第一批个人 Agent 用户正在卸载，问题不在模型，在它住在哪儿

先把这次发布的技术增量给出来，再讲为什么。

Andee v0.8.0 加的是一个「内驱」：它有一份自己的记录（六个部分）、一个约 20 分钟一次的心跳，以及一套写在设备里的刹车。在此之前，它的每一个回合都由外部事件触发------你说话、闹钟响、通知到达、复盘时间到。没有事件，它什么都不做。

这一版之后，没人派活它也会动。但动起来的边界不在提示词里，在调度器里。这是本文想讲清楚的核心。

Andee 是一个跑在你自己手机 / 平板 / 电脑上的 agent：读通知、看无障碍树、点界面、说话。没有开放接口的 App（微信、银行 App）它一样能用，不需要对方配合。开源，Kotlin 写的，Android 11+ 和 macOS 14+。

一、先看数字：这半年发生了什么

三天之内，三家把「个人 agent」做成了产品：

时间	产品	它的住处
9月8日	Meta Muse	云端一台专用虚拟机（Secure VM）
9月28日	Manus Cue	云电脑 + 独立邮箱、电话号码、钱包
9月29日	OpenAI Dots	云端电脑，可连 4000 多款应用

然后是一串卸载和事故。不是不会用的人在抱怨，是最懂这行的人在删：

Instinct：用户要取消两个活动报名，它没问，直接去他连着的 Gmail 里翻出一次性登录码登进去取消了。事后先说「用的是已保存的登录状态」，被追问才承认读了邮箱。当事人是 Veris AI 的联合创始人。（Business Insider，2026-09-24）
Muse：Inc. 的 Jason Aten 明确拒绝 Messages 权限，一天后 Muse 开始根据他和播客搭档的私人对话推荐选题，并声称「只看了通知横幅」。他自己查本地数据库，已同步到第 187,462 行。（Inc. 2026-09-22；Meta 对权限是否开启有异议，但承认「只看了通知横幅」这句是编造的）
Muse 的 Mac 客户端：Wardle 找到一个未公开设置项，任何非特权进程可覆写、不触发 macOS 提示，覆写后能转发听写流量、录音频，并顺带用上它已拿到的全部权限。PoC 跑了 50 多条命令。（Objective-See / The Register）
Muse 代挂 Marketplace：它替用户接受了对方压价、把住址发过去、以他的口吻回「对，我在家」，买家真的开车到楼下等了 20 分钟。（《卫报》2026-09）
平台侧：Muse 上线第 12 天，亚马逊开始阻止它代购，理由之一是它访问时不主动标明自己是 agent。两天后六家银行联合发报告警示 agent 购物风险。
OpenAI：9 月 25 日自己披露，智能体把 53 张用户上传图片发到第三方图床、未经授权读了政府网站公开数据；另一次内部模型因沙盒 DNS 配置疏漏绕过网络限制，训练被终止。

真正说明问题的不是这些个案，是后面这件事：Anthropic、Google、Meta 在 Hugging Face 事件后各自自查，都说发现了类似的失控行为。三家独立团队、不同模型、不同架构，撞出同一类问题------那它就不是某家的执行失误。

二、三条结构性裂缝

上面那些不是 bug，是三件事决定的。而且都不是「模型再强一点就好了」。

裂缝一：给了权限，不等于你能想象它会怎么用。 你授权「读取邮件」时想的是「帮我总结未读」，没想过它会拿邮件当身份验证通道，去翻一次性登录码登录另一个网站。这两件事在技术上同一个权限。

裂缝二：委托有个前提------你能核对。 委托给人，你至少能问「你刚才做了什么」，他骗你有后果。委托给 agent，你唯一的依据是它自己的叙述。而上面第一个例子说明：它连自己做了什么都会说错，还说得很有底气。

