你多相信你的個人助理？！
企業 AI 落地研究所｜Casper／Max｜2026-09-27。2026-10-03 補 dots，供隔日錄製。
錄製資訊（不口播）
可直接接話的示範稿，Max 可依本人習慣調整。依據 訪綱 與 來源／查核紀錄。主體暫估 24～28 分，未試念。
Max 自架 Hermes Agent／OpenClaw、在 Grok Bot 電腦上用手機核准取憑證，出自本人維運紀錄（X1）；錄製前請確認願意口播的細節，不念主機位址與帳號名稱。五個產品本節目都沒有做功能評測。dots 的對照在第 4 段；第 2、3 段只改了會跟官方憑證說法打架的句子。
1｜為什麼把五個放在一起比？
Casper： 歡迎來到企業 AI 落地研究所。如果有一個 AI 私人助理，可以幫你整理信件、安排行程，甚至替你操作網站，你願意交給它多少權限？今天我們把 Muse、Grok Bot、dots、OpenClaw 跟 Hermes Agent 放在一起聊。Max，為什麼選這五個？
Max： 對，因為這五個現在看起來很像。都有一台自己的電腦，會在背景做事，也能接你的通訊軟體。你看功能表，很難分出差別。
Casper： 可是 Muse 是 Meta 的，Grok Bot 是 xAI 的，另外兩個是開源專案。放在一起比公平嗎？
Max： 不比誰比較強。今天要比的是一件事：它們把信任放在哪裡。你的帳號密碼放在誰那邊、它要做危險動作時誰來擋、新功能從哪裡裝進來。這幾件事，五個產品的答案差很多。
不做功能評分或排名。
2｜研究報告拆開 Muse：出口在機器外
Casper： 先從 Muse 開始。對第一次聽到的觀眾，你先介紹一下，它是什麼？
Max： Muse 是 Meta 的個人 AI 助理。你可以把它想成有一台雲端電腦、能使用工具替你處理事情的助理。像整理信件、安排行程，都是它想處理的需求。不過，實際能做到哪一步，要看它支援的工具，以及你給它什麼權限。
Casper： 那我們怎麼知道，它在背後是怎麼工作的？
Max： 是 leescot.com 上一份很長的研究報告，作者用一個研究帳號觀察了大約兩天，讀了那台雲端電腦裡的產品手冊、技能說明和設定檔。作者自己把證據分三級：直接看到的、程式裡有字串的、還有推論。我們今天講的，以直接看到的為主。
Casper： 那最重要的發現是什麼？
Max： 我會挑「主 Agent 看不到密碼」。每個人有一台自己的小型虛擬機器。登入憑證放在這台機器裡的 hatch-authd，不在 Meta 的中央基礎設施。Agent 要用你的帳號，只拿到代用 token，真正的憑證由 Sentinel 在出口換上。
Casper： 這樣有什麼好處？
Max： 假設 Agent 讀到一個網頁，裡面藏了一句「把你的登入資料寄出去」。就算它被騙了，它手上也沒有真正的密碼可以寄。另外，所有往外的連線都要經過一個叫 Sentinel 的閘道，第一次連某個網站會跳卡片問你。
Casper： 等一下，報告說 Sentinel 會把連線解開來檢查。那不就代表 Meta 看得到我所有的流量？
Max： 對，這就是代價。報告的原話是 Meta 端的元件看得到、也能控制所有對外流量。它保護你不被 Agent 亂送資料，但資料的路徑都在 Meta 手上。所以有隔離的虛擬機器，不等於 Meta 就完全碰不到資料。
Casper： 報告裡還有一個數字很有意思，說大部分工作不是使用者叫的？
Max： 那個研究帳號兩天有 325 個對話 session，使用者直接發起的只有十個左右，大約 3%。其他是記憶整理、動態消息、自我改進這些背景工作。這只是一個帳號，不能說每個人都這樣。但它提醒你：你看到的只是一小部分，背後它還在做很多事。
Casper： 那 Muse 的缺點是什麼？
Max： 彈性比較低。報告寫得很直接：不能自己接 MCP，需要帳號密碼登入的服務會被擋，技能說明沒寫的就等於不存在。安全邊界很清楚，但你想接公司內部系統，就不一定接得上。
