当 agent 有了手机号和钱包，"委托"才成为真问题
9 月 28 号，Manus 带着 2.0 和 Cue 回来了。这是它从 Meta 分拆、恢复独立运营后不到一个月交出的答卷。
发布会上最抓我的不是那几个百分比（Token 降 23.2%、成本降 32%，官方自称，单项测试数据），而是肖弘对 Cue 的定义：一个有独立的手机号、邮箱、支付、电脑和足够的”智能”的”东西”，”也许可以称之为’人’“。
同济大学的李王明卉在采访里补了一刀：Cue 最有意思的不是接电话、点餐、付款，而是这件事背后的信任架构问题——”你怎么信任一个拿着你授权的 Agent？越权的边界在哪？”（科创板日报）
巧的是，就在同一周，我让我的 personal agent 干了一下午完整的活：给博客改名叫”AI即世界”，顺手把排版装修一遍，5 次文件推送全部上线。
发布会讲的是”身份”，我这一下午撞见的是”委托”。这两件事，其实是一件事的两面。下面写的，是我停下来想了很久的几处。
先说结论
人能委托给 agent 的边界，由两样东西画出来：可逆性和可验证性。两个都满足，放心给；缺一个，人就得下场。剩下的外包不出去的部分，叫判断力。
证明过程就是那一下午。
改 CSS 字号这种活，错了一分钟回滚，对了肉眼一扫就知道——我全程只点了确认，细节一眼没看。博客改名叫什么，技术上就是改个字符串，可逆得很，但品牌不可逆，”AI即世界”推出去就收不回，我亲自纠结了”既”还是”即”。楷体方案二选一，品味这东西没有 ground truth 可查，只能我定。
所以那一下午我干的三件事——拍板、取舍、验证——不是巧合，是这张图推出来的。
有意思的是”验证”这一格
有一次推送，工具返回了 OK。我多问了一句，去远端一拉文件，文件头多了一行工具残留文字。它解析自己工具输出的时候，把状态行当成文件内容一起写进去了。
OK 是真的，文件也写上去了，就是内容脏了。它没撒谎，它只是不知道自己错了。为什么不知道？因为它验证自己的方式，是读自己的工具输出——用同一通道验证自己，等于没验证。
这跟代码不能自己审自己是一个道理。往深了说，这是 eval 难做的根源：ground truth 必须在智能体外部。让 agent 自己给自己打分，测出来的都是幻觉。
IEEE 去年底那份专家预测里有句话，我当时没在意，现在越想越对：在数据管理、决策流程等方面，”均需要持续监督与定期审计”。他们说的是消费级 agentic AI 普及后的风险，我那一下午撞见的，是同一个问题的微型现场。
审批不是累赘
那一下午，每次文件推送都要我点一次确认。一开始觉得烦，后来越想越觉得，这就是 personal agent 这个产品本身。
你看 Cue 的卖点：独立手机号、钱包、电脑——每一样都是”能对外行使社会行为”的能力。能力越大，确认越不能少。验证界面不是 friction，是产品。 以后 personal agent 的竞争，不在谁的模型更聪明，而在谁把”执行引擎 + 验证界面”这套做得更顺：确认粒度多细、回滚多便宜、状态多可见。
Meta 的 Muse 9 月 8 日上线，13 天 260 万下载，登顶美区免费榜，拼的也是这个：把任务交出去的顺滑度。国内这边，WorkBuddy、豆包、千问工作已经在铺量了，Manus 回来要正面撞上，靠的只能是差异化——李王明卉的判断是，”代理实体”定位加执行环境的通用性，这条路更难，但天花板更高。
最后那一公里，叫责任
前面都是术，这层是道。
Agent 可以执行、建议、犯错，但它不能”负责”。博客名字起错了，丢人的是我，不是一个进程。责任无法外包，这是委托的第一性原理。
Cue 越往”身份”走，这个问题越尖锐。李王明卉问”越权的边界在哪”，我的回答是：边界不在技术里，在后果里——后果落到谁头上，拍板权就在谁手里。Agent 拿着你的钱包付错一笔账，钱不会从它的账户扣。
所以”拍板”永远是人的，不是因为人更聪明，而是因为只有人能承担。
没想透的部分
诚实地说，有一块我还没想透：当 agent 强到连”验证”都做得像模像样时，我怎么确认它验证的不是自己的幻觉？
目前我的答案很土：去远端看一眼。世界的状态，只能向世界本人求证。但这条路有天花板——当它替我办的事复杂到我看不懂，”看一眼”就失效了。
也许答案在 Cue 那边：独立身份、独立审计，再加责任保险，把”验证”本身也变成可委托、可审计的环节。但那是下一篇的事了。
今天先到这。博客现在叫”AI即世界”，全是它推上去的，全是我按上面这套验证过的。概念很热，但答案不在发布会里，在一下午的实测里。