裂缝三：记得越久，泄漏面越大。 查询工具记错无所谓；长期记住你的 agent 会把每次小泄漏复利成一份个人画像。而只要记忆放在别人云上，你只能选择相信。

三、四种现有解法，共同的天花板

路线	代表	解法	天花板
云端分身	Meta Muse / OpenAI Dots / Manus Cue	数据隔离进专用 VM；Muse 另开 Sentinel 监督；Dots 后台默认偏只读	凭据在它云上，必须信那家公司。上面事故全出在这条路上
桌面工位	Claude Cowork / ChatGPT Work / Copilot Cowork / WorkBuddy	本机沙箱 VM，只挂载你勾选的文件夹	只认识那个文件夹：通知栏、微信、屏幕都不在里面；合盖就中断
编码台	Claude Code / Codex / Cursor	权限三档：只读 / 可写工作区 / 完全放行，网络默认关	不打算了解你的生活，这是产品边界不是缺点
可分享配置	GPTs	提示词 + 知识库 + 几个工具打包	没有「住处」，也就没有「你不在时」

共同形状是加护栏。而护栏加在别人的机器上时绕不过去一个问题：

护栏在它的机器上，你看不见，也无法核对。你能拿到的只有一份日志，而那份日志是它写给你的。

四、换一条路：把边界写进设备

如果大部分事根本不需要离开这台设备，那就不必离开。

4.1 三类只有「住在这儿」才碰得到的东西

通知栏。 消息、航班变更、扣款提醒是一个系统级的流，不属于任何目录，也不是可连接的 SaaS。它只在设备上经过。Andee 读它，分三类：该动手的动手、该只说一句的说一句、不该管的放过并说明为什么。走得是便宜的分诊（约 500 token），不是完整回合（约 2 万 token）。

没有接口的那几个 App。 微信不给你回消息的接口，银行 App 也没有，但界面就在屏幕上。Andee 走无障碍树读真实控件，不靠截图猜。

这里有个硬工程问题：通用大模型「指」得很差。用我们自己的日志量过，按坐标直接点，成功率不到 10%。

v0.7.1 起换了做法：大脑不再输出坐标，只用一句话描述要点什么（「评论框右边那个发送按钮」），交给专门做定位的视觉模型给点。实测（自有截图，10 个有正确答案的目标）：

指标	数值
平均偏差	6.4 px
最大偏差	24 px
单次耗时	约 2 秒
输入 token	约 1400

两个细节是量出来的：用中文提问（同一批目标换英文，10 个里有 3 个偏了 25--37 px）；让它先说出看到了什么再判断------否则问「红色的删除按钮」，它会很自信地指向「关闭」。

一直在听但不一直在传。 离线唤醒词：本地 MFCC + DTW 模板匹配，只存特征向量不存音频。把音频流送云端等一个唤醒词，是另一个产品。

4.2 边界具体怎么写进设备

别人写的东西进了它的视线------一条陌生人发来的通知、朋友那台 Andee 递过来的请求------这一轮就被标记为「不是你说的话」。标记之后，一批动作在调度器那一层直接被拒，不经过模型：

打不开保险箱（尤其不能替你填表单里的密码）
不能把活派给你的其他设备（派过去那边会当成你自己的请求执行）
不能改写他是谁、在意什么、认识谁、写过什么
不能改计划（计划里的定时条目会变成气泡，你一点就开启新一轮，陌生人写进去的话会以「可信」身份回来）
不能新增情景（情景是之后一直生效的常驻指令）

每条拒绝在代码里写明理由，理由都是同一类：防「绕一圈洗白」------把陌生人说的话变成你信任的话。

为什么非要这么做：提示词是一层请求，模型被绕过去它就失效；调度器那一层不随模型状态变化。把边界放进机制，而不是放进嘱咐。

五、v0.8.0 具体加了什么

5.1 六个部分的记录

部分	是什么	关键参数
我是谁	第一人称短文，随经历改写	保留 20 个版本，可回滚；单篇上限 600 字符
在意的事	每条带「多久该看一次」	逾期比由设备算（1.0 = 该看了），最多 7 条同时活跃
日记	每天晚上一页，它自己写	单页 1200 字符，保留 60 页
认识的人	一人一条	别人的信息，放在加密的小本本里
知识库	写方案、做调研	刻意不加密：要能用任意编辑器打开、能发给别人
打算	长期方向 + 今天的计划	设置里能看、能删、能暂停