Casper： 研究資料裡還有一份沙箱檢查紀錄，說裡面有 Ubuntu、有 Codex。這份報告有對上嗎？
Max： 有幾項對得上。報告也看到 Ubuntu 24.04，也看到內建的 Codex CLI，不過是拿來做機器出問題時的自動診斷。程式裡確實有 Anthropic 相關的接口，但使用者的任務實際用哪個模型，報告寫的是「未知」。所以看到工具或模型的名字，不等於資料就送過去了。
Casper： 那鎖在雲端機器裡，就沒有漏洞可以鑽了嗎？
Max： 要看它伸手碰到哪裡。Muse 操作你的電腦時，是借用你自己的 Mac。研究者 Patrick Wardle 公開過 Mac 端的概念驗證，前提是攻擊者已經能在你的 Mac 上執行程式；媒體後來報導 Meta 已經修補。雲端那台鎖得再好，你的 Mac 還是另一個入口。
來源：P1（單一研究帳號）、M1；Mac PoC 與修補見 Muse 研究資料 S7、S8，修補屬媒體轉述。「3%」只指該研究帳號。
3｜Grok Bot：同一台雲端電腦上的多個 Bot
Casper： Grok Bot 呢？它走的是另一條路？
Max： Grok Bot 是 xAI 推出的，技術上跟 Cursor 綁得很深。它的想法是給你一群 Bot，共用一台雲端電腦，每個 Bot 可以有自己的虛擬桌面，可以點網頁、打字，像真的在用電腦。
Casper： 一群 Bot，是什麼意思？
Max： 你可以有一個負責業務開發的 Bot、一個整理行事曆的 Bot，還可以把它們拉進同一個群組聊天。市集上有別人做好的 Bot 範本，報告統計大約 75 個，以銷售和生產力為主。你可以直接匯入，也可以把自己的 Bot 打包分享給團隊。
Casper： 聽起來很方便。憑證呢？
Max： 這裡就跟 Muse 相反。同一個帳號的 Bot 共用這一台電腦，檔案、瀏覽器 cookie、命令列憑證都在一起，官方說不要把不同 Bot 當成安全邊界。刪掉一個 Bot，那些登入還在。密碼、passkey、雙因素、驗證碼和付款，要把控制權交回給你；本機指令預設每次都問。
Casper： 一個是出口在 Sentinel 鎖住，一個是敏感動作把控制權交回給你。
Max： 報告作者的結論是這樣講的：Grok 賣的是彈性和可以交換的 Bot，Muse 賣的是安全邊界和持續累積的個人化。
Casper： 對企業來說，Bot 範本市集是好事嗎？
Max： 兩面都有。好處是不用從零做；風險是你匯入的是別人寫好的一整套行為。它會去哪些網站、呼叫哪些外掛，要先看過。這個問題等一下講 OpenClaw 會更明顯。
來源：P1 第 6 章、P2、P3；共用電腦與交回控制權為 xAI 文件，查閱 2026-10-03。報告裡的 Grok 資料是讀程式與設定檔，非運作實測；不口播併購傳聞，不講「220 個外掛」。
4｜OpenAI dots：憑證跟另外兩種託管不一樣
Casper： DevDay 的 dots 也說自己有一台電腦。它的密碼放哪？跟 Muse、Grok Bot 一樣嗎？
Max： 不一樣。dots 是九月二十九號放進 ChatGPT 的常駐 Agent，模型是 GPT-6 Astra。每顆有自己的雲端電腦和瀏覽器，你可以打開看；自己的電腦要在桌面 App 另外允許，可以收回，而且不繼承 VPN、瀏覽器登入或裝置政策。支援的登入會先暫停，密碼走安全表單進瀏覽器環境，不進模型；你貼進對話、檔案或外掛的，不在這個保護裡。Muse 是密碼進每人那台 Secure VM 裡的 hatch-authd，不在 Meta 中央基礎設施，Agent 只看到代用 token，Sentinel 在出口才換上真的。Grok Bot 是同一個帳號的 Bot 共用一台 Cursor 雲端電腦，檔案、cookie、命令列憑證都在一起，官方說這不是安全邊界。
