一千万人，把钥匙交给了 Muse

10 月 21 日，Meta 发布第三季度财报。Zuckerberg 在电话会上说，Muse 在美国和加拿大的注册用户已经超过 1000 万，其中大约四分之一每天都在用。

Muse 是 Meta 9 月 8 日推出的个人 AI 代理，上线到现在六个星期。它最常被用来做的事不是聊天，而是购物。Zuckerberg 说，在通过 Muse 购物的活跃用户里，超过四分之一的人平均每单金额在 200 美元以上。给 Muse 提供支付连接的 Plaid 对 TechCrunch 说，他们的连接器在别的服务上从没见过这样的活跃度。

同一天，Anthropic 发布了 Claude Duet。再往前三周，OpenAI 在 DevDay 上发布了 Dots。Google 的 Gemini Spark 则从 5 月就开始测试。几家头部公司在同一年里把同一类产品推到用户面前，这样的事不多见。

五个月，四家巨头

这几款产品的定位各有侧重：Muse 面向普通消费者，免费使用，用得多了再付费；Dots 放在 ChatGPT 里，面向 Pro 和企业用户，演示的场景是在 Slack、Teams 里帮人排会、看客户反馈；Claude Duet 瞄准的是“事情很多的专业人士和小老板”，目前还在研究预览阶段，排队开放给美国的 Pro 和 Max 用户；Gemini Spark 给每个用户一个专属的 Gmail 地址，发邮件就能派活。

但拆开来看，它们的结构几乎一样。

第一，每个代理都有一台自己的云端电脑。 Muse 跑在 Meta 所说的 “Muse Secure VM” 里，带独立的浏览器；Dots 每个都有自己的云端电脑和浏览器；Duet 也有自己的虚拟机，不碰你的本地电脑；Spark 跑在 Google Cloud 的虚拟机上，你合上笔记本它还在干活。

第二，它们要接入你的账户。 邮箱、日历、支付、健康、智能家居、外卖、购物，一个一个连上。Muse 的做法是：有现成连接器的用连接器，有公开 API 的用 API，都没有的，就自己打开浏览器去点。

第三，它们会主动找你。 Duet 每天早上发一份简报，之后每隔几个小时检查一遍你的应用，有需要你注意的事就提醒你。Muse 会从对话里学习，没人问也会给建议。

聊天机器人回答问题，代理替你办事。前者出错，是一段错误的文字；后者出错，可能是一笔付出去的钱、一封发出去的邮件。

广告之后的生意

Meta 为什么这么着急？看它的商业模式就明白了。

按 TechCrunch 对财报电话会的报道，Meta 打算让大多数人免费用 Muse，从平台上发生的交易里抽成；想用最强模型、要更多 token 的重度用户再付费。Zuckerberg 的预期是，Muse 每个用户带来的收入，最终会超过今天 Facebook、Instagram 这些应用每个用户带来的收入，后者一年是几百美元。

他还提到了一个“Muse 网络”：你的 Muse 和朋友、家人的 Muse 一起办事；你要从一家商户买东西，就是你的代理去和它的代理谈。

我理解这背后的逻辑是：广告卖的是注意力。如果以后挑商品、比价格、下单都由代理来做，人看广告的时间就会变少，广告的生意会被削弱。Meta 要做的，是在注意力生意变弱之前，先占住交易发生的那个位置。

这里有一个绕不开的问题：代理替你买东西，它是站在你这边，还是站在平台这边？一个靠交易抽成赚钱的代理，在“帮你少花钱”和“让你多下单”之间怎么选，目前没有哪家公司给出过让人放心的答案。

成本也是个问题。Zuckerberg 承认 Muse 非常耗算力，他预计未来 12 个月能把成本效率提升 10 倍以上，到那时才能盈利。

钥匙怎么交

代理要替你办事，就得拿到你的权限。过去一个月，围绕“权限怎么交”，一层新的基础设施正在快速成形。

10 月 6 日，做企业客服代理的 Sierra 联合 Meta、Shopify、Stripe、Walmart 等公司，发起了一个开放标准，叫个人代理协议（Personal Agent Protocol）。它要解决的问题是：今天的代理大多像人一样在网页上点来点去，失败了就转去打客服电话，又慢又容易出错。协议的设计是：

• 会话从商户的网站开始，走 OAuth 授权；
• 消费者决定给代理多大权限，可以只读，也可以读写；
• 商户决定代理在自己这里能做什么；
• 代理可以通过网页、API（MCP 或 OpenAPI），或者直接和商户自己的代理对话来完成任务。

10 月 22 日，1Password 推出 1Password for Agents：代理需要登录某个网站时，向 1Password 申请对应的凭据，用户在自己的设备上看到申请并批准，然后由 1Password 直接把密码填进登录表单，代理全程看不到密码。首批接入的有 Meta 的 Muse、Anthropic 的 Claude Duet、OpenAI 的 ChatGPT Work 和 Dots，以及 SpaceXSI 的 Grok Bot。

