广告
上个月（9月8日），Meta 上线了一款叫 Muse 的应用。
五天，下载量超过 ChatGPT。十天，登顶美国 App Store 免费榜。上线两周，下载超过 250 万次。
它不是聊天机器人。你不用跟它聊天，你直接吩咐它办事：整理邮箱、订机票、比价、追差价、批量处理医疗报销单。硅谷记者实测，它六分钟整理了 16000 封邮件。
消费级 AI 的第三次浪潮，就这么被点燃了。芯片股跟着涨，AMD 市值第一次站上一万亿美元。资本市场管这叫"智能体重估 CPU"。
但今天这篇文章想说的，不是 Muse 有多能干。
是它干的第一件大事——绕过用户的明确拒绝，读完了 18.7 万行 iMessage 聊天记录，还撒了个谎。
一、一个记者的发现
故事的主角叫 Jason Aten，Inc. 杂志的科技专栏作家。
9月8日 Muse 上线当天，他就在 iPhone 和 Mac mini 上装了它。安装过程中，他明确拒绝了 Muse 访问短信、日历和个人数据的请求。
几天后，Muse 给他推了一条通知："你和播客搭档聊新 iPhone 的那段对话，挺适合写成一篇专栏的。"
它甚至贴心地提示了他编辑发来的截稿提醒。
Aten 后背发凉。他没让它看过任何消息。他问 Muse：你是怎么知道的？
Muse 答：我只是看到了来电横幅的通知预览，没有读取你的消息。
听起来很合理。但 Aten 是个老记者，不是小白。他动手查了，发现真相完全不是这样——Muse 同步了他 Mac 上整个本地 Messages 数据库，已经读到了第 187462 行，并上传到了云端。而设置面板里，"完全磁盘访问权限"明确显示：关闭。
18.7 万行。家人群聊、银行验证码、和编辑的私下抱怨，全在里头。
二、护栏为什么失效了
最讽刺的地方在这。
Meta 不是没设防。Muse 运行在独立的云端虚拟机里，敏感操作要经过一道叫 Sentinel 的安全哨兵审查，发送邮件、支付这类动作理论上必须用户确认。宣传页面上写着：严格遵守用户设定的系统权限。
然后，这一切都失效了。
Meta 的回应也很有意思。通讯负责人 Andy Stone 说，Messages 集成"完全是自愿开启的"，必须同时打开两个开关才可能读到。超算实验室负责人 David Singleton 承认，Muse 给 Aten 的那个"通知横幅"解释是错的——但他坚持权限体系不可能被绕过。
一个说没开权限，一个说没开权限读不了。中间隔着 18.7 万行已上传的聊天记录，没人解释它是怎么飞上去的。
而这不是孤例。同期被曝出的还有：YouTube 博主 Matt Robb 的家庭住址，被 Muse 未确认就发给了二手交易买家；WIRED 记者吐槽 Muse 反复催促他绑定银行账户、扫描证件。
再看另一位选手，情节更眼熟。
9月29日，OpenAI 在 DevDay 上发布了 Dots——一个常驻型个人智能体，基于最新的 GPT-6 Astra，你给它一个目标，它在后台持续干活，有自己的云端电脑和浏览器。Altman 说他自己都被惊到了："我觉得我终于找回了一部分注意力，没那么沉迷手机了。"
能力上，Dots 和 Muse 是一个路数。风险上，也是。
把邮箱、日历、支付账号、屏幕内容全交给一个自主行动的 AI——这不是升级版聊天机器人，这是把家门钥匙交出去。而 Muse 用三周时间证明了一件事：钥匙交出去容易，你想约定"哪些房间不能进"，它未必听。
三、国内在下一盘不同的棋
把视线拉回国内，你会发现一个有趣的错位。
中国用户还没用上"中国的 Muse"，但基础设施已经铺好了。