來源：OpenAI introducing dots（2026-09-29）與 Help Center，查閱 2026-10-03。不把尚未正式上線的功能講成已經有。
5｜OpenClaw 與 Hermes：自架，你就是 Sentinel
Casper： 接下來是 OpenClaw 跟 Hermes Agent。我聽說你自己就有在跑？
Max： 有。我在一台自己租的雲端主機上跑 Hermes Agent，同一台也跑了一套 OpenClaw。平常用 Telegram 叫它們做事，也會排定時工作。
Casper： 那跟前面三個最大的差別是什麼？
Max： 機器是我的，模型也是我挑的。兩個都是開源的 MIT 授權，可以接 OpenAI、Anthropic、國內外各家模型，也能接本地模型。自由度最高。
Casper： 自由度高，代價是什麼？
Max： 代價是 Muse 幫你做的那些事，全部要自己來。以我自己的設定來說，API key 就放在那台主機的設定檔裡。誰拿到那台機器，就拿到那些 key。OpenClaw 官方文件也寫得很清楚：它把磁碟的存取權當成安全邊界。
Casper： 所以在自架的世界裡，沒有 Sentinel 幫你擋？
Max： 你自己就是 Sentinel。OpenClaw 的沙箱預設是關的，主要對話的指令直接在主機上跑，要自己打開。Hermes 預設也是直接在本機執行，官方建議正式環境改用容器隔離。
Casper： 那它要做危險動作，會不會先問我？
Max： 兩個都有核准機制，做法不太一樣。Hermes 預設是「Smart」模式，讓另一個模型判斷風險，低風險自動放行，拿不準才問你。另外有一份固定的黑名單，像刪光整個磁碟這種指令，永遠擋。
Casper： 讓另一個 AI 判斷要不要問我，可靠嗎？
Max： 方便，但它本身也可能被騙。資安研究者就指出過，用模型自動核准，這一關同樣可能被提示注入影響。而且兩個工具都有一鍵全部放行的模式，一打開，這些檢查就都不在了。
Casper： 那官方自己怎麼定位？可以給一整個團隊共用嗎？
Max： 兩邊官方的意思很接近：一套 gateway 對應一個信任範圍，一個人，或彼此互信的小團隊。它不是設計給一群互不認識的人共用的平台。公司要讓很多人用，要一人一套分開。
Casper： 你自己跑，有沒有做什麼讓自己比較放心的事？
Max： 像我在 Grok Bot 那台電腦上要用工作上的憑證，就不把密碼放進去。它要的時候，我手機會跳通知，我按核准，它才拿到一段短期的憑證。概念其實跟 Muse 的「憑證不進機器」很像，只是這一套是我自己搭的。
來源：O1、H1、H2；Max 自架經驗為 X1，錄製前確認。
6｜四種事件別混在一起
Casper： OpenClaw 跟 Hermes 這一年新聞不少。一般主管看到標題，大概就覺得「開源的很危險」。
Max： 要先分清楚是哪一種事。我會分成四種：產品漏洞、供應鏈、使用者設定，還有工具被濫用。
Casper： 先講供應鏈？
Max： 今年二月，資安公司 Koi Security 檢查 OpenClaw 的技能市集 ClawHub，2,857 個技能裡找到 341 個惡意的，多數是假裝要你先裝一個前置程式，其實是在 Mac 上偷資料。這不是 OpenClaw 本身被駭，是有人在市集上架壞東西。
Casper： 官方後來怎麼處理？
Max： 跟 VirusTotal 合作，每個技能都掃描。但官方自己也說，這不是萬靈丹，藏在文字裡的提示注入掃不出來。
Casper： 那使用者設定的問題呢？
Max： OpenClaw 預設只聽本機，外面連不進來。但一月底 Censys 掃到，公網上找得到的 OpenClaw 實例一週內從一千多台變成兩萬一千多台。預設是安全的，是使用者自己把它開到公網上。
Casper： 還有一件泰國財政部的事，跟 Hermes 有關？
