最佳实践
一句话理解：个人智能体的最佳实践只有一条主线：把"信任"当作与"能力"同等重要的设计目标——每条记忆有出处、每个动作过门、每条通知可解释、每次授权可审计。
设计清单
记忆层
- [ ] 画像事实必须带来源 episode（出处链），用户点击"它为什么知道"可达原始记录。
- [ ] 提供 forget 的级联实现：画像、向量索引、episode 去关联化三处同步。
- [ ] 支持数据导出（机器可读格式），满足可携带要求。
- [ ] 敏感类别（健康、财务、位置）单独 ACL，访问需重新认证。
- [ ] 冲突消解：新事实使旧事实失效而非并存（"我不喝咖啡了"）。
- [ ] 记忆写入区分来源可信度：用户明说 > 行为推断 > 第三方数据。
主动性与通知
- [ ] 每条主动通知附 score + reasons（"因为发件人是你的重要联系人"）。
- [ ] 通知分级：digest（批处理）/ info（即时）/ confirm（强提醒 + 一键批准）。
- [ ] 提供"别再提醒我这类事"且该反馈同时更新相关性策略。
- [ ] 同主题通知做幂等与聚合（日程冲突改一次提醒一次，不是每分钟一次）。
- [ ] 尊重系统级勿扰与日历忙闲；confirm 级通知要有退避升级（未响应 → 换通道）。
权限与安全
- [ ] 默认拒绝：未声明策略的动作类型一律 ask。
- [ ] 三态门（auto/ask/deny）内置在执行管道中，不是设置页开关。
- [ ] 模型上下文零明文凭证；凭证走独立代理进程，限 scope 限额度。
- [ ] 不可信内容（邮件/网页）打 tainted 标签，禁止直接转化为动作。
- [ ] 所有网络出口经守门组件；具备行为级异常检测与自动降权。
- [ ] 第三方技能/连接器必须签名、沙箱化、可审计（ClawHub 的 341 个恶意技能是教训）。
- [ ] ask 降为 auto 的每次降级永久可见于审计日志。
- [ ] sub-agent 权限是父权限的交集，不允许扩权委派。
连接器与执行
- [ ] 事件驱动（webhook/delta）代替轮询；连接器健康三态（正常/需重授权/已撤销）对 Agent 可见。
- [ ] 沙箱支持快照休眠与事件唤醒，空闲不计费。
- [ ] 长任务在里程碑 checkpoint，可挂起、可恢复、可被用户叫停。
- [ ] 浏览器自动化优先 accessibility tree 快照，降低反爬与页面噪声干扰。
合规与运营
- [ ] 地域与年龄策略前置到架构（未成年人默认关闭主动个性化）。
- [ ] 提供训练数据 opt-out，且与记忆功能解耦（退出训练不等于删除记忆）。
- [ ] 监控单用户日成本 P99，免费档设硬熔断。
- [ ] 上线前做提示词注入红队测试（邮件正文、日历邀请、网页文本都是注入面）。
反模式
| 反模式 | 后果 | 出处案例 |
|---|---|---|
| 让"记住的一切"都参与主动推送 | 通知轰炸 → 用户关推送 → 主动性报废 | proactivity gap 研究（Ask Now, Use Later；π-Bench） |
| 画像无出处、不可编辑 | 用户发现错误画像却无法纠正，信任崩塌 | 早期对话记忆产品通病 |
| 连接器整包授权、不可单撤 | 一次授权永久失控，合规红线 | OAuth scope 最小化原则 |
| 用"企业级安全"叙事替代消费级隔离 | C 端用户没有 SOC，提示词注入直接得手 | 2026 年多起 Agent 逃逸事件（arXiv:2610.12463） |
| 技能市场无审核 | 恶意技能规模化投毒 | ClawHub 341 恶意技能、CVE-2026-25253 |
| 免费档不做成本熔断 | 单个重度用户拖垮单位经济 | per-user VM 成本结构（见生产实践） |
| 记忆功能与训练数据捆绑 opt-out | 用户为保隐私被迫放弃核心功能 | GDPR 设计缺陷 |
| confirm 通知走弱通道 | 任务永远卡住，用户以为 Agent 失灵 | 通知退避设计缺失 |
演进路线建议
对于要从零构建个人智能体系统的团队，建议按信任阶梯演进：
- 第一阶段（只读助理）：连接器只读 + 记忆层 + digest 级通知。风险面最小，先建立记忆质量。
- 第二阶段（确认后执行）：加入 ask 态写动作与 confirm 通知。验证权限门与审计。
- 第三阶段（有限自主）：低风险动作（归档、改期建议）经多次批准后降级 auto；上线 tainted 追踪与 Sentinel 式守门。
- 第四阶段（常驻分身）：per-user 沙箱 + 长任务 + sub-agent，此时安全治理层的完备度决定生死。
不要跳级。Muse 把 Spark 模型从 4 月压到 9 月发布，公开理由就是安全考量——模型能力可以等，信任破了补不回来。
本章小结
- 最佳实践主线：记忆有出处、动作过门、通知可解释、授权可审计。
- 记忆主权（查看/纠正/删除/导出）不是合规成本，而是 C 端信任的产品化。
- 反模式中最致命的是三类：无过滤的主动性、无出处的画像、无审核的技能生态。
- 按"只读 → 确认执行 → 有限自主 → 常驻分身"的信任阶梯演进，不要跳级。
参考来源