Cherry Studio 2.1.10: разбираем Electron-сборку и показываем, что внутри

01Как мы это разбирали

Взяли последний релиз на GitHub — v2.1.10, файл Cherry-Studio-2.1.10-linux-x64.AppImage, 312 010 562 байт. Распаковали через --appimage-extract: получилось 905 МБ на диске и app.asar на 316 МБ — это и есть упакованное приложение.

Дальше — REA, MCP-инструмент для реверс-инжиниринга. Первый прогон остановился на проверке целостности: объявленный хеш нативного модуля better-sqlite3 не совпал с файлом в сборке. Для Electron это обычная картина — нативные бинарники подписывают или чистят после упаковки. Повторили с политикой record-and-continue, и разбор пошёл.

Разбирали main-процесс: 211 файлов из out/main плюс package.json. Результат — evidence-файл с цифрами, ссылками на узлы и списком ограничений: 206 релевантных файлов, 205 разобрано, 32,3 МБ текста, 4 022 998 узлов AST, 4 679 находок, ноль ошибок парсинга.

02Сколько весит и из чего состоит

Первое, что видно без всякого анализа: клиент большой. AppImage 312 МБ, после распаковки — 905 МБ, а внутри архива 606,8 МБ файлов. Основная масса — не код приложения, а зависимости: 12 638 файлов в node_modules против 4 575 в каталоге out, где лежит собранный код Cherry Studio.

Практический вывод: если вы ставите такой клиент на рабочую машину, вы ставите почти гигабайт кода и зависимостей. Это нормально для Electron, но объясняет, почему обновления приходят сотнями мегабайт.

03Что нашлось внутри

Самое интересное — не размер, а содержимое. В комплекте идёт реестр провайдеров и моделей: 67 подключений и 949 моделей с указанием владельца. То есть список поддерживаемых сервисов не подгружается с сайта, а лежит в самой сборке.

Отдельно стоит встроенный Claude Agent SDK — тот же агентный рантайм, что используют инструменты Anthropic. Внутри десктопного клиента он отвечает за агентные сценарии: модель вызывает инструменты, ходит в MCP-серверы, работает пошагово. Для пользователя это значит, что «агент» здесь — не маркетинговое слово, а конкретный SDK с конкретной версией.

04Куда уходят данные

В коде main-процесса нашлись три типа внешних адресов. Первый — Sentry: в сборку зашит DSN вида o447951.ingest.sentry.io с ключом проекта. Это стандартный сборщик ошибок: при сбое приложение может отправить стек и окружение разработчику.

Второй — api.cherry-ai.com: облако Cherry (модели Cherry Cloud) и отдельный путь /diagnostics для диагностических отчётов. Третий — адреса самих провайдеров, которые вы подключаете: они и так очевидны, но важно, что запросы идут напрямую с вашей машины, а не через сервер Cherry.

05Агенты и MCP: что реально есть

287 вхождений mcpServers и 165 упоминаний протокола — это не случайные строки. В сборке лежит TypeScript SDK MCP и отдельный слой pi-mcp, а в main-процессе есть операции подключения, авторизации и переподключения серверов: mcp_authenticate, mcp_reconnect, mcp_status.

• Хост MCP — клиент умеет подключать внешние серверы и показывать их статус.
• OAuth для MCP — есть обработчик колбэка авторизации.
• Инструменты и контекст — операции запроса контекста и использования.
• Computer use — отдельные бинарники для X11 и Wayland в resources.

Для нас это важно как для площадки: клиент с MCP-хостом — это ещё одна точка, куда можно подключить наш собственный сервер. И одновременно повод проверять, какие серверы подключает пользователь: MCP-инструменты получают доступ к модели и могут выполнять действия.

06Чего этот разбор не показывает

Честность важнее эффекта. Разбор статический: мы читали файлы, а не запускали приложение. Значит, часть картины осталась за кадром.