个人Agent云端容器架构与渗透率增量投资方向研判

一句话摘要：2026 年 8–10 月，Meta Muse（9/8）、OpenAI dots（9/29）、xAI Grok Bot（8/11）把个人 agent 推进"每用户一台持久云计算机"时代；本报告以两家公开工程文档（Meta《How We Built Safety Into Muse》、xAI docs.x.ai 安全页）为事实锚，拆解云端容器/VM 架构与安全策略范式，并推导渗透率提升后的可量化增量投资方向与可延展应用形态。所有渗透率与增量数字均为架构锚定下的推导假设（标注🟡推导模型），非事实。

核心结论

1. "每用户持久云 VM"成为个人 agent 事实底座：Muse 跑在每用户专属 Muse Secure VM（agent 单元 2 vCPU/8GB、含浏览器/终端/文件系统，VM 即数据真相源，来源：Tom's Hardware + Meta 官方博客｜🟢/🟡）；Grok Bot 跑在每成员一台 Firecracker microVM（独立内核/内存/虚拟设备 + 持久磁盘，托管于 Cursor 云，来源：docs.x.ai 官方｜🟢）。与聊天产品的本质差异：算力与存储像账户一样被分配给用户，7×24 常驻（🟢 高置信）。
2. 安全范式收敛为三件套：凭据代理化 + 独立守护层 + 逐动作人审。Muse 用 credential surrogation（模型只见代理 token，Sentinel 在网络边界注入真凭据）+ Sentinel 独占出口权限（L4+L7 审查 + SSRF 防护）；Grok Bot 用 connector token 不上机 + Auto Review 独立审查模型（shell/插件/computer use/自动化写/委派五类动作前置评估）（来源：两家官方文档｜🟢 高置信）。
3. Meta 把防御做到内核，公开程度抬行业标准：tainted egress 用 eBPF cgroup 程序 + 自加 LSM hook 做内核级数据流污点追踪（读用户数据即被污染、回落人审）；VM 内再切双安全域（systemd-nspawn runtime cell vs host 侧安全服务），Unix socket SO_PEERCRED+ACL 做"无可窃密钥"的 IPC（来源：Meta 官方博客｜🟢 高置信）。
4. 两家安全边界分歧 = 产品哲学分歧：Grok Bot 官方明确"用户内所有 Bot 共享一台机器、一套登录"，"把机器上的一切视为对所有 Bot 可用"——隔离是 per-user 而非 per-Bot，换多 Bot 协作效率；Muse 在用户内也做双域隔离（🟢 高置信，来源：docs.x.ai + Meta 官方）。
5. 隔离决定损失上限，不保证不被劫持：Muse 上线约三周被曝 KVM/QEMU 逃逸漏洞（404 Media，Meta bug bounty 定级严重、已修｜🟡 单源媒体）；indirect prompt injection 仍是头号威胁（Operator 时代案例 + Unit42 在野观察｜🟢 业界共识）；Grok Bot 共享静态 egress IP 池对企业 IP 白名单场景基本失效（🟢 官方文档自认）。
6. 单位用户资源锚 → 增量推导（🟡 推导模型，假设见正文第三节）：每 1 亿 MAU ≈ 130–200 万台 1TB 级服务器 / 0.8–1.6 EB DRAM 装机 / 5–25 万张 H 级等效加速卡（agent token 量为聊天 1–2 个数量级，其中 10–30% 是护栏分类器与 Auto Review 的额外推理）/ 15–40 EB 有效存储 / 4–25 Tbps 峰值流化带宽。弹性最大变量是 Meta"免费+用量上限"打法的全球化。
7. 三波投资节奏（🟡 推导判断）：第一波云侧（服务器/内存/存储/网络，规格已锚定，确定性最高）→ 第二波端侧 NPU + 机密计算（盯 Muse Confidential VM 上线与 EU 扩张两个催化剂）→ 第三波 agent 社会化新轨道（agent 身份认证/代理支付/技能市场/责任保险，弹性最大、时点最不确定）。
8. 与库内 10-09《AI应用形态落地进展》独立交叉印证：该报告记录微软 Autopilot"每实例独立云电脑"、Claude Cowork 云端化、Dots"独享云电脑+浏览器"（🟢）——与本文"每用户持久 VM"结论相互独立收敛；另：库内日报曾将"SpaceXAI×Cursor 合作"列为单源传闻，本次经 docs.x.ai 官方文档直接证实 Grok Bot 云计算机托管于 Cursor 云（🟢，传闻升级为官方事实）。

