9 月 20 日晚，Meta 的个人 Agent「Muse」用户在 Amazon 下单时收到了一条新提示：「未经授权的 AI 代理访问，违反亚马逊使用条款」。此时距离 Muse 上线（9 月 8 日）刚过 12 天——这 12 天里它拿下 280 万次安装、冲上美国 App Store 免费榜第一压过 ChatGPT，Meta 股价在 9 月 21 日单日大涨 11.43%。然后，全球最大的电商平台把门关上了。

这不是一次普通的「接口限流」。它第一次把一个此前只存在于争论中的问题摆上台面：Agent 的权限，从来不只是用户给的。

Amazon 拒绝的理由，和 Meta 的软肋

Amazon 给出的理由有三条：Muse 从未获得接入授权；浏览时不会表明 AI 身份；且疑似在执行任务时捕获并存储用户的登录凭据。Amazon 透露，事前曾要求 Meta 直接把 Amazon 从 Muse 的购物能力中排除，Meta 拒绝了，于是有了封禁。

Meta 的回应是 Muse 运行在隔离虚拟机中，「看不到密码和支付方式」——支付走 Stripe Link 的一次性虚拟卡，真实卡号和凭据确实在机制上做了隔离。但 Amazon 反对的其实不是支付安全，而是接入方式本身：Muse 在没有开放 API 的场景下像人一样操作浏览器、读屏幕、模拟点击，这绕过了 Amazon 对商品排序、广告曝光和 Prime 权益的全部控制。据 Yahoo Finance 报道，Muse 上线后 Amazon 的未授权 Agent 流量涨了约 10 倍。

讽刺的是，Amazon 自家的购物 Agent「Buy for Me」也在以类似方式访问第三方零售网站；它此前起诉 Perplexity 的「智能体第一案」，今年 8 月被第九巡回法院驳回禁令——法院认为访问网站的是用户本人，不是 Agent。Amazon 输了法律战，于是换了一根杠杆：不再争论 Agent 能不能买，而是争论「能不能以我的名义、不经我同意地买」。

Harness 逃出了编码终端

看 Muse 的架构，会发现它和这一年被反复讨论的「编码 Agent Harness」已经不是同一种东西。9 月 26 日发布的一份 Harness Engineering 领域综述把它讲得很透：编码 Harness 的心智模型从仓库开始、以补丁结束；而 Muse 从「一个人」开始，可能永远没有终点——它维护主对话、侧聊、长期目标、记忆文件、定时任务、主动消息、自定义工具、浏览器、关联账号。

把两者对齐看，变化是结构性的：仓库上下文变成了「邮件、日历、文件、对话」；工具调用从「跑测试、改文件」变成「下单、发消息、改账户」；项目规则变成「用户偏好与常设授权」；代码审查变成活动日志和审批 UI。每一项的风险等级都换了一个量级——工具调用的后果从「可回滚的 diff」变成「法律、金钱、社交上难以撤销的动作」。

Meta 的应对是把权限治理做成显式架构：每个用户的 Muse 跑在一台加密的 Secure VM 里，密码等敏感凭据由模型无法读取的独立安全模块管理；所有第三方连接和数据出入必须经过一个叫 Sentinel 的独立监控 Agent 批准。用扎克伯格的话说，那是「放在你桌子底下、只属于你的那台电脑」。这套设计里最重要的一条原则是：特权控制面必须放在 Agent 自己编辑不到的地方。

准入正在变成一个新协议层

更有意思的是各方给出的解法，殊途同归地指向「准入」这个新层：

Meta 的解法是官方 connector 清单。Connect 2026 上它一口气官宣了 Walmart、Best Buy、Gap、Sephora、Ulta、Wayfair、Instacart、Expedia 等十余个合作接入，外加 Shopify 全目录的 Shop Pay 代理结账。商业模式也亮明了：Muse 不投广告，订阅之外按交易抽成。官方合作 = 可审计的接入路径，这和当年 App Store 的逻辑如出一辙。

Amazon 的解法是「不许来」：没有我的同意，任何 Agent 不得代客操作，哪怕技术上拦得住也拦得住。

而在中国，豆包手机助手给出了第三种形态——SAEP 协议：由第三方 App 自主声明 AI 助手能否在本应用内进行屏幕自动化操作，明确允许或拒绝。厂商从「无法阻止」退到了「必须声明」。

三条路线拼在一起，其实是同一个判断：Agent 时代的权限是三层叠加——用户授权、对手方（平台）准入、以及监管框架。少任何一层，这套系统都跑不进生产环境。

结论：下一场竞争不在模型分上

过去一年，Agent 竞争的叙事核心是能力：基准分、任务完成率、token 成本。Muse 被封这件事提示了下半场的样子——扎克伯格自己说，个人 Agent 需要的是「尽量少披露信息地完成任务」，那是模型能力之外的社交常识；而 Amazon 的封禁告诉所有人，你的 Agent 再能干，平台一纸条款就能让它归零。

对做 Agent 的团队来说，有三个可执行的推论：第一，把「Agent 身份标识」当产品功能做，而不是合规负担——亮明身份换取准入，可能比模拟人类操作换来的访问更持久；第二，官方 API 和 connector 优先，浏览器模拟只是过渡态；第三，权限架构要在第一天就按「用户 + 对手方 + 监管」三层设计，Sentinel 这类独立审批面迟早是标配。

网页时代，robots.txt 决定了爬虫能不能来；Agent 时代，一个类似「准入声明协议」的东西正在被竞争各方倒逼着长出来。Amazon 已经用封禁投了票：这个层的优先级，比模型能力更高。

参考来源

• 21 世纪经济报道：《Meta 带火 AI 助手，但新产品已被亚马逊封禁》（2026-09-23）
• Sigma Wire: Why Amazon Blocked Meta's Muse AI Agent From Shopping（2026-09）
• Ecosistema Startup: Amazon bloquea a Muse, el agente IA de Meta（TechCrunch/GeekWire/The Verge 转述）（2026-09-21）
• ContextOS AI: The Harness Just Escaped the Coding Terminal — Harness Engineering State of Field（2026-09-26）
• 网易科技：《扎克伯格谈 Muse：AI Agent 爆发，元宇宙、智能眼镜和大模型三大赌注完成交汇》（2026-09-27）
• Sanbi AI: Meta Muse Shopping — How Brands Get Chosen by AI Agents（2026-09）