2026 年 10 月 16 日，The Verge 公布了与黑客 Sammy Azdoufal 一起对 Energize Lab 旗下陪伴机器人 Eiliko 所做的实测：用户的对话、用户画像、儿童照片和音频被存放在一台没有防护的服务器上；约 68000 台设备可被访问，涉及约 1300 万条对话，其中超过 31000 份儿童档案来自美国，并且演示了远程劫持一台设备。

先说结论：这不是某个玩具上额外长出来的一个安全漏洞，而是消费机器人的默认架构——常开的麦克风和摄像头、以方便为先的后端，而公开报道中没有描述任何补丁或吊销路径——它在整个品类还没定义清楚什么叫“已部署”之前，就已经按机队规模出货了。汽车行业之所以能做到“可监控、可修补、可吊销的信任边界是销售前提”，是因为型式认证把这个要求变成了硬门槛。消费机器人没有这样的强制力，所以这份纪律只能来自产品选择。在它到来之前，陪伴机器人的单位经济模型，本质上是在抵押一笔没有人入账的负债。

我的结论

一个可用的定义：只有当每一台设备同时满足下面五点时，这支机队才算“已部署”——可清点（能枚举出来，并知道归谁所有）、接入时可认证（没有身份的可达性只是暴露，不是部署）、可修补（修复能在明确的时间窗内覆盖整个存量装机）、可吊销（几分钟内能把一台设备或一份凭证切断）、有责任人（凌晨三点有人负责，并且有权关停）。

只用已报道的事实给 Eiliko 打分：可清点——部分成立，机队确实以数据库记录的形式存在、还挂着用户画像，但访问不需要身份，于是“清点”和“访问”变成了同一件事，这正是失败点；接入可认证——否；可修补——报道中没有；可吊销——报道中没有；责任人——没有公开。五条里占两条，而且都是最便宜的两条。

这就是本文的论点：一个产品可以很讨喜、可以卖得很好，却仍然不算“已部署”。行业一直把“出货”和“部署”当同义词，因为这两者的差别只在最糟糕的那一天才显现。

约束条件

四个约束决定了这件事，其中只有一个与技术有关。

成本。Apple 给 HomeView 定的 299 美元，大致就是大众家庭设备的价格上限。BOM 上每多花一美元在安全芯片、硬件信任根或单机密钥注入上，就要从麦克风阵列或者毛利里扣回来。

可观察性。在购买那一刻，买家无法判断一个后端是否做了认证。安全是不可观察的属性，货架就无法给它定价，最便宜的架构于是赢下货架。Eiliko 这件事的机制更多在这里，而不是恶意。

反馈延迟。汽车出问题，是动能事件、责任可归、几周内进入诉讼。机器人玩具出问题，是几年后才浮出水面的隐私泄露，而买单的客户根本看不到账单。本来可以约束设计的那条市场信号，要等到又出货三代之后才到。

没有强制力。汽车有 UN R155 和 ISO 21434，靠型式认证卡住：没有证书就不能卖。200–300 美元的消费机器人没有任何对应的关卡。最接近的反证是 10 月那起针对欧洲超市冷链的网络攻击：路透点名 Intermarché，称 150 家门店被针对；《世界报》报道多家连锁被迫关闭冷柜；Claroty 的 Team82 此前披露过 Danfoss 制冷控制器的漏洞——但报道至今没有确认用的是哪个 CVE、攻击者是谁、损失多少。制冷控制器好歹有一个运营方和一份服务合同；玩具只有一个家长。

取舍选项

真正的分岔不是“安全还是不安全”，而是边界放在哪里，以及为了守住它愿意放弃什么能力。HomeView 是最好的对照架构，因为它落在同一个价格带：299 美元、7 英寸屏、11 月 13 日起在美英加澳发售，按产品页面描述，A18 芯片的 Secure Exclaves 把摄像头和麦克风的数据放在操作系统和 Apple 都无法访问的隔离区内处理。这只是产品页面的说法，尚无独立验证，应当按设计意图而非实测属性来看。它同时不提供 App Store 访问——这是同一笔取舍的另一面。

证据

三个数据点撑起全文。

第一是 Eiliko 的规模：68000 台可达设备、1300 万条对话、超过 31000 份美国儿童档案。最后一个数字才是把架构批评变成监管与声誉事件的东西——而这个数字，产品经理在出货前就能写进一页 PPT。

