2026年9月8日，Meta发布面向美国用户的个人AI智能体Muse。与传统聊天助手不同，Muse可以在独立虚拟机中打开浏览器、连接应用、填写表单，并在用户关闭应用后继续执行任务；发送邮件或完成购买前，系统会再次请求用户批准。Meta还宣布，Muse可通过Stripe的Link结账，并使用一次性卡号隐藏真实银行卡信息。上述能力已由Meta官方说明和TechCrunch报道相互印证。
这次更新的关键不只是“AI更能干”，而是消费级智能体开始接触浏览记录、邮件内容、账户凭据和支付授权。过去，模型回答错误可能只产生一段不准确的文字；如今，智能体一旦误读指令、受到网页诱导或越权调用工具，就可能发错邮件、泄露数据甚至产生真实交易。因此，安全边界必须从内容审核延伸到身份、权限、数据流和资金流。
第一道边界：授权应当按任务拆分
Meta表示，用户可以逐个连接应用，并决定邮箱只读还是允许发送，也可随时调整或撤销权限。这个方向符合最小权限原则，但消费级产品还需要进一步把授权细化到任务、对象和期限。例如，“读取本周与出差有关的邮件”不应等同于读取整个邮箱；“购买一张不超过5000元的机票”也不应自动转化为长期支付权限。官方披露的权限设计可参见Meta日文版产品说明，第三方对其连接邮箱、日历和支付服务的核验见TechCrunch报道。
- 按任务授权：一次授权只服务于一个明确目标，任务结束后自动失效。
- 按数据授权：允许用户选择邮箱标签、日历范围、文件夹或特定联系人。
- 按金额授权：设置单笔限额、累计限额、商户类别和有效时间。
- 按动作授权：检索、草拟、发送和付款应采用不同权限等级。
第二道边界：把网页和邮件视为不可信输入
浏览器智能体必须阅读网页、附件和邮件，但这些内容可能夹带针对模型的隐藏指令。独立虚拟机可以隔离运行环境，却不能自动识别“页面提供的信息”和“用户真正下达的命令”。因此，网页只能提供价格、时间和商品描述，不能获得改变任务目标、导出通讯录或调用支付工具的权力。系统还应在工具层限制敏感数据流向，对上传文件、复制凭据、跳转陌生域名等行为实施拦截。
Meta称Muse运行在专用的Muse Secure VM中，并由与主智能体系统隔离的Sentinel代理控制网络访问；Muse无法直接查看密码和支付方式，重要操作前会寻求用户批准，同时向用户提供操作审计记录。这些属于必要的防线，但目前主要来自企业披露，不能替代持续的独立安全评估、漏洞响应和真实事故透明度。相关机制见Meta官方发布，有关消费者信任和数据接入范围的外部审视见TechCrunch分析。
第三道边界：支付确认必须让人看得懂
一次性卡号能够降低真实卡号泄露风险，却不能阻止智能体买错商品、接受不合理条款或在价格变化后继续付款。有效的二次确认不应只有“同意购买”按钮，而应清楚展示商品、商家、最终价格、配送地址、退改规则、共享的数据以及选择该方案的理由。若价格、收款方或条款发生变化，原授权必须失效并重新确认。
- 默认关闭后台自主支付，只允许生成订单草案。
- 敏感交易采用生物识别或独立设备确认。
- 建立可撤销窗口，并保存完整操作证据。
- 异常交易自动暂停，不以模型判断代替支付风控。
第四道边界：用“九不准”和“七条底线”约束执行结果
《互联网信息服务管理办法》第十五条列明不得制作、复制、发布、传播的九类违法信息，并要求信息服务提供者保证内容合法。对于能够代发邮件、填写表单和发布内容的智能体，这意味着合规对象不应局限于模型回答，还应覆盖智能体最终实施的行为。现行条文可查阅国家市场监督管理总局公布文本。
从“七条底线”看，产品尤其要守住法律法规、公民合法权益、社会公共秩序、道德风尚和信息真实性边界。智能体不能因为用户完成了授权，就自动获得发布谣言、侵害他人隐私、冒用身份或实施不当交易的正当性。平台需要设置不可被普通提示词绕过的硬性规则，并为申诉、纠错、停止任务和责任追踪提供明确入口。
总结
Muse展示了消费级AI从“提供建议”迈向“代理行动”的方向，但真正决定其能否普及的，不是它能连接多少应用，而是用户能否清楚知道它正在做什么、为何这样做、使用了哪些数据，以及出现错误后由谁停止、撤销和负责。安全的消费级智能体应当以最小权限为起点，以人工确认和支付硬限制守住关键动作，以审计记录保证可追溯，并以“九不准”和“七条底线”约束最终输出与执行结果。
事件或资料日期：
Meta Muse产品发布：2026年9月8日，来源为Meta官方公告与TechCrunch同期报道。
《互联网信息服务管理办法》第二次修订公布日期：2024年12月6日，参考现行公开文本。
