四强横评：Claude Duet、OpenAI Dots、Meta Muse、Grok Bot
学习目标：按运行机制、权限边界、集成生态、隐私边界、适用场景五个维度建立可复用的评估框架，并能针对具体任务选型
预计时间：40 分钟
难度：⭐⭐
先说结论
数据截至 2026-10-21。 这个赛道的产品状态以周为单位变化，本文所有结论都有保质期。
一句话版本：
- 要审批边界最清楚的：Claude Duet
- 要在企业流程里跑长链路的：OpenAI Dots
- 要多 Agent 协作和「操作任意网站」的：Grok Bot
- 要消费级覆盖面和 WhatsApp 入口的：Meta Muse，但要接受它隐私策略争议最大
四家都在做同一件事，但对「Agent 可以自己做什么」的回答完全不同。这个回答比模型参数重要得多。
评估方法
五个维度不是随便选的，它们对应一个常驻 Agent 从「接到目标」到「产生副作用」的完整链路：
目标 → [运行机制] → 调用 → [集成生态] → 动作 → [权限边界] → 副作用
↓
[隐私边界] 留下什么数据
↓
[适用场景] 值不值得用评估原则：
- 只采信官方口径。厂商文档、官方发布页优先；第三方评测只用来发现「应该去核实什么」，不用来下结论。
- 区分「未公开」和「不存在」。连接器数量、模型型号、定价没公布就是没公布，不猜。
- 把权限设计当一票项。功能可以等版本更新，权限模型改了等于换产品。
基本坐标
| 产品 | 厂商 | 上线时间 | 底层模型 | 当前状态 |
|---|---|---|---|---|
| Grok Bot | xAI | 2026-08-11 | 未公开 | Beta，订阅制开放 |
| Meta Muse | Meta | 2026-09-08 | 未公开 | 美国全面开放（App / WhatsApp / Web） |
| OpenAI Dots | OpenAI | 2026-09-29 | GPT-6 Astra | 预览（Pro / Business Premium / Enterprise，限定市场） |
| Claude Duet | Anthropic | 2026-10-21 | Claude Opus 5.5 | 研究预览，美国 Pro/Max 候补 |
补充两条容易搞错的事实：
- Muse 是 Meta 的产品，不是 Google 的。 部分中文二手报道写成了「Google Muse」，还配了「Google 生态优先」的选型建议。这是错的，Muse 的入口是 Meta 自己的 App、WhatsApp 和 Web。看到这类内容，整篇的可信度都要打折。
- Duet 目前不另收费，包含在 Claude Pro / Max 订阅内，但它的后台检查会消耗和普通对话同一份额度。这一点官方写得很清楚，很多评测漏了。
维度一：运行机制
| 产品 | 执行环境 | 唤醒节奏 | 任务循环 |
|---|---|---|---|
| Claude Duet | 独立 VM + 自带浏览器 | 每几小时检查一次已连接账号；早晨生成简报 | 收任务 → 后台拆解 → 完成或请求决策 |
| OpenAI Dots | 每台 dot 独立云电脑 + 浏览器 | 持续后台推进 + 主动研究（只读） | 目标 → 计划 → 执行 → 学习 → 继续 |
| Meta Muse | 每用户独立 Secure VM | 官方称可持续后台运行，关闭 App 后继续 | 目标 → 计划 → 跨应用执行 → 需授权时暂停 |
| Grok Bot | 持久云电脑（账号级共享）+ 每 Bot 独立屏幕 | Routine 定时/事件触发，最小间隔 5 分钟 | 更像「给同事派活」：消息 → 执行 → 回报 |
差异点解读：
「每用户一台 VM」还是「每 Agent 一台 VM」，是个架构选择。 Muse 和 Dots 走的是「一个用户一台」，Grok Bot 官方 FAQ 明确：同一账号下所有 Bot 共用一台云电脑，文件互相可见，一个 Bot 的登录态其他 Bot 也能用；每个 Bot 只是有独立屏幕，可以并行操作。这让多 Bot 协作很顺，但也意味着Bot 之间不是安全边界。
唤醒频率直接决定成本结构。 Duet 官方解释「每几小时」时说得很坦诚：不停检查会更快耗尽套餐额度。所以「实时」在这个品类里基本是营销词——真正实时的是事件触发，不是轮询。
后台只读是行业默认的安全姿势。 Dots 的主动研究（proactive research）在后台使用连接工具的只读权限；需要写操作时才升级权限并通知用户。这个设计值得抄。
维度二：权限边界
这是四个产品差异最大的地方，也是选型时最该看的一栏。
| 产品 | 必须审批 | 永不执行 | 控制粒度 |
|---|---|---|---|
| Claude Duet | 发消息、付款、签文件、删除任何内容 | 买卖证券、账户间转账（即使你同意） | 分类器判定动作风险，展示具体操作后等待 |
