L44_门禁：智能正在变便宜，而开门这件事正在变贵
这周为了做这期稿子，我一直在用一个浏览器。
它不是给我用的，是给 Agent 用的。它的说明写得很克制：把你已经登录好的浏览器状态借给 Agent——Claude Code 也行，Codex 也行——你在前台照常上网，不用跟它抢鼠标。
我第一次读这句话，以为它讲的是效率。用了两天才反应过来，它真正卖的不是速度，是门禁。
我们每天的工作里，有大量东西是被门关着的：邮箱、后台、公司的审批系统、云账单、内网、我的信用卡、我微信里的那个群。这些门过去只认一张脸，就是我自己。Agent 来了以后，第一件要解决的事，根本不是「它够不够聪明」，而是**「它凭什么进门」**。
而这一周我翻到的东西，几乎全在这道门上打转。有人在造钥匙，有人在抢配钥匙的生意，有人干脆把门焊死；也有人因为门没看住，付出了两个月的训练、上百名工程师的排查，和一个人对整份职业的信任。
—
把这一周的东西排开看，门禁其实有四个部件，缺一个都不行：钥匙（凭证怎么给）、规则（给了以后能干什么）、记录（干了什么、谁批的），以及最容易被忽略的账（这道门开着的电费谁掏）。
有意思的是，这四件事在这个十月各有各的进展，只不过有的是正面的产品，有的是反面的教材：
钥匙：1Password 把「让 Agent 用我的密码，但不让 Agent 看见我的密码」做成了产品。
规则：a16z 把钱包战争拆开，告诉你「用我的卡」和「作为我」是两件事。
记录：晚点那篇长文，把一个「记录全在、却没人读」的门禁失控现场一寸一寸还原了出来。
账：Vercel 的月度报告用一组数字告诉你，门越开越多，但开门的人正在换成最便宜的那批。
下面一个个说。
📚 深度阅读
把钥匙递给 Agent，但不让它看见钥匙
十月二十二日，1Password 发了一篇博客，标题很朴素：《Introducing 1Password for Agents》（见原文）。我看完的第一反应是：这才是这个行业真正需要的东西，而它一点都不性感。
它解决的是一个特别具体、特别难看的场景。你的 Agent 干活干到一半，撞上登录页，停住了。它转过头问你：给我账号密码。你面前只有两条路，而两条都很烂——要么你自己接管这个会话，每次手动敲一遍，慢且烦；要么你把密码粘进对话框，等于把整个数字生活的钥匙，交给一个正在替你办事的东西，而且这个授权没有边界，它做完这件事之后还拿着。
1Password 的方案是把这两条路都堵上：Agent 发起请求，说它需要保险库里的某一条；你在 1Password 里看到申请、点批准；然后由 1Password 自己把凭据填进目标网站，Agent 从头到尾看不到明文，一次性验证码也一样。
这个设计里最值得琢磨的一句话是博客里的那句「从 prompt 到 party」——从你开口，到派对办完。它举的例子特别生活化：你让 Agent 办个派对，它要去 RSVPify 收报名、去 Oriental Trading 买用品，每一步它都需要一条具体的登录权限，而你可以一条一条地批，也可以随时断开。
我更在意的是它的集成名单。Muse（Meta，iOS/Android/Web 已可用）、Grok Bot、Town Townie 现在就能接；Claude Duet（Anthropic）、ChatGPT Work 和 dots（OpenAI）在路上；Instinct、Browserbase、Perplexity、Ramp 等一长串在排队。这份名单本身就是一份行业地图：Personal Agent 这个赛道，已经拥挤到需要一层公共的门禁基础设施了。 就像电商拥挤到一定程度，必然长出 Stripe；Agent 拥挤到一定程度，必然长出「谁替你保管钥匙」。
