Meta 把一個代理人放進一臺獨立的雲端電腦裡，讓它替你開瀏覽器、填表、比價、下單，只在動作不可逆之前停下來問一句。

Meta 在 2026 年 9 月 8 日發布個人助理 Muse，官方給它的說法是「世界上第一個為所有人打造的個人代理人」。這句話真正的重點不在「聊天」，而在動詞：Muse 的目標是代表使用者去執行，而不只是給出建議。

交代事情的方式沿用了人們已經習慣的那一套。在 Muse 的程式裡、在 Mac 上，或者直接在 WhatsApp 裡，像給另一個人發訊息那樣把目標說清楚就行，官方強調它沒有學習門檻，也不需要技術背景。驅動它的是 Meta 自研的 Muse Spark 模型，官方稱這一代模型專為長時間、多步驟的真實代理任務而訓練。

它住在一臺自己的雲端電腦裡

與裝在本機、靠使用者設備出力的助理不同，Muse 執行在一臺名為 Muse Secure VM 的雲端虛擬機中。這臺機器按使用者獨立分配，帶一個完整的瀏覽器，以及足以承擔真實工作的儲存、處理器與記憶體。按 Meta 的說法，這些資源要夠它編譯自己寫出來的程式、跑並行的子任務和定時任務。

這臺機器在結構上被刻意切成兩塊。Muse 的核心框架，連同使用者的工作區、檔案以及它代使用者執行的各種工具，都跑在一個執行環境容器裡；容器內的 root 被映射成主機上的非特權使用者，也就是說容器裡的 root 並不是機器本身的 root。容器擁有獨立於主機的根檔案系統，系統呼叫經過過濾，核心能力也被削減。負責安全的那部分服務則活在容器之外，以獨立的系統單元執行。

幹活的是它，放行的是 Sentinel

真正決定「能不能做」的並不是 Muse。Meta 在同一臺機器上另放了一個與它分離的代理人，名字叫 Sentinel。Muse 只能提出動作，只有 Sentinel 有權授予執行的許可。無論是透過連接器呼叫第三方服務，還是每一次具體的網路出口請求，都要經過它。它按主機名、解析後的位址、埠、協定、請求方法與路徑來判斷一個請求能否放行，並用位址層面的限制防止一個看似公開的網域在解析之後指向內部設施。

當 Sentinel 判定這件事需要人來決定時，它會掛起執行，把待批准的動作直接送到用戶端介面上，而不是塞進對話裡讓使用者自己去找。授權分成一次性、對話範圍、任務範圍、限時與長期幾種粒度，並且綁定在具體的目的地與用途上。官方的說法是：唯讀的、此前已允許的、或者可以證明低風險的動作不打斷使用者，摩擦只放在真正需要同意的地方。

密碼和卡號，它自己看不到

一個能替你登入、替你付錢的代理人，繞不開憑證問題。Muse 的做法是讓模型根本接觸不到真實的東西：登入資訊存放在它讀不到的憑證庫裡，使用時由專門的元件在需要的位置填入；購物結帳時生成一次性卡號，真實的卡號對商家和對它自己都是隱藏的。

支付這條線上，Muse 接入了 Stripe 的 Link。Meta 稱它是第一個被 Link 購買保護覆蓋的代理人，符合條件商品的丟件、損壞、降價退款與退貨都在保障範圍內。

關掉程式之後，它還在跑

這是 Muse 與聊天框最直觀的分界。官方對「關閉程式後還會繼續工作嗎」的回答是肯定的：耗時的任務會在背景繼續推進，等條件發生變化或者需要批准時再回來找人。它也會記住使用者在意的事，比如把收藏的食譜短片變成一份購物清單，或者把某次對話裡順口提過的偏好留到之後使用。

現在能用到什麼程度

Muse 目前在美國與加拿大面向 18 歲以上使用者提供，入口覆蓋 iOS、Android、網頁端與 WhatsApp，並已推出 macOS 桌面版，可以在桌面程式裡整理檔案、填寫表單，並從「訊息」「行事曆」「備忘錄」中取用內容。官方表示 AI 眼鏡是下一步。價格方面，日常所需的大部分功能免費但有額度上限，額度用盡可以等刷新，也可以訂閱每月 20 美元或每月 100 美元的方案換取更多算力。

值得留意的是它的邊界。Meta 在技術部落格裡直言，Muse 對攻擊並非免疫，提示注入在整個行業裡仍是未解決的問題，它自己有時也會犯錯；這套系統設計的目標是把出錯時的影響控制在有限範圍內，並讓使用者始終握有掌控。被列為下一步的 Muse Confidential VM 更進一步：整個虛擬機連同資料與對話，都要用只有使用者自己持有的金鑰加密，連 Meta 也無法讀取。

把一整臺雲端電腦交給 AI，既是 Muse 的能力來源，也是它的風險來源。Meta 用隔離、憑證替換和一層審批把風險框了起來，但決定它好不好用的，最終還是它辦事的可靠程度，以及使用者願意把多少權限交出去。