兆企观察 · 产品拆解
Muse：“替你干活”的 AI
它赢的不是模型，是三道门
能力门 · 信任门 · 入口门
2026 年 9 月，Meta 发布了一款叫 Muse 的个人 AI 产品。上线 12 天，它在美加地区的下载量约 280 万次，美国移动端日活达到 64.2 万——第三方机构统计，这个数字大约是同期 ChatGPT 的 三倍。两周之内，它同时登顶美国苹果和谷歌应用商店的免费榜，Meta 股价在 9 月累计上涨约三成。
▲ Muse：一个替你干活的 AI——个人 Agent 的三道门
很多人第一反应是：又一个聊天机器人，至于吗？真至于。因为 Muse 真正的新意，不在它答得更好，而在它把个人 AI 从“聊天框”变成了一台替你干活的云端电脑。而它能不能被普通人放心用，取决于三道门。
三道门：给 AI 一台专属电脑（能力门）、把安全做成前台卖点（信任门）、让 Agent 住进你每天打开的软件（入口门）。这三道门，也是所有个人 AI 产品绕不开的考题。
CHAPTER 01
第一道门 · 能力门：一台只属于你的云端电脑
心智模型变了：不是“打开 App 问问题”
Muse 与所有聊天机器人最根本的区别，是它的心智模型：你不是“打开一个 App 问问题”，而是“我有一台 7×24 在线的云端电脑，App 只是它的遥控器”。
具体来说，Meta 给每个用户配了一台位于云端的独立虚拟机，叫 Muse Secure VM——里面跑着 Linux 系统和一个独立浏览器，Agent 和你的数据都住在里面。你关掉手机 App，它不会停：任务继续在云端跑，遇到变化或者需要授权的敏感操作时，它再回来找你确认。
扎克伯格把这个东西比喻成“放在你桌子底下的那台只属于你的电脑”。
01 异步执行 · 你给一个目标，它自己拆解、自己上网、自己填表、自己调用外部应用，人不需要一直守在旁边。
02 持久记忆 · 数据、上下文、偏好都留在那台虚拟机里，不会像网页版那样“聊完就忘”。
它能干的活，具体到可以列清单
写邮件、整理收件箱、安排日程、订旅行和餐厅、网购下单、填写网页表格，甚至帮你跟运营商谈账单、申请退款，或者为健身、创业这类长期目标制定计划并持续追踪。用一句话概括它的定位——不是“回答问题”，而是“替你把事情办完”。
01 底座模型 · Meta 自研的闭源多模态模型 Muse Spark，官方称它“为 agentic 工作构建”，上下文窗口达到 100 万 token。
02 子代理群 · 官方称 Muse 能“发射成群的子代理”、自建工具、自我编辑，把复杂目标拆成多个子任务并行处理。
03 目标系统 · 应用里有 Goals（目标追踪）、Ideas（基于对话生成建议，比如帮你省钱、取消没用的订阅）、Library 三个标签页，主对话之外还能开侧聊。
04 记忆与个性化 · 它会记住你告诉它的事，还会接入 Facebook、Instagram 获取偏好信号，你可以自定义它的名字、头像、声音和性格。
值得注意的是，Muse 不是只做了一个 App。在 9 月 23 日的 Connect 大会上，Meta 把它定为公司 AI 战略的核心，并一口气公布了一串延伸：登陆 Meta AI 眼镜、推出 Mac 桌面端（可以操作用户电脑上的任意 App）、给每个 Muse 配一个专属邮箱、面向中小企业推出 Muse for Small Business（接入 Asana、Notion、Shopify、Slack、Stripe、Zoom 等 15 家连接器），以及一个叫 Muse Charm 的吊坠式硬件。换句话说，Meta 想做的不是一个 App，而是一个横跨手机、电脑、眼镜、硬件的个人 Agent 入口。
▲ 每人一台专属云端电脑，关掉 App 仍在后台异步干活
CHAPTER 02
第二道门 · 信任门：把“安全”做成前台卖点
能力这么大，凭什么敢用？这是每个个人 Agent 都要回答的问题。Muse 给出的答案，是它最反直觉的一处创意：把“安全”从后台配置，搬到了发布会的第一页。
安全机制被明明白白地列成了卖点
