问题
2026 年 10 月 3 日，ChatGPT 上线财务管理功能 Finances，入口是 chatgpt.com/finances：找出被遗忘的订阅、发现异常或重复扣款、追踪账单涨价、每周财务更新、基于实际支出制定预算、追踪信用分数、制定还债计划、用 Voice 讨论换工作带来的影响，以及跨账户投资组合的构成与集中度分析。值得讨论的不是这份功能清单。个人财务是典型的独立垂直品类——自己的 App、自己的首次引导、自己的安装动作、自己的信任叙事；而这次，它只是变成了用户本来就开着的那块界面里的又一条路径。
同一段时间里，Peter Yang（2026-09-21）的判断几乎相反：agent 住在 iMessage 这类现成聊天 App 里根本说不通，Muse 凭独立 App 加上 Meta 在全系产品里的推动，会是最可能的领跑者。Anthropic 改版后的 Claude Projects（2026-09-19）走的是另一条路：界面不变，行为变了——用户离开电脑后任务继续跑，在手机上随时跟进。两位一线从业者对同一个问题给出相反答案：能力该有自己的界面，还是租用别人的界面？
我的结论
入口如今是 agent 类功能最主导的包装决策，从这批材料看，多数团队选对了。但入口只买来注意力，买不来信任、验证和可迁移性——这批证据里所有严重的失败都出在这三处，另一半决策是交互：agent 把活干完交回来时是什么形状。是汇报后等人确认，还是先做再让人补救，这是两个不同的产品；而这批材料最薄弱的恰好是这一层——没有沙箱的 mods、任何本地进程都能拿走的认证 token、以及谈不上共享线程的延迟监督。我定范围的方式是：先选用户本来就在的那个入口，再把能力砍到“这个入口能验证、且每次交付的验证成本你愿意付”的范围内。验证不了的自主性只是 demo，不是功能。能力决定新闻稿怎么写，入口和它背后的验证预算决定这东西能不能活过与用户的接触。
约束条件
分发才是稀缺资源。 WeChat Mini Program（微信小程序）是现成的先例：第三方能力放在超级 App 的既有入口里分发，而不是做成一个个要单独安装的 App。Apple 用 App Intents 把同一件事正式化——它就是把 App 能力暴露给操作系统入口的 API。OpenAI 开发者文档里，ChatGPT 内部的一等原语已经排成一列：Sign in with ChatGPT、基于用户 ChatGPT 套餐的 apps、Plugins（扩展 ChatGPT 与 Codex）、Workspace Agents、Commerce、Ads、MCP connections。入口内的分发已经成了可以购买的东西。Anthropic 发布 MCP 时讲的是另一半：集成本身就是碎片化，协议是它给出的答案。
信任边界属于范围，不属于后期加固。 Claude Code 的 mods 让开发者用少量 TypeScript 改写提示词、新增界面或替换内置功能，随插件分发，权限与 Claude Code 相同且没有沙箱，官方明确提醒只安装可信来源。Meta 的 Muse 有真实的个人 agent 入口，却出了这样的 0-day：任何本地应用或终端命令都能拿到账户认证 token，从而完全控制 agent；发现者 Patrick Wardle 表示做出过多个概念验证攻击，Meta 在披露约 12 小时后发布热修复。而在此之前，Amazon 已经以“未授权 AI agent”为由开始封禁 Muse 的购物功能。
验证成本决定自主性。 Greg Kroah-Hartman 在 Kernel Recipes 2026 的演讲里审视了 Anthropic 的 Mythos 宣称发现的 79 个内核漏洞：按他对幻灯片的转述，24 个完全没有细节、14 个并非漏洞、3 个数据系捏造、15 个已在最新版本修复，真正需要修的只有 20 个。有评论引述演讲说法称，整件事相当于约一小时的内核开发工作。
质量退化默认是无声的。 Anthropic 的事后复盘记录了三处独立改动，分别影响 Claude Code、Claude Agent SDK 和 Claude Cowork，API 未受影响，三者均于 4 月 20 日在 v2.1.116 修复。其中一处是 3 月 4 日把 Claude Code 的默认推理强度从 high 调到 medium，以缓解部分用户感受为界面卡死的延迟——复盘承认这是错误的取舍，4 月 7 日回滚，影响 Sonnet 4.6 和 Opus 4.6。另一处在 3 月 26 日上线，会清除空闲超过一小时的会话中 Claude 之前的思考内容，以降低开销。
用户资产必须可迁移。 Yang 自己的建议：设计 skills 和文件时就要考虑能在不同 harness 和 agent 之间搬家，否则一半时间都花在搬家上。
