Hugo Zhu's Blog

Manus 的 changelog 里藏着一个数字。2025 年 12 月 29 日宣布加入 Meta，2026 年 4 月 27 日被监管叫停收购，9 月 1 日恢复独立运营——命运悬置的这八个月里，它发了 29 个版本（官方自计：宣布到叫停 11 项，叫停到独立 18 项）。整条时间线 63 项重大更新摊在约 572 天上，平均 9 天一发，监管风暴期间节奏没断过。

同一周的另外两家是另一种节奏。xAI 的 Grok 模型层一周多换一版（4.7 上线才一周，4.8 已宣布完成训练），Team Bots 那个五人团队 reportedly 一天合 100 多个 PR。而 Meta 的 Muse 是极端反面：原定今年 4 月发布，一路憋到 9 月 8 日，上线前两周它还在连贯性测试里挣扎、说不利索英语。

三种节奏，三种活法。最近我给 AI 产研团队定了三条迭代标准，这三家正好是它的注脚：

• 产品层：每天能端到端对外发布 1 次，支持的任务质量和数量有 10% 的增量；
• 工具层：支撑高速迭代的工程师软件工具，5 分钟能用起来，出问题 15 分钟能解决；
• 基建层：工程基建上必须用最好的工具。

这三条乍看是三个独立的 KPI。但我越想越觉得，它们其实是同一条：一个能日更的团队，它的每一层时间常数必须压到上一层的十分之一。发布是果，工具 SLA 是因。

xAI 的数据分析团队每天要接几十个一次性的分析请求——查一个数、核一个口径、拉一张表。按老办法，要么排队等分析师，要么申请数据仓库权限自己折腾。

他们做了一个 Data Bot，让全公司任何人都能直接拿答案。这个动作本身不稀奇，稀奇的是喂给它的东西：这个团队花了两年，攒出一套覆盖 4.5 万多张表的技能库，整个交给了 Bot。（数字为 xAI 发布材料口径，下同。）里面写的是什么？怎么找对数据、怎么分析欺诈功能的使用、图表要遵守什么规范、怎么安全地更新全公司的仪表盘。

9 月 28 日，xAI 发布 Team Bots：整个团队共享一个 Grok 智能体，Bot 是共享的，每个人和它的私聊保持私密。发布稿里最热闹的段落是「五人团队每天发 100 多个 PR」「保险公司 24 小时搭一个 Bot 挽回 12 万美元」。但我把这篇发布稿读了三遍，认定最值钱的细节是那个不起眼的两年和 4.5 万张表。

因为它暴露了这门生意真正的定价结构：xAI 卖的是容器，客户装进去的才是货。

9 月的最后一周，Meta 的个人 Agent「Muse」已经冲上了美国 App Store 免费榜第一。同一周，路透社看到的内部发帖记录里是这样的景象：

一位员工让它监控紧俏的演出门票，它刷了 15 分钟页面就自动停摆，静默忽略错误，有时干脆「毫无理由地」关掉监控；CTO Andrew Bosworth 在内网吐槽，自己用着用着，几分钟内被反复登出好几次；还有一次，它绕过了自己的防护机制，在帮用户识别生日派对照片里的玩具时，把人家 iCloud 里的私人照片调了出来。

按传统软件的标准，这是一款带病上线的产品。但把镜头拉长，你会看到同一枚硬币的另一面：正是这些失败——以及产生这些失败的方式——把 Muse 从「上线前两周还说不利索英语」的残次品，推成了增长最快的消费级 AI 应用。

失败的来源不是 QA 团队，是数万名 Meta 员工的日常生活。

早上 8 点整，没有人给「涌现」发消息，它已经起床干活了。

涌现是我的钉钉数字员工。每天早上 8 点整，任务消息准时到达，日程表上排着五项早读：读公众号后台、读 GA、digest 小红书、更新 token 消耗、扫一遍 aibase，预算一小时。中午 12:05，下一班任务照样准点到——它安静干完活，报告发进群，日志里一行 ok=True，一条兜底都没有。（这是我在 谁停掉了数字员工的早读？ 里给它验完尸之后的日常。）

没有人 @ 它，没有人提问。它是被自己的日程叫醒的。

这个细节值得停一下：聊天机器人被消息召唤，员工被日程叫醒。而被日程叫醒只是起点——一个真正意义上的员工，还得记得昨天答应过什么，知道十点该跟进谁，干完活主动来汇报。这些都不是「回答得更聪明」的问题，是架构问题。

而这两年，全行业的力气都花在把 Agent Loop 做得更大、更聪明上。我的判断是：数字员工缺的不是一个更大的 Loop，是另一个 Loop。

9 月 8 日，Meta 发布 personal agent「Muse」，公开了一套「智能提案、权威拍板」的安全架构（上一篇写过）。

9 月 24 日，Anthropic 给 Slack 里的 Claude Tag 加了一个看似不起眼的小功能：personal connector——你在 channel 里 @Claude，它可以调用你自己的日历、你自己的云盘、你名下的 CRM 账户。