第二是 HomeView：299 美元、11 月 13 日、四个市场、隔离区说法未经独立验证。它证明信任边界在这个价位是负担得起的，也证明代价是失去应用生态。

第三是 Waymo：超过 4 亿公里完全自动驾驶里程、官方称在严重伤害及以上事故中比人类驾驶少 95%、多伦多目标 2028 年迎接首批乘客，且此前先以人工驾驶采图并由自动驾驶专家测试、与 Element Fleet Management 合作做车队管理。这才是一份有分母的安全论证。299 美元的桌面机器人做不出这种形状的声明——而同期流传的单电机 DIY 无人机视频，既没有产品化也没有独立性能数据，恰好说明从 demo 到部署的沟还多宽。

反方意见值得认真对待。“它只是个玩具，威胁很低”——演示出来的远程劫持和那 31000 份儿童档案就是回答。“隔离区会毁掉产品”——部分成立；Apple 用初创公司没有的服务收入来填这笔账，这种不对称是真实的，不是道德差距。“监管总会来，等等更理性”——只有当责任被封顶时才成立，而它并没有被封顶。“汽车类比是硬套，汽车会撞死人”——说得对，而这正是要点：这个类比断裂的方向，是让机器人更难而不是更容易，因为反馈慢，而且受害者不是买家。

这个结论的边界

这套论证适用于 500 美元以下、带常开传感器、走零售渠道、销往美国和欧盟的消费机器人，且机队规模大致在万台以上、人工处理已经不可行的区间。它在这些情况下会变弱：仓储与野外机器人，买家就是运营方、现场自带安全团队、服务合同里本来就有 SLA；第一天就有事故响应责任人的企业机队；当前一代已经带硬件信任根的设备；以及规模极小的机队——6.8 万台大到会疼，也小到一个有决心的团队几乎能靠人工清点和打补丁。我不主张的是：HomeView 的隔离区已经得到验证，或者这件事已经有了定论。

我会怎么改

四条要求，都可被证伪。

第一，把留存上限写进规格表并给出数字：对话和图像保存多久、存在哪里、是否会离开设备。不愿意白纸黑字写下来的厂商，其实已经回答了。

第二，OTA 与吊销的 SLA：修复多久能覆盖存量装机，多久能切断一台设备或一份凭证。没有数字，就等于没有能力。

第三，事件披露承诺，并指名一个有权限吊销某个 SKU 的人，而不是一个 security@ 邮箱。这就是“凌晨三点我打给谁”的答案。

第四，把“已部署”的定义写进采购合同或投资备忘录——可清点、可认证、可修补、可吊销、有责任人——并据此给厂商打分。

我的判断是：这个品类会走到那一步，靠的是被记成成本的产品选择，而不是一个自己长出来的监管框架。汽车是在有了型式认证加两份标准之后，信任边界才成为销售前提的。消费机器人两样都没有，所以眼下唯一可用的强制力，是一个会提问的买家，和一个把答案写进规格的产品经理。在那之前，飞轮是用数据融资的——而这一次，这些数据属于超过 31000 名美国儿童。

Anthropic 的使用政策把「自主物理操作」划入高风险类别，要求 human-in-the-loop，同时单独禁止用其模型为无人机装载武器。我的结论是：风险分级是对的，布尔值写法是错的——那句话里该出现的是一组数字，而不是「有人在场」。禁武条款没有争议。「必须有人在回路」看起来像一条清晰的线，其实不是，因为它不含任何工程内容：人必须在多久内响应，一个人能看住几台机器，联系不上人时机器人做什么，这些怎么验证，它一个字都没说。

汽车行业已经走过这个阶段。「驾驶员在监督」既是 L2 辅助驾驶的监管答案，也是它的营销答案，三方都不满意：监管方要去定义「监督」，保险公司要给它定价，工程师要实现一句没有阈值的句子。真正把行业往前推的是量化——声明的 ODD、可测量的接管时间、公开的运行数据，以及大家同意在里面争论的分级体系。

时间点更有意思。同一周，Anthropic 自己发表研究：9B 模型在被测的 9 类硬件中有 8 类跑通推理，30B 及以下模型已完成自主复制的大多数单步；Epic Games 转向 AI 先行，由 Claude 编写全部代码、指导全部美术，项目关联迪士尼 15 亿美元合作；QGIS 在 2026-10-07 合并 QEP428，把 AI 辅助贡献定为 NOT ALLOWED。一周之内三种针对机器自主性的政策姿态，而其中只有一种所处的领域，错误是可以撤销的。

