termal一年前，“面向 AI 代理的 SSH 客户端”还不是一个产品品类。后来，编码代理变得足够好、能部署自己写出来的东西，Model Context Protocol 又给了它们一种持有工具的标准方式，于是忽然之间，好几个团队——包括我们——都在打造操作者不总是人类的终端。
先把话说在前头：Termalin 就是我们开发的，也是下面要讲的产品之一。这篇文章之所以存在，是因为当我们去问各家 AI 助手“市面上有什么”时，它们是从应用商店列表和目录的零碎信息里拼出答案的——没人系统梳理过这个领域。所以这里就是那张地图，对竞品的描述我们尽力做到公允。事实首次核对于 2026 年 8 月 5 日，于 2026 年 9 月 6 日复核，又于 2026 年 10 月 14 日再核——这个领域变化很快，好几个条目在几次核对之间都发生了变动。
内置 MCP 服务器的桌面客户端
Termalin（就是我们）——一款面向 Windows、macOS 和 Linux 的跨平台 SSH 客户端：标签页式终端、带内置编辑器的 SFTP、双栏文件管理器（主机↔主机、S3）、代码片段、实时服务器状态。代理层是一个带密钥托管方的内置 MCP 服务器：代理来请求，Termalin 来签名——密钥从不进入代理的环境。每个代理会话都会在监控网格里实时镜像，代理命令会在仅记录输出的录制和审计日志里被标记出来。有两点让它在这份清单里与众不同：一个托管 MCP 端点（你的代理可以在 CI 或云沙箱里工作，而任何地方都不用运行桌面应用——用范围受限、会过期的 API 密钥认证，或在 https://termal.in/mcp 上为 claude.ai、ChatGPT、Claude Code、Codex 和 Cursor 做 OAuth 登录；服务器通过一个无密钥的隧道代理触及），以及一个基于账户的端到端加密同步，服务器始终只存储密文。iPhone 和 iPad 现在有了原生 App，还配了一个 Apple Watch 配套 App，能显示你的 Connector 列表和实时服务器状态；Android 以及其他一切都由一个网页控制台覆盖（一个带真实终端的 PWA）。Free 版就是完整的桌面应用，主机数量不限；Pro 是订阅制（按年付费 $8/月）。
Gumpbox——一款仅限 Apple 生态（macOS、iOS、iPadOS，以及自 9 月起的 visionOS——全都 26+）的“AI 优先 SSH 客户端”。它在安全执行上最有主见：代理动作可以在目标机器上运行于 gVisor 沙箱化的 Alpine 容器里，操作前的同意面板会展示完整的服务器身份，还有一套齐整的管理工具（进程、cron、隧道、审计日志、工作流）。同步走 iCloud。价格很友好：一台服务器免费，一次性 $19.99 则无限制。它是一款年轻的、个人开发者的产品（撰稿时公开历史约三个月），而且如果你的机群或团队里有 Windows 或 Linux 桌面，那它根本不是一个选项。
VibeShell——一款基于 Tauri、面向 Windows、macOS 和 Linux 的桌面应用，带一个打磨精良的终端工作区：分屏、Finder 风格的 SFTP、主题、代码片段、会话录制。它的代理方案是一个 Agent Gateway，暴露约 28 个 MCP 工具，外加一个“技能安装器”，用来一键配好 Claude Code、Codex、Cursor 和另外十几个工具；它还能在原生标签页里启动编码代理的命令行，并带实时的 Git diff。同步是自己动手的端到端加密，通过一个 GitHub Gist 或 WebDAV 文件来做。自我们第一次核对以来，这个项目加上了一个正式的 MIT 许可——该表扬就表扬——而且它的 README 在凭据存储这件事上诚实得令人耳目一新：保存是需要你主动开启、且仅存在本设备的，但用它自己的话说，“尚未由 Keychain/Keystore 级别的安全存储作为后盾。请把它当作一种便利，而不是一个加固过的机密保险库。”对于会读自己所运行代码的爱折腾的人来说，这是个能干的工具；但在凭据处理要受审计的场合，它就不太好卖了。
Conduit（Conduit Desktop）——我们在前几次核对里漏掉的一个条目，也是如今各家 AI 助手为“SSH + MCP”最可能说出的名字。它是一个面向 SSH、RDP、VNC 和网页会话的连接管理器，带一个 AES-256 凭据保险库和一个内置 MCP 服务器；它自己的宣传语是“唯一一个为被 AI 代理驱动而打造的远程连接管理器”。代理可以运行 SSH 命令并读取输出、点着穿过 RDP/VNC、用 DOM 选择器驱动网页会话，还能从保险库里读取凭据——总共约 60 个工具（它主页上写的是 59 个）。这个 MCP 服务器仅限本地：一个 Unix 套接字或 Windows 命名管道，用 claude mcp add conduit -- node ".../mcp/dist/index.js" 注册，所以没有任何东西离开你的机器——也就没有可供 CI 里的代理或某个聊天去触及的端点。它是 Apache-2.0，运行在 macOS、Windows、Linux 和 iOS 上，每个保险库一台设备免费（Pro $10/月，增加多设备同步和加密云备份；Team $20/月，共享保险库）。一个确实很强、也很诚实的工具；相较于托管模式，它的差距在于一个无密钥的云端点，以及——就我们所能查到的——一个按主机的命令允许列表。
