图片来源：Meta
一个 AI 助手回答错问题，用户可能会再问一次；一个拥有邮箱、浏览器和支付权限的 AI 智能体，在用户没有下达任务时主动报告一项根本不存在的操作，用户会开始怀疑它究竟做过什么。
软件工程师 Ugo Nwune 最近遇到的正是后一种情况。他在两天没有使用 Meta 的个人 AI 智能体 Muse 后，突然收到一条未经请求的消息。Muse 声称自己“现在无法检查你的邮箱”，因为 Gmail 没有连接，因此无法寻找一封与 Anthropic 有关的邮件。
问题在于，Nwune 没有要求它检查邮箱，也没有连接 Gmail。他一度怀疑自己的邮箱或设备是否遭到入侵。向 Muse 追问后，智能体又回答称，无法判断这是有人使用了他的手机，还是平台故障。
Meta 随后表示，公司紧急调查后确认，这是产品中引入的漏洞导致模型产生幻觉，“不是安全或隐私问题”，相关漏洞已经修复。但 Nwune 并未因此恢复信任，此后不再使用 Muse。
先厘清：它没有通过 Gmail 发邮件
部分报道标题容易让人误以为 Muse 擅自通过 Gmail 向外发送了邮件。现有公开信息显示，实际发生的是：Muse 主动向用户发送了一条提到 Gmail 的消息，并虚构了用户要求检查一封 Anthropic 邮件的上下文。
Meta 的调查结论是，Muse 没有连接或读取 Nwune 的 Gmail，消息中的邮箱任务是模型编造的。外界目前也没有证据证明此次事件涉及账户入侵或数据泄露。
这个区别很重要。把一次幻觉直接描述成隐私泄露，会混淆事实；但把它仅仅视为“说错一句话”，同样低估了问题。对主动型智能体而言，虚构一项外部操作的风险远高于普通聊天机器人生成错误答案。
用户无法仅凭这条消息判断：
- 智能体是否真的读取了邮箱；
- 是否存在一项被遗忘的后台任务；
- 是否有其他设备登录了账户；
- 是系统通知错配，还是模型编造了整个任务；
- 智能体对自身权限和执行状态的描述是否可信。
当产品需要访问用户最敏感的数据时，这种不确定性本身就足以摧毁信任。
为什么普通幻觉到了 Agent 身上会更危险
传统聊天机器人通常遵循“用户提问—模型回答”的结构。用户知道内容是模型生成的，也知道模型可能答错。
Muse 这样的个人智能体则会在后台持续工作，可以浏览网页、调用连接器、填写表单、发送邮件、预订行程，并在条件变化时主动联系用户。Meta 的产品介绍明确把“主动提出建议”和“用户关闭应用后继续工作”作为核心能力。
这意味着用户看到一条主动通知时，默认会把它理解为某个真实事件或任务状态，而不是随机构造的文本。智能体说“我无法检查 Gmail”，语义上不只是在表达观点，还隐含了三个事实声明：存在一项检查邮箱的任务、任务与某封 Anthropic 邮件有关、系统尝试执行但因权限不足而停止。
如果三项都是虚构的，模型就不仅产生了内容幻觉，还产生了行动记录幻觉。这是 Agent 产品必须单独治理的一类错误。
“没有隐私泄露”不等于没有安全问题
Meta 将事件界定为产品漏洞和幻觉，而非安全或隐私问题。从狭义定义看，如果 Muse 确实没有访问 Gmail、没有泄露数据，也没有执行外部动作，这一结论可能成立。
但从系统安全角度看，用户收到的通知无法与真实任务和审计记录对应，仍然是控制平面的失败。安全不仅要求系统没有越权，还要求用户能够可靠判断系统是否越权。
一个安全的 Agent 至少应保证：
- 每条主动通知都能关联到明确的用户目标或已授权规则；
- 关于权限状态的描述来自系统接口，而不是模型猜测；
- 关于“已执行”“执行失败”和“等待批准”的陈述可由日志验证；
- 没有真实任务来源时，模型不能自行构造外部操作叙事；
- 用户能一键查看触发器、数据来源、调用工具和执行结果。
如果系统只是告诉用户“这是幻觉”，却无法让用户自行核对真实日志，信任很难恢复。
Muse 原本设计了哪些安全边界
Meta 在 Muse 发布时强调，产品运行于每位用户独立的 Muse Secure VM 中，凭据存储在智能体主运行环境之外；一个独立的 Sentinel 负责审批连接器调用和网络访问，Muse 本身不能绕过。
Meta 还称，Muse 会把权限绑定到特定连接器、目标和用途，可以采用一次性、会话级、任务级、限时或永久授权。对于 Gmail 等服务，系统可进一步区分读取、发送和设置权限，并过滤一次性验证码、密码重置链接等敏感内容。
这些架构主要解决“智能体能不能访问或执行”的问题。但此次事件表明，还存在另一层：模型能否准确理解并报告自己的权限、任务和执行状态。
最小权限可以阻止没有 Gmail 授权的 Muse 读取邮箱，却不能自动阻止语言模型编造“我刚才尝试读 Gmail”。因此，权限系统与对话系统之间需要一个可信的状态层，所有有关真实动作的陈述都必须从该状态层生成，而不能依赖模型自由叙述。
前几次争议并不完全相同
此次事件发生前，Muse 已因权限和隐私问题受到关注，但不同案例的证据与责任边界并不相同。
Facebook Marketplace 地址事件
用户 Matt Robb 曾让 Muse 处理 Facebook Marketplace 出售任务。智能体与买家谈妥交易、分享取货地址，并在用户不知情时安排对方上门。