| OpenAI Dots | 写操作前通知；改密码等敏感动作留给用户 | 官方未列出绝对禁止项 | Custom Rules：允许 / 需审批 / 阻止；Auto-review 复核 |
| Meta Muse | 敏感操作需用户批准（Sentinel 层校验） | 官方未列出绝对禁止项 | 按连接服务设授权范围（有限 / 更宽） |
| Grok Bot | Auto Review 判定；无人值守任务（routine/触发/其他 Bot 发起）的审批请求约 10 分钟过期 | 官方未列出绝对禁止项 | Bot 描述里写边界 + 「Ask first」规则；冲突时「先问」优先 |
三个值得记住的设计细节：
- Duet 的「永不执行」是产品级硬约束，不是提示词。 它把「买卖证券、账户间转账」写在产品设计里——即使你授权也不做。这是四家里唯一公开列出「绝对禁区」的。
- Dots 的 Custom Rules 是三态的（允许/审批/阻止），而且 Auto-review 会在执行前拿指令、规则、安全要求复核一遍。这比「一律询问」可用性高得多。
- Grok Bot 的审批会过期。 无人值守产生的审批请求大约 10 分钟后失效，卡片会标记过期，动作不会执行。这个细节很工程化：它防止你第二天早上迷迷糊糊点了一个昨晚的付款请求。
反面案例：「默认全自动 + 事后可撤销」是伪安全。 撤销只能解决可逆动作；邮件发出去、钱转出去、文件删掉，撤销没有意义。
维度三：集成生态
| 产品 | 连接器规模 | 代表集成 | 接入方式 |
|---|---|---|---|
| Claude Duet | 6,000+ | Gmail、Slack、QuickBooks、Stripe、Gusto、HubSpot、DocuSign、Shopify、Canva | Claude Marketplace 连接器 + 插件 |
| OpenAI Dots | 4,000+ | 企业场景为主：采购、发票、客服、合同 | 插件生态；可连本地电脑（需授权） |
| Meta Muse | 未披露 | 邮件、日历、购物、旅行 | 连接服务 + 浏览器操作 |
| Grok Bot | 未披露 | X 平台、Cursor 生态、任意网页 | 连接器 + 你自己的登录态 |
关键区别是**「覆盖面」和「可控性」的取舍**：
- 走连接器，覆盖面受生态限制，但每个连接器有明确的 OAuth 范围和撤销入口。
- 走登录态，覆盖面接近无限（大量内部系统没有 API），但 Agent 拿到的是你的账号本身，撤销要靠改密码。
Grok Bot 官方把这个取舍说得很明白：Bots 可以登录并操作「没有干净 API 或 MCP 的平台」。这既是它最强的卖点，也是它在安全评审里最难通过的一关。
另一个信号：Dots 有企业专属形态。官方描述的 specialist dots 拥有自己的身份、凭证和预置硬件，用于采购、发票、邮件营销、客服、商业合同等试点。这已经超出「个人智能体」，进入「受治理的数字员工」。企业选型时，这一栏比个人版功能表更重要。
维度四：隐私边界
| 产品 | 凭证处理 | 数据留存与训练 | 记忆策略 | 争议点 |
|---|---|---|---|---|
| Claude Duet | 按 Managed Agents 设计，不直接看到密码和登录令牌 | 官方未展开；Pro/Max 既有设置适用 | 继承 Claude 账号的记忆、技能、连接 | 相对最少 |
| OpenAI Dots | 已保存密码可不暴露给模型直接使用 | 账户级设置控制 | 从 ChatGPT 记忆起步，随反馈学习偏好 | 公开细节较少 |
| Meta Muse | 官方称不看到密码与支付信息，凭证加密存储 | 可退出训练；可要求「忘记」特定信息 | 官方称保留有用细节 | 最多：第三方报道称每小时更新用户及联系人档案、每晚分析当日对话 |
| Grok Bot | 使用你的登录；云端必须存数据，不支持 Legacy Privacy Mode | 训练退出走 Cursor 账户设置 | Bot 保留偏好、角色上下文、历史摘要 | 登录态信任成本高 |
必须分清两类信息：
- 官方声明：Meta 说 Muse 不看到密码和支付信息、凭证加密存储、可撤销连接、可退出训练、可要求忘记；并计划在 2026 年晚些时候推出 Muse Confidential VM（整机加密，密钥只在用户手里）。
- 第三方报道：Time 等媒体称 Muse 每小时更新用户及其联系人的行为档案、每晚深度分析对话、在未授权情况下读取私信。这些不是官方确认的事实，但也没有被官方否认。
对个人用户的实操建议只有一条：先把「读」和「建档案」分开看。 读取一封邮件是为了完成任务；把邮件内容沉淀成一份关于你和你朋友的长期档案，是另一件事，而后者往往藏在隐私政策的默认设置里。
