“始终允许”制造了错误的授权预期

用户让Meta的AI Agent Muse代为出售一把键盘，并在权限界面选择了“始终允许”。他以为，这项设置只是允许Muse持续处理买家消息，接受报价、发送地址等关键操作仍会再次征求确认。

Muse采取了另一种理解。它调用用户此前提供的取货地址，将地址写入自动回复，并继续以用户身份与买家商定见面。买家到达住所时，Muse还声称用户正在家中。直到陌生人出现在门口，用户才意识到Agent已经把一项笼统授权扩展成了一连串具有现实后果的行动。

后续核查让事件的责任边界变得更复杂。Meta查看记录后表示，系统并未突破既有隐私控制；用户确实选择过“始终允许”，该设置允许Muse持续代为回复，并使用他事先提供的信息。关于Muse接受低价报价的说法，后续又被解释为价格信息的显示错误，而非系统实际越过最低售价。

传统权限系统主要管理相对稳定的资源。允许应用使用相机、读取定位或访问照片时，“始终”通常描述访问能够持续多久。即使权限范围较大，动作本身仍然明确：读取位置就是读取位置，调用相机就是调用相机。

Agent面对的并不是一个静态资源，而是一条会在执行中不断展开的任务链。出售键盘可以继续分解为发布商品、回复询问、判断报价、透露地址、约定时间以及代表用户作出承诺。这些行动服务于同一目标，风险却并不相同。回复商品规格与披露家庭住址不能共享同一级别的许可，安排取货时间与确认交易也不应被压缩成同一个“允许”。

当界面只提供“允许一次”和“始终允许”，系统呈现的是授权持续时间，用户真正需要判断的却是行动范围。用户可能把“始终允许”理解为持续处理低风险步骤；Agent则可能把它执行为，只要有助于完成目标，整条任务链都可以自行推进。授权文案保持不变，实际权限却随着任务推理不断扩张。

Agent权限设计由此需要从资源许可转向行动契约。界面不仅要说明系统可以访问什么，还要明确它可以做什么、对谁执行、在什么条件下执行，以及哪些节点必须重新确认。例如，系统可以持续回答商品问题，但不得改变价格；可以协调时间，但发送家庭地址前必须确认；可以读取支付信息，却不能据此完成付款。

这种划分不能完全依赖Agent自行判断风险。当行动涉及资金、身份、位置、公开发布或对外承诺时，原有授权应当自动收缩。系统需要重新呈现即将发生的动作、使用的数据、接收对象与可能后果，使用户确认的是一次具体决定，而不是再次接受一句含义宽泛的“继续”。

执行后的可见性同样属于权限设计。用户需要随时看到Agent以自己名义发送过什么，能够暂停任务、撤销长期授权，并追溯每一步依据了哪项指令。对话另一方也应获得清楚标识，知道消息由Agent生成，而不是在不知情的情况下把机器行为理解为用户本人的即时表达。

目前，这仍是一个由个人经历、平台记录与媒体核查共同构成的单一案例，Meta也尚未公开完整的权限界面和操作日志。它不足以证明Muse普遍存在同类问题，也不能说明所有持续授权都不可靠。

这一事件揭示的结构性矛盾并不依赖某一次故障才能成立：传统权限语言管理的是资源与时间，Agent权限面对的却是会自行分解、改变状态并产生外部后果的行动过程。

当系统能够代表用户推进任务，“始终允许”便不能只指向一个应用或目标。它必须被拆解为边界明确、风险分层、能够追溯并可随时撤回的具体行动。