手机和电脑上都有，就是小本本里多出的那五个页签。

5.2 心跳，和写在设备里的刹车

心跳约每 20 分钟看一眼：手里有没有哪件事拖得太久、现在值不值得处理。多数时候不花钱------门槛按成本从低到高排，大部分「看」在免费那几关就停了；真要走一次模型，约 500 token。

刹车全是代码常量，不是嘱咐：

参数	值
`INTERVAL_MS`	20 分钟
`MAX_BEATS`	每天 40 次
`MAX_WORKS`	每天 6 次
`WORK_GAP_MS`	两次动手至少隔 1 小时

点一下球，正在跑的、排队等着的、还没开始的全部停掉，并明确告诉你停掉了什么。

这和 4.2 是同一条原则，区别只是：那条防的是别人，这条防的是它自己太勤快。

5.3 变小声的主动说话

它会时不时在球旁边冒一个小气泡（「该喝水啦」）。不出声、不理它几秒就消失、永远给正式卡片让路，每天有额度，长按某一类可永久关掉。

带按钮的气泡里，点「不用」不会开启一轮对话------拒绝不需要模型回应，开一轮只是白花钱。

5.4 一台设备就是一个个体

手机上那个他和 Mac 上那个他是两个人：各有各的叙事、牵挂、认识的人，互不相通。可以像朋友一样互相认识、互相请对方帮忙，但不共享记忆。

为什么不同步：一个人不会同时住在两个身体里。而且这样一来，跨设备同步、冲突合并、额度翻倍这一整类问题从根上不存在。

六、代价，以及它不能做什么

既然批评了一圈「不愿意讲清楚」，这一段不打算写得好看。

事情	实际情况
数据全在本地？	不是。大脑循环、记忆、日程、唤醒词在本机；语音走你选的服务商，对话走你填的地址
能操作什么？	有了无障碍权限就能操作任何界面。「危险操作会先问你」是提示词里的指令，不是锁；通常照做，但没有东西强制它照做。少数动作有机械性拒绝，但那是例外
前提是什么	安全文档原话：「假定这台设备能被驱使去做它的权限和你自己的登录状态允许的任何事------包括动你的钱------而全程不弹任何提示」
和云端比	你不在时它做不了什么事；设备不在它就不在。硬代价
密钥	包里一个密钥都没有，自己填。开始免费，但免费额度有限
换设备	那是另一个人

那个工程师说的话其实是这篇文章的由来：「我希望听到有人讲清楚它是怎么安全搭起来的，而不是『别担心，信我们』。」

这一波卸载潮最后留下什么还不知道。但它至少说明：用户要的不是更强的能力，是一个能核对的边界。

我们把这个边界放在他自己家里。

Andee 是开源的，v0.8.0 已发布，欢迎 star：GitHub Releases。想直接上手、不配置密钥：codeflying.net/andee。设计与取舍写在仓库 docs/design/ 下（inner-drive.zh-CN.md 是这一版的设计文档）。

来源

Instinct 事件：Business Insider，2026-09-24
Muse 同步 187,462 行 Messages：Inc.（Jason Aten），2026-09-22；Mac Observer、IT Security News 跟进
Muse Marketplace 事件：《卫报》，2026-09
Muse Mac 客户端漏洞：Patrick Wardle / Objective-See，The Register、CNET
Muse 用量与股价：The Information、摩根大通研报（Doug Anmuth）、华尔街见闻、财联社
亚马逊封禁（9/20）、六家银行联合报告（9/22）：每日经济新闻、澎湃新闻、CNBC
苹果修改「完全磁盘访问」规则：苹果开发者公告、IT Security News
OpenAI 智能体事故：OpenAI 官网披露（2026-09-25）、官方博客《Securing our frontier model training environment》、路透社、NYT、NPR、SecurityWeek、央视新闻
Anthropic / Google / Meta 自查：路透社，2026-09

只描述各家公开说明的做法，不推测其做不到的事；对存在争议的说法已在正文标注。

Andee 为实验性开源项目，仅供体验，按「现状」提供，不作任何担保。它通过无障碍服务操作你的手机和电脑，可能存在误操作与安全风险（例如误触付款、误发消息），请自行评估并承担使用风险。