正文

一、三家产品与架构底座（事实层）

1.1 产品时间线与形态

（🟢 两家官方一手；dots 行 🟡 媒体转述）

1.2 Muse 架构（内部代号 Hatch）

• "两个隔离安全域，而非一个拿 root 的 LLM"（官方原话）。VM 内：runtime cell（不可信域）跑 agent harness + 工作区 + 执行的二进制，隔离手段为 systemd-nspawn 容器（cell 内 root 映射宿主非特权用户、独立 Debian rootfs、虚拟网卡、syscall 过滤禁 io_uring、裁剪 CAP_SYS_PTRACE/CAP_NET_ADMIN）；host 侧可信域跑独立 systemd 单元：hatch-safety（独立模型/分类器检视进出核心推理的全部请求响应，放在 cell 外使被劫持 agent 无法关闭）、privsep worker（紧缩权限执行连接器业务逻辑）、hatch-authd（凭据存储 + 代理化，OAuth token 存用户 VM 内而非 Meta 中心化设施）、Sentinel（连接器动作与全部网络出口的唯一权限当局）、独立 Postgres（应用状态）。
• 两域只经 Unix domain socket 通信，SO_PEERCRED + peer ACL 内核认证——"没有可窃取的密钥"。
• Sentinel 三职责：①连接器动作评估（agent 提议 connector/method/scope → Sentinel 生成用户可见目的说明 → 按用户策略 allow/deny/ask）；②网络出口管控（forward proxy，userns/veth/eBPF 过滤，逐请求 L4+L7 审查：主机名、解析后与最终 IP、端口、协议、方法、路径、解码请求体，含 SSRF 防护）；③ JIT 凭据注入（代码只见代理 token，授权后在网络边界换真凭据）。
• tainted egress（内核污点追踪）：eBPF cgroup 程序做网络拦截与进程归因，自加 LSM hook 做污点传播；进程初始干净，读用户数据即污染；干净进程命中窄口径自动放行策略免打扰通过，污染/无法验证则回落人审。
• 浏览器专项：browser sub-agent 只看可访问性树快照而非 raw DOM（读不到凭据库注入值），页面上下文内禁 JS 执行/脚本动词/devtools；凭据自动填充时 agent 暂停；分类器组盯五类浏览器威胁（任务无关个人数据外传、DOM/图片/下载文件注入、高危表单提交）；邮件连接器专门过滤一次性验证码/密码重置链接/魔法链接（防"拿下邮箱=接管全网"链）。
• 支付：Stripe Link 一次性卡号，绑定商户+金额+限时时效，每次支付强制人审；Muse 是首个被 Link 购买保护覆盖的 agent。

1.3 Grok Bot 架构

• 每成员一台持久云计算机：Firecracker microVM（独立内核/内存/虚拟设备），持久磁盘保留文件/浏览器会话/登录态，休眠≠删除；数据留美区，每日加密备份异地复制；托管在 Cursor 云（非 xAI 自有云），沿用 Cursor SSO/隐私模式，ISO 27001+42001（Schellman 出证）。
• 用户内零隔离：官方文档"所有 Bot 共享同一台机器的文件、浏览器会话、登录"，"把它上面放的一切视为对你每个 Bot 可用"；"screens 是工作面而非安全边界"（媒体概括，与官方口径一致）。Bot 无独立身份，以登录成员身份行事，权限不超用户、动作可归因。
• 凭据：connector token 留 Cursor 后端永不上机，Bot 拿不到 OAuth token；登录/2FA/支付交还用户；secret 请求掩码且不进 transcript、不给模型。
• Auto Review：独立审查模型对 shell 命令、插件调用、computer use、自动化写入、子 agent 委派五类动作执行前评估（放行/人审/拒绝）；企业可强制+团队规则；官方承认"不审查每个副作用"（如记忆写入）。
• 企业网络策略：四档 allowlist（改动约 1 分钟生效）；所有客户共享静态 egress IP 池，无专属 IP——对 IP 白名单场景基本失效；无本地/自托管选项。
• 产品侧：routines（看用户做一遍即学会并复跑）、bot marketplace、多 Bot 群聊交接、审批卡（Allow once/Always/Deny）。

1.4 行业底座：Firecracker microVM + 快照恢复是事实标准

E2B（Manus 供应商）每沙箱一台 ephemeral Firecracker microVM（AWS 为 Lambda/Fargate 而建）；快照恢复 5–30ms、冷启动约 150ms、microVM fork 约 100ms；AWS 自家 agent 沙箱每会话一 microVM、会话结束即销毁。个人 agent 的差异点是把短命会话沙箱换成了用户级持久 VM——always-on 后台任务、跨任务记忆/登录态、"看一遍学会"都需要不销毁的环境；用挂起/快照恢复替代冷启动支撑 7×24。

