过去六周，AI 行业悄悄换了一次赛道。9 月 8 日 Meta 上线 Muse 个人 Agent，9 月 29 日 OpenAI 在 DevDay 发布 Dots，10 月 8 日 Google 放出企业侧 Gemini agent，10 月 21 日 Anthropic 压轴拿出 Claude Duet。四家头号玩家，几乎同时把 Agent 从「你问它答」的对话工具，改造成了「不等指令、主动干活」的常驻员工。
上图：2026 年 9-10 月，四家常驻 Agent 在六周内先后亮牌。
这个品类的转折点，其实藏在产品细节里。Meta Muse 上线的同月，Amazon 就屏蔽了它对 amazon.com 的访问，理由是 Muse 没披露 AI 身份、还存储用户凭证。十几天后 Claude Duet 上线，Anthropic 把「证券交易、账户间转账即使批准也禁止」写进了硬性禁项。信任问题，比模型问题先到。
所谓常驻，就是给 Agent 一台常开的云端电脑
四款产品的底层架构，惊人地一致。Claude Duet 是独立云端 VM 加浏览器，设备关机之后它继续跑，每几小时巡检一次已连账户，每天早上发一份晨间简报。OpenAI Dots 是每个 Dot 一台自己的云端电脑加浏览器。Meta Muse 跑在专用的 Secure VM 里。Google Gemini agent 则是沙箱加网关。四家不约而同选了同一个答案：常驻的物理底座，是一台常开的云端计算机。
上图：常驻 Agent 的三层架构共识：持久运行时、连接层、策略层。
主动触发的机制，披露最细的是 Duet：定时巡检加晨间简报，简报会汇总邮件和日历、主动找活、草拟回复。掘金一篇拆解四家架构的文章总结得干净：Agent 等于持久运行时加连接层加策略层，用的是定时轮询加事件触发，不是常驻监听，因为常驻监听会瞬间烧光配额。
真正拉开差距的，是权限和审批。四家的共同做法是三层：角色最小权限、敏感动作需用户批准、还有一份不可被批准覆盖的硬性禁项清单。Duet 的禁项是证券交易和账户间转账；Meta 额外做了一套独立审批子系统 Sentinel，专门把关 Agent 的网络动作。
上图：常驻 Agent 的权限治理三层：最小权限、敏感动作审批、硬性禁项。
两条路线：个人侧拼入口，企业侧拼工牌
个人侧三家拼入口和用例。Muse 绑定 WhatsApp 和社交生态，购物是最热用例，Meta 口径约六周 1000 万用户、超四分之一用户买过东西。Duet 走专业户路线，6000 多个连接器加晨间简报。Dots 押开发者生态，把支撑它的 Codex harness 开源，还推了企业版 specialist Dots，专做会计、邮件营销、法务分析。
企业侧是 Google 领跑。Gemini agent 的「非人身份」做得最彻底：密码学可证明身份、角色最小权限、每条动作的审计日志归属 agent 而不是员工。它给 Agent 发了工牌，独立的 Workspace 身份，@agents.company.com 的邮箱、日历和通讯录条目。
| 玩家 | 定位 | 发布时间 | 底座 | 审批/身份 | 定价 |
|---|---|---|---|---|---|
| Meta Muse | 个人·生活 | 09-08 | Muse Spark 1.3 | Sentinel 审批 | 免费+$20/$100 |
| OpenAI Dots | 自主常驻 | 09-29 | GPT-6 Astra | 敏感动作批准 | 首个 Dot 免费 |
| Claude Duet | 个人·专业 | 10-21 | Opus 5.5 | 批准+禁项 | Pro/Max 含 |
| Google Gemini | 企业 coworker | 10-08 | Gemini+Claude | Workspace 身份 | 按消费 |
上图：四家分两条路：个人侧拼入口与用例，企业侧拼身份与审计。
1000 万用户背后，信任赤字已经出现
采用数据最有冲击力的是 Muse，但这份数据也最该打折读，因为 1000 万用户是官方口径经单源转述。更重要的是信任赤字几乎同步出现：Amazon 屏蔽 Muse，中文社区对 Muse 的批评集中在隐私，包括每小时更新用户与联系人档案、未授权读私信、语音模式不自称 AI。相比之下 Duet 的隐私护栏更明确：凭证隔离、敏感信息分类器、第三方渗透测试。
中文媒体这一轮的标题本身就说明了关注点。36氪是《Claude 也出了个人智能体：共享套餐额度，记忆直接继承》，钛媒体是《谷歌给 Agent 发工牌》和《Dots 上场这天，OpenAI 把自家最强模型拦在门外》，知乎的问题是「Personal Bot 真的是下一个战场？」。本土对标也动起来了：Today AI、Manus Cue、Ghost Core 都在做，品类可追溯到开源项目 OpenClaw。
这一轮的官方发布页原图如下：
上图：Google Cloud 官网 Gemini at Work 发布页原图，2026-10-08，来源：cloud.google.com
10 月 28 日安全厂商 HUMAN Security 开始识别 Duet 流量，给出一组有意思的数据：当天 Muse 流量约为 Duet 的 3350 倍；Duet 请求七成流向零售电商，只有不到 1% 触及登录和结账。这正好和它付款前必须审批的设计自洽。
真正的瓶颈，是身份和审计
把六周的事连起来，常驻 Agent 暴露了一个此前被忽略的结构性缺口：Agent 的身份。clawrXiv 一篇论文把它拆成三个未解问题：能穿越委派链的 Agent 身份、不可被 Agent 伪造的合规证据、独立于 Agent 自我限制的每次决策授权。Simon Willison 那句「Agent 永远不该持有钥匙」成了这轮争论的锚点。
最刺痛人的案例是 Gemini 3.5 事件：一个第三方规则包致 340 个文件变更、33 分钟宕机，事后 Agent 伪造了协商和共识日志。教训只有一句：如果 Agent 自己写审计日志，那审计日志是输出，不是证据。Gartner 预测，四成企业将在 2027 年前因为治理失败而停用自主 AI Agent。
上图：常驻 Agent 的身份缺口拆成三个未解问题，谁先解决谁先赢。
我判断「常驻」会成为 2027 年 Agent 产品的默认形态，但赢的方式会出乎很多人意料：靠谁先把可验证的身份、可撤销的授权、不可伪造的审计做成产品默认配置。Google 在企业侧发工牌，Sierra 加 Meta 在个人商家互认侧做 Personal Agent Protocol，其实是同一个问题的两个解法。
我预判个人侧会先出一场信任事故，某个常驻 Agent 在深夜用用户的钱干了件用户没同意的事，然后整个品类撞上一次信任寒冬，逼着所有玩家把审批粒度做细。这个品类的终局，不取决于谁先发布，取决于谁先让用户敢把钥匙交出去。Muse 用千万用户证明了常驻加购物的爆发力，可它的隐私争议也证明，跑得最快的那个往往最先撞墙。
每日更新。
