📋 目录
- [🔄 先讲一个反直觉的动作：豆包把手收回去了](#🔄 先讲一个反直觉的动作：豆包把手收回去了)
- [🧭 为什么 GUI 一定撞墙：技术上能，商业上不能](#🧭 为什么 GUI 一定撞墙：技术上能，商业上不能)
- [🗺️ 现在有四套协议在同时跑](#🗺️ 现在有四套协议在同时跑)
- [🔐 一个必须说的坏消息：MCP 的安全债](#🔐 一个必须说的坏消息：MCP 的安全债)
- [💼 接口是技术协议，不是商业协议](#💼 接口是技术协议，不是商业协议)
- [🏗️ 落到企业：权限边界是唯一不能外包的事](#🏗️ 落到企业：权限边界是唯一不能外包的事)
- [📌 我核完之后的五条判断](#📌 我核完之后的五条判断)
🔄 先讲一个反直觉的动作：豆包把手收回去了
这个选题最有意思的地方，不在"手机要变智能了"，而在一条被广泛报道但没被读透的新闻。
据报道，新一代豆包手机把备货量从 3 万台提升到数十万台，而上一代最受关注的 GUI 能力却被收了回来。
GUI 就是"AI 自己去操作 App"的技术路线------模型通过截图观察页面，找到按钮、输入框和弹窗，再模拟点击、滑动与输入。只要用户能完成的操作，AI 理论上都可以尝试完成。
这条路线在 2025 年 12 月的技术预览版上跑通了，而且效果惊人：预览版上架第二天即售罄。用户能直观看到 AI 在工作------打开一个 App，切到另一个 App，再把结果送回来。
然后它撞墙了。
据《晚点 LatePost》报道，微信、淘宝、支付宝及部分银行客户端先后限制了相关能力。公开信息显示，豆包随后下线了操作微信、以及银行和互联网支付类 App 的能力。
而马化腾在 2025 年度员工大会上明确表态，反对"用黑产外挂的方式把用户手机屏幕录屏传到云端"。
于是 2026 年 1 月，豆包拿到了打车、外卖、订票等部分常用权限------不是靠技术突破，是靠一家一家谈判。
从预览版到消费者版，9 个月，核心工作就是一家一家谈权限。
这个转变的技术含义很清楚：新版产品不再读取屏幕、模拟点击微信、淘宝和支付宝等头部应用；只有应用主动提供 MCP 服务、开放相应数据和操作权限后，豆包手机才能接入。
一家在 AI 能力上跑到最前面的公司，主动放弃了它最被称道的那个能力。
🧭 为什么 GUI 一定撞墙：技术上能，商业上不能
这件事的核心不在技术，在利益的分配。
GUI 路线的逻辑很干净：不要求任何 App 改造接口，模型直接理解已有页面，可以快速覆盖大量场景。对 App 厂商来说，这套逻辑是有问题的。
一位做应用安全分析的公司给出了一句话很重的判断：移动 App 正在变成能力的集合，而不再是孤立的用户界面。 从应用安全公司的角度看，AI 越界操作带来的风险是结构性的------应用无法判断 AI 为何读取页面、实际需要哪些信息，也难以区分"用户授权的助手"和"批量自动化工具"。
| 维度 | GUI 路线 | 接口路线 |
|---|---|---|
| 技术门槛 | 低，理论上任何 App 都能操作 | 高，需要 App 逐个适配 |
| 覆盖速度 | 快，覆盖大量长尾场景 | 慢，一对一谈判 |
| App 的控制权 | 无，AI 自读页面、自行决策 | 有，App 主动声明开放什么 |
| 风控可审计性 | 差 | 好 |
| 合规风险 | 高 | 低 |
| 商业阻力 | 极大 | 需要利益协调 |
技术上能，商业上不能。 这就是全部原因。
而 GUI 的问题在 AI 手里被放大了。一个成熟应用可以假设人类用户的操作是随机的、有间隔的、不会一秒钟内重复一百次。而 Agent 的操作是持续的、批量的、模式化的------从 App 的风控视角看，一个 Agent 比十个恶意用户更危险。
有意思的是，荣耀 YOYO 走的是相反的路线：靠自研的 YOYO Harness 系统级智能体框架调度手机系统能力，能执行 100 步以上任务，闭环率高达 90%。但它没有"手伸进别人 App"这个能力，因为那些 App 在荣耀的系统权限之外。 跨 App 任务依赖的是应用自己开放接口。
所以两条路线在这个行业里同时存在，而它们的真实差别不是技术能力，是谁承担了"进入别人地盘"的风险。
🗺️ 现在有四套协议在同时跑