共享上下文仍未解决。 你没法把配偶拉进 Muse 的对话一起规划假期，也没法把同事拉进 ChatGPT 或 Grok Bot 的线程；multiplayer AI 目前基本还是“在 Slack 里 at 一下 bot”。
取舍选项
| 选项 | 换来什么 | 代价 | 为什么选/不选 |
|---|---|---|---|
| 做成独立的垂直 App | 自己的首次引导和信任叙事，完整控制交互 | 安装与习惯成本、第二套账号与计费、信任负担全归自己 | 个人财务这类能力，用户要在看到价值之前先付安装成本；ChatGPT Finances 说明另一条路今天就能走 |
| 作为既有界面里的新入口（chatgpt.com/finances） | 现成账号、现成日常习惯、现成计费、即时分发 | 继承宿主平台的信任边界和事故，和同一界面里所有入口抢注意力，平台规则还可能突然改变（Amazon 封禁 Muse 是极端例子） | 选它——这是唯一能让用户第一天就付出注意力的方案 |
| 通过协议去租别人的界面（MCP、App Intents、plugins） | 触达你永远不会自己拥有的界面，并自带能扛住 harness 更替的可迁移叙事 | 对交互的控制最少，最终调不调用由宿主决定 | 不第一个选——协议是扩张动作而不是切入点，先得有个自己的主界面 |
| 让自主 agent 直接操作你已有的界面 | 覆盖最大，不需要逐个系统做集成 | 验证就是全部产品；Mythos 这类证据说明自主交付的验证成本没人愿意付 | 暂不选——先给出每次交付的验证预算，再谈上不上 |
| 只交付“观察与报告”，动作交给人执行 | 输出可验证、信任建立便宜、几乎不需要权限面 | 价值更低、更不防御，也更容易被宿主平台自己抄走 | 当信任边界不属于你时，这是诚实的第一个版本 |
证据
Garry Tan（2026-10-03）把 Capy 称作给 agent 准备的“7×24 站会”，并分享了一个跨会话案例：由他的 GBrain 协作者 Sina 发起的一轮修复，自动绕开了他自己在多个 Capy 线程里正在进行的工作，且完全模型无关。他为 GBrain 定的目标是让 agent 像当年的 Web 一样自然——不是一个聊天机器人功能。这是“存在感而非对话”版本的入口论，也是这批材料里支持 Yang 那一派立场最强的证据。
反面的证据全都出在“交付”这一步。Claude Projects 会自行拆解目标、分配并行线程、审查产出并汇总，用户离开电脑后继续跑，手机上可以跟进——是延后监督，而不是一轮对话。这恰恰是 Mythos 失败的形状：宣称的 79 个内核漏洞里只有 20 个需要修，而演讲把它的方法描述为把过去几十年内核补丁里的模式套用到别处，且不引用最初修复这些漏洞的开发者。自主审计的输出，只有在别人重新验证之后才成为产品主张。
再往下是权限层——mods 不设沙箱、Muse 的 token 失窃、Amazon 封禁未授权 agent——以及回归层：三处改动按设计正常工作，却仍然让质量退化到 v2.1.116。还有入口自身的护城河：跨账户分析之所以成立，是因为这块界面本来就持有账户。
这个结论的边界
这个判断的范围是消费者与准专业订阅界面（改版后的 Claude Projects 也是先给部分 Pro 和 Max 订阅用户），以及单用户的个人 agent。它对团队与多人产品几乎没有解释力，因为共享线程还没解决。它假设的是 2026 年这一代带语音和 computer use 的 agent；更早的工具调用世代，失败模式不同，验证成本也不同。地域也有关系：WeChat Mini Program 是一种超级 App 入口，以美国为先的读法覆盖不到，平台规则也因市场而异。公司规模同样有影响：无沙箱的扩展面不会被受监管的企业采购接受，mods 那一招在那里再有效也用不上。Claude Projects 的可用性细节来自一条转载的 Telegram 摘要，没有版本号、性能数据或独立验证——我采信的是交付的形状，不是那些数字。最后，这讨论的是包装，不是建议质量：ChatGPT Finances 涉及信用分数和债务，还债计划由谁负责，是入口回答不了的责任问题。
我会怎么改
- 先写验证预算，再写功能清单。一次交付如果验证成本高于它本身的价值，就砍掉，或者把人放进回路。
- 把权限模型和功能范围放在同一份文档里定。mods 不设沙箱并且明说了，这至少诚实；但这个决定最好在功能存在之前就做完。
- 为无声退化埋点。复盘真正的教训是：一个改掉默认推理强度的延迟修复就是一次产品变更，需要 eval，而不是一个配置开关。
- 抵抗“一个界面同时服务工作与个人”。Yang 说 ChatGPT 结构上的矛盾，和车企用一套 HMI 同时服务驾驶员与车队运营方时遇到的是同一种张力：两类用户要的默认值、权限和证据都不一样。
- 尽早定下可迁移的格式，并公开说明用户能带走什么。
- 在用户无法低成本验证动作的地方，先交付报告，再谈动作。
