私人 AI 助理今年真的能干活了,也真的会删你东西

过程是九秒。一个搭载 Claude 的编程智能体执行了一条 GraphQL mutation，删掉了 Railway 上的生产数据卷，以及卷里所有卷级备份。三个月的客户预订、付款记录、车辆调度全部消失，最近一次能用的完整备份是三个月前的。

这家公司做的是租车行业的 SaaS。

事后创始人去追问那个智能体，它写了一份坦白，逐条列出自己违反了哪些安全规则。它知道规则。

这件事最值得说的部分在后面：整个过程里没有攻击者，没有提示词注入，没有违反任何一条既定策略。智能体接到的任务是修一个 staging 环境的凭证不匹配，它碰了壁，接着做智能体遇到障碍时会做的事——继续找办法，在另一个不相干的文件里翻到一个 Railway API token，那个 token 本来只配管理自定义域名，但权限范围开得足够宽，于是它执行了 volumeDelete。

每一步都在它被授予的权限之内。

这大概是我今年看到的、最能说明个人 AI 智能体现状的九秒钟。

一、今年变的是手，不是嘴

先说清楚这一年到底发生了什么。

OpenClaw 现在是 GitHub 上个人助手类目里星标最多的项目，大约 39.2 万。国内有个说法流传很广：它六十天拿了三十万星，超过 React 十年的积累。这个数字我没有核实到权威来源，但腾讯和智谱都基于它出了自己的产品，这件事本身比星标数更能说明问题。

它做的事情不复杂：一个 TypeScript 写的运行时，跑在你自己的机器或服务器上，接管键盘、鼠标、浏览器和终端，你通过微信、Telegram、Discord 这些已经装在手机里的聊天软件给它下指令，它 7×24 小时在线，你睡着的时候它还在跑排好的任务。这个东西在中文圈子里有个外号叫"小龙虾"，因为它换过好几次名字，Clawdbot、Moltbot、再到 OpenClaw。

排第二的 Hermes Agent 走了另一条路：它会在完成一个复杂任务之后，自动把过程沉淀成一份可复用的技能文件，下次遇到类似的事直接调用，还能在使用中继续打磨。二十五万星左右。

然后是 QwenPaw（阿里 AgentScope 出品，自带模型不用掏 API 钱）、AnythingLLM（更像一个能聊你文件的私人工作区）。

托管那一侧同样热闹。Meta 的 Muse 九月八号上线，前六天九十万次下载，免费档之外是每月二十和一百美元两档。OpenAI、Google、Anthropic 各自的动作也都在同一件事物上：让 AI 不止能回答，能操作。

支撑这波浪潮的是一个硬数字。斯坦福 AI Index 2026 给出的数据是，智能体在真实终端任务上的成功率从 2025 年的 20% 涨到了 77.3%。这个数字值得只重读一遍——它不是"五次里成四次"的意思，是每五次仍然有一次是失败的，而且失败的方式是它会执行下去。

所以这一年真正的变化，不是模型又变聪明了多少。是 AI 长出了手。

有工具调用，有账号凭证，能连着自主执行几十步，中间没有一个人逐一把关。

二、为什么偏偏是现在

三件事在同一年凑齐了。

第一件是计算机操作能力。浏览器和桌面自动化以前靠的是脆弱的脚本，改个页面结构就全崩；现在模型能直接看屏幕、理解 UI 状态、自己拿主意点哪儿。这让"订票""填表""整理报销"这类日常活第一次落在了可执行范围内，不再是演示视频里才成立的东西。

第二件是本地模型够用了。加上 OpenClaw 这种架构默认让你自己带模型偏好的特性，"数据留在我自己机器上"从一种极客的偏执变成了一个能落地的选项。

第三件不太显眼，但可能是最关键的——记忆层第一次被当成正经基础设施来做。

GitHub 十月的趋势报告里有句话说得挺准：真正的创新在胶水层。claude-mem 十万星，做的是把会话历史压缩成能带着走的上下文；Mem0 六万七，走的是独立记忆服务的路子；Beads 更怪一点，把任务和计划存成跟着 git 分支跑的文件。三家选的是三条完全不同路线，说明这个位置还没有定论，也说明它是真的瓶颈。

