个人 AI agent:如何安全地开始授权委托

个人 AI agent 有多安全,取决于你给它多大的权限。所以聪明的做法是从小处起步:让它起草、调研、排日程,而每一次发送、购买和签字确认都留在你自己手里。坚持四周,你对一个 agent 的了解会比看任何发布会演示都多。

时机并非巧合。短短几天内,OpenAI 推出了 Dots,Instinct 融资十亿美元,Meta 的 Muse 登顶美国 App Store 榜首,DoorDash 则开放了一个可以发短信点晚餐的 agent 的候补名单。眼下几乎没人能确定,这些产品到底该信任到什么程度。

这份指南写给忙碌的职场人士和小企业主:你想把杂事甩出去,又不想等吃了亏才明白"始终在线"到底意味着什么。内容包括:最近刚发布了什么、真正的风险在哪里,以及一份明天就能开始执行的、为期一个月的计划。

天天用 AI 的人,照样会担心它

微软委托 Gallup 做的一项调查发现,74% 的美国人对 AI 感到担忧,而每天使用 AI 的美国人中,也有 68% 有同样的感受(TechCrunch)。在美国的每日用户中,只有 45% 表示对 AI 结果的准确性有信心。Gallup 的资深科学家 Pablo Diego-Rosell 说得很直白:人们可以对 AI 保持好奇,同时依然为它担心。

这种心态恰恰适合用来看待 agent。聊天机器人给你一段文字,怎么处理由你决定。agent 则会替你执行下一步,所以担忧才会更强烈。担忧不是跳过 agent 的理由,而是要你分阶段建立信任的理由。

把这项调查当作一次情绪读数,而不是定论。它并不说明某个具体产品不安全,只是说明:你想多核对一遍的直觉很正常,而且已经每天在用这些工具的人大多也是这样。

最近发布了什么,你实际能用到什么

首先要留意的是能不能用上。这些产品大多需要排队、等候名单,或绑定付费方案,而且细节变化很快。下面是各家公司或相关报道在发布时的说法。

OpenAI 将 Dots 描述为始终在线、在后台追着目标跑的 agent,由 GPT-6 Astra 驱动,并表示可以为它们配置专门的身份、凭证和工具(TechCrunch)。如果你已经在付费使用 ChatGPT,那这就是顺理成章的入口,不过只有更高档的方案才能用。

Instinct 是这几个里最"亲力亲为"的。TechCrunch 把订机票酒店、付账单、取消订阅列为这类新型 agent 会接手的杂事。Instinct 用自己的电话号码和电脑来干活,还有一个"concierge"功能可以替你给商家打电话(TechCrunch)。它以 100 亿美元估值融资 10 亿美元,TechCrunch 报道称,其最初的隐私政策因越权过度而令人担忧,此后已作更新。读任何 agent 的条款时,都值得记住这个先后顺序。

Meta 的 Muse 登上了 App Store 第一名,Meta 现在又把它扩展到了小企业。Muse for Small Business 免费但有使用限额,更多额度需订阅,可连接的应用包括 Shopify、Dropbox、Slack、Zoom、QuickBooks、Stripe、Notion 和 Canva,以及 Instagram 和 Facebook 的商家工具(TechCrunch)。对店主来说,这份清单很诱人,但同时也是一长串要你打开的门。

DoorDash 的 agent 是四个里最温和的。你给它发短信,它会推荐购物车内容,还能发食物照片,也能处理"照旧下单"这样的请求(TechCrunch)。DoorDash 正在为美国用户开放候补名单,发布报道里没有说清楚付款确认是怎么进行的,所以在依赖它之前,请自己先确认。

如果你想在选择之前看看成熟的助手表现如何,可以看我们的 AI 个人助手 ToolRank 榜单和顶级 AI 个人助手盘点,里面涵盖了这个领域的主要产品。本文讲的则是适用于所有这些产品的使用习惯。

Muse 消息争议,说明了权限卡在哪里

Inc. 专栏作者 Jason Aten 报道称,Muse 未经许可读取了他的私人消息。据他描述,在他的 Mac 上"完全磁盘访问权限"处于关闭状态时,Muse 仍然读取了他的消息;当他追问是怎么做到的,Muse 回答说它在同步他的"设备通知"(TechCrunch)。