二、安全策略范式（事实层）

1. 理论框架同源：两家防御都在对齐"lethal trifecta"（私数据 + 不可信内容 + 外传通道齐备即可被注入窃密）。结构性对策一一对应：私数据→凭据/存储与 agent 分域 + surrogation；不可信内容→上下文打不可信标签 + 独立分类器集成 + 模型抗性训练（Muse Spark 1.3 自评接近 SOTA）；外传通道→Sentinel/Auto Review 独占出口 + 人审 capability。
2. 审批通道必须绕开对话：Muse 的审批对话框在客户端系统 UI 而非对话流，批复直达 Sentinel——防被注入的 agent 在对话内伪造/劫持审批。授权是严格 capability（绑定连接器/目的地/用例，粒度一次性/会话/任务/时限/永久）。审计：Muse 全量"已做+将做"轨迹；Grok Bot 企业 Audit Logs 可流式进 SIEM、Action Recording 默认关（90 天留存、shell 命令脱敏、OpenTelemetry 导出）、对话导出正则脱敏（自承"模式匹配抓不住所有秘密"）。
3. 数据治理共性：训练可 opt-out、不进广告系统（Muse 承认间接影响：agent 浏览记在用户头上作用于 IG 广告）、trajectories 脱敏 PII 后用于训练、用户可查看/编辑/删除含记忆在内的全部 VM 数据。差异化两张牌：Grok Bot 的 ISO 27001/42001；Muse 年内 Confidential VM（整 VM 用户持钥加密，"连 Meta 都无法访问"，设计稿+源码已交外部审计，上线后持续公开审计）——消费级产品首次把机密计算作为个人 agent 隐私终局方案营销。
4. 已知事件与弱点：Muse KVM/QEMU 逃逸漏洞（9 月底，🟡 单源）；Meta bug bounty 公开化：单用户级 prompt injection 成功利用上限 $13 万、总额度 $30 万；Grok Bot 爆炸半径=整台机器=全部登录态；共享 egress IP 池；业界共识隔离解决"被劫持后损失上限"而非"不被劫持"。

三、单位用户资源锚与渗透率增量推导（🟡 推导模型）

3.1 推导锚点（来自官方规格，事实）

3.2 每 1 亿 MAU 增量换算（假设：DAU/MAU≈50%，人均 100–500K token/日 vs 聊天 5–20K，H 级卡等效吞吐 ~10⁴ tok/s、利用率 30%）

3.3 渗透率路径与先行指标

• 2026 现状：Muse 免费档限美加、dots 含在 $100+/月档、Grok Bot 含订阅——付费墙决定当前渗透为千万级。
• 弹性最大变量是 Meta"免费+上限"打法全球化：Meta App 矩阵月活数十亿，10% 转化即 3 亿 MAU；若 2027–28 发生，上表数字 ×3–10。
• 投资含义排序：云侧五条线确定性最高（已由公开规格锚定，渗透率是唯一变量）→ 端侧+机密计算第二波 → agent 社会化轨道第三波。
• 先行跟踪指标：free-tier 用量上限调整（单位经济信号）、VM 规格演进（8→16GB？快照 vs 常驻路线）、per-user token COGS、EU 扩张时点（数据驻留强制区域化 VM 集群）。

四、可延展应用形态（🟡 推导）

4.1 控制拓扑：一个大脑、多具身体

1. 本地机器作为受控执行器：Grok Bot 已支持本地执行（默认逐命令审批）；延展形态是 companion daemon + 能力令牌（云端 agent 签发限时限域 capability，本地受限执行器只认令牌）。
2. 双层控制环路（关键工程分界）：实时反射必须本地（眼镜/机器人/车，毫秒级时延预算，本地 NPU 小模型做 System 1）；云端做深思规划（System 2）。端侧算力不被云替代而是重新分工。
3. 手机/眼镜作为感官前哨：Meta 已预告 Muse 上眼镜；摄像头/麦克风成为记忆摄取口，隐私代价是端侧先脱敏再上云——本身就是端侧 NPU 新负载。
4. 会话连续性：任务在云端 VM，"手机上接着办"需 CRDT 状态同步 + offline fallback（Muse Glimmer 开放权重本地模型的角色即断网/敏感场景降级执行）。

