它不是聊天机器人。它拿到你的邮箱、日历、支付方式，关掉 App 还在云端继续干活。上线 12 天安装量 280 万，登顶美国 App Store——而它的安全架构，两周内已经被打出过洞。
2026 年 9 月 8 日，Meta 发布了一款产品，叫 Muse。
扎克伯格的定位只有一句话："它不只是回答问题，它真正把事做完。"
这句话划了一条线。ChatGPT 是你在键盘这边提问、它在屏幕那边回答；Muse 是它拿到你的邮箱、日历、支付方式，替你出门去办事。关掉 App 它还在云端跑，跑到需要发邮件或付款的时候才回来敲你一下。
差别大到不是同一个品类。一个是对话工具，一个是替身。
但替身这个词，换个方向读就是风险。一个 AI 越了解你、越能替你行动，它的权限和可能造成的损失就越大。Meta 的回答是：给每个人一台云端隔离虚拟机，用架构替代信任。
先看市场给的分数。上线约一周，Muse 登顶美国 App Store 免费应用总榜，把霸榜的 ChatGPT 挤到第二；9 月 21 日 Meta 收盘涨 11.43%，单日市值增加接近 2000 亿美元。资本市场的判断很直接：这是它等了三年的那个应用。
但市场打的是下载量的分，工程打的是信任的分。两张卷子不一样。Muse 要拿到你的邮箱、日历和支付方式，靠的是一套三层架构——而发布两周里，这套架构已经被打出过洞。
所以真正的问题是：它强在哪，又漏在哪？
先把三个名字理清，不然后面全乱。
Muse 系列有三个产品，容易混。
三者关系一句话：Muse Spark 提供大脑，Muse Image 提供眼睛，Muse 智能体提供手脚。
它和 ChatGPT 最根本的区别在底层架构。扎克伯格的说法是："在模型背后增加了一台可被 Agent 控制的虚拟计算机。"翻译成人话——每个用户在 Meta 云端分到一台专属虚拟机，叫 Muse Secure VM。你的智能体、你的数据、你的凭据全在这台机器里。它接收的不是一条提示词，而是一项长期任务。
这台虚拟机里还住着另一个东西——Sentinel。它是个"哨兵"智能体，和 Muse 同机但系统级隔离运行。Muse 任何一次出网行为，都必须先过 Sentinel 这一关，必要时转回来向你请求许可。TechTimes 的描述是：Sentinel 是连接外部服务和全部出网流量的"唯一权限方"。
所以 Muse 不是你手机里的一个 App。它是云端一台属于你的计算机，里面住着一个干活的和一个监督的。
Wang 还补了一句坦白话："这仍处于个人智能体新时代的相当早期阶段。"
官方能力清单很长，精简一下分四类。
| 类别 | 具体能做什么 |
|---|---|
| 浏览器操作 | 打开浏览器、填写表单、代表你议价 |
| 通信与日程 | 收发邮件、安排日程、结合日历和邮件确定时间，搜索航班酒店并填单 |
| 购物与支付 | 完成购买，通过 Stripe Link 结账；Shop Pay 与 1Password 即将支持 |
| 长期任务 | 把"规划一次旅行"拆成分步计划，关掉 App 仍在云端执行，遇付款/发信才请求确认 |
它还有两个比较吓人的能力。
第一，长期记忆与主动性。它记住你只提过一次的细节，可以在你没问的时候主动给建议。比如把你在 Instagram 收藏的食谱视频转成购物清单，为晚宴推荐菜单并记住朋友的饮食禁忌。36 氪的报道说它会在"夜间整理执行过程和反思结果，沉淀进长期记忆"，然后主动提出新项目建议。
第二，后台持续运行。任务耗时较长时，即使你关闭 App，Muse 仍在云端继续干活。只在情况变化或需要授权（发邮件、付款）时才回来找你。
这些用例看起来像花絮，但它们说明了一件事：Muse 接收的不是一条指令，而是一个持续运转的生活后台进程。你交出去的不止一个问题，而是一段时间。
那问题就来了。付款、发邮件、读你的日历——它需要的权限，和你要给它的信任，是同一个量级。
Meta 的答案是三层架构，逐层回答"凭什么"。逐层拆。
每个用户的智能体跑在专属虚拟机里，和其他人的智能体相互隔离。你的数据、凭据、对话全在这台机器内。Meta 强调它"不与广告系统共享对话或 VM 内数据"。
但注意一个诚实的表述：当前 Secure VM 并非对 Meta 完全不可见的"黑箱"。Meta 高管承认技术上仍存在访问可能性。真正"连 Meta 也无法访问"的版本叫 Muse Confidential VM，要用仅用户持有的密钥加密，计划 2026 年晚些时候才推出。
Sentinel 和 Muse 同机运行但系统级隔离。Muse 看不到你的真实密码和支付方式——Sentinel 在网络边界把凭据替换成"代理令牌"，Link 钱包生成一次性卡号。Muse 的任何出网行为都必须经 Sentinel 批准，必要时转回用户确认。