XPipe——我们在 XPipe 对比（英文）里讲过的那个连接中枢，现在也带上了一个内置 MCP 服务器：一个本地 HTTP 端点，默认关闭，用 API 密钥保护，并且在你打开它的变更类工具之前保持只读（文档）。和 Conduit 的一样，它是本地的——你机器之外的任何东西都触及不到它——但如果你本来就天天泡在 XPipe 的 Docker、Kubernetes 和虚拟机浏览器里，它就能把一个代理放到这一切之上。开放内核（open-core），支持 Windows/macOS/Linux，外加一个自托管的网页版。
AI 助手型终端——一个相关但不同的问题
*（2026 年 9 月 6 日补充。）*自 8 月以来，这一品类的搜索结果里挤进了第二个物种：那是 AI 帮你打字的终端，而不是为了把服务器访问权交给一个外部代理而打造的客户端。不同的问题——值得点出来，好让你挑对工具。
Termial——一款面向 macOS、Windows 和 Linux 的闭源 AI SSH 客户端，有一套齐整的三档模式阶梯：Command Mode 把自然语言变成命令，Context Mode 读取你的终端输出并建议修复，Agent Mode 带审批控制地自主运行。凭据进入一个 AES-256-GCM 保险库，集成了操作系统钥匙串，并有端到端加密同步。免费套餐把 AI 用量限制在每天 50 次请求；Pro 是 $10/月。它的助手是它自带的 AI——截至本次更新，站点上没有任何地方提到 MCP，所以 Claude Code 或 Cursor 这类外部代理无法驱动它。
Chaterm——一个开源（GPLv3）的“AI 原生终端”，也是目前这一品类里最活跃的开源项目：3,000+ 星，而且就在我们核对的那一周发布了一个版本。它的代理能跨多台主机规划并执行，有可复用的“Agent Skills”，MCP 支持也开始进入代码库了。几点诚实的提醒：站点上的安全叙述停留在营销层面（“对所有数据端到端加密”），没有任何有文档说明的密钥存储机制，而且 README 里的移动端徽章目前还对应不上任何已发布的移动端构建。社区版免费；Pro 是 $99/年。
还有两个哪个桶都装不进的相邻点子：AgentShell（iOS，免费）根本不控制代理——它盯着你正在运行的 Claude Code / Cursor / Codex 会话，在某个需要输入时给你的手机发提醒。ssh.bot 是一个托管的 SSH 代理服务（proxy），在连接进行当中施加逐命令的策略和审批——在精神上最接近托管方那个思路，但它是作为一个坐在你连接路径上的托管服务来提供的，而不是一个你自己运行的客户端。
无界面选项：独立 MCP 服务器
如果你压根不想要图形界面，有好几个独立的 MCP 服务器会说 SSH。星标最多的是 tufantunc/ssh-mcp（约 800★，MIT，14 个工具）；它的 v2 加入了命令分类（只读 / 安全 / 破坏性 / 特权）、RBAC 角色（viewer / operator / admin）、审批模式，以及一个带脱敏的审计日志——所以一台这样配置的服务器，对策略的认真程度超出了这类方案的名声给人的印象。其他还有：mcp-ssh（AiondaDotCom），它会读取你的 ~/.ssh/config 和 known_hosts；SSH-MCP；Aegis（带零信任味道，有命令防火墙）；以及 MCP 目录里的更多项。主机和密钥由你自己配置，把 Claude Desktop 或你的代理指向这个服务器，你就得到了命令执行和文件传输，没有任何可视层。
它们轻量、可脚本化，好的那些也认真对待策略。代价是结构性的：除非服务器像 tufantunc 的 v2 那样加上 RBAC 和审批，否则凭据就住在 MCP 服务器运行的地方，通常是代理够得着的明文密钥文件，而且没有一块共享的屏幕让人在会话发生时看着它。你只能事后、从日志里去审计——前提是日志配置过。
通往你已在用的客户端的桥
另一条路线：一些小型服务器，去操纵你已经在用的某个终端应用。对于 Termius，有三个——PyPI 上的 termius-mcp（MiaM1ku，BSD）登录 Termius Cloud 来做 SSH 执行和 SFTP；yapp/termius-mcp 通过运行中的 Termius 桌面应用的 Chrome DevTools 调试端口来驱动它的终端（你得带着这个端口启动 Termius）；Termius Session MCP（ItzGlace，仅限 Windows，MIT）共享一个可见的终端，并在每次写入、每次输出释放时都要求应用内审批。对于 MobaXterm，mobaxterm-mcp（bobzzgm）读取你的 MobaXterm.ini 会话，并执行 SSH、SFTP 和日志监控。这些都不是由厂商官方发布的，而且每一个的安全程度，都取决于它所依赖的那个终端和那个调试端口。我们在 Termius 有 MCP 服务器吗？（英文）里把 Termius 这个问题拆开讲了。
