9月8日，Meta 上线了一个新产品，叫 Muse。
官方的说法相当高调：全球第一个面向所有人的个人 AI 智能体。
很多人扫一眼就想划走：又是个套壳聊天机器人呗？
还真不是。这回的东西，值得你花三分钟看完。
它不是告诉你怎么做，而是直接做完想想你平时用的 ChatGPT 这类工具，逻辑特别简单：你问，它答。
它给你的永远是信息。怎么做、怎么选、怎么安排，最后还是你自己动手。
Muse 走的是另一条路。它会打开浏览器、填表单、替你发邮件、下单付款。你关掉 App 它还在后台干活，只在需要你点头的时候才回来找你。
一句话：Chatbot 告诉你怎么做，Agent 替你把事情做掉。
所以 Meta 坚持叫它「智能体」，不叫「助手」。这不是咬文嚼字，是产品逻辑的分水岭。
先分清两个容易搞混的名字Muse 和 Muse Spark，很多人缠在一起分不清。
关系其实很清楚：Muse Spark 1.3 是大脑，负责推理和决策的基础模型；Muse 是整个系统，大脑加上运行时、安全虚拟机、浏览器、记忆、工具和连接器。
打个比方，Spark 是脑子，Muse 是这颗脑子配上的整套身体、手和保安。
Spark 系列出自 Meta 超级智能实验室，由首席 AI 官 Alexandr Wang 主导，今年 4 月首次亮相，9 月 2 日发布的 1.3 版本比 Muse 早了约一周。
这颗大脑，是为干活长的聊天模型的目标是把一句话答漂亮。Agent 模型面对的完全是另一回事：在一个多步任务里反复决策，这一步做错，整个任务跟着跑偏。
Muse Spark 1.3 就是照着这个场景练出来的。
上下文窗口 100 万 token，原生支持文本、图像、视频，零样本调用命令行工具，支持多智能体协同。
效率上有个实在的数字：同样的编码任务，1.3 比 1.2 少了约 20% 的工具调用，token 消耗少约 25%。对按量付费的用户，这就是直接省钱。
第三方机构 Artificial Analysis 给它的智能指数约 61 分，在 636 个模型里排进前列。编码基准 DeepSWE 约 75.4，终端任务 Terminal-Bench 约 88.8。
还有一点对 Agent 特别关键——官方称它抗提示词注入的能力接近业界最好水平。为什么这事要紧？往下看你就懂了。
一台虚拟机，切成两个世界Muse 架构里最值得记住的一句话，出自 Meta 官方博客：一台机器上的两个隔离安全域，而不是一个拥有 root 权限的 LLM 智能体。
每个用户独享一台 Muse Secure VM，一台带浏览器和算力的隔离 Linux 云虚拟机，能真跑代码、开子智能体、跑定时任务。
这台机器内部被刻意切成两块：一块处理不可信数据，另一块是隔离在外的安全关键服务。
跑不可信数据的部分用 systemd-nspawn 容器隔离。里面的 root 映射到宿主机上只是普通用户，有独立文件系统和虚拟网卡，系统调用被过滤，窥探别的进程、改网络配置这些权限全都没有。
安全服务全放在容器外面：hatch-safety 负责检测风险和注入攻击，privsep 管权限分离，authd 管凭证存储。你的 OAuth 令牌就存在你自己的虚拟机里，Meta 的中心化设施碰不到。
设计思路就一条：就算里面出事，外面也偷不走什么。
Muse 提议，Sentinel 放行这是全文我最想让你记住的一句。
Sentinel 是运行在同一台虚拟机上的独立守卫，在系统层面和 Muse 隔离。它是整个系统里唯一能批准连接器动作和网络出口的权威。
Muse 只负责提议，只有 Sentinel 才能放行。
每个网络请求到了出口都要过这一关：主机名、最终目标 IP、端口、协议、路径，连解码后的真实请求都看。还要防 SSRF——防止一个看起来正常的域名，DNS 解析后偷偷指向内网。