撞完墙之后，行业给出了四个版本的答案。它们不是同一种协议，但解决的是同一个问题：让应用主动决定哪些能力可以被 Agent 调用，而不是由系统智能体自行进入应用、读取页面和完成操作。
| 协议 | 归属 | 机制 | 现状 |
|---|---|---|---|
| MCP（Model Context Protocol） | Anthropic 开源，现由 Linux Foundation 下的 AAIF 托管 | 应用作为 server 暴露工具，Agent 作为 client 调用 | 9700 万次月下载、1 万个活跃服务器 |
| AppFunctions | Google / Android | Jetpack 库 + 平台 API，让 App 声明"自描述函数"，Google 称其为"设备端 MCP server" | 需 Android 16+，调用方需专用权限；截至 2026 年 5 月 Gemini 集成仍是私有预览 |
| App Intents | Apple | 2022 年引入，让 Siri / Shortcuts / Apple Intelligence 触发 App 内动作 | 敏感或破坏性操作可要求用户再次确认；App 界面私有内容不会自动开放 |
| AHA（Agent Hub Access） | 支付宝 | 智能交互协议 + 智能体互联协议 + 设备感知与执行协议（XUI）三件套 | 与 OPPO、阶跃星辰落地；跨端服务接入万余项生活服务 |
需要特别说明的是 MCP 的治理变化。2025 年 12 月 9 日，Anthropic 将 MCP 捐赠给新成立的 Agentic AI Foundation（AAIF）------Linux Foundation 下的定向基金，由 Anthropic、Block 和 OpenAI 共同创立，Google、Microsoft、AWS、Cloudflare、Bloomberg 提供支持。
这个动作常被解读成"Anthropic 放弃 MCP 了"，但官方表述要准确得多：MCP 项目的技术方向和日常运营保持完全自主权，Anthropic 继续投资开发、维护核心基础设施并积极参与。另外两个创始项目是 Block 的 goose 和 OpenAI 的 AGENTS.md。
捐赠的是治理权，不是所有权。 而治理权这件事对企业有实际意义------它意味着 MCP 不会绑定在任何一家的路线图上。
一个被忽略的细节：支付宝的分工设计
支付宝与 OPPO 小布的跨端协同案例值得单独拆开，因为它把权限边界写得很细。
| 角色 | 职责 | 明确不碰的东西 |
|---|---|---|
| 小布（手机系统侧智能体） | 系统入口、场景感知、上下文承接、设备协同 | 不处理账户、支付和交易信息 |
| 阿宝（办事智能体） | 服务理解、任务组织、流程执行、可信履约 | 不越界获取车机侧无关信息 |
关键节点是：涉及授权、下单和支付，都由用户自主确认。 用他们自己的说法，是"深度握手、场景化授权、脑手协同"。
规模上：阿宝已与 60 家车企达成定点合作，手机端联手 OPPO 小布可办理近 200 项生活事项，服务生态接入万余项生活服务。8 月 17 日发布的 AHA 协议体系，合作方覆盖 20 余家终端、车企与大模型厂商。
而阿宝与比亚迪"迪迪虾"的分工更清楚：迪迪虾负责车机侧语音交互和意图理解，不接触支付宝账号和资金隐私。
这是整个 Agent 手机叙事里最被低估的一段。 大家讨论的是"AI 能替我点几下"，但真正决定能不能规模化的，是**"谁在什么域里能看什么"这张表**。
🔐 一个必须说的坏消息：MCP 的安全债
MCP 涨得很快。13 个月达到 9700 万次月下载，对比 React 用了约三年才到 1 亿次月下载。 这个速度在开源项目史上是罕见的。
但同一份进展里，还有一组不该被略过的数字。一份关于 MCP 安全的学术综述（综合 7 个已披露 CVE、11 起重大安全事件、十余类已演示攻击类别）给出的发现是：
| 发现 | 数字 |
|---|---|
| 工具投毒攻击在 o1-mini 上的成功率 | 72.8% |
| 被测 LLM 执行来自同类 Agent 的恶意命令的比例 | 100% |
| 公网上无任何认证的 MCP 服务器数量 | 约 1000 个（2025 年 12 月扫描） |