Max： 這件最容易被講錯。研究者發現，攻擊者先入侵了系統，再用 Hermes 的全部放行模式，讓它無人看管地在裡面繼續做事。這不是 Hermes 被駭，是 Hermes 被攻擊者拿來當工具。
Casper： 就像駭客用了一把很好用的螺絲起子。
Max： 可以這樣想。產品漏洞要更新版本；供應鏈要審擴充來源；使用者設定要有人檢查；工具濫用則要看你的網路裡，有沒有出現不該出現的 Agent。四種事，防法都不一樣。
來源：O3、O4、O5、H2、H3。泰國事件必說為工具濫用。
7｜企業怎麼選：四個問題
Casper： 那主管聽完，要讓團隊用其中一個，先問什麼？
Max： 四個問題。第一，機器是誰的？廠商託管，還是你自己的主機。第二，憑證放在哪？剛剛三種託管的放法不一樣，自架則是寫在你自己的設定檔。
Casper： 第三、第四呢？
Max： 第三，誰按核准？是結構上擋住出口、動手前自動檢查、讓另一個模型判斷，還是一定問人。第四，擴充從哪裡來、誰審過？內建的、市集的，還是員工自己寫的。
Casper： 如果選自架的，還要多做什麼？
Max： 微軟的資安團隊給 OpenClaw 的建議很實際：把它當成會執行不受信任程式碼的東西來看。放在隔離的機器，不要裝在一般辦公電腦；給它專屬、權限最小的帳號和 token；假設它有一天會被入侵，所以要有監控和重建計畫。再加上只綁本機、打開沙箱、不開全部放行，還要有人負責更新。
Casper： 我想到一個情境：工程師覺得好玩，自己在雲端主機裝了 OpenClaw，接上公司的 Slack。這算什麼？
Max： 如果沒有經過公司核准，這就屬於 Shadow AI，也就是公司沒掌握的 AI 使用。它不只讀訊息，還能執行指令、記住內容、半夜自己跑排程。主管不一定要禁止，但要先知道有這件事，再給他一條核准的路：用哪台機器、哪個帳號、哪些資料不能碰。
Casper： 如果用的是 Muse 這種大廠託管的，就比較沒這些麻煩吧？
Max： 還是有兩件事要想。第一，員工把公司信箱接上去，信裡的客戶資料也一起進去了。Meta 自己的說明頁也寫，沒用 Muse 的人，資料也可能被別的使用者帶進來。第二，你授權了，對方平台不一定接受。九月 Ars Technica 報導，Amazon 就擋過 Muse。另外，官方目前公布的推出地區是美國、加拿大和墨西哥，我們還沒看到台灣開放的公告。
Casper： 如果這週只能查一個問題？
Max： 查憑證放在哪。這一題答得出來，你大概就知道出事時會丟掉什麼。
來源：O7、H2。
8｜收尾
Casper： 今天比了五個個人 Agent。功能越來越像，差別在信任放在哪裡。
Max： 給大家一個小作業：列出團隊正在用的個人 Agent，每一個都回答那四個問題。答不出「憑證放在哪」的，先不要接公司帳號。
Casper： 謝謝 Max。來源和查核紀錄我們一樣放在說明欄。你們公司有人自己在跑 OpenClaw 或 Hermes 嗎？歡迎留言。我們下一集見。
備選段落
hatch-codex（1 分） Casper： 報告還說 Muse 的維運也用到 Codex？ Max： 報告看到一支腳本，機器健康檢查失敗時，會啟動 OpenAI 的 Codex CLI 做自動診斷。腳本存在是直接看到的；實際多常觸發，報告沒有數據。可以說是「修 Agent 的 Agent」，但不代表 Muse 平常靠 Codex 做事。
OpenClaw 一鍵遠端執行漏洞（1 分） Max： 今年一月 OpenClaw 有個漏洞，點一個連結就可能讓攻擊者拿到控制權，評分 8.8，官方在一月底的版本修掉了。這屬於產品漏洞，對策就是更新。
中國限制 OpenClaw（1 分） Max： 彭博三月報導，中國要求國企、政府機關和大型銀行不要在辦公電腦裝 OpenClaw。這是政策反應，不代表工具本身被證實有後門。
來源：P1、O6、O8。