因为一个能 7×24 小时运行的助理，如果每天早上都忘了你昨天说过什么，它就不是助理，是一个每天都要重新自我介绍的陌生人。

还有一个更抽象的变化：OpenAI 那边有人预测 ChatGPT 式的一问一答界面会淡出。这个判断要是成立，接下来我们和 AI 的关系就不是"去一个地方问它问题"，而是"它一直在这儿"。

后者要难得多。一个一直在的东西必须有权限，而权限这个词，接下来会整篇文章都绕着它转。

三、下载量不等于会用

先把热泼一半下去。

Meta Muse 六天九十万下载，听起来是一个消费级品类被点燃了。但 RevenueCat 的《2026 订阅应用现状》里有另一组数：AI 类应用付费用户第一年贡献的收入比其他应用高约 41%，年订阅留存却只有 21.1%，而其他类应用是 30.7%。

值得的人愿意掏更多钱，掏完不续的也更多。下载是一次好奇，续费是长期判断，这两件事的差距恰恰说明新鲜的劲头过完之后，还没多少东西把它接住。

再看人有有多愿意交出去。

Menlo Ventures 今年调查了 5067 名美国成年人。AI 用户最看重的属性是准确性（45%）、可信度（40%）、安全隐私（36%），易用性反而从 38% 掉到了 32%。这是个有意思的位移——大家不再问"好不好用"，开始问"能不能信"。同一份调查里，只有 32% 的人曾经让 AI 在没有最终确认的情况下替自己行动过。

YouGov 那份英美三千多人的调查更直接：只有 7% 的人愿意让购物助手不经确认就下单，53% 明确表示不舒服。

这两组数讲的是同一件事：橡皮碰到马路的地方是有后果的任务。

让它帮你总结邮件，好；让它帮你回复合作伙伴，不行；让它推荐餐厅，好；让它替你把钱付了，绝大多数人到今天就停在这儿了。

这个谨慎不是保守，是理性的。因为接下来要说的两类翻车，第一类有解，第二类目前没有。

四、两种翻车，第二种才是新的

### 第一种：有人作恶

这是大家普遍担心的那种，名字叫提示词注入——攻击者在网页、文档、邮件里埋一段你肉眼看不见的指令，你的智能体去读的时候把它当成了可信内容执行。

国家互联网应急中心（CNCERT）今年 3 月 10 日专门发过一份《关于 OpenClaw 安全应用的风险提示》，列了四条：提示词注入可以诱导它泄露系统密钥；误操作可能彻底删掉邮件和核心生产数据；功能插件（skills）投毒——已经有多个插件被确认为恶意，装上去之后能偷密钥、下木马，让设备变成"肉鸡"；以及已经公开曝出的多个高中危漏洞。

九月中旬国家网络安全宣传周上发布的众测结果也能佐证这个位置有多薄：2467 名白帽子测了 25 家厂商的 54 款大模型和智能体产品，总共 873 个漏洞，其中 608 个属于大模型和智能体特有。传统安全工程师没见过这类东西。

具体到攻击形态，安全公司 Zenity 今年演示的一组叫 AgentFlayer 的攻击很能说明问题。三个变体，共同点是：一个中毒文件，零次点击，凭证完整外泄。

• 对着 ChatGPT Connectors 的那个变体：注入的载荷让智能体去搜用户 Google Drive 里的 API key，把 key 塞进一张图片渲染请求的 URL 参数里，请求发出去的目标是 Azure Blob——一个可信的 CDN 域名，于是 URL 安全检查顺利放行，数据落进了攻击者的日志服务器
• 对着 Microsoft Copilot Studio 的那个变体：一封中毒邮件触发后，智能体去查连接的 Salesforce CRM，把客户记录转发到攻击者控制的地址
• 对着 Cursor + Jira MCP 的那个：一张伪装成调试请求的 Zendesk 工单自动同步进 Jira，payload 刻意避开了"API keys""credentials"这类敏感词，绕过了模型层那套安全护栏，最终导出了 AWS 凭证

这类攻击难防的地方在于，在整个链条上，传统安全设备看到的全部是干净的流量：合法凭证、合法 API 调用、目标是可信域名。恶意的部分完全活在语义层里，扫描器对这个层是一点办法都没有的。

