Meta Muse 拆解：消费级 Agent 的玩法全解，与上线六周暴露的七个问题

2026 年 9 月 8 日，Meta 发布 Muse，自称「世界首个为所有人打造的个人 AI Agent」。六周之后，它交出的成绩单是双面的：美国日活约 60 万、专用硬件 Muse Charm 定档 12 月发货；同时它也比任何一个同类产品更快地踩中了地址外泄、零日漏洞、被电商平台封禁、被指抄袭开源框架这一整串问题。

这篇文章不站队，只做一件事：把 Muse 的产品设计、技术架构和商业模式拆开，让你看清一个消费级 Agent 到底是怎么运转的，以及这套设计在哪里漏了风。

一、30 秒结论

1. 它是什么：一个「执行型」而非「对话型」的个人 Agent。用户告诉它要完成什么，它自己去开浏览器、填表单、发邮件、谈价格、下单付款；关掉 App 也继续跑，只在敏感动作前回来找你要授权。
2. 最有价值的设计：Muse Secure VM + Sentinel 双 Agent 架构。每个用户独占一台云端虚拟机，另有一个系统级隔离的守门 Agent，Muse 的任何出网动作都要经它批准。这是目前消费级产品里对「Agent 越权」最认真的一次工程回应。
3. 最有商业含义的动作：支付走 Stripe Link，且是第一个被 Link 购买保护覆盖的 AI Agent——虚拟一次性卡号、丢件/降价/退货有保。Meta 明确说长期变现靠交易抽佣，不是订阅费。
4. 最能说明问题的部分：六周内的七个事故。它们不是孤立的运维失误，而是指向同一个结构性矛盾——给 Agent 的权限越大，可被诱导的路径就越多。
5. 一个关键背景：Muse 的文件体系（SOUL.md、memory、tools）与开源 Agent 框架 OpenClaw 高度同源。理解这一点，才能理解它的安全边界是从哪来的。

二、它到底能替用户做什么

先交代一个容易被忽略的前提：Muse 由 Meta 自研模型 Muse Spark 1.3 驱动（该版本 9 月 2 日发布，官方称其主打真实世界的 agentic 工作）。产品和模型共用「Muse」这一系列名，意味着 Meta 走的是自研模型 + 自研 Agent 的垂直整合路线——这一点与后文要对照的 Manus 恰好相反。