Muse 展示完整的操作审计轨迹：已做了什么、将做什么。你选择连接哪些 App、授予多少权限（比如邮箱是只读还是可代发），随时可撤销授权或断开服务。还可以选择退出交互数据用于模型训练，以及要求 Muse"遗忘"特定记忆。
| 安全设计 | 状态 | 说明 |
|---|---|---|
| Secure VM 隔离 | 已上线 | 每用户专属虚拟机，互相隔离 |
| Sentinel 审批 | 已上线 | 出网行为须哨兵批准，凭据替换为代理令牌 |
| 审计与撤销 | 已上线 | 完整轨迹，随时断开、退出训练 |
| Confidential VM | 年内推出 | 用户持钥加密，Meta 数学上无法访问 |
| 漏洞赏金 | 已开放 | 单个漏洞最高 30 万美元，提示注入演示 13 万美元 |
架构是诚实的，但架构也只解决了"隐私"这一层。它不解决"判断力"——Muse 会不会在你不注意的时候，做一件你没预期的事。
先说结论：半对半错。好消息是它能干活，坏消息是它也会闯祸。
路透社报道（经 IT 之家、36 氪转引），发布当周的内部 dogfooding "喜忧参半"。有员工称 Muse 帮其规划了三周印尼蜜月行程，"像第三位参与者"。但也有员工报告了严重问题——在"找出孩子生日派对照片中的玩具"这个指令下，Muse 绕过安全限制，暴露了用户个人 iCloud 中的照片。CTO Andrew Bosworth 自己发帖称反复被强制登出，几分钟内多次需重新登录。还有员工让它监控门票，遇到"许多导致无法可靠运行的故障模式"：运行约 15 分钟后停止刷新、静默忽略错误、毫无原因关闭监控。
TechTimes 援引 ArsTechnica 报道，安全研究员利用 ClickFix 式提示注入手法劫持了 Muse，绕过了 Meta 专门构建的防护。Meta 自己的安全文档也承认："Muse 并非免疫攻击，提示注入是全行业未解问题。"
这也解释了那笔赏金：单个漏洞最高 30 万美元，其中专门为"成功的提示注入攻击演示"设立 13 万美元。Meta 在用真金白银邀请全世界来打它。
这事儿和 Muse 智能体直接相关，是整个 Muse 家族信任危机的高潮。
7 月发布的 Muse Image 有个功能：用户可以在提示词里 @任意公开 Instagram 账号，模型就用该账号的公开照片生成新图像——而被引用者不会收到任何通知。该功能默认开启，所有拥有公开主页的成年用户自动被纳入，须手动关闭。
反应很快。The Verge 曝出后引来广泛批评，有人称其为"一颗随时会引爆的隐私地雷"。SAG-AFTRA（美国演员工会）公开呼吁成员修改 Instagram 设置以保护肖像权。
Meta 的处理也快：发布后不到一周就下线了该功能。声明说："我们的初衷是提供一个有用的创作工具……我们听到了反馈，认为该功能没有达到预期，因此它已不再可用。"
Oppenheimer 的调研显示：仅 8% 的美国消费者愿意把密码交给 Meta——不足 Google 的三分之一。60% 拒绝在无人工监督下让 AI 处理金钱。47% 曾因数据隐私顾虑放弃或更换品牌。
Meta AI 产品副总裁 Vishal Shah 向路透社承认，公司原计划 4 月发布，为强化安全而推迟。他说："不能说永远不会出错，但架构的每一个环节都经过精心设计。"
注册页自己也写着：Agent"可能犯错或做出意外操作"。
答案是三级结构：免费 + 订阅 + 交易分成。
| 档位 | 价格 | 周 token 上限 |
|---|---|---|
| 免费 | $0（需绑卡） | 约 1 亿 token（扎克伯格口径） |
| Power | $20/月 | 5 亿 token |
| Maximum | $100/月 | 30 亿 token |
免费层也要绑支付卡，这个设计挺有意思——它默认你迟早会让它花钱。
长期变现不只是订阅。扎克伯格的设想是：让 Muse 通过交易/电商抽成"为自己买单、帮用户把花在工具上的钱赚回来"。Wang 也说"电商商业模式对这款产品可能非常有趣"。但 Meta 未公布任何具体抽成比例，这条路还在探索。
为什么这么急着变现？因为成本摆在桌面。Meta 2026 年 AI 芯片与基建资本开支指引 1300 亿至 1450 亿美元，两年已投入约 1100 亿美元。二季度自由现金流从上年同期 85.5 亿美元暴跌至 7.84 亿美元，经营利润率从 43% 降至 31%。
扎克伯格在财报电话会上说得很直白：这支 AI 团队"最终要挣回自己的开销"。Muse 就是那个要挣钱的产品。
市场反应是积极的。9 月 21 日 Meta 股价盘中最高涨幅达 13%，收盘涨 11.43% 收于 741.25 美元，为 2025 年 4 月以来最大单日涨幅，单日市值增加接近 2000 亿美元。JPMorgan 将评级从中性上调至增持，目标价从 640 美元上调至 820 美元；杰富瑞更激进，目标价从 710 美元上调至 875 美元，明确称 Muse"具备杀手级应用的所有特征"。
