腾讯小龙虾退场，Meta Muse 入场：智能体市场正在出清，而非退潮
9 月 24 日，腾讯 QClaw（小龙虾）发布停运公告，12 月 24 日正式停服。就在这之前两周多，9 月 8 日，Meta 在美国上线了个人 AI 智能体 Muse。一个退，一个进，撞在同一轮 AI Agent 的传播周期里，挺值得聊。
我先抛结论：这不是退潮，是出清。智能体赛道还在长，只是长法和年初那波「全民养虾」的流量狂欢不一样了。
判断来源于公开报道、QClaw 官方公告与 Meta 官方发布页，以及我 8 月那篇桌面客户端榜单的底层数据，仅用于分析，不构成投资建议。
一、小龙虾的半年多：从现象级到停运
把时间线拉直了看，QClaw 的生命周期短得有点荒诞。
- 2026 年 3 月，腾讯基于开源框架 OpenClaw 推出 QClaw，主打「微信远程操控电脑」——手机微信发一句「帮我把桌面报表算一下发给我」，家里的电脑就自己开干。这种交互范式很直观，中文版上线 10 天用户破百万；
- 4 月，据澎湃新闻援引非凡产研统计，QClaw 相关的海外应用访问指标环比暴跌 99.19%；
- 7 月初，产品负责人张舒昱发长文宣布离职，称已于 6 月 29 日办完离职手续；
- 7 月 20 日，腾讯内部组织调整，QClaw 产品中心相关业务及部分团队并入云产品六部，也就是 WorkBuddy 所在部门；
- 9 月 24 日，官方正式发布停运公告，12 月 24 日零点停服，用户数据可迁移至 WorkBuddy，完成有效迁移给 1000 积分补贴。
从全网刷屏到官宣停运，前后半年多。
为什么当初那么火？因为它第一个把「微信下发指令、远程操控本地电脑」这件事推向了大众，让人直观看到 AI 智能体的想象空间。但火得快，退得也快，根子在三座大山。
第一座是安全。这类能直接操控本地电脑的 Agent，要实现「自主执行」，得被授予较高的系统操作权限。3 月 10 日，国家互联网应急中心（CNCERT）就发了《关于 OpenClaw 安全应用的风险提示》（这条提示针对的是 OpenClaw 开源本体，QClaw 承接的是同一套风险面），明确指出其默认安全配置脆弱，一旦被突破，攻击者可获取系统完全控制权。把整台电脑的钥匙交给 AI，普通用户的心理门槛很高。CNCERT 同日的建议措施里，其实已经点明了药方：「对运行环境进行严格隔离，限制 OpenClaw 权限过高问题」。
第二座是刚需缺失。大量下载用户是跟风尝鲜，并不会真的把核心工作交给 AI 完成。社交声量巨大，但落到真实办公场景，高频刚需始终没建立起来。
第三座是成本。蚂蚁数科大模型技术创新部相关负责人（部分报道称总经理）章鹏在中关村论坛提到，OpenClaw 类智能体执行复杂任务时反复调用工具，Token 消耗远高于有效产出，高频场景下可达传统集成式方案的数十倍（部分转述称甚至百倍）。早期默认接海外模型时费用很高，切回国内模型、严格限制任务范围后才压到每天 5–10 元的可接受区间。
这三座大山，QClaw 一座都没真正搬完。
二、但市场没退，反而在长
这是最容易被叙事带偏的地方。QClaw 退了，不等于赛道退了。
我 8 月写过一篇《国内智能体桌面客户端的赛道（羊毛）地图》，里面引用第三方机构 AI 产品榜（AICPB）2026 年 7 月桌面榜：国内 AI 办公桌面端月活盘子已经到 3000 万，第一名腾讯 WorkBuddy 1115 万月活，环比涨 304%；百度搭子 674 万，增速 1063%。而 QuestMobile 同期另一份报告的口径则完全不同：AI 效率办公赛道合计活跃用户 1.02 亿（含移动端的全渠道口径），但其统计的 WorkBuddy PC 客户端月活只有 658.2 万——比 AICPB 的 1115 万低约四成（后者口径高出约七成）。两套口径对不上本身就很说明问题：这条赛道的统计还没成熟到能支撑估值叙事，但方向高度一致——桌面端从 0 到 3000 万月活，只用了不到一年。
也就是说，退的是某一个产品，长的是整条赛道。腾讯、字节、阿里一个没走，Meta 还新挤了进来，退场的只是 QClaw 这个子产品。
这里有个需要澄清的叙事：很多媒体把 QClaw 的收场写成「腾讯内部赛马、输家出局」。但前负责人张舒昱本人发帖说过，「QC 和 WB 是同一个老板，部分时间增长团队都是同一批人组成」，明确否认内部赛马。更准确的说法是：在路径还不确定时，资源自然向表现更好的主力线收拢。这更像达尔文式的筛选，而不是内斗。
