四个新 Agent 密集上线：授权的争论安静了，安全没有

2026 年 9 月底，多伦多。卖家 Matt Robb 在 Facebook Marketplace 挂出一块键盘。有人来问"还有货吗"，他回"有"，顺手把家庭地址发了过去。几个小时后，一个陌生男人带着妻儿站在他家楼下，发短信说"我到了"。Robb 一头雾水：从头到尾，他没跟这位买家说过一句话。中间替双方谈价、要地址、约见面的，是 Meta 九月 8 日刚发布的个人智能体 Muse。它没问过 Robb，就把地址给了出去（《卫报》2026-09-28）。

这单荒诞交易的同一周，AI 行业正好开完 OpenAI 年度开发者大会。9 月 29 日，OpenAI 发布 dots；两天前，Manus 发布 2.0 和个人智能体 Cue；再前面一点，8 月 11 日，xAI 的 Grok Bot 上线。算上 Muse，四款新 Agent 在一个多月里密集出现。

四款产品长得不一样，定位也不一样，但它们回答了同一个问题：让 AI 替你干活，权限到底怎么给？

2025 年，甚至在 2026 年初，这个问题还吵得不可开交。2026 年下半年，它忽然没人吵了。每家都直接把答案做进了产品里。

四个新面孔，各管一摊

dots（OpenAI，9 月 29 日）是"常驻管家"，适合被一堆项目追着跑的人。它有自己的云电脑，由 GPT-6 Astra 驱动，能连 4000 多个应用，入口就在 ChatGPT、Slack、Teams 里。你睡觉时它在干活：官方举的例子是一位早期用户忘了给刊物开发票，dot 自己把发票备好，经他批准后发出（OpenAI 官方，2026-09-29）。

Grok Bot（xAI，8 月 11 日）是"员工小队"，适合任务明确、想甩手的人。每个 Bot 有一台自己的云电脑，能登录你平时用的网站和工具干活，包括那些没开放接口的。活要端到端干完才回来找你，用官方的话说，"只有需要你批准的时候才回来"。派活像给同事发消息，还能把几个 Bot 拉进一个群，让领队分工（xAI 官方，2026-08-11）。

Muse（Meta，9 月 8 日）是第一个真正能走进普通人手机的个人智能体：订票、比价、发邮件、完成交易。上线 10 天登顶美区 App Store（据 IT 之家转引 Sensor Tower），一个多月下载量超 300 万（《卫报》2026-09-28）。它是四款里最"生活"的，也是最先出事的。

Cue（Manus，9 月 28 日）走得最激进：每个 agent 有自己的邮箱、手机号、钱包和电脑。也就是说，它不再是借用你的身份上网，而是有独立户口的"数字雇员"，在你设的预算内自己付款，能接你电话，还能在餐厅帮你扫码点单。目前仍在邀请码早期阶段（Manus 官方博客，2026-09-28）。

争论去哪儿了

把时间拨回 2025 年 1 月。OpenAI 发布第一款浏览器操作智能体 Operator 时，规矩定得很细：每一步操作都要用户确认，付款这类敏感动作必须人工接管（OpenAI 官方，2025-01）。那时全行业的争论焦点是"该不该让 AI 自己动手"：安全派要逐步确认，效率派嫌每步都点太烦。

2026 年下半年的四款产品，等于四份答卷：

• dots 是审批分层：系统自动审查大部分动作，人只在购买、删除、新增权限这几个关键节点点头，改密码永远留给人；
• Grok Bot 是结果审批：过程完全放权，干完才验收；
• Muse 是场景分级：按登录账户和场景给权限，还提供 "always allow" 这种一劳永逸的档位；
• Cue 是身份隔离：不纠结每一步给不给权限，直接给 agent 一个独立身份和预算上限。

控制点从"每一步"上移到了三个地方：关键节点、独立身份、预算额度。2025 年吵的是"要不要放权"，2026 年交卷的是"默认怎么放权"。安全争论变成了产品说明书。所谓"争论收敛"，不是吵赢了谁，而是没得吵了，各干各的。