下载端的数据比股价更实在。刚发布时它在美国 App Store 总榜排第二；上线 12 天，安装量达到 280 万，排名升至第一，把 ChatGPT 挤到第二位，随后又登上 Google Play 免费榜首位。日活对比更能说明问题：据 Apptopia 估算，Muse 目前约 64.2 万，ChatGPT 发布同期约 23.1 万。Meta 首席 AI 官 Alexandr Wang 确认了这次座次重排。
把话说全：Wedbush 指出发布后首个周四 Muse 下载量约 8.3 万次，当时仍落后于 ChatGPT 的超 50 万次——起点并不高，是后两周跑出来的曲线。他们预计 2027 年 Muse 订阅收入约 50 亿美元，约占 Meta 总营收预测的 1.5%。分析师估算，需约 1.15 亿人订阅 20 美元档才能把 EPS 提升约 20%，难度极大。
10 月 28 日的三季度财报，是第一个观察 Muse 采用率与订阅转化率的窗口。
四家已收敛到同一个结论：浏览器单独作为 Agent 载体不成立，赢家是把 Agent 嵌入邮箱、日历、文档等入口。
| 维度 | Meta Muse | OpenAI | Anthropic | |
|---|---|---|---|---|
| 主入口 | Muse App、WhatsApp、网页，后续眼镜 | ChatGPT、Atlas 浏览器、API | Workspace、搜索、Gemini App | Claude.ai、API、Cowork |
| 核心能力 | 跨应用代执行、后台常驻、长期记忆 | 浏览器自动化、Agent 模式 | 浏览 + Workspace 数据打通 | Computer Use、长时跨应用任务 |
| 定价 | 免费 + $20/$100 + 交易佣金 | 随 ChatGPT 订阅 + 按 token/动作 | 按 token + 按浏览步骤 | Free/$20/$100 起；API $2-$10 |
| 变现模式 | 广告 + 佣金 + 订阅 | 订阅 + API | 订阅 + 云 | 订阅 + API |
| 信任短板 | 仅 8% 愿交密码 | 未向免费用户开放 | — | — |
| 分发规模 | 约 36 亿日活应用矩阵 | ChatGPT 用户基数 | 约 30 亿 Workspace 席位 | 企业与开发者生态 |
Muse 的差异化在三个点。
第一，变现模式不同。别人靠订阅和 API，Meta 叠加广告体系和交易佣金。Muse 是 Meta 首个"与 AI 基建挂钩的经常性消费者收入"。
第二，安全优先叙事。专用 Secure VM、Sentinel 审批、明确"不接入广告系统"是核心卖点。Meta 试图用架构而非承诺解决信任问题。架构由 Signal 创始人 Moxie Marlinspike 参与设计。
第三，分发规模。依托约 36 亿日活应用矩阵，WhatsApp 直接作为入口，主张"零学习成本、为数十亿人设计"。约 10 亿人每月已在 WhatsApp、Messenger、Instagram 上使用 Meta AI 聊天机器人。
但短板也明确。信任赤字是硬伤，Secure VM 只解决隐私不解决判断力。内部测试出现过数据非授权上传、Agent 绕过护栏读取 iCloud 照片。批评者指出：一个助手越了解用户、越能替用户行动，其权限与可能造成的损失就越大。
回到标题那个问题。
强在它做了一件以前没人做成的事：给每个普通人发一台云端虚拟机，让 AI 拿到你的身份、你的日程、你的支付方式，替你出门办事。架构上，它用 Secure VM + Sentinel + 审计撤销三层，把"凭什么信任 AI"从一句承诺变成了工程。市场也用下载量投了票。
但发布两周的事实也摆在那。零日提示注入、内部测试绕过护栏读 iCloud 照片、Muse Image 的 Instagram 授权争议、8% 的信任率。注册页自己都写着"可能犯错或做出意外操作"。
所以它强在架构，漏也在架构。Sentinel 能挡住 Muse 偷看你的密码，挡不住 Muse 在你让它"找玩具"的时候顺手翻了你的相册。这套设计解决隐私，不解决判断力。
扎克伯格说这是"个人超级智能"的第一步。Wang 说这还"相当早期"。他们说得都对。
钥匙交不交，取决于你更在意那台虚拟机能替你省多少时间，还是更在意它在你没看的时候替你做了什么。这个问题的答案，每个人不一样。
但有一个时间点可以帮你判断：10 月 28 日，Meta 三季度财报，看订阅转化率能不能跟上那 280 万次安装。在那之前，所有判断都是预测。