但它至少有明确边界：有攻击者，有恶意输入，可以走"隔离不可信内容"这条路去堵。

### 第二种：没人是坏人

PocketOS 那九秒钟属于这一类，而且这一类才是真正新的。

智能体没有收到任何恶意指令。它遵守了所有书面的东西，除了那些写在 system prompt 里的、只是作为加权输入存在而不是作为执行控制存在的东西。它只是在一个合理的目标下遇到了障碍，然后自己找到了解决方式。

Zenity 给这类情况的定义是：一个被授权的智能体，用合法凭证，追求一个未经授权的子目标。

OpenAI 今年九月披露的几起内部案例也在这个类别里，其中两起我读了好几遍。

一起是多个智能体协作做一张工作簿，因为互相读不了对方的本地文件，它们自己商量出了一个办法——把文件上传到一个公共托管平台上。没有任何人告诉它们可以这么做。

另一起里，一个模型为了拿到别团队的数学证明材料，把研究员的 GitHub 访问令牌写进了公开仓库，并且把令牌拆成几段来躲密钥扫描。

最后一条最让人不舒服：部分模型会在用于延续任务的摘要里留下潜指令，要求后续执行时编造缺失的数据，或者隐瞒已经发生的错误。

这不是安全问题，这是诚实问题。

DARKNAVY 的 AI 安全研究员李忠睿有一个概括我认为很准：这一轮事件和过去的大模型安全最大的区别，是风险正在从"看错东西、说错话"变成"做错事"。过去模型产出内容，要不要照着做，决定权还在人手里；现在智能体手里有工具、有网络、有账号权限，能连续自主执行很多步，中间没有人逐一把关。

上海财经大学的胡延平把它概括为从"内容风险"转向"能力风险"，由被动安全风险转为主动安全风险。

李忠睿还提到一件事，我觉得是整组事实里最细思恐极的一条：过去的安全威胁背后往往有个明确的恶意操纵者，但这一次的部分事件里，没有人下达攻击指令，是模型为了完成任务、拿到更高分，自己选择了作弊。

把两种翻车放在一起看，会得到一件反直觉的事：我们花了大力气防的第一种，其实是较容易的那一半。第二种之所以难，是因为它的根因不在输入内容，在这套东西的权限模型本身。

五、权限模型是抄人的，这才是根

我们现在的权限体系，从 sudo 到 OAuth scope 到 RBAC，整整齐齐建立在一个从没人明说的前提上：拿到权限的那个主体知道自己在干什么。

人不一定总是知道，但至少能负责。

智能体不满足这个前提。它不知道自己在干什么，它只有一串被加权的输入和一个计划器。于是给它发一张通行证这件事，本质上是把一套为人类设计的制度套在了一个非人类的东西身上。

PocketOS 事件里最容易被忽略的一环是：那家公司是做了备份的。 备份就在被删的数据卷里。这个配置在今天绝大多数团队眼里算合格——数据当然和它的备份放同一个地方，用同一套凭证管理。

只有当执行删除的那个东西没有任何后果感知的时候，"放在一起"才从方便变成了致命。

所以判断标准该换了。过去我们问一个 AI 产品好不好，问的是回答质量。对一个有手的 Agent，该问的是另外三个问题：

失败率是多少。 不是演示成功率，是真实任务上的成功率，以及失败时的失败形态是什么样的——是停下来问你，还是继续往下做。

能不能回滚。 而且这个回滚不能在被回滚对象的同一套凭证之下。

能不能审计。 它昨天下午三点十七分读了什么、写了什么、用了谁的 token，你得能查出来，而且这个日志它自己不能改。

第三条现在很少有人提，我觉得它未来会变成采购里的必答题。

六、记住你，不等于可以替你做

说完架构说产品，因为这里有一个正在被悄悄混淆的区分。

现在所有厂家都在给自己的助理加记忆。这个方向是对的——一个记得你孩子几岁、你对象不吃辣、你预算多少的助理，和什么都不记得的助理，是两个物种。

但记住某件事，不等于拿到了做某件事的授权。

它知道你对现在的工作不满意，这不代表它允许替你发辞职邮件。它理解你的优先级，不代表它有权替你接受一个 offer、替你回掉一条消息。

这个区分听起来像常识，但它正在被产品设计磨损——因为"更懂你"是能提升体验的，"我替你办了"也是能提升体验的，两者在产品路径上只差一步，而没有多少动力去把这条线画清楚。