| 被测 MCP 实现中存在命令注入漏洞的比例 | 43% |
| 已调研的 41 篇防御论文中，关注可用性保护的 | 0 篇 |
有两条特别值得展开。
第一条："更强大的模型反而更容易被投毒。" 综述的原话是"paradoxically"------模型越强，工具投毒的成功率越高。原因是能力越强的模型，越倾向于执行看起来合理的工具描述，而不是质疑它。
第二条："100% 的被测 LLM 执行来自同类 Agent 的恶意命令。" 这不是提示注入那种"诱导模型说错话"，而是Agent 之间互相污染------一个被攻陷的 Agent 可以把恶意指令传递给其他 Agent，形成横向扩散。
综述提出的防御框架是分层防御：MCP 网关、零信任身份、基于能力的最小权限（OAuth scope）、运行时行为监控、人在回路治理。
而"所有 41 篇防御论文只关注完整性、零篇关注可用性"这一条，暴露的是学术界的盲区，不是工程界的。
对企业的含义很直接：MCP 生态的规模增长是真实的，成熟度滞后也是真实的。这两件事同时成立。
💼 接口是技术协议，不是商业协议
一个容易被跳过的层次：即使大家都同意"应该走接口"，接口解决的那部分问题，恰恰不是最难的那部分。
已经公开的技术问题相对清楚：系统内的闹钟、相册、日历和文件可以被手机厂商拆成原子能力；支付、社交、电商和本地生活服务由应用通过正式接口开放；尚未适配的长尾应用仍可能依赖 GUI 补充。所以 GUI 不会立即消失------它会继续处理未完成接口改造的长尾应用。
真正没答案的是商业问题：
第一，谁定义排序？ 系统 Agent 优先推荐哪一家服务，需要一套新的排序规则。而这直接决定流量、佣金和用户数据的流向。
第二，谁付钱？ App 是否为系统分发支付费用，手机厂商能否参与交易分成，模型调用成本由谁承担------目前没有现成答案。
第三，记忆存哪儿？ 联系人、消费偏好和历史任务保存在手机、模型账户还是 App 内部，将决定用户更换设备或服务后，哪些关系可以被带走。
这一条最关键。有一句判断说得很好：接口决定 Agent 能调用什么，记忆则决定用户更难离开谁。
一个细节可以说明这条竞争已经开始：2026 年 5 月 11 日，阿里将千问 App 与淘宝、天猫超过 40 亿件商品打通 ，用户可以在千问内完成商品查询、比较、订单管理、物流追踪和售后。但阿里愿意让 Agent 替用户选购，前提是这个 Agent 首先属于阿里------商品来自淘宝天猫，支付和售后也留在阿里体系内。
微信开始小范围测试"小微"，同样如此。
App 愿意履约，不愿被分配。 这句话概括了所有超级 App 的立场。
这背后是一张比"谁做入口"更具体的表------每个角色能看什么、不能看什么：
这张表的精髓在两侧都不碰对方最核心的东西：系统侧不碰账户支付，服务侧不越界获取其他场景数据，模型侧只做理解和规划不做决定权，用户在关键节点保留最终确认。
而长期记忆归属，是这张表之外的第四个格子------联系人、消费偏好、历史任务存在手机、模型账户还是 App 内部，决定了用户换设备时哪些关系能带走。
🏗️ 落到企业：权限边界是唯一不能外包的事
把上面这些抽出来，对企业做 Agent 落地有几条很硬的启示。
第一，先划权限，再谈能力。 上面每一套协议的核心都是同一件事：分域授权、数据隔离、各守可信边界。 企业内部同理------在让 Agent 碰业务系统之前，先明确它能读什么、能写什么、哪些动作必须人工确认、哪些数据出域。这一步做晚了，返工成本远高于设计成本。
第二，走接口，不要走"读屏"。 GUI 路线的教训在企业内部完全适用：让 Agent 直接去读页面、去爬接口，等于绕过应用自己声明的权限边界。 接口化接入的收益不只是稳定，更是可审计------每一次调用有明确的调用方、明确的数据范围、明确的授权来源。
第三，权限跟着数据走。 这是上一期谈 RAG 时已经出现过的判断，在这里再次成立：传统权限长在系统边界上，而 Agent 抽数据那一步最容易把权限丢掉。"谁能看什么"必须在数据被取走之前就确定，而不是在结果展示时再过滤。
第四，安全债要提前还。 MCP 的 72.8% 投毒成功率和 43% 命令注入漏洞率，说明一个刚跑通的功能和一套完整的安全体系之间，距离可能比想象的大。接入的每一个第三方 MCP server，都应该被当作一个尚未审计的外部依赖来对待。