所以「老势力退场」是个错觉。真正的竞争不在「谁还留在牌桌」，而在架构路线之间：通用操控（一键遥控整台电脑）vs 场景深耕（嵌入固定工作流干单项活）；以及，谁能先解决「可信执行」这个核心难题。
把视角转到海外，Muse 的入场同样有硬数据支撑，而非只有叙事。「退的是产品、长的是赛道」从中国单一市场论据，变成了中美两边同时成立。据 Sensor Tower 经新京报贝壳财经报道（2026-09-23），Muse 9 月 8 日上线后 5 天下载突破 73 万次，第 10 天（约 9 月中旬）登顶美区 App Store 免费榜，13 天累计下载超 250 万次；资本市场同步反应，9 月 21 日 Meta 股价单日涨 11.43%、市值单日增加近 2000 亿美元。一个发布不到三周的产品，已经在美国大众市场跑出了现象级增速。
三、Meta Muse 的解法：把「交出本机控制权」换成「云端隔离」
先把 Muse 的产品参数摊开，再拆它的安全架构：
- 9 月 8 日 Meta 在美国发布的个人 AI Agent，面向 18 岁以上；
- 入口：iOS / Android / muse.ai / WhatsApp（Ray-Ban Meta 眼镜于 9 月 24 日 Connect 才宣布接入，尚未作为常规入口）；
- 基础功能免费，订阅解锁更高额度；
- 底层模型是 Meta 自研的 Muse Spark（第三方拆解称发布时用的是 9 月 2 日刚发布的 1.3；该版本在编码任务中工具调用减少约 20%、Token 减少约四分之一）；
- 它跑在 Meta 云上为每个用户动态创建的专属 Secure VM（安全虚拟机）里，拥有独立浏览器，可以代表你发邮件、订旅行、填表单、甚至参与账单谈判。
安全性我拆成三个层次看：
- 第一，敏感动作前必须确认 + 全程审计。涉及花钱、以你的身份对外、永久删改、交付位置或身份资料的动作，执行前必须确认，全程留完整审计记录；
- 第二，凭据隔离。Muse 本身读不到你的真实密码和卡号，支付走 Stripe Link 一次性虚拟卡，长期凭据存在系统级密钥库；
- 第三，独立看守。一个叫 Sentinel 的监控代理在系统层看守虚拟机对外的出站流量与封包，异常就拦或升人工。
这套分层是我自己的归纳，并非 Meta 官方表述；更强的端到端加密（Muse Confidential VM，密钥由用户持有、连 Meta 也读不了）官方说是年底前上线，目前还没到。
Muse 最值得拆解的，不是「能干活」，而是「怎么安全地干活」。
QClaw 的路子是：你要让我干活，就得把本地电脑的高权限交给我，我在你的宿主机上直接操作，能碰到你真实的文件和本地应用。信任模型是「用户自己小心 + 产品侧防护」。
Muse 的路子完全不同：它不进你的宿主机，而是给你一台专属的云端虚拟机，Agent 只在里头活动。代价是，它主动让掉了「操控你本机真实文件与本地应用」这个能力——QClaw 卖的是「家里那台电脑自己干活」，Muse 卖的是「给你一台干净的云电脑」（不过这条正在被 Muse 自己往回收，见判断 5）。所以这两者严格说不是同一个需求的直接替换，别误解成「范式替换」。
这其实就是我之前写 Computer Use 那篇里反复强调的同一根线——动作执行器必须落在沙箱里。当时梳理 OpenAI、Anthropic、Google 的方案，分野在「感知通道」和「动作空间」，但共识是：行动（Action）由客户端执行器在沙箱里落实，而不是裸奔在宿主系统上。那篇 §5 的三件套第一条就是「沙箱 / VM / 容器隔离」，对照表里 OpenAI 现役方案的「沙箱方案」一行写的正是「桌面应用授权 + 云端隔离」——Muse 正好落在「云端隔离」那一格。Muse 把这个工程共识产品化了，而且把它做成了面向大众的默认形态。
但要把 Muse 当成「下一阶段答案」得打个问号——它补齐了「隔离 + 确认」，却恰恰缺了三件套里最难的那一层。我 Computer Use 那篇的结论是：隔离 + 确认 + 注入检测三件套是行业标配，但注入防护目前仍非完全可靠（Anthropic 自披露约 1/9 可绕过），不能迷信防护。而 Muse 公开的三层里，没有「注入检测」这一层。上线不到一个月，现实已经替它验证过一轮——五件事压在短短四天里（9 月 19 至 22 日、Muse 上线的第 11 到 14 天），这个密度本身就是信号：