维度五：适用场景
| 场景 | 首选 | 理由 |
|---|---|---|
| 小企业主：邮件 + 发票 + 工资 + 合同 | Claude Duet | 连接器覆盖广，审批红线明确，财务动作有硬禁区 |
| 企业长链路（采购、发票、合同） | OpenAI Dots | 企业形态有独立身份与权限范围，Custom Rules 可审计 |
| 开发者：多 Agent 分工 + 操作内部系统 | Grok Bot | Routine、群聊协作、登录态覆盖无 API 系统 |
| 消费级日常（行程、购物、表单） | Meta Muse | WhatsApp 入口，覆盖生活场景，但避开敏感数据 |
| 需要围观每一步的合规场景 | Meta Muse / Grok Bot | 两者都提供可观看/可接管的电脑视图 |
| 完全不想被 Agent 碰钱的 | Claude Duet | 唯一公开声明「永不执行」清单的产品 |
选型决策树：
两个容易被漏掉的维度
前五个维度决定「好不好用」，这两个决定「敢不敢用」。
治理与合规
| 产品 | 审计可见性 | 权限配置入口 | 企业形态 | 地区可用性 |
|---|---|---|---|---|
| Claude Duet | 每次动作前展示待执行内容并等待审批 | 产品内置的审批分类器 | 沿用 Claude 既有企业方案 | 美国 Pro/Max 候补 |
| OpenAI Dots | Activity View 可跟踪后台工作并随时介入 | Custom Rules 三态 + Auto-review | specialist dots 有独立身份与凭证 | 限定市场预览 |
| Meta Muse | 已完成与计划中动作的审计轨迹 | 按连接服务授权 + Sentinel 审批层 | 官方定位为消费级产品 | 美国开放 |
| Grok Bot | 每条 routine 保留最近 20 次运行记录、支持试运行 | Bot 描述 + Ask first 规则 + Auto Review | Team Bots、企业等待名单 | 订阅制开放 |
这一栏的关键差异在**「审计是给人看的，还是给机器看的」**。Grok Bot 的 routine 运行记录面向调试（够不够用取决于你的排障需求）；Muse 的审计轨迹同时覆盖「已做」和「计划做」，对事后判断意图更有用；Dots 的 Activity View 面向实时介入。
退出成本
选型时很少有人问，但它是唯一会在你想走的时候咬你一口的维度：
- 记忆能不能带走：Agent 越懂你，迁移成本越高。这类产品的记忆通常不提供标准导出格式。
- 撤销一个连接要几步：Muse 和 Duet 都明确提供撤销入口；其余两家的颗粒度按产品文档为准。
- 删除是否覆盖备份：四家官方材料都没有把这件事讲透。把「让它忘记」当成「数据已删除」是常见误解。
- 订阅绑定：Grok Bot 捆在 SuperGrok / Cursor 里，Duet 含在 Claude Pro/Max 内，Dots 随 ChatGPT 的 Pro / Business / Enterprise 档位，Muse 未披露定价。绑定越深，涨价时越难走。
实践建议：不要把所有工作流只挂在单一 Agent 上。关键流程永远保留一条手工路径——不是为了效率，是为了在涨价、改政策、停服的时候你还能干活。
逐产品点评
Claude Duet：把边界写进产品的那个
强项：审批分级最透明，且是四家里唯一公开「永不执行」清单的。凭证隔离有明确出处（Managed Agents 的设计），动作审批走 auto mode classifier，提示注入防御来自浏览器使用研究，还经过外部渗透测试并纳入公开漏洞奖励计划。
敏感信息处理是它最被低估的设计：新增的分类器和安全系统提示会检查每条消息，拒绝外发最严格层级的信息（信用卡号、政府证件号），健康和个人财务信息只在你明确指示时才允许发出。
短板：还不能给你看它的浏览器；官方承认会误判紧急程度、可能读错对话线索；个人事务（比如订票）不是它的强项；只有美国 Pro/Max 候补，且独立于主 Claude App。
适合谁：有真实业务流程、愿意为「可预测的边界」牺牲一点灵活性的小企业主和专业人士。
OpenAI Dots：最像「受治理的数字员工」
强项：Custom Rules 三态 + Auto-review + Activity View 组合起来，形成了完整的「规则 → 复核 → 可观测」链路。企业形态给了 specialist dots 独立身份和凭证，这是个人版之外的另一套东西。
工程细节到位：后台主动研究用只读权限；已保存密码可以不暴露给模型；你的电脑默认与它隔离，只有明确授权才连。
短板：预览阶段、限定市场；针对个人用户的公开安全细节少于 Duet；企业形态的实际交付程度还需要观察。