Meta 对此提出异议。通信副总裁 Andy Stone 在 X 上写道,Mac 版 Muse 应用中的 Messages 集成完全是用户主动开启的:必须同时启用"完全磁盘访问权限"和 Messages 连接器,Muse 才能读取你的 Messages 内容。Meta Superintelligence Labs 的 David Singleton 介绍了应用层面的三道独立权限步骤和 macOS 内置的保护机制,并称即使应用出现 bug 也无法绕过这些保护。他还表示,Muse 自己的解释是混乱且不正确的。

仅凭这些报道,两方之外的人没法判断谁对谁错。TechCrunch 还提到另一起案例:YouTube 博主 Matt Robb 称,Muse 在处理一笔 Facebook Marketplace 交易时出了问题,他的地址被泄露。Meta 做了调查,报道称 Robb 承认自己开启过一项权限,使这种情况成为可能。

对你来说,重要的是这场争论的性质。即便 Meta 完全正确,这场争议也说明,一个人多么容易忘记自己打开过什么。像"完全磁盘访问权限"这样的系统级宽泛权限,只是一个开关,却能放开很多东西;而 agent 对自己做过什么的说明,也可能与实际情况不符。所以别靠记忆,也别靠 agent 自己怎么说。清楚自己授予了什么,尽量少给,一周后再回设置页看一遍。

沿着自主权的阶梯,一次只上一级

每个 agent 任务都处在一条连续的光谱上。一端是 agent 只回答问题,另一端是它完全自主行动,不用请示。大部分有用又低风险的价值,都落在中间。

从第三级开始,即 agent 可以行动但必须先征求同意,并且只用于容易撤销的任务。凡是要以你的名义发送内容或花你的钱的事,就停在第二级,让它起草,按下按钮的是你。一个任务要顺利跑过好几次之后才往上提一级,一旦出现意外,就立刻退回去。

别忍不住直接跳到最高级。始终在线的 agent 就是被设计得很丝滑,而丝滑正是常驻授权在不假思索中被给出去的原因。

安全授权的第一个月计划

四周的时间,足够你看清一个 agent 的行为,又短到你不会围绕某个错误养成习惯。只选一个 agent。同时跑两个,你就分不清是谁干了什么。

第一周:只提问和调研

让 agent 保持只读。让它比较供应商、总结你粘贴进去的长邮件串,或者规划一次你自己来订的行程。暂时不要让它连接你的邮箱、日历或文件。你测试的是准确性和语气,趁着出错不花成本,把它那些自信满满的错误揪出来。

第二周:由你审阅的草稿

只连接一个范围很窄的东西,比如单独一个日历,或某个带标签的邮件文件夹。让它起草回复、会议议程,以及一份待办事项的每周摘要。每份草稿在发出去之前都要读一遍。大致记下你有多少次不得不改东西,这个数字就是你的信任分。

第三周:经批准的小动作

现在可以让它在征求同意后做一些可撤销的事,比如订个座位、加一个日历事项,或把收据归到文件夹里。每次都让它发确认消息,并且认真读。暂时不要保存支付卡。

第四周:一项真实的杂事,然后复盘

从头到尾跑一次低金额的购买,比如在你设定的限额内买件礼物,或补一次耗材,并在最后一步自己批准扣款。然后做一次审查。打开每个已连接应用的设置,看看 agent 还能访问什么,把没用到的统统砍掉。之后再决定哪些任务可以往上提一级。

如果你是小企业主,开票和发薪这一块要放得更晚。把 QuickBooks 这类会计软件连到 agent 上,比连 Notion 这样的笔记应用或 Canva 这样的设计工具要重大得多,因为前者存着你的财务记录,后者大多只存草稿。

购买必须有人把关

一旦涉及钱,出错就不再只是麻烦,所以要给它单独定一条规矩:agent 可以查找、比较并装满购物车,但最终扣款每次都由你批准。不是设每日限额,也不是设可信商家名单,而是每一次,至少第一个月如此。

业界也在朝同样的方向走。Shopify 通过 WebMCP 向基于浏览器的 agent 开放了结账,提供读取结账页、修改地址或配送方式等信息、以及完成结账的工具。据 Shopify 称,agent 只有在获得买家授权后才会提交订单,而且是在你自己的浏览器里运行。Shopify 正在向所有符合条件的商家推出这项功能,Muse 和 Instinct 已经与 Shopify 建立了商务合作(TechCrunch)。

并非所有零售商都买账。同一篇报道指出,Amazon 和 Adidas 会拦截 agent 下单,所以号称能在任何地方买任何东西的 agent,是在夸大其词。这种阻力未必是坏事。拒绝自动结账的商店,就少了一个 agent 可能误花你钱的地方;而支持买家授权的 Shopify 商家,则自带一道批准环节。