两家公司，相隔两周，产品形态完全不同（一个是个人 agent，一个是群聊机器人），却做了同一个架构决定：agent 的智能可以共享，但权限必须有个明确的主人。

一家是巧合，两家就是趋势。今天把这个趋势讲清楚——顺便回答一个所有要落数字员工的组织都绕不开的问题：权限到底该跟着人走，还是跟着工号走？

斯坦福有一份被反复引用的研究，叫《煤矿里的金丝雀》（Canaries in the Coal Mine），作者是 Brynjolfsson 等三位经济学家，用的是覆盖两千六百万美国工人的 ADP 薪资数据。2026 年 8 月的最新修订版给出一个结论：

在 AI 暴露度最高的职业里，22 到 25 岁年轻人的就业，比他们本该达到的水平低了约 19%。而资深员工，没有这个缺口。

第一反应很容易是：好消息啊，AI 只替代廉价新人，有经验的人安全。

我越想越觉得这是最危险的一种误读。因为 今天所有「安全的资深员工」，都是昨天那个「被替代的新人」练出来的。 数据没有告诉你谁在被淘汰，它告诉你的是——成为专家的那条路，入口正在关闭。

Meta Connect 2026 上，扎克伯格把 Muse 放到了公司战略的正中央：「我们的愿景核心就是 Muse。未来几年，我预期它会成为数十亿人完成目标、改善生活的个人化超级智能。」一小时主题演讲，所有新品围着它转——钥匙扣硬件、1299 美元的 VR 眼镜、一揽子零售合作。资本市场立刻给出情绪面：摩根大通把目标价一路上调到 920，Canaccord 给到 950；扎克伯格以约 2664 亿美元身家升至全球第四富豪。

热闹是周期性的。发布周的下载激增、单日两位数的涨幅、密集上调的目标价——这些都是情绪事件，会均值回归。

但这场发布会里藏着一个 结构性 的信号，比股价重要得多：扎克伯格亲口证实，Meta 长期会对 Muse 完成的交易 抽取佣金。广告之外，再收一道交易佣金。

翻译一下：Meta 正在把 AI 装进一个收银台。 而几乎同一个月，Stripe 花约 75 亿美元买下了 OpenRouter——token 世界的路由层。C 端和 B 端，两笔互不相干的动作，指向同一个判断：

AI 的价值正在从模型层流向交易层。最先赚到钱的，不是炼丹的，是收过路费的。

Anthropic 昨天发布 Opus 5.5，标题新闻是降价：同样的工作负载，成本比上一代低约 40%。

但这篇发布博客里最值钱的不是降价，是一组没上标题的数据。他们拉了 2026 年 3 月到 9 月 Claude Code 的聚合账单，发现每个请求的 输入与输出 token 之比，从 189:1 涨到了 324:1——六个月内，每个请求的上下文膨胀了 2.6 倍。

翻译一下：你的 AI 账单，早就不是「写」出来的，是「读」出来的。 输出只占 token 总量的千分之三；就算算上输出单价通常是输入的三五倍，砍掉一半输出，账单也就省下不到一个百分点。生成是零头，重读上下文才是大头。

而且账单还在搬。博客里引用开发者 Addy 的一句话，我认为是全文最重要的一句：

减少一个轮次，比一个缓存 token 还要更省成本。

token 之后是缓存，缓存之后是轮次。今天把这条搬家路线讲清楚——因为它直接决定你该在哪里省钱、在哪里花钱。

今天有人转给我一条微头条，说 GitHub 上有个刚火的项目 mimic，「两天拿了 1100 多星」。它做的事很直接：你在手机或电脑上把一个 App 正常操作一遍，它拦截这个 App 的网络流量，然后自动生成一个 Python 版的 SDK——「你不用去读那些几百页的 API 文档了」。

我去核了一下，发现真实的故事比这条微头条更有意思：

• 微头条是 7 月 18 日 发的，今天只是又被转发了一遍；「两天 1100 星」是两个月前的快照。
• mimic 建于 7 月 13 日，现在 1577 星、105 个 fork——两个月只涨了四百多星。
• 而它的 最后一次提交，停在 7 月 26 日。

一句话：demo 病毒式传播，项目却归于沉寂。 star 曲线一路向上，commit 曲线两个月前就躺平了。这两条曲线的背离，和这个工具本身，正好讲清楚一件正在发生的事——「写个集成」这门手艺，正在变得不值钱。

Meta 本月发布 personal agent「Muse」时，同时公开了一份赏金价目表：有效漏洞报告最高 30 万美元，其中单独一档——「成功影响一个用户的 prompt injection」——最高 13 万美元。

看清楚这一档在买什么：不是买「别进来」，是买「进来给我看」。一家把 agent 接到用户邮箱、日历、浏览器、Shell 和银行卡的公司，公开为「攻破我的 agent」付钱。这不是自信，这是承认：注入不可根除。

承认之后呢？Meta 同一篇文章里给出了整个行业目前最完整的答案，题眼是一句话：

一台机器上的两个相互隔离的安全域，而不是一个有 root 权限的 LLM agent。 （two isolated security domains on one box, not an LLM powered agent with root）