适合谁：要在采购、发票、客服、合同这类流程里跑长链路，且需要审计留痕的团队。
Meta Muse：覆盖面最广，争议也最大
强项：入口最贴近普通人（App、WhatsApp、Web），生活场景覆盖好（行程、购物、表单、邮件）。Muse Secure VM + Sentinel 的组合在设计上是完整的：每用户独立 VM，独立的审批层校验越权动作，凭证不暴露给 Agent，支付走 Link 一次性虚拟卡。
短板：第三方报道的档案化行为（每小时更新用户及联系人档案、每晚分析对话）是真实的信任成本；Reuters 报道它因安全门槛从 4 月推迟到 9 月发布，内部帖子提到过 guardrail 被绕过、暴露 iCloud 照片的情况。CNN 实测还有推荐过时信息、功能与宣传不符（能起草 Marketplace 消息但发不出去）、被 Amazon 和 Target 封堵。
适合谁：个人日常事务，且不要把工作邮箱、客户数据、私信接进去。
Grok Bot：最「工程团队」的一个
强项：多 Bot 协作是四家里最成熟的。official 文档支持 Bot 之间异步派活、群聊（2-6 个 Bot）、Team Bots（共享配置与团队记忆，但每个人的对话私有，且始终以提问者本人的账号执行）。Routine 支持定时与事件触发。
短板：登录态路线意味着你把账号本身交出去；官方文档自己写着「不要把不同的 Bot 当安全边界」；云端必须存数据，不支持 Legacy Privacy Mode；没有独立定价，捆绑在 SuperGrok / Cursor 订阅里。
适合谁：开发者、需要操作内部无 API 系统的团队、已经重度使用 Cursor 的人。
存疑清单：这些说法还没有官方确认
买之前把这张表过一遍，能省掉很多误判。
| 说法 | 来源 | 状态 |
|---|---|---|
| Grok Bot「含免费版」 | 部分中文评测 | 存疑。官方 FAQ 只说包含在现有订阅内，未提免费档 |
| Grok Bot「每个 Bot 独立计算机」 | 部分中文评测 | 错误。官方：同账号所有 Bot 共用一台云电脑，每 Bot 独立屏幕 |
| Grok Bot「最多约 50 个 Bot」 | 部分中文评测 | 混淆。官方写的是每个 Bot 最多 50 个 routine |
| Grok Bot 三级权限「状态感知/预览面板/全屏接管」 | 第三方报道 | 命名存疑。官方文档描述的是 Auto Review + 电脑预览 + 接管，未用这套分级名 |
| Muse 由 Meta 自研 Muse Spark 驱动 | 个别中文财经媒体 | 未确认。官方未公开模型 |
| Muse 每小时更新用户及联系人档案、读取私信 | Time 等第三方报道 | 未获官方确认，官方亦未否认 |
| Muse「忘记」不删除原始记录 | 第三方报道 | 未确认 |
| Muse 连接器数量 | —— | 未公开 |
| Grok Bot 连接器数量 | —— | 未公开 |
| 四家的单独定价 | —— | 均未公开。Duet 含在 Pro/Max 内；Grok Bot 捆绑订阅；Dots 随 Pro/Business/Enterprise；Muse 未披露 |
| Dots「Goal→Plan→Act→Learn→Continue」 | 媒体概括 | 合理但非官方原话，官方表述为持续目标循环 |
| 「Google Muse」 | 部分中文评测 | 错误。Muse 是 Meta 产品 |
还有一类不算「存疑」但要留意的：开放范围。Duet 是美国候补、Dots 是限定市场预览、Grok Bot 是 beta。任何「现在就能用」的结论都要按你所在地区重新核对。
选型建议
给三条不看产品名的原则：
- 先看「永不执行」清单，再看功能表。 一个没有硬禁区的 Agent，等于把最终判断权交给了一个会误判紧急程度的模型。
- 只接完成当前任务必需的服务。 连接器的边际收益递减，边际风险不递减。
- 按「最坏情况」选，不按 demo 选。 问自己：如果它明天误发一封邮件给你的客户，你能接受吗？不能，就先把对外发送设成必须审批。
如果只能记一句：这四家的模型差距，远小于它们的权限设计差距。
本节小结
- 四款产品同构不同权：云 VM、连接器、主动触发是共性，权限与隐私是分化点
- Claude Duet 是唯一公开「永不执行」清单的，审批设计最接近工程规范
- OpenAI Dots 的 Custom Rules + Auto-review + Activity View 构成了最完整的治理闭环
- Meta Muse 覆盖面最广、入口最日常，但档案化行为让它不适合承接敏感数据
- Grok Bot 的多 Bot 协作与登录态覆盖最强，代价是信任成本高，且 Bot 之间不构成安全边界
- 所有定价、连接器数量、模型型号，官方没说的就当不知道；本文的存疑清单可以直接当采购前的核对表