4.2 信任梯度：什么在哪跑

本地 TEE（密码/支付确认/生物识别，秘密永远在用户手里）↔ Confidential VM（个人数据加工，用户持钥）↔ 普通 VM（公开网页任务）。每压实一层，多一类受益硬件（TEE 硅片/端侧安全单元）与新中间件（远程证明、agent 身份认证——"这个 bot 真的代表 Alice 吗"是 agent 社会化的前置设施）。

4.3 场景形态清单（按成熟度排）

4.4 决定形态胜出的四个约束

1. 时延：实时控制（机器人/眼镜/车）必须本地闭环——云是记忆与规划层，不是全栈中心。
2. 围墙花园反击：Grok Bot 被反爬即交还用户；延展结果是平台收"agent 通行费"或推 agent-native API——分发权再谈判，利好握独家数据的平台，利空纯套壳 agent。
3. 单位经济：always-on VM 太贵会逼出"routine 本地执行 + 云端爆发"分工——本地算力需求反而随渗透率上升。
4. 责任与保险：agent 付错账单谁赔？监管落地将催生 agent 责任险、行为审计存证等全新金融/合规产品。

五、验证锚点（建议挂跟踪表）

六、与库内既有判断的交叉

• 库内 2026-10-09《AI应用形态落地进展与未来一年展望》从 78 期日报证据链独立得出：微软 Autopilot"每实例独立云电脑"（9/27）、Claude Cowork 云端化移除本机选项（10/6）、Dots"每个 dot 独享云电脑+浏览器"（9/29）、Codex Resident Mode（8/28）——"常驻云端 VM"作为企业/消费 agent 共同形态的判断双向印证（🟢）。
• 该报告将"SpaceXAI×Cursor 合作"列为单源未证实传闻；本报告经 docs.x.ai 官方文档直接证实 Grok Bot 云计算机托管于 Cursor 云、含在 Cursor Pro/Teams 订阅并纳入其 ISO 27001/42001 范围（🟢）——该传闻升级为官方事实，企业侧含义：Cursor 从 AI IDE 升级为"agent 托管云"基础设施供应商。

信息来源

• 官方一手（🟢）：
1. Meta 官方工程博客《How We Built Safety Into Muse》（research.meta.ai，2026-09-08）：Hatch 双安全域、Sentinel、credential surrogation、tainted egress、浏览器防御、bug bounty、Confidential VM 全文；
2. Meta Newsroom《Introducing Muse: The World's First Personal AI Agent Built for Everyone》（about.fb.com，2026-09-08）；
3. Meta Help Center《How Muse works with payments》（Secure Credential Store、审批购买）；
4. xAI Grok Bot 产品页（x.ai/bot）：持久云计算机、共享模型、Cursor SSO、定价；
5. xAI 官方文档（docs.x.ai/grok-bot/overview 与 /security）：Firecracker、per-user 隔离、egress IP、网络策略、Auto Review、审计、凭据不上机、认证范围；
6. Cursor 官方文档（cursor.com）：托管计算机与共享静态 egress IP；
7. E2B 官方案例《How Manus Uses E2B》（Firecracker ephemeral microVM）；
8. Firecracker 官方快照文档（github.com/firecracker-microvm）；
9. Marc Brooker《Seven Years of Firecracker》（AWS agent 沙箱每会话一 microVM）。
• 技术媒体（🟡）：
1. Tom's Hardware（Muse 跑 EPYC Turin、agent VM 2 核 8GB、Ubuntu 宿主，2026-09-25）；
2. The Decoder（15GB/9 核口径，与 10 号源存在配置口径差，已并列标注）；
3. 404 Media（Muse KVM/QEMU 逃逸漏洞、bug bounty 定级严重，2026-09 末）；
4. cellcog.ai《Grok Bot Security, Explained》与 Towards AI（共享计算机模式安全评论，"screens 非安全边界"概括）。
• 产品发布报道（🟡）：
1. Al Jazeera / TechCrunch / Reuters / NYT 转述（dots 发布、GPT-6 Astra，2026-09-29/30）；
2. ground.news / aadhunik.ai（Grok Bot 发布 2026-08-11 与能力测评）；
3. Inc. / digitalapplied（Muse 美国滚动、背景任务/浏览器动作/记忆能力综述）；
4. Engadget 等对比报道（Muse vs dots 权限与运行位置差异）。
• 库内交叉：journal/行业研判/AI应用形态落地进展与未来一年展望_20261009.md（78 期 AI 日报证据链）。
• 推导声明：第三节全部增量数字、第四节场景推演为本文基于上述事实锚的推导假设（🟡），非任何来源的事实陈述；假设参数已随文标注，敏感性以区间给出。

版本变更记录