01 执行前批准 · 发邮件、下单这类有后果的操作，Muse 会先说明打算做什么，等你点头才动手。
02 审计轨迹 · 所有动作留痕，你能看到它已经做了什么、还打算做什么。
03 凭证隔离 · 登录凭证存在一个 Agent 自己读不到的保险箱里，购物时生成一次性虚拟卡号，你的真实卡号对商家和 Agent 都不可见。
在这套机制背后，是一个独立于主 Agent 的“安全代理”（Sentinel），它负责审批每一个出网动作。
中金公司的研报对此的判断很直接：“安全架构是本次 Meta 主动讲的叙事核心。”换句话说，Meta 很清楚——当用户要把密码和钱包交给你，安全设计就不再是技术细节，而是增长设计。
近乎激进的透明：允许你下载整个文件系统
据 The Verge 报道，Muse 将允许用户下载自己的整个文件系统，被形容为“近乎激进的透明”。这个设计初看有点奇怪：一个 AI 助手，为什么要让你把它的文件系统整个搬走？但放在个人 Agent 的语境里就说得通了——当它替你处理邮件、账单、购物记录，用户最怕的就是“它在里面到底存了什么、做了什么”。
过去我们习惯把安全当成“后台开关”，用户看不见也不关心；但在个人 Agent 这个品类里，用户最大的顾虑从来不是“它聪不聪明”，而是“它安不安全”。把信任做成看得见的产品语言，本身就是竞争力。
▲ 把安全做成前台卖点：执行前确认、凭证隔离、审计轨迹
CHAPTER 03
第三道门 · 入口门：不是模型更强，是入口更近
如果说前两道门讲的是“能力”和“信任”，那第三道门讲的是“你怎么够得着它”。Muse 能两周登顶，靠的不是模型更强，而是它长在了一个36 亿日活的社交入口里。
Muse 可以直接在 WhatsApp 里对话。第三方机构统计显示，95% 的 Muse 用户同时是 Facebook 用户，63% 是 Instagram 用户——这不是巧合，是分发策略的结果。对这群人来说，学习成本几乎为零：不用理解什么是 Agent、什么是虚拟机，在 WhatsApp 里说句话就行。
两件“让人愿意用下去”的事
01 给 AI 一张脸 · 默认虚拟形象叫 Jolly，一个米黄色圆润的卡通形象，Connect 大会上还发布了能和虚拟形象实时视频聊天的功能。当模型能力越来越同质化，竞争就从“谁更聪明”转向“谁更像人”。
02 “心跳”机制 · Agent 会定期自动醒来，检查你的目标、主动推进待办，而不是等你来唤起。从“人找 AI”到“AI 找人”，这是 Agent 产品与助手产品的分界线。
腾讯在个人 AI 助理上的判断，和这一点不谋而合。他们推出的云端个人 Agent LightVela，把开源智能体托管到云端，让用户在微信、QQ、飞书里直接对话。
用他们自己的话总结：“腾讯没有在卖一个更聪明的 AI，它在卖 AI 的容器。”
当模型能力越来越接近，个人 Agent 比的不是参数，而是三样东西：有没有一个每天都会打开的入口；能不能在里面长期住下去、积累记忆；有没有一套让用户敢把账号和钱交出来的信任机制。不比谁更聪明，比谁更“住得下来”。
▲ Agent 住进社交入口，从人找 AI 到 AI 找人
CHAPTER 04
它也有裂缝：能力越强，用户越不安
但 Muse 这份答卷，还没批改完。它第一次把个人 Agent 的终极难题摆上了台面：能力越强，要的权限越多；权限越多，用户越不安。
发布两周，问题陆续冒出来
亚马逊封禁
9 月 20 日起，亚马逊封禁了 Muse 的站内购物能力，理由是它“未披露身份浏览、不标注 agent 身份、疑似获取并存储客户凭据”；Meta 则反驳说 Muse 看不到用户的密码和支付信息，双方各执一词。
听写功能漏洞
安全研究员发现 Muse 的听写功能存在漏洞，可能被用来劫持音频、窃取账户凭证，Meta 随后发布了热修复。
实测评价
有媒体实测后评价，Muse“似乎更痴迷于收集用户数据，而非真正完成任务”。
数据访问的边界
有技术分析指出，Meta 的文档承认这台虚拟机“不阻止 Meta 在必要时访问数据”，而真正连 Meta 也看不到内容的“机密虚拟机”，要等到“今年晚些时候”才上线。