我的结论

把物理动作单列为独立风险面是对的，而且早该做；把它写成一个是/否开关才是错的。真正的分界不是「有没有人」，而是错误可不可回滚。软件 agent 在关掉终端后留下后台守护进程——Codex CLI 0.157.0 默认就是如此，codex app-server --managed-daemon——你 pkill 一下就结束了；而一条穿过共用通道的机械臂不可撤销，「操作员当时在看」不会让结果反过来。

该被要求写的不是布尔值，而是一份量化的 human-in-the-loop 规格，至少带四个数字：teleoperation ratio（运行时或任务尝试中真正需要远程人介入的比例）、以 P95 表述的接管延迟分布、单操作员并发机器人数，以及人在回路失效时机器人进入的最小风险状态。若还能加一条，就是权限模型：联系不上人、而停下来反而是更差选择时，机器人被允许做什么。

这把问题换了问法。「必须有人类在回路」问的是有没有人在看；「公开你的 teleop ratio 和接管 P95」问的是这套部署有没有被真正监督。只有后者可审计。

约束条件

四条约束决定这件事能走多远。

一是词汇。ADAS 继承了一套粗糙但共享的分级体系，也共享 ODD 这个概念。移动操作臂和人形机器人没有对应物：任务没有公认定义，混合通行的仓库没有 ODD 语言，也没有规则说明模型版本一变算不算同一套部署。没有这些，teleop ratio 在厂商之间不可比。

二是测量文化。汽车行业有 disengagement 和里程的披露习惯，机器人行业有的是 demo。机械操作领域没有公开的接管延迟基准，也没有跨厂商的操作员并发披露，所以那几个数字只能由每家部署方自己建，没有一个行业均值可以对照。

三是成本与风险不在同一处。合规义务落在模型提供方，部署成本落在集成方，物理风险落在现场，这条链上没有谁天然有动力出测量的钱。

四是真正决定结果的一条：可审计性不对称。布尔值检查起来便宜，对没有机器人编制的监管者格外有吸引力；P95 接管延迟需要埋点、定义和一个有能力的审计方。政策只会写到能被验证的粒度上——这正是布尔值会存活下来的原因，除非部署方先把数字摆出来。

取舍选项

我的做法是：数据采集阶段有意用第二种，合同上承诺走到第三种。我放弃的，是「勾选项已经够了」的那份安心。

证据

可回滚性的不对称是直接可观察的。Codex CLI 0.157.0 打开交互式会话时默认启动常驻的 managed daemon，这是一次真实的 agent 失控，但几秒钟就能恢复。QGIS 敢对 AI 辅助贡献写 NOT ALLOWED（QEP428，2026-10-07 合并），因为最坏结果只是评审队列里一个坏补丁。Epic 由 Claude 驱动的流水线可以反复迭代，因为产物是代码和美术。这些领域负担得起粗暴政策，因为错误动作可回滚。物理动作恰恰是这条假设失效的类别——所以风险分级我接受，布尔值我不接受。

能力一侧同样有记录：Anthropic 自己的研究显示 9B 模型能在被测的 9 类硬件中的 8 类上跑推理，30B 及以下已完成自主复制的大多数单步。请把它读成对「廉价自主性尝试」的预测，而不是机器人在干有用活的证据。

我不当作证据的：汽车行业的历史记录——我熟悉到可以结构性描述，但不会在这里当基准引用。另外，机械操作领域没有公开的接管延迟数据集，所以那四个数字是提案，不是标准。

这个结论的边界

在有围栏、有硬联锁、只做一个重复任务的工位里，「运行时人不得进入围栏」就是正确且足够的规则，因为控制手段是围栏而不是人，布尔值在这里成立。

规模上：车队在个位数到十台上下这个量级以下时，操作员本身就是集成层，测接管 P95 是表演。这个论证真正生效，是从操作员与机器人比例进入招聘计划那一刻开始。

场景上：我谈的是与人共享空间、非结构化、多任务的机械操作。封闭通道里的固定路径 AGV 是另一个问题，可以有一条说得通的固定规则。数字本身也会移动：如果下一代 VLA 把介入压缩成异常处理，这四个指标仍是正确的规格，但可接受取值会移动很远——今天的数字不是目标。