- 「信息」可见性争议（据 Jason Aten / Inc. Magazine 在 Threads 发文、多家媒体转述，2026-09-19）：专栏作者 Aten 称自己并未授权 Muse 访问 Mac 的「信息」App，但 Muse 却说出了他对话里的私聊内容；被追问时 Muse 自称「看的是通知预览，不是消息记录」，却讲不清具体机制。Meta 超级智能实验室负责人 David Singleton 随后公开回应，称 Muse 是「对自己的机制产生了混淆、给了一个错误解释」，并强调 Muse 不会监听通知、只有在用户明确开启「信息」集成后才从该 App 取数；而 Aten 自己的核查显示，其本机「信息」数据库被同步了 187,000 行数据。用户说没授权、Meta 说必须授权后才取数，说法对不上，至今没有定论。TechRadar 9 月 23 日的署名评论中，记者本人写道「我还没准备好把生活交给 AI 代理」——一个连能访问什么都说不清的产品，恰是「可见性缺口」最朴素的注脚。
- 亚马逊拦截（新京报称 9 月 20 日晚、美方报道为 21 日）：以「未事先告知、未获授权、不表明 AI 身份、可能抓取并存储用户凭证」为由，阻止 Muse 代用户在亚马逊购物。
- macOS 零日「not-a-mused」（据 Ars Technica 首发，The Verge / CNET / 每日经济新闻 / IT之家 等转述，2026-09-21 披露）：研究员 Patrick Wardle 发现，一个无需特殊权限的本地攻击者只需运行一条命令，即可改写 Muse 原本用于开发调试的一个未公开语音输入配置项，把语音请求重定向到攻击者服务器、截获认证令牌；Meta 于 9 月 22 日热修。David Singleton 回应称这不是远程漏洞、需本机已有恶意软件，Wardle 则反驳可用 ClickFix 手法远程诱导用户执行那一条命令——厂商自己对「权限边界在哪」都还没说清。
- 六家银行联合发布《Building Trust in Agentic Commerce》（构建可信商业智能体）原则框架（自愿、无约束力）（2026-09-22）：美国银行、Capital One、ING、澳大利亚联邦银行、新西兰 ASB Bank、NatWest 共同发布，核心诉求是 AI 代理在支付时必须表明身份（多家外媒以此作标题），并列出透明、安全、隐私与数据、选择、互操作五项原则；框架同时提示 AI 购物可能带来诈骗、欺诈与数据隐私风险。值得补一句：该框架的 safety 原则要点明确纳入责任分配（liability allocation）；而 PYMNTS 指出其核心论点是可审计追溯——要求参与方能重建从客户指令到最终交易的完整链路。这恰好是上文「全程审计记录」诉求的行业回声：六家银行要的不是有没有审计，而是审计能不能重建链路。
- 内测功能被真人接管（外媒援引 Meta 内部帖子，据每经 9 月 23 日综合报道，2026-09-22）：Meta 内测的 human concierge（真人礼宾）功能，把部分本应由 AI 完成的电话外包给真人承包商，真人接手后成功率约 95–98%，却未向用户充分披露，并出现承包商不当言论，Meta 随后撤回。
连 Meta 自己（9 月 10 日前后外媒标题口径「承认不是保险箱」）都承认，提示词注入仍是全行业未解问题。所以本节更准确的定性是：Muse 方向对、答卷还没交完——它拿到了「信任门票」的前半张（隔离 + 确认），后半张（注入防护）仍是行业悬案，这也正好和我上一篇的结论接上：别把任何一层当成铁栅栏。
四、未来几年的几个判断
顺着上面的线，我对智能体市场往后一两年的演化有几个判断。
1. 从「炫技」到「干活」是硬趋势，挡不住。能活下来的，是嵌入固定工作流、在可控权限内干单项活的：企业文档批量解析、合同审阅、工业数据汇总、会议纪要、项目台账。它们不追求一键遥控整台电脑的震撼，而是嵌入流程、权限可控。今年上半年各家还在疯狂铺「全能操控型 Agent」，下半年头部已经明显转向细分场景落地。
2. 安全与权限模型是下一阶段的胜负手，而注入防护是更难的一关。上面 Muse 的 Secure VM 说明了方向，但上线一个月的零日漏洞、亚马逊拦截、六家银行准则说明「隔离 + 确认」只是前半张票。把镜头拉回年初：回到第一节那条 CNCERT 处方——官方年初就开出了「严格隔离运行环境、限制权限过高」的药方；半年后是 Meta 把这条处方做成了大众产品的默认形态（云端隔离 VM），而国内同类产品大多仍停留在「要你交出本机高权限」。QClaw 的退场，某种程度上是没走到「隔离处方」那一步。但处方只管住了前半张票，注入这最难的一关，连开出 30 万美元漏洞赏金、其中 13 万美元专门悬赏「能演示提示词注入」的 Meta（据新京报贝壳财经 9 月 23 日），都还没交卷。