换句话说，Meta 讲的安全故事，目前还带着一个不小的星号。
可靠的做法：一刀切地禁止，不如“有人确认、有据可查”
这不是 Muse 一家的毛病，而是所有个人 Agent 的共同门槛。这正是人机协同（Human-in-the-Loop）要解决的事。
HUMAN-IN-THE-LOOP
有后果的动作，先弹一张卡等你拍板
涉及删除、外发、付款这类操作时，AI 不会擅自决定——任务在关键节点自动暂停，弹出卡片等你确认，你回应后从断点继续。
WRITE WHITELIST
读取不受限，写入只认白名单
桌面端设置里列着 Agent 可以写入的根目录，写操作被严格限制在白名单内。你交给 AI 的不是“无限权限”，而是一份写清楚边界的委托。
CHAPTER 05
对国内产品的启示：看清它的三套打法
Muse 对国内产品的启示，不是“照着做一个”，而是看清它的三套打法：卖容器、卖入口、卖结果。
01 卖容器 · 把开箱即用做到极致。开源智能体 OpenClaw 曾拿到超过 37 万颗 GitHub 星标，证明需求真实存在；但它有个天生的门槛——你得有服务器、会配环境、能管运维。腾讯基于它推出的 QClaw 曾靠“一键部署”爆火，最终却因这个门槛没能接住需求，宣布停运。
02 卖入口 · 把 Agent 放进用户每天都在用的软件里。Muse 的成功很大程度上是分发的成功。国内产品的对等机会在微信、企微、飞书、钉钉——与其让用户再装一个 App，不如让 Agent 住进已有的聊天框。
03 卖结果 · 传统软件卖工具，买了会员能不能成事看你自己；个人 Agent 卖的是结果，你付钱，它把事办完。Muse 免费版每周给约 1 亿 token 额度，付费是 20 美元和 100 美元两档，但它真正的长期变现，是从交易中抽取小额费用。
当 Agent 住进用户的聊天软件，它会积累记忆、历史、联系人、偏好和长期习惯——住得越久，搬走的成本越高，护城河就越深。
一个更现实的判断：国内可能先从企业级爆发
国内产品未必要在 C 端硬碰硬。企业付费意愿更强、场景更明确、数据更封闭好管理；而 C 端虽然用户基数大，却要面对付费意愿低、隐私敏感、场景碎片化。
对企业来说：不只是“能用”，还要“管得住”
数字员工
以独立工号登录，7×24 小时待命，可以像真实同事一样被派发任务，离线时任务也不会丢，上线后自动执行并回复。
待办事项
把“人要做的事”结构化，可以一键交给 AI 执行，实现“人管事、AI 干活”。
定时任务
用自然语言预约 AI 在未来自动执行，无需人在场，执行历史还能完整回溯。
这些机制合在一起，回答的正是那个最实际的问题：当 AI 开始替你做有后果的事，你凭什么敢把事交给它？
▲ 国内机会在企业级与垂直行业：把 Agent 装进容器，还要管得住
CHAPTER 06
下次判断一个 Agent，先看这三道门
回到开头。Muse 之所以值得关注，不是因为它比 ChatGPT 更聪明，而是因为它第一次把“个人 Agent”做成了普通人能下载、敢授权、愿意每天用的消费品——一台属于你的云端电脑，一个有脸、有记忆、会主动推进目标的助手，一个长在 WhatsApp 里的入口。
但它也把 Agent 的终极难题摆上了台面：能力越强，要的权限越多；权限越多，用户越不安。所以，下次你判断一个个人 Agent 值不值得用，不妨看三道门：
01 能力门 · 它有没有一台自己的“电脑”，能替你异步干活？
02 信任门 · 关键动作有没有人确认、有据可查？
03 入口门 · 它能不能住进你每天打开的软件，而不是让你再装一个 App？
三道门都过得去，它才配叫“替你干活”的 AI。
CONCLUSION
个人 Agent 的终局，不取决于谁的模型更聪明，而取决于谁的 Agent 能在用户的生活里真正住下来。
能力越强，要的权限越多；权限越多，用户越不安——这道难题，得靠产品回答，不靠模型。
你愿意把账号和钱包交给一个 Agent 吗？
三道门里，你最看重哪一道——欢迎在留言区说说你的答案。
点赞 · 在看 · 收藏 三连，我们下篇见