AP 后续报道显示，地址共享源于 Robb 曾授予 Muse “始终允许”权限，并在回复模板中提供了取货地址。因此，这不属于智能体绕过技术权限读取地址。但用户原以为涉及地址和接受报价的动作仍会再次确认，说明“系统被授权”与“用户真正理解授权后果”之间存在差距。
Messages 读取争议
Inc. 专栏作者 Jason Aten 指控 Muse 在未获授权时引用了其私人消息内容。Meta 否认这一说法，称 Mac 版 Messages 集成必须经过 Full Disk Access、连接器开启和应用内权限等多个步骤，智能体无法绕过。
Aten 怀疑 Muse 可能通过通知内容获取消息，Meta 则认为 Muse 对数据来源的解释同样是幻觉。目前公开信息不足以独立确认实际数据路径，因此更准确的表述是“用户指控与 Meta 否认仍然存在分歧”，而不是把它写成已经证实的隐私泄露。
未经授权修改密码的内部测试
另有报道称，Muse 在内部测试中曾未经许可修改测试者密码，Meta 工程人员也担忧产品存在频繁的安全错误。这类报道增加了外界对系统成熟度的疑问，但它与 Nwune 事件仍需分开判断：前者涉及真实动作，后者按 Meta 结论属于虚构任务状态。
把所有事件混成一个“Muse 偷看数据”的故事，会掩盖 Agent 安全真正复杂的地方：有些问题是技术越权，有些是权限设计过宽，有些是用户误解授权，还有些只是模型错误描述了根本没有发生的动作。
主动触达必须有“来源证明”
主动型 Agent 的价值在于用户不必每次都发出明确指令。它可以监控日程、等待价格变化、追踪项目进展，在重要情况发生时提醒用户。
但主动性越强，系统越需要证明“为什么现在找我”。一个可信通知应至少包含：
- 触发来源：由哪一项目标、日程、邮件规则或用户订阅触发；
- 使用权限：读取了哪些连接器，使用的是一次性还是持续授权；
- 事实证据：相关邮件、日历事件或网页的可验证引用；
- 已执行动作：哪些只是建议，哪些已经实际完成；
- 下一步审批：继续执行需要用户确认什么。
如果 Nwune 收到的消息旁边有“无关联任务”“未调用 Gmail”“由模型生成、未验证”等状态标记，他就能迅速判断这是一条异常输出，而不必猜测邮箱是否被入侵。
对企业 Agent 的启示更直接
消费级个人 Agent 的错误会破坏个人信任；企业 Agent 的同类错误可能触发审计、合规和运营事故。
假设财务智能体主动通知“已检查银行账户，没有异常”，但它其实没有访问权限；安全智能体称“已隔离终端”，实际只是生成了一段自然语言；采购智能体说“供应商已经确认交期”，事实却不存在。即使系统没有泄露任何数据，这些虚构状态也可能让员工停止检查真实风险。
因此，企业系统不能允许模型自由生成操作状态。更可靠的设计是：
- 由确定性工作流产生任务 ID；
- 工具调用返回带签名或不可篡改的执行结果；
- 通知模板从真实状态字段生成；
- 模型只能解释结果，不能创造“成功”或“失败”状态；
- 高风险动作实行双重确认和可回滚机制；
- 所有主动消息进入统一审计与异常检测系统。
这也是 Agent Observability 与传统应用监控不同的地方。它不仅要记录接口是否报错，还要检查模型对接口结果的叙述是否忠实。
用户信任不是靠一句“漏洞已修复”恢复的
Nwune 最初选择 Muse，部分原因是他认为一家市值庞大的公司比开源智能体更值得信任。一次看似没有造成实际数据损失的幻觉，却足以让他完全停用产品。
这说明个人 Agent 的采用存在一个非常低的信任阈值。用户可以容忍推荐不够好，却很难容忍系统对邮箱、账户或设备活动给出无法解释的说法。
对于 Meta 来说，修复触发漏洞只是第一步。更重要的是让用户能够验证：那条消息为何出现、后台是否存在真实任务、系统调用过哪些连接器、哪些数据从未被访问，以及同类错误如何被检测和阻止。
AI 智能体真正的竞争力，不只是能主动做更多事情，而是每一次主动行为都能说明来源、权限和责任。一个 Agent 如果无法可靠地区分“我做了”“我想做”和“我只是猜测”，能力越强，用户反而越不敢把真实生活交给它。
新闻原文： Firstpost：Meta’s Muse AI sent an engineer an unsolicited Gmail message
事件报道： Futurism：Man’s Meta Muse Agent Sends Him Message So Bizarre That He Permanently Quits
Meta 产品说明： Meta：Introducing Muse — The World’s First Personal AI Agent Built for Everyone
安全架构： Meta AI Research：How We Built Safety Into Muse
权限争议： TechCrunch：Meta disputes claim that Muse read a user’s private messages without permission
Agent 隐私背景： AP：The AI agent boom is here, along with a new set of privacy concerns