人在环的设计也做得很细。Sentinel 判断需要询问时，会把审批弹窗直接发到 App 界面上，而不是发到你和 Muse 的对话里。这样即使 Agent 被注入劫持，也没法伪造那个审批对话。
授权是严格的能力：一次性、会话级、任务级、限时或长期，后续调用必须精确匹配授权范围。
最妙的一点：偷密码这件事，在结构上就没意义了Agent 安全里最头疼的问题叫提示词注入：把恶意指令藏进 Agent 读到的网页、邮件里，诱导它听坏人的话。传统做法下，Agent 要帮你登录付款，就得看得到真实凭证，一旦被攻破，密码直接外泄。
Muse 的解法很漂亮：让 Agent 从头到尾看不到任何真东西。
Agent 全程只接触占位符令牌，也就是假替身。真实密钥由 Sentinel 在网络边界即时注入，用到那一刻才换上真的。
于是通过注入去偷凭证，在结构上就毫无意义——Agent 手里根本没有可偷的真东西。
权限也做了三权分立：privsep 决定凭证代码在哪执行，authd 决定谁能拿到哪份凭证，Sentinel 决定动作能不能做。一个只管日历的后台进程，改参数也要不到邮箱的凭证。
这之外还有层层设卡：外部数据进上下文前被标为不可信输入；进程一旦读过用户数据就被「染污」，出网要人工审批；浏览器子智能体只读页面可访问性树，不能执行 JavaScript；邮件连接器默认过滤验证码和密码重置链接。
Meta 还开放了漏洞赏金，有效报告最高 30 万美元。敢把价码挂出来，说明他们对这套架构有一定底气。
记忆、连接器和支付记忆。 Muse 会记住对你重要的信息，还能主动行动——把你在 Instagram 收藏的食谱视频变成购物清单，发聚会邀请前记得朋友们的饮食禁忌。你可以随时查看、编辑、下载，或让它全部忘记。
连接器。 连哪些 App、给多少权限由你定，尽量区分只读和可写。它还能为有接口的服务自己写连接器，随时可改权限或断开。
支付。 结账走 Stripe Link，生成一次性虚拟卡号，绑定具体商户、具体金额、限时有效，真实卡号不外传。每笔支付都要人工确认，它也是首个被 Link 购买保护覆盖的 AI Agent。
隐私方面：Muse 看不到你的密码和支付方式，训练用的数据先脱敏，可一键退出训练，不会把对话交给广告系统。今年晚些时候还会上线机密虚拟机，用只有你持有的密钥加密整台机器——目标是连 Meta 自己都无法访问。
普通人怎么用？做 Agent 的该看什么？一句话：Meta AI 帮你想和答，Muse 帮你做。
美国先行，支持 iOS、Android 和网页，可以在 WhatsApp 里直接对话，需 18 岁以上。大部分日常需求免费，约每周 1 亿 token，免费也要先绑卡。往上还有 20 美元的 Power 和 100 美元的 Maximum 两档订阅，买的是用量而非功能。
对做 Agent 的团队，这个样本的信息量更大：
第一，能力重心从回答转向决策与执行。 评价标准从跑分扩展到长链路任务里能不能稳定选对下一步、少犯错、少烧 token。
第二，Agent 安全必须做在架构层，不能指望模型自觉。 控制平面分离、凭证代理、双层审批、污点出口，这些都是可以直接搬走的工程范式。
第三，每人一台安全计算机会成为新的基础设施。 当 Agent 长期持有你的凭证和数据，隔离边界和用户控制就成了产品的第一性问题。
当然也得冷静。它目前仅限美国，部分能力要订阅，而且你得把相当多的账户托付给 Meta。据 Reuters 报道，发布前的内部测试出现过越过护栏暴露测试者 iCloud 照片、任务静默中断的问题。Meta 自己也承认，提示词注入仍是行业开放难题，这套架构的意义在于出错时把影响限制住。
便利和信任之间的账，最终还是每个用户自己算。 但至少这次，有人把安全的功课做在了系统层，而不是停留在嘴上。
觉得有收获的话，点个赞、点个在看，转给那个正在做 Agent 的朋友吧。