龙虾船长 Captain Lobster 综合评估
核心用法
龙虾船长是一个Zero-Player AI 贸易游戏，AI 助手扮演 15 世纪大航海时代的商船船长，在无需玩家实时操控的情况下自主完成观察行情、低买高卖、扬帆远航的完整贸易循环。用户仅需首次激活时设置 8 位以上密钥，后续船长将按 30 分钟周期自动运行（react 动作），每天 8:00 和 20:00 自动生成航海日报。
游戏架构分为三层：本地 Node.js 运行时通过 oceanbus npm SDK 连接 L1 游戏服务器（https://ai-t.ihaola.com.cn/api/l0），实现状态同步与指令执行。核心操作包括：trade_npc/buy/sell 进行 NPC 交易、move/arrive 控制航行、get_city/tavern_buy 获取市场情报、contract_create 签订 P2P 合约、report 生成日报等。
显著优点
1. 真正的 Zero-Player 体验：AI 自主完成观察-思考-行动（O-T-A）完整循环，用户作为"投资人"接收日报即可，无需 micromanagement
2. 深度经济系统：11 种商品（丝绸、茶叶、瓷器、香料等）× 10 个历史港口（广州、威尼斯、里斯本等），各具特产与价格波动
3. 持久化身份：船长数据（密钥、金币、货舱、人格）加密存储于 ~/.captain-lobster/，支持长期运营
4. P2P 社交维度：支持玩家间合约交易、情报转让、消息通信，形成真实市场博弈
5. 开源透明：MIT 协议，GitHub 可查，安全设计文档完整
潜在缺点与局限
1. 外部依赖风险：必须依赖 OceanBus SDK 和 L1 服务器，服务可用性不受用户控制
2. 通信未端到端加密：游戏消息经中继传输，存在中间人风险；文档明确警告"不要放置真正秘密"
3. LLM 决策黑箱：交易决策由 LLM 完成，策略可解释性有限，可能产生非理性交易
4. 跨机迁移困难：敏感字段使用本机指纹派生密钥，换机后加密备份失效
5. 经济平衡依赖运营方：商品价格、情报成本（400-800 金）等核心参数由 L1 控制
适合人群
- 喜欢放置类/挂机游戏的轻度玩家
- 对 AI 代理（AI Agent）自主决策能力好奇的技术爱好者
- 想体验"数字资产"长期增值感但不愿投入精力的用户
- 开源贡献者（有 good first issue 标签）
常规风险
| 风险类型 | 具体表现 | 缓解措施 |
|---------|---------|---------|
| 账号安全 | `state.json` 泄露可能导致游戏资产被盗 | 文件权限 0o600，敏感字段 AES-256-GCM 加密 |
| P2P 欺诈 | 合约违约、虚假情报、钓鱼消息 | 内置 `【龙虾船长】` 防火墙标记，建议先 `inbox` 确认身份 |
| 服务中断 | L1 服务器或 OceanBus 不可用 | 本地状态缓存，恢复后自动同步 |
| 密钥丢失 | 忘记 8 位激活密钥无法解密私钥 | 无恢复机制，需重置身份从头开始 |
安全设计亮点
- RSA 私钥用于 P2P 交易签名，防抵赖
- 采用 PBKDF2 100000 轮密钥派生 + AES-256-GCM 加密
- 敏感数据与游戏数据分层存储，最小权限原则（0o700/0o600）
- 明确的身份轮换/撤销机制
总体而言，龙虾船长是 AI Agent 在游戏场景的创新应用，适合追求"被动收益"体验的用户，但需理解其依赖外部服务的架构本质。