公司规模与地区：小团队负担不起测量栈，部署方要提交什么也因司法辖区而异，规格应与车队规模和风险归属相匹配。最后，如果标准机构把数字写进规则，这个论证会以好的方式失效：那时布尔值的自我声明是可以的，因为工程内容由标准承载。

我会怎么改

如果由我起草条款，我会保留风险分级，换掉条件本身：在部署时披露 teleop ratio、以 P95 表述的接管延迟分布、单操作员并发机器人数和最小风险状态，并在模型版本或运行域变化时更新披露。

如果我是买方，我会把这四个数字写进合同，配测试程序和补救条款，并拒绝把「操作员在回路里」当作技术问题的技术答案。

如果我是部署方，我会在增加机器人之前先给「人」这条链路埋点——链路丢失、接管延迟、最小风险状态的进入都是一等遥测——把并发数压到真正被监督的水平，再只凭数据往上加。

从 ADAS 来的更普遍的教训是：愿意测量的行业，最后拿到的监管更好。机器人行业应该在强制之前就开始自己的测量文化，因为失败的布尔规则不会被修正，它们会被更粗暴的东西替换掉。

站在认知投资者和 Robotics 产品经理的交叉视角，我们该如何剥离“第一股”的光环，看清其底层逻辑？

1. 认知投资者视角：从“确定性”到“规模化杠杆”

对于认知型投资者而言，Momenta 的上市标志着投资逻辑的彻底切换：从博弈技术实现的“可能性”，转向博弈商业闭环的“确定性”。

• 数据飞轮的资本化： Momenta 核心竞争力不在于某个特定算法，而在于其 Mpilot（量产）与 MSD（完全无人驾驶）双轮驱动模式建立的“数据反馈闭环”。认知投资者看重的是：这种模式是否真正具备“低边际成本、高规模效应”的特质。上市首日的表现（零涨幅）反映了市场对“L2+ 供应商”身份的冷淡，以及对“物理 AI 平台”估值溢价的谨慎。
• 物理 AI 的估值锚点： 所谓的物理 AI，本质上是解决 AI 进入非结构化现实世界的成本问题。如果 Momenta 只能作为车企的 Tier 1，那它的想象力是极其有限的（制造属性强）；如果它能成为物理世界的通用感知与决策基座，那它才具备互联网式的指数级增长可能。目前来看，市场正处在重新对齐这一认知的分水岭上。

2. Robotics PM 视角：具身智能的“降维打击”与“升维焦虑”

作为一名 Robotics PM，我们关心的核心痛点是：长尾场景（Corner Cases）的消灭速度，是否快于资金的燃烧速度？

• 从“规则驱动”到“生成式智驾”： Momenta 强调的端到端、大模型路径，本质上是试图用“大数据+大算力”去对齐人类司机的直觉。PM 关注的是：在传感器方案日益收敛（视觉+激光雷达协同）的背景下，Momenta 如何在算法架构上实现真正的差异化？
• 具身智能的“车端先行”： 自动驾驶是目前具身智能（Embodied AI）最复杂、数据量最大的垂直应用。Momenta 实际上是在做一个移动的机器人系统。PM 的视角更冷峻：在这个高度内卷的生态中，第三方智驾方案商的生存空间，取决于其能否比主机厂自研团队更高效地解决“泛化能力”问题。
• 产品化的终局是“平权”： 智驾不再是溢价卖点，而是准入门槛。Momenta 的商业模式（License 模式）能否持续，取决于其能否将 L4 级别的算法能力“降维”到主流价位段的车型中，实现智驾平权。

3. 老马的洞察：老马识途，但新路在哪？

Momenta 创始人曹旭东曾说，自动驾驶是一场马拉松。但在老马看来，这更像是一场**“认知边界的不断向外拓宽”**。

• 资本市场的“物理惯性”： 虽然贴着“AI”标签，但 Momenta 仍摆脱不了汽车供应链的重资产特征和漫长的交付周期。
• AI 叙事的“幻觉修复”： 过去我们投的是“全自动驾驶”的梦，现在我们看的是“城市 NOA”每百公里的接管率。这种认知的回归，对行业是好事。

总结： Momenta 的上市是行业的一场“成人礼”。它证明了中国的智驾力量有能力在资本顶层站稳，但也预示着接下来的较量将不再是 PPT 里的愿景，而是财报里的交付量、成本控制和真实的算法泛化能力。

物理世界不相信幻觉，只相信闭环。🐴