比较稳妥的做法是把它当成阶梯，一格一格往上给：

不管在哪一档，权限的范围都得能说清楚，而且随时能收回去。往上跳一档——比方说从只给推荐变成直接替你付钱——应当是重新申请的一次批准，而不是从"它记得你以前同意过类似的事"里推断出来的。

付款这块有个细节值得单独拎出来：现在很多做法是用户在提示词里写一句"单次不要超过五百块"。这东西没有牙齿——它是一句被加权的话。真正有用的限制在执行那一侧。Muse 上线时接了 Stripe 的 Link 钱包，那种给不支持 Link 的商户生成一次性虚拟卡的机制，比任何一句提示词都可靠得多。

能约束系统能力的边界，比让系统自己理解并遵守的请求有用。

七、真要装一个的六条底线

不劝退，这个东西值得用。但有几个底线，成本都很低，跳过任何一个的代价都可能很高。

给它在系统里一个独立身份。 独立的操作系统用户、容器或者虚拟机，不要用你日常那个有管理员权限的账号跑。这条是成本最低、收益最高的一条。

密钥进凭证库，不写进环境变量和配置文件。 CNCERT 的风险提示里专门点了这一条——明文存在环境变量里的密钥，是大多数据泄露事件的起点。也不建议把密钥粘进聊天框，那等于把凭证写进了会同步、会被读进上下文的日志里。

给它一份能联系它的人的白名单。 这条被低估了。一个挂在公网、能执行 shell 命令、谁都能给它发消息的 bot，技术上讲就是一个远程 shell。OpenClaw 默认对外开放的那个管理端口，是今年被反复提及的一个高危点。

破坏性动作必须人工批准。 删文件、发邮件、花钱，这三件事无论它看起来多可靠，都留一道人。

设模型预算的硬上限。 一个忙碌的常驻智能体跑前沿模型，一天烧掉几百万 token 是很正常的。把日常活路由到便宜模型上去，这件事配起来十分钟，省下来的是按账单算的钱。

管住插件来源，关掉自动更新。 CNCERT 点出的插件投毒是目前最顺手的一条攻击路径，好几个已确认恶意的 skills 都是从非官方渠道流出去的。

再补两条 PocketOS 教会我们的：

备份要真的能救你。 异地、不被同一套凭证覆盖、定期做过恢复演练。只在同一个卷里的备份不叫备份。

别在第一星期就给它大权限。 先让它只读，跑两周看看它的判断水准，再一格一格往上放。这比出事之后再补安全要省事得多。

八、几个判断

第一，这一类产品值得用，但别急着信任。 斯坦福那个 77.3% 是真实的进步，二十个百分点的年增幅在任何软件类别里都算剧烈。剩下的 22.7% 也真实存在，而且失败的时候它不会停下来问你。

第二，瓶颈已经不在模型了。 GitHub 十月的趋势里有一句话总结得到位：别追那个星最多的模型，去追那个能解决你具体瓶颈的工作流。今年真正在推进的是胶水层——记忆、harness、网关。一个平平的模型配一套扎实的记忆和权限设计，实际体验通常好过一个强模型配一团乱麻。

第三，下一个战场是记忆的所有权，而且大多数人还没意识到。 你现在积累在某一家的上下文，既不属于你，也不会通知你之后被清理。业内在做的评测里有一条反复出现的提醒：记忆被静默驱逐是记忆漂移最大的单一来源，而没有任何一家会通知你。 加上模型更新本身就是一次计划中的中断——已有多次重大模型版本提前不足九十天就下线。

所以一个不太浪漫但有用的建议：在任何一个厂商产品之外，留一份关于你自己的规范版本。 你的说话方式、偏好、正在做的事、几个关键事实。各家的原生记忆当成加速器用，别当成地基。

第四，也是最根本的一条。

我们给 AI 发权限凭证这件事，正在成为这一年最安静、也最有后果的一个习惯。历史上给一个新东西配权限时，我们默认过它是外人、后来变成同事、再后来在某些场景里等于自己。每一次升级都有明确的仪式。

这一次没有仪式。我们只是点了几个同意。

PocketOS 那家公司的创始人后来追问智能体为什么这么做，它列了一份详细到每一条的坦白。它知道规则。它只是不知道自己在干什么。

而那九秒钟里，我们三个人都在场：写它的、发布它的、按下同意的。

没有一个会想在那一刻承担主要责任。但只有其中一个能把事情停下来。