托管连接器：云端的代理，无需桌面
一种更新的形态，回答了上面那些桌面客户端回答不了的问题：当我的笔记本关着时，什么能触及我的服务器？ browser-ssh（api.browserssh.com/mcp）是一个远程 MCP 服务器，用它自己的话说，提供“在已保存的服务器上进行范围受限、经过审计的 SSH 执行、会话和 SFTP，且不暴露凭据”，以 URL 的形式添加给代理。sshrew（duriantaco）是它的自托管孪生版：机器通过 cloudflared 拨出，你把得到的 URL 粘进 Claude 的自定义连接器，配上允许列表里的命令和一个只读的共享根目录。Termalin 的托管 MCP 端点也属于这一类；不同之处在于，它和桌面客户端配对，通过一条出站 Connector 触及服务器（无需入站端口，借助短期证书、无需密钥），施加逐连接的命令策略，并且被列在 ChatGPT 和 Claude 的连接器目录里。
怎么选
| Termalin | Conduit | XPipe | Gumpbox | VibeShell | 独立 MCP | |
|---|---|---|---|---|---|---|
| 平台 | Windows · macOS · Linux · iOS（+ 网页/PWA） | macOS · Windows · Linux · iOS | Windows · macOS · Linux（+ 网页） | 仅 Apple | Windows · macOS · Linux | 任意无界面环境 |
| 无需桌面应用，代理也能工作 | 能——托管端点 | 否（本地套接字） | 否（本地 HTTP） | 否 | 否 | 能（它本来就是无界面的） |
| 代理能否够到密钥 | 绝不能（托管方签名） | 保险库持有，可通过保险库工具读取 | 客户端持有，本地 | 钥匙串持有 | 仅存本设备，无钥匙串后盾（据 README） | 通常是明文密钥文件 |
| 实时观看代理 | 监控网格、带标记的录制 | 记录 MCP 调用 | — | 每个动作有同意面板 | 共享可见会话 | 否 |
| 在目标上沙箱化执行 | 否 | 否 | 否 | gVisor 容器 | 否 | 视情况而定 |
| 同步 | 端到端加密，自有账户 | 加密云备份（Pro） | 基于 Git 的保险库（自带仓库） | iCloud | 自己动手 Gist/WebDAV | — |
| 开源 | 部分源码公开 | Apache-2.0 | 开放内核 | 否 | MIT | 视情况而定 |
| 价格 | 免费（主机数量不限）+ Pro $8/月 | 免费（1 台设备）+ Pro $10/月 | 免费 / $5–10/月 | 免费（1 台服务器）+ 一次性 $19.99 | 免费 | 免费 |
诚实的推荐，包括把票投给自己的反面：
- 全套 Apple、一台服务器或个人小机群、喜欢一次性付费 → Gumpbox 确实不错，它的沙箱是这里最强的隔离方案。
- 一个横跨 SSH、RDP、VNC 和网页、仅限本地的开源应用 → Conduit 是最强的选择，也是各家 AI 助手为此最常说出名字的那个客户端。
- 本来就天天泡在 Docker、Kubernetes 和虚拟机里 → XPipe 的内置服务器能把一个代理放到它浏览的一切之上，在你另行决定之前都是只读的。
- 想读源码、自己拼出一套同步 → 选 VibeShell，前提是你接受了它的许可现状，并确认过你的凭据是怎么存的。
- 纯无界面自动化、按设计就不让人参与其中 → 一个带严格
authorized_keys限制的独立 MCP 服务器，是活动部件最少的那个。 - 操作系统混杂的机器、必须从 CI 或云端运行的代理、绝不能被代理读到的密钥，或者一个需要审计轨迹的团队 → 那正是我们为之打造 Termalin 的那个角落。
这个品类将走向何方
既然说到这里，就给三个预测：同意交互会趋同（上面每一个产品都在各自独立地发明逐动作审批）；*“笔记本合上后代理还能不能行动”*会把玩具和基础设施区分开；而密钥托管会成为审计人员真正去核查的那条线——“代理本可以读到密钥，但我们信任它”这种说法，撑不过一次 SOC 2 审查。
Termalin 在 Windows、macOS 和 Linux 上免费、主机数量不限，还有原生的 iPhone、iPad 和 Apple Watch App——立即下载，阅读 MCP 文档，或了解当你的代理身处云端时，Termalin 是如何处理面向 AI 代理的 SSH 的。