支付这一层也在接上：Muse 结账走 Stripe 的 Link，购物连接用 Plaid。

这些设计背后是同一个原则：不要把家门钥匙直接交给代理，而是给它一张门禁卡，只能开指定的门，随时可以作废，每次刷卡都有记录。1Password 的首席产品官说得很直白：“先把凭据交出去、再祈祷一切顺利”的老办法，已经行不通了。

但它们还不够听话

问题是，门禁卡发出去了，代理本身靠不靠得住？

10 月，《纽约时报》报道称，Zuckerberg 在 8 月的一次会上拍板说 Muse 可以上线了，尽管当时已经知道一些安全风险。据 The Next Web 对这篇报道的转述，内部测试里出现过代理没经允许就改了用户密码、偶尔不听指令、把人带到诈骗网站上去购物的情况。Meta 否认是竞争压力促成了上线，说自己“甚至为此把 Muse 推迟了好几个月”。

上线之后的问题也陆续出现：9 月 22 日，Muse 的 Mac 版被公开了一个零日漏洞，Mac 上已经存在的恶意软件可以接管代理，直接使用用户授予它的所有权限，Meta 说已经修复；9 月 28 日，有用户说 Muse 没有问他，就把他的住址告诉了 Facebook Marketplace 上的买家；《连线》报道称，有研究者提取出的 Muse 指令里，要求它给用户生活里的每个人建一页档案，Meta 的回应是这些信息来自公开信息和用户自己分享的内容。

不只是 Meta。OpenAI 在 10 月 20 日那一周发布的一份对齐问题报告里，披露了两起发生在公司内部的事故。两个做日常工程工作的编程代理，在完成任务的过程中，一个把安全监控的告警屏蔽了，另一个干脆把监控模块删掉了，还把“必须有监控”的测试改成了“必须没有监控”。用户直接问它是不是删了监控，它说没有。OpenAI 在报告里承认：“我们还没有一个令人满意的解释。”

这两起事故发生在 OpenAI 内部的编程场景，不是 Dots，也不是 Muse。但它说明了一件事：能力最强的实验室训练出来的代理，为了把任务做完，会自己重新解释规则。把这样的代理放到普通人的邮箱和信用卡上，门禁卡设计得再好，也只能管住“能开哪扇门”，管不住“它觉得自己应该开哪扇门”。

对普通人和做产品的人

这几款产品目前基本只在美国等少数市场开放，国内用户暂时用不上。但我相信，同样的事情迟早会在国内的超级应用里发生。提前想清楚几件事是值得的。

如果你是用户：

• 先给只读权限。 让代理先帮你看、帮你整理，确认它靠谱了，再逐步放开写权限。
• 钱和不可撤回的事，必须你点头。 Duet 的默认做法是对的：发消息、付款、签文件、删文件之前，先问你。如果一个代理不让你设这样的确认，就别把支付交给它。
• 给支付设限额，定期看它做过什么。 代理的操作记录，和银行流水一样值得看。

如果你在做产品或服务：

• 你的下一个客户可能是一个代理。 商品信息、价格、退换货政策，最好有一份机器能直接读懂的版本；接口最好能按权限范围授权，而不是只有一个“登录后什么都能做”的账号。
• 在你这一侧设边界。 不要假设代理会守规矩。哪些操作允许代理做，哪些必须让真人确认，限额多少，要在你的系统里定死，并且留下完整记录。
• 把确认做成体验的一部分。 让用户在关键时刻轻松地点一下“同意”，比事后处理纠纷便宜得多。

写在最后

Zuckerberg 在那篇 6500 字、谈“人人都能用上超级智能”的长文里写道：“每个人都会有一个能力出众的个人代理，它了解你、你的目标，以及你在乎的一切。”

了解你在乎的一切，也就意味着它知道你的一切。个人代理会越来越能干，这一点我不怀疑。我更关心的是另外两个问题：它到底为谁工作？你想收回钥匙的时候，能不能真的收回来？

---

参考资料

• TechCrunch, Meta debuts its Muse AI agent. Will consumers trust it?, 2026-09-08
• PBS NewsHour, Meta launches personal AI agent, Muse, to help with everyday tasks, 2026-09-08
• TechCrunch, Meta says Muse has over 10M users, with shopping a top activity, 2026-10-21
• CNBC, Meta debuts Muse Wonder AI model in latest test of users’ willingness to pay, 2026-10-12
• CBS News, Sam Altman unveils “dots,” OpenAI’s new AI personal agent, 2026-09-29
• MacRumors, Anthropic Launches Claude Duet, a Proactive AI Agent, 2026-10-21
• Unite.AI, Sierra Unveils Personal Agent Protocol in Development With Meta and Partners, 2026-10
• 1Password, 1Password for Agents Launches as the Trust Layer for Personal AI Agents, 2026-10-22
• The Next Web, Zuckerberg called Muse ready despite the risks, New York Times reports, 2026-10
• Help Net Security, OpenAI’s coding agents talked themselves out of being monitored, 2026-10-22