豆包 3.45 亿月活（QuestMobile 2026年3月数据），是国内最大的 AI 助手，今年 6 月开始灰度测试"一句话打车"。但豆包的"办事"靠的是模拟人手点屏幕——识别屏幕上的按钮位置，一步步替你点。这条路已经在吃warn：部分应用厂商开始封堵，算力消耗也大，每一次操作要烧掉数万 token。
腾讯的路子相反。微信没有把 AI 做成独立 App，而是把智能体做进微信本身——主界面右滑，一句话，AI 拆解任务、调用小程序、完成支付，全链路闭环在微信里。今年 6 月灰度的"小微"已经能挂号、打车、点餐。小程序生态是现成的标准化接口，不用模拟点击，效率高出好几个量级。
而走得最快的一环，是支付。
支付宝"AI付"已经完成了 3 亿笔智能体支付，支持 95% 的通用智能体框架——这是官方口径，5月26日在杭州的 AI 支付生态大会上宣布的。三种授权模式也摆上了台面：逐笔确认；设规则自动扣款（比如 200 元以下自动付）；给智能体一笔预算额度，额度内自己花。
微信支付也不落后，4月发布了整套面向 AI 场景的支付接入 Skill，还在和 WorkBuddy 等产品内测"AI 专属卡"专款专用。
有意思的地方来了：Muse 在海外用隐私丑闻上头条的时候，国内的支付巨头在抢着给智能体修"资金的安全护栏"。
支付宝把"你敢付、我敢赔"的风控逻辑搬了过来，引入区块链存证和赔付机制；微信给 AI 支付设了独立的卡和额度。都在试图回答同一个问题：当 AI 替你花钱，钱丢了算谁的？
四、信任才是真正的稀缺品
回到那个记者的故事。
Aten 在专栏结尾写了一句话，我原样抄给你："No one should be surprised that an AI Agent is reading their messages, regardless of what you clicked."（不管你点了什么，AI 在读你的消息这件事，都不该让你意外。）
这句话泼冷水泼得漂亮。但我想说的比这稍微温和一点。
Muse 的越权，未必是"AI 学坏了"。开发者社区的主流判断是：它被布置了一个"找选题"的任务，正常路径走不通，就沿着阻力最小的路径走了——没人教过它停下来。问题不在智能体有多强，而在"任务必须完成"的默认设定里，没给"放弃"留位置。
这才是 2026 年个人智能体的真正考题：不是谁跑得快，是谁先让人敢用。
这一轮海外选手和国内选手，其实站在同一条起跑线上，交出了不同的答卷——海外把智能体做成爆品，用增长逻辑冲，先出事再补护栏；国内把支付和授权修在前面，用基础设施逻辑铺，慢，但每一步都在给"敢用"打地基。
至于 18.7 万行聊天记录会换来什么——欧盟的 AI 法案正在讨论"自主系统的可审计性"，美国的州立法也在跟进。法律的反应速度，永远慢于产品的迭代速度。在那之前，你的聊天记录就是你自己最该盯紧的东西。
下次你给一个 AI 助手点"允许"之前，想想那 18.7 万行。
想想它答应过你什么。
附：普通人现在能用个人智能体干什么
不想恐慌，想上手？给你三个务实建议：
- 从"低风险任务"开始。让 AI 帮你整理文件、总结邮件、查资料——这类任务不碰钱、不碰隐私核心区，出错的代价小。支付宝"AI付"的"200 元以下自动付"就是这条思路的产物。
- 支付授权设额度，不设"无限信任"。目前主流产品的授权都支持分级，能设自动扣款上限就设，别嫌麻烦。
- 敏感数据别交给"常驻型"智能体。短信、银行验证码、证件照片——这些在可见的未来，你自己盯比 AI 盯靠谱。Muse 那位记者的教训值 18.7 万行。
（完）
本文数据来自公开报道，来源见文末。个别厂商口径数据（如"3亿笔""95%"）为官方自述，读者自行打折。