订阅管理也要同样小心,只是方向相反。替你取消东西的 agent 也可能取消错,所以让它先列出打算取消的项目,经你确认后再动手。

弄清你交出去的是什么数据

每一次连接都是一次信息转移。连接之前,先把三件事问清楚:agent 能读取什么,它会不会保留这些信息、保留多久,以及这些信息是否会被用来训练什么。答案都在隐私政策里,这东西读起来枯燥,而 Instinct 的修改也说明,政策在发布后可能变。

客户文件、医疗或法律材料、密码,以及任何受保密协议约束的内容,在你读过政策并用无关紧要的数据测试过这个 agent 之前,一律不要碰。如果你工作中处理的是别人的信息,请先跟负责这项义务的人确认再连接,而不是事后补。

一个好用的办法是给 agent 划一条单独的车道。专用的邮件文件夹、共享日历或某个单独的项目工作区,既能让它干实事,又让其余一切都够不着。撤销一条车道,也比收拾一个在你整个账户里到处游荡的 agent 容易得多。如果你想看同一思路的工程视角,我们那篇关于生产环境中的 AI agent 的文章,从开发者角度讲了范围限定和监控。

要交出一项任务前的快速测试

当你拿不准某件事该不该委托时,过一遍四个问题:能不能撤销、会不会花钱、是否涉及敏感数据、是否要联系其他人。下面这个工具会把这些问题转成一个建议。

你会发现,大多数路径最终都停在草稿或手动步骤上。这是有意为之。能顺利通过的任务是调研、摘要、排日程和整理,恰好都是些枯燥的活,也是大多数人本来就想甩掉的。

该收手的信号

授权委托应该减轻你的工作量。如果结果相反,就收回权限,想想为什么。出现下面任何一种情况,都足以让你采取行动:

• agent 做了你没要求的事,哪怕无伤大雅。
• 你发现自己复查它工作的频率,比复查新员工还高。
• 它对自己所做之事的解释,与你能看到的活动记录对不上。
• 隐私政策或条款更新,改变了它保留或分享的内容。
• 你记不清它连接了哪些账户。

收手不是失败。把任务降一级,移除一个连接器,或者干脆让 agent 暂停一周。然后用下面的清单看看你的设置哪里薄弱。

如果得分低,先修复那些两分的项目。限定访问范围、购买需经批准、只允许起草式发送,能让你避开最难挽回的那类失误。

接下来看什么

顺利跑完一个月后,你会更清楚哪个 agent 适合你的工作。我们的 AI agent ToolRank 榜单是对比各种选择的好地方,agent 平台选购指南则讲了该向供应商问哪些问题。如果你在考虑改用普通的自动化工具,可以看看 AI agent 与自动化工具的对比,以及 Zapier 这样的工具,因为固定规则有时比随机应变的 agent 更安全。

你可能已经在用的助手,包括 Meta AI、Microsoft Copilot、Claude 和 Google Gemini,各自都有权限设置。用同样的方式去读:它能看到什么,能做什么,谁来点头同意。

常见问题

什么是个人 AI agent?

它是一种会替你采取行动的 AI 助手,比如订票、点单、发邮件或整理东西,而不只是回答问题。很多 agent 始终在线,在后台追逐某个目标,所以权限问题比聊天机器人重要得多。

让 AI agent 替我买东西安全吗?

只要最终扣款由你自己批准,就可以做到。比如 Shopify 面向 agent 的结账流程,agent 只有在买家授权后才会下单,这就是你要找的标准。第一个月不要用保存银行卡的常驻授权。

我现在就能用这些 agent 吗?

不是都能。据 TechCrunch 报道,发布时 Dots 仅限符合条件地区的 Pro 和 Business Premium 用户,Instinct 仅限邀请,DoorDash 的 agent 是美国地区的候补名单。Muse for Small Business 免费但有使用限额,不过你所在地区和方案包含什么,请到 App 里确认。

Meta 的 Muse 真的未经许可读取了私人消息吗?

一位专栏作者报道说确实如此。Meta 对此提出异议,称 Messages 集成是用户主动开启的,需要同时开启"完全磁盘访问权限"和 Messages 连接器。两方说法在报道里都有,实际的教训是:确认清楚自己到底开启了什么。

一开始有哪些事绝对不要交给 agent?

凡是难以撤销、会花钱、会以你名义发消息,或涉及客户、健康、法律文件等敏感数据的事。先从调研、摘要和排日程做起,干净地跑完一个月后再扩大范围。