这里有个判断我想说得直白些：这一层的价值不在技术，在责任的分摊。 密码管理器卖的一直不是加密算法，是「出事的时候有个东西可以追责、可以撤销、可以审计」。Agent 时代这道门只会更贵，因为敲门的不再是人，是一个你没法跟它讲道理的程序。
我的卡可以借你用，但你不必有我的卡
十月十五日，a16z 发了一篇长文《Wallet Wars》，作者是 VGS 的首席战略官 Terry Angelos（见原文）。这篇我看得很慢，因为它把一个我一直模糊感觉、但说不清楚的区别，用刀切开了。
它说，钱包战争水面下有两场最要紧的战争，看起来是同一个问题，其实不是：一场是「谁能帮我的 Agent 付钱」，另一场是「谁能让它作为我去交易」。前者是便利，后者是身份——Angelos 认为后者才是更有决定性的一战。
而沿着这两场往下，原文摊开了四个具体战场：连（谁的存量用户多）、达（没有钱包的结算按钮被所有商家接受，所以大家发虚拟卡绕路）、路（我有好几张卡，Agent 该用哪张）、责（我批了五百美元订酒店，它订错日期，谁赔我）。
区别在哪儿？它给了一个特别具体的例子，我读完直接记住了：你让 Agent 用你的 Chase 航空联名卡（MileagePlus）去 United 订一张机票。如果钱包（比如 Stripe 的 Link）先用你的卡扣了钱，再用它自己发的虚拟卡去付给 United——票买到了，钱也动了，但你的里程可能一分都没有。因为中间发生了两笔交易：一笔是你和钱包，一笔是钱包和商家。你和商家之间那条线，断了。
Angelos 把这段写得很刻薄也很准：Stripe 在造「Agent 商务的 AOL」。AOL 把杂乱的互联网打包成一个精心布置的花园，代价是花园之外的东西你碰不到。而在钱包自己的花园里，商家想跟你说一句「要不要注册 Walmart+」，整个体验就崩了——因为卡对不上。
这篇最有分量的，是它把「谁在争」摊开了：Link 三亿用户、Shop Pay 两亿五、PayPal 四亿以上；Stripe 和 Shopify 跑得快，已经在给 Muse 和 Instinct 供支付；PayPal 押的是它那张横跨消费者和商家的网。
最后落在一句话上，我觉得这句话该被印在明年所有 Agent 产品文档的首页：最好的未来，是我的 Agent 能用我的信用卡，而它不必拥有我的信用卡。
技术上这叫 scoped token——钱包生成一个只在特定商家、特定额度内有效的令牌，交易仍然挂回我原来那张卡，权益和拒付权都还在。Visa 叫 Visa Intelligent Commerce，万事达叫 AgentPay，Amex 叫 ACE，三家都在做。
我的看法是：这条路一定会赢，但赢的过程会很吵。 因为中间那段「虚拟卡绕路」的过渡期，对用户是净损失（丢了积分、丢了保障、丢了和商家的关系），对平台是净收益（截住了交易、截住了关系、截住了数据）。过渡期越长，用户被薅得越久。而用户很难察觉，因为钱确实付成功了。
门焊死的那一侧：403 翻倍，和 42% 不肯让 AI 下单
紧接着，a16z 的每周图表栏目发了一篇《Agents Denied》（见原文），把镜头的另一侧补上了：门不只是有人在开，还有人在焊。
最硬的一组数据来自 Cloudflare——今年夏天以来，Agent 和爬虫收到 403 Forbidden 的比例明显变胖，大约是原来的两倍。Muse 这类购物 Agent 把「agentic commerce 已经来了」的时间线往前推了一大截；紧接着，亚马逊这类大商家回了一句「没那么快」，直接把 Agent 购物车拦在门外。