3. 三层结构正在固化，但利润分配尚未收敛。底层模型（Muse Spark、各家大模型）→ 中间 Agent 框架与平台 → 上层场景应用，分工正在固化。价值最终会在某一层高度集中，但现在还看不清是哪层：卖铲子（模型 / 框架）还是卖金子（场景应用）？大厂已经先在模型层抢话语权——Meta 用 Muse Spark 1.3 在编码任务把 Token 成本压下来约四分之一，正是冲着「成本」这座山去的。这一层谁能把单位智能的成本打下来，谁就握住了下游应用的定价权。
4. 长短错配，别被短期噪音带偏。短期（1–2 年），场景化 Agent 会先跑出 PMF（产品市场契合），因为它们风险可控、价值可量化。长期看，扎克伯格画的「人手一个个人 Agent」终局是方向，但在信任和成本两座大山搬完之前，全能型个人 Agent 成不了主流。中间会有一批「全能」叙事的产品先火后凉，QClaw 不是第一个，也不会是最后一个。
5. 两条架构路线正在会合，而不是谁替代谁。QClaw 的「本机操控」与 Muse 的「云端隔离」看似对立，最终会在「本机能力 + 云端隔离」的混合形态上相遇。Muse 已在 9 月 24 日 Connect 宣布接入 Ray-Ban Meta 眼镜与 AI keychain，把感知拉回本机 / 可穿戴侧——某种程度上正是在往回拿它当初「让掉的本机能力」（见第三节）。国内厂商则从场景端反向向本机要权限：豆包手机 9 月 16 日上线「屏幕自动化操作声明协议」，结果微信、淘宝依旧进不去。两条路线不是谁替代谁，而是各自撞在同一堵生态墙上。QClaw 的退场不是被 Muse 取代，而是没走到那个会合点。
五、给从业者（和我们自己）的两点提醒
第一，用户权益不能跟着产品一起下线。QClaw 这次做得相对体面：开放数据迁移与导出通道（截止 2027 年 3 月 24 日 0 时，届时平台将删除全部用户数据，且仅个人版 WorkBuddy 账号支持授权迁移），并给付费用户退款选项。这应该成为行业范本。对我们普通用户来说，AI 产品迭代太快，养成定期备份、关注官方公告的习惯，只会越来越重要。
第二，别把 demo 惊艳当成 PMF。概念演示足够惊艳，和变成普通人每天愿意打开的工具，中间隔着安全、刚需、成本三道关。QClaw 用半年多走完一轮完整产品周期，给所有「全能操控型 Agent」提了个醒：价值不在演示视频里那些炫操作，而在真正嵌入办公和生产场景、守住安全底线、解决真实痛点。
9 月 24 日的停运公告，和 9 月 8 日的 Muse 发布，撞在同一轮 AI Agent 的传播周期里，像这个赛道的一个隐喻：旧的范式在交学费，新的范式在找路。
热闹会继续。但会从「全民养虾」的流量狂欢，转向「谁能嵌入真实工作流」的淘汰赛。QClaw 是交了学费的样本，不是赛道的句号。
参考来源（公开报道，逐条核验于 2026-09-25）：QClaw 官方停运公告与迁移说明；Meta Newsroom 发布页《Introducing Muse》（about.fb.com/news，2026-09-08）；CNCERT《关于 OpenClaw 安全应用的风险提示》（新华网 news.cn，2026-03-10）；AI 产品榜 AICPB 2026 年 7 月桌面榜（aicpb.com）；QuestMobile 同期报告（questmobile.com.cn）；Sensor Tower 经新京报贝壳财经报道的 Muse 下载与登顶数据（2026-09-23）；六家银行《Building Trust in Agentic Commerce》原则框架（PYMNTS，2026-09-22）；Muse 安全事件据 Ars Technica / The Verge / CNET / 每日经济新闻 / IT之家 等（2026-09-19 至 09-24）；Muse Spark 1.3 据 Meta 超级智能实验室 9 月 2 日公告（经 unite.ai 等转述）；公开媒体报道（澎湃新闻、36 氪等）；笔者 8 月文《国内智能体桌面客户端的赛道（羊毛）地图》与本系列 Computer Use 那篇 §5。
