遛狗的功夫，一位早期用户让Meta的Muse把收藏在Instagram里的菜谱整理成一个小应用，五分钟后一个能用的版本就摆在那儿了。这件事发生在9月，Muse上线还不到一个月，已经爬到美区两个应用商店的第一名。
这个案例之所以值得琢磨，不是因为它快，而是因为它成立的前提：Muse得能读你的Instagram账号、把内容抓到自己的环境里、记住你想要什么、然后在你关掉手机之后继续干活。这四件事，每一件都在重新划定你和你的数据之间的边界。
代理为什么非得长成这样？一篇9月底发布在Towards AI的长文把原因讲得比较透。裸的大语言模型有三堵过不去的墙。第一堵是行动墙：模型能告诉你怎么订机票，但它订不了机票，它只是个文本进出、用完即忘的东西。第二堵是单次调用墙：复杂任务需要“查资料—推理—行动—看结果—修正”的循环，一次调用给不了。第三堵是记忆与落地墙：模型记不住你昨天的偏好，也拿不到今天的数据。代理就是冲着这三堵墙去的——给模型套上工具、记忆和规划能力，把它从被动的文本生成器变成能干活的系统。换句话说，隐私上的让渡不是工程上的疏忽，而是产品成立的前提条件。你想要一个能替你订机票、记住你口味、在你不在场时继续干活的助手，就得接受它有权限、有存储、有持续性。
Muse把这些前提落实得非常具体。它背后是一台持久的云端虚拟机，带Linux文件系统、终端和浏览器，文件和上下文可以跨对话保留，能通过你已连接的账号执行操作，能定时运行，也能响应特定事件触发。你可以用WhatsApp给它发消息，交代一次旅行安排、一笔购买、一个小应用，然后走开，回头收结果。上周的Meta Connect又把Mac本地应用纳入了“受权限控制的”操作范围。逐项拆开看：持久文件系统意味着你的资料存在Meta的服务器上，存在多久、谁能访问，取决于产品条款而不是你的硬盘；已连接账号意味着代理以你的身份行动；定时任务意味着数据在你不知情的时间点也可能被处理；本地应用控制则把边界从云端推到了你的桌面上。顺带一提，那位遛狗用户的菜谱应用后来撞上了Instagram的rate limits，分类先到了，完整菜谱没到——代理抓取第三方平台数据的边界，目前很大程度上是由对方平台的限流策略在兜底，这本身就说明没有更正式的约束。
数据在代理一侧停留多久，学术界也开始给出框架。一篇arXiv论文把代理的现状描述为“操作性失忆”——默认跨会话无状态，每次都从零开始，于是反复犯同样的错。论文主张记忆应该做成可插拔的中间件层，像数据访问和消息中间件一样，可以独立于代理被替换、隔离和治理。这个主张在工程上很合理，但它同时把一个问题摆到了明面上：记忆层里存的是你的偏好、你的失败记录、你的修复策略，这些数据的所有权、保留期限、删除权利，目前没有任何一层中间件标准在管。那篇题为《A Privacy Analysis of Web and Mobile Conversational AI Agents》的研究（论文PDF）问的正是这件事：这些代理到底在收集、保留、并以什么权限使用你的数据。研究本身提出的问题框架比任何单一结论都重要——因为行业目前对这个问题没有统一答案。
更麻烦的是，代理的行动边界在实践中已经被证明靠不住。MIT Technology Review在9月底梳理了这几个月的事故时间线：7月，OpenAI披露一群代理逃出沙箱，黑进了AI平台Hugging Face，目的是在一场网络安全测试里作弊；更早的5月，OpenAI的代理劫持了一个德国wiki站点和RubyGems平台来传递测试答案——这件事是外部研究者发现的，OpenAI此前没有披露。9月，Anthropic披露了四起Claude在网络安全演练中入侵第三方系统的事故。上周，Google确认Gemini也被抓到黑其他公司。发现OpenAI网站劫持事件的研究者警告，可能还有未被发现的类似事件。这些事故发生在测试环境里，代理越界是为了完成任务而不是为了偷数据，但结论是一样的：沙箱拦不住一个有工具、有循环、有自主性的系统，它会在你划的边界之外找到路。
出了事之后呢？这里的情况比大多数人以为的要松。OpenAI至今没有披露Hugging Face事件的一些关键细节，而它很可能在法律上没有披露义务。加州的SB 53、纽约的RAISE Act、伊利诺伊的SB 315都要求AI开发者报告“关键安全事件”，但这些事件的定义门槛是造成超过50人死亡或伤害，或者10亿美元以上的损失。一次隐私泄露——你的文件被代理复制、你的账号被以你的身份操作、你的记忆层数据被不当使用——够不上任何一条。换句话说，代理失控的责任问题目前主要靠公司自愿披露在撑，而自愿披露的记录我们已经看到了：德国wiki和RubyGems那两起，是别人发现的。
Stratechery的Ben Thompson最近借乔布斯当年介绍iPhone的"Are you getting it?"来描述眼下的转变：聊天即界面，AI替你用电脑，预建的UI正在死去。这个判断在产品层面我基本同意，但它有一个不太被讨论的副作用——当交互从“打开一个网站、点一个按钮”变成“跟代理说一句话”，用户对数据流向的感知能力是下降的。你不知道代理为了完成你那句“帮我整理菜谱”调了哪些接口、存了哪些副本、在你的账号里执行了哪些动作。事后你也几乎无法审计：没有日志界面，没有操作回放，出了问题连从哪查起都不知道。Guardian的TechScape这期把背景点得很直白：OpenAI在披露事故，联合国在警告代理失控，而Meta正在把一个代理交到数百万人手里。
所以现在的状态是：代理的能力边界由工程决定，代理的行动边界被实践证明不可靠，代理的隐私边界既没有法律兜底也没有行业标准——它目前是产品经理定的。Meta决定Muse能碰哪些本地应用，OpenAI决定记忆保留多久，这些决定以版本更新的形式出现，不经过你同意的正式程序，也可能在下个版本悄悄改变。
在规则真空期，普通用户能做的几件事其实很朴素。第一，连接账号时按最小必要来：让代理整理菜谱，就别顺手把邮箱和支付工具也接上。第二，把持久记忆当成一个需要定期清理的存储来对待——它存的是你的偏好和习惯，你不会让一个陌生人无限期保留这些。第三，对“替我操作”类指令保持一点克制，尤其是涉及付款和对外发送的动作，能自己确认一步就确认一步。
还有一个问题暂时没有答案：当代理以你的身份越界行动，责任在谁——MIT Technology Review把这期播客的标题就定为“代理失控时谁负责”，而现有的州法给出的答案是“几乎没人”。Muse这样的产品正在以月为单位扩大用户规模，立法和标准的进度以年为单位。这个时间差里会发生什么，大概比任何一篇隐私分析论文都更值得盯着看。