovrapposizione di affinità → invecchiamento → sandbox → test di fumo → verifica LLM descrizione-vs-codice → audit append-only · poi conferma umana e firma Ed25519.

Cinque prompt piccoli e focalizzati invece di uno monolitico separano le responsabilità e rendono ogni stadio verificabile. Solo lo stadio 1 vede il vocabolario chiuso; solo il 5 scrive codice.

La sintesi reattiva (capita in mezzo a un turno, scena 6) è il primo gradino di una cascata per costo crescente: prima componi gli esistenti, poi genera il mancante; di notte le passate introvertive propongono fusioni (due strumenti con tracce sovrapposte), generalizzazioni (tre specializzati collassano in uno parametrico) e specializzazioni (un caso caldo si stacca). Tutto passa dal vostro sì. Due installazioni, in due case, dopo sei mesi avranno cataloghi diversi — ognuno plasmato dall'uso reale. Vedi synt e lifecycle.

Skill e backend: due assi che non si confondono

Tutto ciò che lega Metnos a un servizio esterno è una skill: un gruppo di capacità dormiente finché non configurata, attivabile e disattivabile a piacere (system · photos · mail · web · geo · calendar · github · google-workspace · frontier). Abilitare una skill senza i prerequisiti è innocuo: resta visibile e inerte finché il suo servizio o la sua credenziale non compaiono. Si gestiscono da riga di comando o chiedendolo in chat («quali skill ho?», «disattiva il web»).

Il backend è l'altro asse: come un'azione raggiunge un servizio concreto. Il provider si sceglie da configurazione, deterministicamente — il pianificatore non vede mai «Google»: vede create_events, e il resolver instrada. Aggiungere un secondo provider (es. GitLab accanto a GitHub) è +1 file di backend, zero executor nuovi: niente strumenti fotocopia per provider, niente pregiudizio di scelta nel modello locale. Vedi skills_backends.

9 · Persone e dispositivi: host, ospiti, executor remoti

Metnos non è multi-tenant in senso SaaS: è una casa sola. Dentro quella casa c'è un host — il proprietario del server, custode della chiave di firma — e zero o più ospiti, ognuno col suo livello.

La scena 4 mostra il modello al lavoro: l'host configura, l'ospite riceve, le righe di audit restano separate per accoppiamento. Ogni canale ha la sua porta, la sua chiave, la sua storia.

Executor remoti: dove può arrivare il codice

Un solo server, ma non un solo filesystem: tante cose su cui vorreste agire (i file del laptop, un'applicazione aperta, uno schermo) vivono altrove. Gateway, policy e memoria restano sul server; alcuni executor girano su dispositivi registrati — un client sottile con identità Ed25519 propria, ammesso con un codice firmato monouso, revocabile dal server in un gesto.

10 · Cosa abilita il catalogo, cosa vieta il core

Regola trasversale: nessun fallimento silenzioso. Cap raggiunto → lo dice (quanti usati, quanti disponibili) e chiede se allargare. Esito parziale → contato come parziale. Mai un «fatto» che non corrisponde alla realtà.

11 · Stato operativo

Metnos è un sistema pre-1.0 installabile e operativo, non un prodotto rifinito. Contratti, sicurezza e verificabilità hanno priorità sulla compatibilità con scelte interne precedenti. Il catalogo generato e i test sono le fonti dello stato corrente.

Provarlo

Il requisito vero è l'hardware: una macchina che regga un LLM locale capace. I livelli sono ruoli astratti — un endpoint su CPU o un modello già in servizio vanno bene; un modello più debole significa pianificazione più debole, non un'installazione rotta. Nessuna GPU è richiesta per principio.

$ git clone https://github.com/brunialti/metnos.git && cd metnos
$ bash install/bootstrap.sh --check   # solo verifica: non scrive nulla
$ bash install/bootstrap.sh           # interattivo, sei fasi, idempotente

E il supporto è parte dell'esperimento: le issue del repo vengono istruite da un'istanza di Metnos (scena 8) — bozze preparate dal sistema, pubblicate solo dopo approvazione umana. Se l'assistente non sa aiutarvi a far girare l'assistente, quello è un bug che vogliamo vedere.

La descrizione da mezzo euro

Se portate via una cosa sola: Metnos è un'architettura self-hosted per un agente governato, con cinque impegni peculiari — chiede prima di agire, costruisce strumenti dentro regole verificabili, è riproducibile come il software, concentra l'intelligenza adattiva dentro executor a mandato ristretto e porta executor firmati sui dispositivi senza spostare decisione e audit dal server. Se questa combinazione vi incuriosisce, siete il pubblico giusto.

12 · Glossario minimo & letture successive

Executor

Uno strumento del catalogo: file Python + manifest + firma Ed25519 + profilo sandbox. Vettoriale per costruzione: liste in ingresso, liste in uscita.

Executor agentificato

Un executor con un ciclo interno limitato di osservazione e azione. Può usare un LLM per disambiguare il percorso, ma mandato, autorità, input, output e verifica restano quelli del contratto pubblico.

Executor remoto

Un executor eseguito da un client su un dispositivo registrato. Il server pianifica, autorizza, firma e registra; il dispositivo verifica ed esegue.

Synt

Il sintetizzatore: la cascata che fa crescere e cura il catalogo (componi, genera; fondi, generalizza, specializza). Sempre dietro conferma umana.

Vaglio

Il valutatore in due fasi fra un'azione proposta e la sua esecuzione: guardia binaria non negoziabile + giudice graduato sui telos.

Telos

I vostri fini, scritti in TELOS.md come tendenze morbide. Il giudice misura le azioni proposte contro di essi.

fastpath

Il sentiero veloce appreso: una richiesta già risolta viene rigiocata senza chiamate LLM. Stesso esito, latenza e costo minimi. Quando una forma si ripete per un intero gruppo di richieste simili, il piano generalizzato diventa un autopath.

Mnestoma

La memoria che il sistema tiene su di sé: co-attivazioni riuscite (mnest) e tentativi rimasti a metà (proto-mnest). Il substrato delle proposte di crescita.

Skill / Backend

Due assi ortogonali: la skill governa se una capacità è attiva e fidata; il backend governa come raggiunge un provider concreto, scelto da configurazione e mai dal modello.

Pairing

L'ammissione firmata di una coppia (canale, mittente) a un livello di autonomia. Sostituisce il login: niente account, una rubrica che solo l'host tocca.

Carta di conferma

Tre righe e due bottoni: cosa, su che cosa, quanto è rifacibile. Si accorcia con la ricorrenza; può concedere territori revocabili.

Il Glossario completo

Voci alfabetiche con rimandi alle fonti canoniche.