从 Muse、Cue 到 dot，个人智能体集中出现。文章把 AI 产品划成三代：聊天机器人、数字员工与 Personal Agent，并指出这一代需要能操作设备的手、能代表用户行动的身份和持续运行的后台，眼下还卡在用户与平台的两道授权上。

Muse 在 9 月 8 日发布后，下载量很快突破 500 万，随后 Manus 推出 Cue，OpenAI 推出 dot，国内厂商也开始布局个人智能体。一个新的产品类别正在浮出水面：Personal Agent。

它与普通聊天机器人、办公 Agent 的差别，不是模型聪明了多少，而是服务对象变了。聊天机器人回答你的问题，办公 Agent 完成你交代的任务，Personal Agent 则试图理解你的习惯、权限、日程和偏好，代表你持续行动。

问题也随之改变：你愿不愿意把邮箱、日历、购物和支付权限交给它？平台是否允许它进入自己的应用？出了错，责任究竟由谁承担？

AI 产品的三代演进

第一代：聊天机器人

豆包、文心一言、通义千问和 ChatGPT 都属于这一代。用户问，模型答，竞争重点是知识、推理和对话体验。

第二代：数字员工

WorkBuddy、豆包工作、千问办公和百度搭子更像数字员工。用户交代任务，Agent 输出 PPT、报告、表格或代码，竞争重点是能否把工作做完。

第三代：Personal Agent

Personal Agent 以人为中心。它不仅知道用户当前说了什么，还要理解用户的习惯、偏好、预算、日程和历史选择。

以国庆去北京旅游为例：第一代告诉你景点有哪些；第二代给你生成路线、酒店和餐厅建议；第三代读取你的日历，比较航班和酒店，联系朋友确认时间，最后把等待付款的方案交给你确认。

简单说，第一代是顾问，第二代是员工，第三代是个人助理。它们的能力可能重叠，但围绕的中心不同：办公 Agent 以任务为中心，Personal Agent 以用户为中心。

Personal Agent 为什么现在集中出现

这一代产品需要三样过去不成熟的东西。

一双手：能操作电脑和手机

过去的 AI 主要输出文字，现在的 Agent 可以打开网页、点击按钮、填写表单、读取文件和调用外部工具。它不再只是给建议，而是可以真正执行。

一个身份：能代表用户行动

用户授权邮箱、日历、购物和支付权限后，Agent 可以以用户身份完成操作。身份带来效率，也带来更高风险：权限范围、凭证保存和每次动作的审批都必须清楚。

一个持续运行的后台

关闭对话框并不等于任务停止。云端 Agent 有自己的电脑、文件系统和运行环境，可以在用户离线时继续执行，等用户回来查看结果或确认下一步。

过去互联网平台争夺注意力和流量入口，Personal Agent 想争夺的是行动入口：用户不再自己打开每个应用，而是由 Agent 负责筛选、比较和执行。

两道授权：用户同意还不够

Personal Agent 面临的第一个现实问题，是平台是否允许 Agent 进入。

用户可以授权 Muse 替自己购物，但 Amazon 仍然可以拒绝非授权 Agent 的访问。平台需要知道 Agent 是谁、代表谁、能读取哪些数据、能执行哪些操作，以及出错之后由谁负责。

因此至少存在两道授权：第一道来自用户，表示允许 Agent 代表自己行动；第二道来自平台，表示允许这个 Agent 进入自己的系统。

只有第一道授权，并不能保证任务真的能完成。平台可能要求官方接口、限制自动化行为，或在检测到异常访问后直接拒绝登录。

国内也出现过类似情况：自动化工具操作超级 App 时被拒绝登录，说明跨应用执行不能只靠屏幕控制。未来更可行的方向，是平台建立自己的 Agent 接入规则，让符合身份、权限和审计要求的 Agent 通过标准接口工作。

信任问题比模型能力更难

Personal Agent 一旦能够访问家庭地址、电话、钱包和工作资料，错误的影响就不再是“回答错了一句话”。一次错误操作可能把敏感信息发给陌生人，或者在用户不知道的情况下触发外部行动。

设计 Personal Agent 时，应至少加入：

• 高风险动作二次确认；
• 邮件、支付和外部发布的独立审批；
• 每个工具的最小权限和可撤销凭证；
• 任务日志、工具参数和结果审计；
• 异常行为检测与立即停机；
• 失败后不自动扩大权限的恢复策略。

Personal Agent 不是把所有权限交给一个超级模型，而是让一个持续运行的系统在明确边界内代表用户行动。产品体验越自然，权限提示、审批和审计就越不能被隐藏。

给开发者的落地建议

可以先从低风险、可验证的个人工作流开始：邮件分流、日历整理、资料比价、日报生成和文档归档。让 Agent 输出待确认结果，先不要直接发送、付款或修改外部数据。

如果需要接入 Claude Code 或兼容 API，可以通过 Code80 配置 endpoint，并把模型地址与 Agent 权限配置分开：

env:ANTHROPIC_AUTH_TOKEN = “<你的 API Key>” claude

常见问题

Personal Agent 和办公 Agent 有什么不同？

办公 Agent 以完成企业任务为中心，Personal Agent 以理解和代表个人行动为中心，通常需要长期记忆、个人偏好和跨应用权限。

为什么平台授权也很重要？

用户允许 Agent 行动，并不代表第三方平台允许它访问。平台还需要验证 Agent 身份、权限、责任边界和访问方式。

Personal Agent 可以直接付款吗？

不建议默认开放。付款、发送邮件、发布内容和修改重要资料都应设置明确确认和审计节点。

现在适合把所有个人数据交给 Agent 吗？

不适合。应从低风险资料开始，逐步扩大权限，确认数据保留、凭证撤销、日志审计和停机机制后再接入敏感数据。