四个爆火的 AI 助理,抢的根本不是同一张牌

今年 8 月底，有个数字我一直没消化掉。

一款还在邀请制内测、连 App 都没有的 AI，早期用户平均每个月通过它花掉 1300 美元。做它的公司全职员工 14 个人。

到 9 月中旬，它的估值被报到了 100 亿美元。上一轮是 25 亿，中间隔了不到一个月。

它叫 Instinct。用法是这样的：你在 iMessage 里给一个"联系人"发一句"帮我订今晚七点的餐厅"，十分钟后日历里多了一条日程，信用卡被扣了一笔 no-show 押金。你没打开任何新软件。

然后就有人来问：Instinct、Meta 的 Muse、Grok Bot、Town，这几个是不是一回事？都在说自己是"个人智能体"，是不是同一个赛道挤成一团了？

我把四家的产品页、服务条款、融资公告、创始人的长访谈和早期用户的投诉贴全翻了一遍。答案是：它们待在同一个大盘子里，但抢的四张牌各不相同。而真正把它们拉开距离的，不是谁更聪明，是出错之后谁赔。

Instinct —— 短信里的一个人。

2026 年初开始邀请制内测，至今没有公开上线。公司叫 Spear Street Technology，创始人 Noah Shinn，23 岁，东北大学退学，NeurIPS 2023 那篇 Reflexion 论文的一作（让 AI 在任务失败后用自然语言复盘、写进记忆、下次改进），之后在 Sierra 做了两年企业级 Agent。

入口：iMessage、WhatsApp、电话。官网原话是"there are no new interfaces"。

Muse —— 装在口袋里的买手。

Meta 2026 年 9 月 8 日上线，独立 App，跟 Instagram 里那个 Meta AI 不是一回事。每个用户一台专用安全虚拟机，自带可见浏览器。上线约十天登顶美国 App Store 免费榜，超过 ChatGPT；Sensor Tower 的数据是美国下载超 250 万。

Grok Bot —— 云上那间加班的办公室。

8 月 11 日上线，来自 SpaceXAI（xAI 更名后）和 Cursor 的第一次合体。你在云电脑上养一堆有名字的 Bot，它们并行干活、互相发消息、在群里协作、把任务转交给彼此。Bloomberg 的数据：截至 9 月 14 日那周 41.8 万周活，周环比涨 24%。

Town —— 邮箱里的一个同事。

你的助手叫 Townie，有个 @town.com 的地址，发邮件就能使唤。50 多个集成，Gmail、Slack、HubSpot、Salesforce、Notion、GitHub 都在。它的看家本领叫 routines——早上八点的简报、会议前的背景调查、deal 变动提醒、发票报销登记。

这个词今年被用烂了，得先把它钉死。

一句话区分：聊天机器人给你答案，个人智能体给你结果。

上一代 AI 助手解决的是"我不知道该怎么办"。这一代盯上的是另一件事——我知道该干什么，但不想自己干。航旅在一个 App，账单在另一个，订阅藏在信用卡记录里，确认邮件散在邮箱，日程在日历，沟通发生在短信和邮件线程之间。单个 App 都能把自己的流程做顺，但没有一个能跨系统把"发现问题 → 收集信息 → 联系对方 → 确认结果"这一整串动作跑完。

技术上，这四家做了一件完全相同的事：给你的 Agent 一台云上的电脑。有浏览器，有文件系统，能登录你的账号，能在你合上笔记本之后继续干活。Instinct 的后台是一台持续在线的云计算机，Muse 给每台专用安全虚拟机，Grok Bot 给的是 persistent cloud computer。

相同点到此为止。

它判断个人 Agent 想进日常生活，第一步不是让你学一套新界面，而是先变成通讯录里一个随时能找的人。冷启动成本压到最低——你什么都不用装。Shinn 在访谈里补了一句容易被忽略的细节：超过一半的流量并不走 iMessage，策略是"用户在哪个界面里已经建立了信任，就去那个界面找他"。

9 月 23 日 Connect 大会之后，它能碰的东西变了性质：整个 Shopify 商品目录、Shop Pay 和 PayPal、沃尔玛、百思买、丝芙兰、Gap、Wayfair，外加你 Mac 上的任意软件，以及一个属于它自己的邮箱地址。扎克伯格把生意讲得很白：不做广告，从交易里抽一小笔佣金。定价三档——免费、Power 20 美元/月、Maximum 100 美元/月，按周 token 计量（这张表来自媒体报道，Meta 没有正式公布过）。