落到企业级 AI 工作台的设计上，这四条对应的是具体的取舍：
iPaaS 接数据------把企业自己的业务系统按"可被 Agent 安全调用"的方式接进来，而不是让 Agent 去猜接口。每个连接器都要声明"我能读什么字段、能写什么动作"，而不是"我能连到这个库"。
治理中心前置 ------权限声明、授权范围、数据分级要在接入协议层就完成，不是等 Agent 要用了才去查。这正是阿宝和小布那种"分域授权"思路的企业版形态。
全域守卫划权限 ------这是最核心的一条。当 Agent 变成执行主体，"谁授权的、授权了什么、能不能被带走"这三个问题必须有统一答案。 而长期记忆的归属，正是下一轮竞争的焦点------企业数据留在企业，还是留在模型厂商那里，这是个必须现在就想清楚的问题。
与 Dify 分工------应用编排、Agent 流程怎么搭，是应用层的事；但"这个 Agent 能访问哪些数据源""这次调用是谁授权的""长期记忆存在哪、能不能导出"这三个问题，得由平台统一给口径，否则每个应用各写一套，审计时无从下手。
这里还是要克制一句：平台能做的，是让这些边界可配置、可审计、可追溯------每次 Agent 动作有完整的授权链记录，每次权限变更有据可查。但"这个 Agent 到底该不该访问这份数据""记忆该留多久"，仍然需要业务、安全和法务的专家来定。 平台提供的是把专家判断变成可执行工程动作的能力，不是替专家做判断。
📌 我核完之后的五条判断
回到标题：智能体手机在加速爆发吗？
爆发的备货量是真的，爆发的是过渡形态。 豆包手机备货从 3 万台到数十万台，这个数字增长是真的。但同期豆包手机消费者版备货仅约 20 万台（截至 2026 年 1 月），而京东预约量已达 38 万人------两个数字统计时间未必同步，直接对比不严谨，但量级摆在那里。而 IDC 数据显示 2026 年二季度中国智能手机出货约 6600 万部，同比下降 4.3%，已连续第五个季度下滑。 手机整体在收缩，Agent 手机是在收缩里的一个高价细分。
收回 GUI 不是技术退步，是商业成熟。 一个能力最强的团队主动放弃最能体现 AI 能力的功能，说明他们先撞到了生态墙。这件事的信号价值比任何产品发布都大------它证明了"AI 能替人操作 App"和"App 允许 AI 替人操作 App"是两件事。
协议层已经卷起来了，但卷的是技术不是利益。 MCP 9700 万下载、1 万活跃服务器，AppFunctions、App Intents、AHA 三套并存。但排序规则、交易分成、模型成本分担、长期记忆归属，四个真正决定格局的问题，一个都还没有答案。 换句话说，接口层的战争已经打完第一轮，利益层的战争还没开始。
MCP 的规模是真的，安全债也是真的。 13 个月干到 9700 万月下载，对比 React 约三年。而 72.8% 的工具投毒成功率、43% 的命令注入漏洞率、约 1000 个无认证暴露的公网服务器------这不是危言耸听的假设，是已披露的扫描结果。 有意思的是那个悖论：模型越强，越容易被投毒。 这意味着未来两年 Agent 安全的主要战场不在"防住攻击"，而在"限制 Agent 敢信什么"。
最后一条，也是我最想留给开发者的： 那些看起来最吸引人的 Agent 产品能力------跨 100 步的任务、自动操作微信淘宝、代替你下单------全部是应用厂商让出来的，不是模型公司挣来的。 阶跃星辰创始人印奇的表述很清醒：目前产品完成了约 70%，剩下的部分要在用户使用中补齐，包括授权、信任、端云分工和具体场景。
这句话里的"授权"和"信任"，就是这门生意真正开始的地方。
而对普通用户来说，一句实用的提醒：当你把支付、删数据、发消息这些动作交给 Agent 之前，先看清它到底是"读屏后自己点"还是"应用正式授权的接口"。 前者的权限边界由应用的风控系统决定，后者的边界由应用自己声明------这两者在出错时，责任归属完全不同。
如果你给 Agent 开放过内部系统的权限，你是怎么划边界的？按接口逐个开，还是给了一个通用账号？ 我想收集一批真实的授权粒度案例。评论区贴出你的做法和踩过的坑，我按场景整理成一份对照表。