为什么拦？文章把账算得很清楚：电商不想被去中介化，不想丢客户关系，更不想丢那批会看广告的眼睛；再加上退货和欺诈这两笔本来就越来越贵的账——NRF 的数据是，2019 年以来退货率大约翻了一倍，退货总成本翻了差不多三倍，而最常见的欺诈是「买完再拒付」。
但我觉得这篇最扎人的地方，是它把矛头转回了消费者自己。
调研里，大约四分之一的人说，愿意让 AI 替自己买各种日用品（奢侈品除外）；但42% 的人说，完全不信任 AI 替自己下单。Similarweb 的点击流数据也印证了这件事：AI 大量出现在购物旅程的中段——比价、做功课、看评测——但最后按下付款那一下，绝大多数还是人自己。
所以我在这三篇之间读出一个挺残酷的结构：门的三个方向都在收紧。 商家在焊门（403 翻倍），支付网络在造合规的钥匙（scoped token），而用户在门口徘徊（42% 不肯放行）。三方都不信任对方，于是都需要一层中间人。而中间人一旦出现，就会长出它自己的利益。
这也解释了为什么这一节要连着看：开门这件事，本质上不是技术问题，是信任的抵押品问题。 谁愿意把自己的信誉押在这道门上，谁就能收这道门的过路费。
🔗：This Week in Charts: Agents Denied
门禁失效的那两个月
如果说前面三篇讲的是「怎么把门开对」，那晚点这篇讲的是「门开着没人看」会发生什么。
十月二十三日，晚点 LatePost 发了《还原田柯宇事件：被破坏的训练，和一个争抢「天才」的时代》（见转载全文），同月还有一份受害者整理的技术披露站，把代码和证据摆在明面上。我读完最大的感受不是愤怒，是一种很具体的凉意：这套系统里每一道门都是合规开着的，只是没有人负责看门。
事情的骨架很多人已经知道：2024 年夏天，字节的视频生成项目 Goku 连续几个月训练异常，每周断两三次，后来恶化到每两三个小时断一次，上百名工程师参与排查，最后在实习生的个人目录里找到了攻击代码，人是田柯宇，被辞退、被起诉，2026 年一审判赔五十万（字节索赔八百万）。两年后他拿着近三千万美元融资回来，在一档播客里说自己当年是「朴素的正义」「以暴制暴」，于是旧事重新炸开。
但真正让我坐直的是那些门的细节。
而这套破坏之所以能持续两个月，第一个原因不是代码多巧妙，而是它精准地利用了「门禁本来就是共享的」这个前提。VAR 和 Goku 两个重点项目共用一个资源池，卡的配额从来没明确过；团队约定「为保证高优先级项目运行，管理员可以在事先沟通后停掉阻碍大规模实验的任务」，而这个权限，Infra 有、田柯宇有、陈守法有、两个人的直属领导也有。共享服务器上百人有读写权限。
于是攻击可以这么干：改一行 PyTorch 数据加载的代码，让读取顺序变成随机的，再强行把文件的修改时间改回去，改到纳秒级只差末尾两位，让它看起来和没改过一样。技术披露站的复盘更狠：最早的可追溯攻击在 2024 年 3 月，目标是 LlamaGen——直接往 T5 权重里混随机噪声，再恢复原有范数，让篡改后的张量在数值规模上和原权重一致。后来升级成一套能自动跑、按概率随机触发、按 GPU 数量门槛启动的系统，还会顺手删掉日志里能定位问题的那几行，甚至替换系统检查工具、把自己藏起来。
排查的人当时甚至怀疑过太阳黑子——2024 年 5 月刚发生过二十多年最强的一次太阳风暴。有人猜是英伟达某个尚未发现的底层问题，团队一度很兴奋：「大家都觉得我们创造了一个价值百万、千万级的问题，可以贡献给世界。」
这才是最吓人的地方：当门禁没有审计，故障就会伪装成物理规律。 你会在错误的地方找原因——怀疑硬件、怀疑集群、怀疑天气，唯独不会怀疑「有人拿着合法的钥匙进来过」。
