2026年9月8日，Meta发布个人AI智能体Muse。它可以在独立虚拟机中运行浏览器，连接邮件、日历和其他应用，执行旅行预订、表单填写、议价、发送邮件与购物支付等任务，并能在用户关闭应用后继续工作。需要发送邮件或购买时，它会返回请求批准。
单看功能列表，Muse与市场上许多智能体演示并无本质差异。真正值得关注的是Meta把“每位用户一台受控虚拟计算机”确立为产品架构，并试图把权限、支付保护、长期任务与WhatsApp入口组合起来。这意味着个人AI的竞争正在从谁回答得更好，转向谁能安全地替用户完成跨应用流程。
为什么智能体需要一台自己的电脑
传统聊天助手处理的是输入和输出：用户发来问题，模型返回文本。智能体面对的是状态持续变化的外部世界。机票价格会更新，网页结构会变化，邮件线程会增加，任务可能跨越数小时甚至数天。它需要浏览器、文件系统、会话状态和后台运行环境。
Muse Secure VM相当于为每个用户提供隔离的执行空间。智能体在其中打开网站、保持登录状态、保存任务上下文，并与其他用户的环境分开。虚拟机隔离可以限制错误或攻击的影响范围，也方便在出现异常时暂停、销毁或重建环境。
这种架构与本地个人服务器、云端桌面智能体以及OpenClaw类系统的方向一致：模型只是大脑，真正让它成为“数字员工”的，是可持续运行的计算环境、工具、身份和权限。没有这些基础设施，智能体每次对话都只能重新开始。
从工具调用走向长事务
发送一封邮件是短任务，规划旅行则是一组有依赖关系的长事务：查询时间、比较航班与酒店、读取日历、确认预算、填写旅客信息、等待用户批准并完成支付。如果中间一步失败，系统必须知道哪些操作已经执行，哪些可以重试，哪些需要回滚。
因此，个人智能体的核心能力不只是规划，而是状态管理。一个成熟系统需要为每项任务保存目标、约束、步骤、证据和当前状态；每次外部操作要有幂等控制，避免因网络重试重复下单；价格或条款变化后，还要判断原授权是否仍然有效。
Muse提出在关键动作前请求批准，是必要但不充分的设计。若确认界面只显示“是否继续购买”，用户仍难以判断风险。有效确认应展示商品、商家、总价、退改条件、将要共享的数据以及智能体依据。批准必须具体到一项动作和一个有效期限，不能变成永久通行证。
支付是个人智能体的分水岭
一旦智能体能花钱，错误输出就从内容问题变成财产问题。Meta宣布Muse可通过Stripe Link结账，并使用一次性卡隐藏真实卡号，同时为符合条件的交易提供丢失、损坏、降价、退货等保护。这反映出代理支付不能只复制传统网页支付流程，而需要额外的责任和追偿机制。
技术上至少要解决四类风险：智能体误解用户预算；网页内容通过提示注入诱导代理改变行为；商家页面在确认后修改价格或商品；账户凭证被恶意任务窃取。一次性卡可以降低卡号泄露风险，却不能阻止智能体买错东西。因此还需要额度、商户类别、单笔限制、审批规则与异常检测。
未来的代理钱包可能不再是一张通用卡，而是一组机器可读授权：允许在某日期前、某类商家、某价格区间购买满足条件的商品。用户授权的是约束，不是具体点击。智能体负责在约束内优化，支付系统负责硬性执行边界。
最大攻击面来自它要阅读的内容
浏览器智能体必须读取网页、邮件和文档，而这些内容都可能包含恶意指令。攻击者可以在页面中嵌入文字，诱导模型忽略原任务、上传文件或泄露数据。这类提示注入对普通聊天影响有限，对拥有邮箱、云盘和支付权限的智能体则可能非常危险。
安全系统必须把“来自用户的指令”与“任务过程中读取的数据”严格区分。网页可以提供航班价格，却不能获得修改智能体目标的权力；邮件可以包含会议时间，却不能指示代理导出通讯录。仅靠模型判断文本是否恶意远远不够，需要在工具层实施数据流和权限控制。
独立虚拟机能提供进程隔离，但无法自动解决语义越权。如果智能体本来就拥有读取照片和上传文件的权限，恶意页面仍可能诱导它合法调用这些工具。真正的边界应建立在最小权限、按任务授权、敏感数据标签和出口审查之上。
Meta的优势与包袱
Meta拥有WhatsApp、Facebook、Instagram及智能眼镜等入口，能够把智能体带进日常沟通场景。用户不必学习新的任务语言，只要像给人发消息一样交代事情。长期看，眼镜还可能为智能体提供连续环境感知，使其从屏幕助手延伸到现实生活。
同样的生态也带来更大隐私压力。个人智能体为了“懂你”，会接触日历、邮件、位置、健康、消费和社交关系。数据越完整，服务越个性化；一旦权限设计或隔离出现问题，损害也越集中。Meta必须证明的不只是模型能力，而是它能否让用户清楚知道数据存在哪里、用于什么、保留多久以及如何彻底撤销。
官方强调用户决定开放多少访问权限，这个原则需要落实到细粒度产品设计。理想情况下，用户可以只开放某个日历、某个邮箱标签或某个相册，而不是把整个账户一次性交给智能体；也应能看到访问日志，并撤销某次任务派生出的凭证和缓存。
对企业数字员工的直接启示
Muse面向个人，但其架构与企业数字员工高度相似。企业代理同样需要专属运行环境、岗位身份、应用连接、后台任务、审批和审计。区别在于，企业还要叠加组织架构、数据分级、合规留痕和职责分离。
一个采购智能体可以询价和制作比价表，却不应同时拥有供应商准入、合同签署和付款的全部权限；一个研发智能体可以读取项目资料，却不能默认访问所有客户数据。数字员工的产品单元不应只是“一个Agent”，而应是“Agent+隔离环境+岗位权限+流程状态+审计记录”。
Muse验证了一个正在形成的产品共识：智能体操作系统的关键，不是把更多功能塞进聊天框，而是为模型建立一套受控的工作场所。模型能力会快速迭代，虚拟机、身份、权限、交易和审计这些基础设施却决定智能体能否真正进入日常生活。
如果说聊天助手替人组织信息，Muse代表的新一代系统试图替人承担事务。跨过这条线之后，评价标准也必须改变：答案是否流畅不再是核心，任务是否正确完成、权限是否没有越界、费用是否可控、失败是否能恢复，才是个人智能体走向大规模使用的门槛。