有个早期案例很能说明它的价值：一位用户把现有车险保单丢给 Muse，Agent 找到一份保障相当但更便宜的合同，五分钟内完成购买和旧保单取消，一年省下约 3500 美元。

最实用的一个设计是"看一遍就会"：你操作一次，它录下最多十分钟屏幕，生成一份 draft skill——剩下的决策规则和审批边界还得你自己补。价格两周内降了十倍：上线时只有 200 美元/月的套餐能用，8 月 26 日开放到 Cursor Pro，20 美元。9 月 22 日起进特斯拉车里（限 AMD 芯片车型和 SuperGrok Heavy 订阅者）。

定价从免费（每月 30 次对话）到 Starter 15 美元、Pro 49 美元、Power 99 美元。它把两句话写在明面上：不经过你同意，一条邮件、一个日历邀请都不会发出去；你的数据不用来训练模型，除非你自己 opt-in。

OpenAI 9 月 29 日 DevDay 发布 Dots，GPT-6 Astra 驱动，同样是常驻后台的 Agent、同样每台一台云电脑、同样能连 4000 多个 App。门槛是 100 美元/月的 Pro 套餐，欧洲经济区、瑞士、英国暂时不给用。

Google 在 I/O 2026 上发了 Gemini Spark——跑在 Google Cloud 虚拟机上的 7×24 个人 Agent，深度整合 Gmail、Google 文档和 Workspace。

看出来了吗——Instinct 抢通讯录，Muse 抢钱包，Grok Bot 抢工位，Town 抢邮箱。 这四样东西不在一个货架上，也就不存在谁直接把谁打死。

功能表看不出差距，条款和事故才看得出。

我翻它的服务条款时，在一句话上卡了很久。8 月 20 日那一版给了自己一个"permanent and irrevocable"的授权，范围包括屏幕截图、光标移动、键盘输入，并且可用于模型训练。更要紧的一句：用户"appoint the Services as your agent"——它可以代表你进入协议、做出承诺、完成交易。翻译成人话：它替你签的东西，法律上可能就算你签的。

之后发生的事，一件比一件具体：

TechCrunch 报道之后，Instinct 改掉了条款里几处最扎眼的表述，也加了删除已存数据的入口。Shinn 的回应是："建立信任需要几周，我没意见，因为我们的核心原则之一就是用户应该始终掌控自己的数据。"

你所有的 Bot 共用同一台云电脑——共享文件、共享浏览器会话、共享登录态。这让交接很顺，代价是"放在这台机器上的东西，等于对你每一个 Bot 都开放"。另一个容易被忽略的点：审批是事前动作，但批准撤销不了已经干完的活。密码、二次验证、验证码这些它会把控制权交回给你，但登录态会留在这台机器上。

9 月 20 日晚上，Amazon 开始封锁 Muse 访问自己的零售页面，理由是 Meta 没提前告知，而且这个 Agent 不主动表明身份。Meta 的回应是：Muse 从不接触你的密码和支付方式，付款用一次性卡。

它的安全设计其实做得相当细：云端每台虚拟机拆成两个隔离区，Agent 在一个区跑，登录凭证、安全服务和一个叫 Sentinel 的独立安全 Agent 放在另一个区；密码和支付信息存在独立安全存储里，Agent 能用，但看不到明文。

还有一件事。就在 Dots 发布前一周，一批大银行联名发出警告——用户把设备和财务信息交给 Dots、OpenClaw、Muse 这类 Agent 之后，AI 驱动的诈骗风险正在上升。

审批模式、只读模式、按工具分级的权限，外加独立审计。它不赌激进，赌的是你敢不敢把它接进公司系统。

把这四条并排放，那条分水岭就浮出来了：

能力决定它能不能办事，条款和架构决定你敢不敢把事交给它。 而这四家里，越激进的那几个，恰恰是现在声量最大的那几个。

如果只看这四家，会误判整个战场。今年冒出来的玩家远比想象中密：

Instinct 自己也在往前冲。 9 月 9 日上线了"Trusted Person"网络——你的 Instinct 可以直接跟别人的 Instinct 对话，帮你把约会时间谈下来。访问权限按关系、按领域分级：配偶之间基本全开，同事只能看到工作日历和收件箱里的特定部分。有人已经在用它跟伴侣同步家庭待办。