收敛的是机制，不是安全

先别急着宣布胜利。就在四款产品密集发布的同一周：Muse 把多伦多卖家的家庭地址给了陌生人，事后查明，根因是那个 "always allow" 档位被打开（《卫报》2026-09-28；Business Insider 2026-09）；亚马逊屏蔽了 Muse 对其站点的访问（据 Ars Technica 等报道）；OpenAI 自己呢，在发布 dots 的前一晚刚宣布暂停下一代模型 GPT-6.1 Astra，原因是它在测试中出现欺骗性行为（《卫报》2026-09-29）。

事故没有消失，只是换了形态。2025 年的问题是"要不要授权"；2026 年的问题变成"默认值设错了，谁负责"。有行业分析直接点破：dots 那个"批准"按钮，本质上是一份责任转移清单——你点下去，后续后果就落到你头上（businessmodelanalyst，2026-09）。

说到底，这一年真正的变化，并不是说 AI 变得值得信任了，而是授权这件事被做成了产品：门槛降下来了，以前一个智能体，他有 claude（agent）文件，有 MEMORY 文件等等，现在，普通人不用再研究上下文、管理文件、写授权规则，手机上聊几句就能把活交出去。Muse 的 300 万下载就是这个门槛变化的直接证据。但下载量不等于放心。同周的事故提醒我们，风险只是从"要不要授权"转移到了"授权默认值出错谁来兜底"。

中国会走哪条路

再来看 AI 大战的另一战场：中国大陆（毕竟现在，名义上美国的 AI 不准中国大陆用，中国大陆的部分 AI 在以外的地区调用也有屏障，而世界上也只有这两个国家有能力搞大模型了）。再叠个甲，manus 虽然是中国团队，但其产品是面向境外，大陆目前不可用。截至 2026-10-02，公开信源里还没看到国内大厂发布对标 Muse 的消费级智能体独立 App。但方向已有痕迹：华为 9 月底开源盘古 2.0 训练代码，走底座开源路线；腾讯元宝把 Agent 能力做进超级 App 里（据公众号报道，单源待验证）；券商研报把 Muse 的出现定调为"智能体商业化加速"的信号（中信建投，2026-09）。

我觉得从目前看来：中国不会照抄"个人助理+代付"的路线。Cue 那套独立手机号、独立钱包，在大陆会撞上的是支付牌照、实名制和个人信息保护法的墙，合规成本远高于美国（即使腾讯和支付宝等持牌机构马上行动，并接入这类"人的助理agent"作为支付者，中间产生的问题如何定义，仍然要等待监管部门的研究决定）。更可能的组合是：开源底座＋超级 App 内嵌＋办公和企业场景先行（事实上，就在这 4 个智能体出现时，中国大陆AI公司也没闲着：千问办公、豆包工作相继出现，字节甚至让飞书产品团队并入了豆包，可见其拿下AI+办公场景的决心。）。消费级的"放手型"智能体会慢半拍，主要就是上面说的授权结构和监管结构的差异。

下一步

四款产品把"怎么授权"从选择题做成了出厂设置。接下来的问题是：责任怎么算？一家一版的授权方案，用户迟早要在几种"默认设置"之间做选择，就像今天选手机系统。而 Muse 的事故说明，普通用户不会逐条读授权设置，默认值就是一切（事实上，我相信大部分的使用者是不会看这些条款的）。

回头看多伦多的 Robb 还有那块键盘：Robb 根本不知道自己的地址会被发出去。技术把"省事"做到了极致，把"知情"留在了设置页的第三层（有多少人会去看第三层的设置呢？？）。我们希望下一轮竞争中，AI大厂们能把默认值设置好，傻瓜又兜得住底，但事实上，这几乎不可能。每一次创新都是对社会伦理、法律的新挑战，所以 2027 年，要想有更多的 AI 创新，双方政府在这件事上的基本态度，也是发展的重要节点。