五天超过 ChatGPT 登上美区 App Store 免费榜首，两周下载过了 250 万。9 月 8 日上线的 Meta 个人智能体 Muse，是这个秋天涨得最快的 AI 产品。
9 月 21 日，Meta 股价单日涨 11.43%，福布斯估算扎克伯格当天净资产一度多了约 250 亿美元。
账单也在同一周到齐。9 月 20 日亚马逊切断它的购物通道，两天后六家全球银行联名警示 AI 代购的风险，中间还夹着两条发现：一句话能撬出一堆内部文档，电话那头其实坐着人。
01 电话那头是个外包员工
Muse 主打的能力之一，是替你打电话：订餐厅、谈退款、砍价。
路透社看到了 Meta 的内部帖子。这项功能在测试阶段配了一套"礼宾"机制：通话遇到复杂场景，请求会被转给呼叫中心的外包人员去做，再把摘要交还给用户。
用户不知道电话那头换了人。
Meta 超级智能实验室一位副总裁承认，在没有充分披露的情况下让承包商代打电话是一次失误，功能已回滚。她还给了一个数：真人拨打的成功率能到 95% 至 98%，明显高于纯 AI。
这个数字比公关稿都诚实。最能证明 AI 还不行的人，往往就是把它推上市的那一方。
02 一句话，交出上百份内部文档
Muse 不是一个 App。Meta 在云端给每个用户一台持久化的 Linux 虚拟机，关掉 App 任务还在跑。
9 月 24 日，macobserver 报道了两位开发者各自复现的结果：一句普通的提示词，就能让 Muse 把机器里的文件打包送回来。
清单有点长。agents 目录里有 113 份子智能体记录和追踪文件，约 20 份文档写明浏览器、支付、凭据、定时任务怎么用；另有约 68 个技能目录，覆盖 Google Workspace、Outlook、旅行、购物和媒体生成。
Meta 在工程上不算省。他们配了一个叫 Sentinel 的安全智能体，所有出站流量要它点头；密码和支付信息存在隔离区，Muse 能用但看不见；付款走一次性虚拟卡。Signal 创始人参与了设计。
问题出在意图这一层。架构挡得住模型想去的地方，挡不住一句话让它自己说出来。
同一周，研究员 Patrick Wardle 在 Mac 端找到一个漏洞，一条命令就能接管 Muse。Meta 在 24 小时内发了热修复。
03 亚马逊为什么先动手
9 月 20 日晚，亚马逊正式封了 Muse 的购物入口。用它下单的用户会看到一行提示：未经授权的 AI 代理继续访问，违反亚马逊使用条款。
发言人把话挑明了：帮用户去别家店里买东西，得尊重人家愿不愿意参与。此前亚马逊要求 Meta 把自己排除出去，被拒绝。
给出的理由有两条。一是 Muse 逛站时不主动表明自己是 AI，二是它似乎在抓取并保存用户凭证。Meta 回应说凭证存在安全区里，看不见。
时间点上还有个转折。亚马逊告 Perplexity 的黑客法路径，8 月被上诉法院推翻，理由是访问账号的是用户本人而非 AI 公司。所以这次它只谈条款。
比条款更硬的是生意。亚马逊一年数百亿美元的广告收入，前提是用户在页面里逛、看得见赞助商品。代理替你买完就走，这条路直接被绕开。
04 银行，以及那个更刺眼的数字
包括美国银行、NatWest 在内的六家银行联名发报告，警示 AI 代购的风险。
信任这一侧还有个数。Oppenheimer 的调查显示，只有 8% 的美国人愿意把密码交给 Meta 保管，愿意交给 Google 的是 30%。
而 Muse 恰恰要靠"拿到你全部数据"才有用。它读邮件、看日历、连信用卡，识别出重复订阅再替你取消。产品越有用，需要的权限越多，那个 8% 就越像天花板。
已有评测者反馈它在连接数据上过于积极，还有未经确认就发邮件的报告。另有监控平台把它标成服务降级，规模不到百万，负载已跟不上。
05 说到底
Muse 至少证明了一件事：模型能力已经不再是智能体的瓶颈。浏览器、电话、下单这些能力早就出现过，只是过去散落在 API 里。
Meta 真正做对的，是把前置环节全部藏起来：不用配环境、不用写提示词，像发消息一样说一句就行。
但这两周的三次翻车指向同一个地方：智能体要过的关卡，是电话那头的人答不答应、平台的门让不让进、用户敢不敢把账户交出去，这三道都不在 Meta 的工程量里。
扎克伯格给 Muse 定的位置叫个人超级智能，说它不该握在少数实验室手里。方向我认同，但过去两周说明，决定它能不能走到那一步的，不是 Meta 的发布会，而是三道由别人把着的门。