紧接着 9 月 29 日，它上线了"Instinct Selections"——引入本地厨师、设计师、建筑师、旅行向导的人工策展推荐。这次翻车了：一批用户抱怨这些东西不请自来，像店员跟着你推销。投资人 Shruti Gandhi 收到了她根本没要的行李箱和墨镜推荐。TechCrunch 指出这个功能可能通向广告、购物佣金或联盟分成。

这条线很关键：Shinn 反复说 Instinct 不做广告、不卖你的注意力，靠交易抽成活着。原话是"如果你不付钱，你就是产品"。但 Selections 的争议说明，从"替你办事"到"顺手推荐点东西"，中间只隔半步。

上面这些，国内读者短期真正用得上的不多：Muse 目前只在美国，Dots 明确排除欧洲经济区、瑞士、英国，Instinct 还在邀请制（eBay 上甚至有人在卖邀请码，93 到 200 美元一个）。生态和合规的墙都还在。

但国内这条线一点没闲着，甚至更热闹：

顺带一个参照：OpenAI 的桌面级编程 Agent Codex，周活跃用户已突破 500 万，半年增长超 7 倍，使用者中非工程师占比过半。

这个数字比任何行业判断都实在——用户真正想要的不是更聪明的对话，是能直接动手的执行者。

一个还没公开上线、没披露过收入、14 个人的公司，凭什么值 100 亿？

Instinct 拿的不是普通 App 的 DAU，是你邮箱里三个月去过的国家、你护照的照片、你信用卡的额度、你保险续保的历史记录。这些东西越攒越厚，换一家就得从零开始。Shinn 给的数：用户只要交出过一项敏感信息，留存约 80%；用到第三周，约 40% 的人已经把信用卡给了它；日增速约 10%，营销费用为零。

它现在流经的年交易额已经接近 10 亿美元，其中超过一半跟旅行有关。

行业里有个说法叫 process power：护城河不在 UI 习惯，而在产品对你工作流、偏好、例外情况和执行路径的理解深度。对 Instinct 来说，能沉淀下来的不是模型，是你授权、纠错、确认、撤销和任务结果攒出来的那套个人上下文。

但短信入口有个绕不开的软肋：状态不可见、权限不透明、证据难追踪、错误难回滚。

你在 iMessage 里交代一句话很容易，可一旦任务变复杂——比如"盯着博物馆的票，放出来就买，然后重排餐厅预订"——你根本不知道它现在进行到哪一步、读了什么、用了谁的账号。Instinct 那个"擅自取消航班"的事故，根子就在状态不可见。

所以这类产品最后大概会长成"消息入口 + 后台控制台"的样子：前台保留一句自然语言就能办事的低门槛，后台承载任务状态、关键审批、权限管理、审计日志和风险控制。

换句话说，现在这些产品最像 2010 年的微信——入口已经对了，但信任系统还没建起来。

Agent 的能力上限，取决于它能读到什么。你的东西散在微信收藏、桌面文件夹、邮箱附件和备忘录里，它就只能瞎翻。现在开始，把常用信息放进能被检索的地方：证件有效期、常用地址、订阅清单、固定支出、重要联系人。这不是给 AI 整理，是给你自己整理。

同一件事，"帮我处理一下那个账单"和"查一下这张信用卡最近三个月的订阅扣费，找出我没在用的，列出取消链接，别直接取消，先给我看清单"——后者才是一个 Agent 能接得住的指令。

一份合格的任务简报有四要素：目标、边界、完成标准、什么时候必须停下来问我。 这四个词现在就可以用在你交给任何 AI 的每一件事上。

别一上来就给全权限。先让它只读取、只汇总、只提醒，跑顺了再放开写操作；涉及钱的，用限额虚拟卡；涉及对外沟通的，要求它必须先给你看草稿。

前面写的那些事故，没有一件是"它太聪明"造成的，全是权限交早了。

回到开头那个数字：14 个人，10 万内测用户，人均月支出 1300 美元，估值 100 亿。

这个数字真正的意思是：已经有一批人，愿意把真金白银的生活决策，交给一个连界面都没有的东西。

但决定这批人会不会留下来的，不是它多快帮你订到位子，是某天它订错了之后，你能不能查清楚它读了什么、做了什么、卡号用的哪张、责任算谁的。

短信里多出来的那个"人"，第一步已经迈出去了。第二步叫"敢让你查账"。

这一步还没人走完。