而第二个漏洞，比技术漏洞更难补。晚点写了一个细节：2024 年 8 月 1 日，Goku 团队另开会商量怎么保存证据，开到一半有人喊「怎么田柯宇在这会上」——他们沿用了固定会议链接，他有权限，还能通过别人的飞书日历找到入口。当天，他文件目录里的代码正在被陆续删除。
还有一处，我读了两遍。投资人后来确实做了尽职调查：反复问他当年的事，找他大学老师了解评价，委托律师查阅一审卷宗。但晚点采访到的、当年和田柯宇同期项目组的核心当事人，都没有接到过这些机构的问询。 而一位风投的话被原样引了出来：「热门项目三个月可以融三轮，但三个月还不够真正认识一个人。」
所以这篇最后留下的问题，比事件本身更值得咀嚼：当公司和投资人挑人时，除了「他取得了什么成果」，有多在意「成果是怎么取得的」？ 这不是道德洁癖。共享目录、管理员权限、会议链接、代码提交记录——这一整套门禁系统里，记录一直都在，只是没有任何一个环节，被要求去读它。
🔗：还原田柯宇事件（晚点 LatePost） ／ 技术披露与证据整理
🤖 本周热点与深度
把门禁开给自己人：人均一万美金 Token 的 Manus，和傅盛的「你的 Agent 在哪里」
前面说的门，都是向外开的——给 Agent 开、给平台开、给支付网络开。这一周我最感兴趣的两篇，讲的是把门往里开：让 Agent 变成组织内部的一个岗位，而不是一个外面来的工具。
Manus 联合创始人张涛写了一篇《人均一万美金 Token，用 Manus 改造 Manus》（见原文）。里面有一组数字，在「每月几百美元 Max Plan」还算是谈资的当下，显得很不真实：团队人均每月 Token 开销超过一万美元，少数同学到七八万。
但真正让我停下来的是那个场面：他给工程师提了几条需求和 Bug，过一会儿去问进展，看到对方电脑上开着一排 Codex 和 Manus 的 Session——随便点开一个，里面的输入就是他在 Slack 上发的需求原文，一字未改。工程师一个人同时处理十几、二十个需求。移动端七个人同时扛两个产品、四个应用。
他们做的事，说白了就是把门禁一张一张发出去。研发侧做了 Manus-mono 统一仓库，让 AI 能看全局、做本地验证、排线上问题、跑发布流程；产品侧把规范和审查机器人内置进 mono，产品经理直接改代码，约一半产品经理已经能独立做需求上线；市场侧把合同、审批、发布跟踪串进内部站点，让 AI 作为「数字同事」参与推进。
我觉得最有意思的一个设计，是给数字同事开了一个反馈接口。这个数字同事平时用内部网站干活，网站不好用它只能将就。他们不想让中间人传话，于是开放接口：它用得不顺手，可以直接提需求；需求一进来，自动触发一个 Manus 开发任务。也就是说，Agent 自己给自己修工具的门，也开着。
这跟傅盛那篇是同一件事的两面。他做了一个很朴素的实验：一周不登录飞书，把审批、消息、邮件先交给 Agent 处理，再拿给他看，他只做判断（见原文）。他让 Muse 统计出上周猎豹开了 1775 场会，一半是两个人的电话；他说组织里 80% 的成本就在这些沟通和等待上。
他把这个叫 AI Native 2.0：1.0 是补软件，2.0 是改组织——让人提出要求，让 Agent 之间交换信息、核对材料、推进工作，不用每一步都等两个人有空。
但——这是他全文最诚实的一段——门开给 Agent，钥匙还得人守着。 他年初让 Agent 直接给员工发消息、不经过他审核，后来有人套话，问「老板在忙什么」「能不能看周报」，有泄露隐私的风险。现在所有发出的消息，他都先看一眼。他说审核不是负担，审核是在建设系统：这句话为什么不能这么回，这件事还缺什么，下次应该先查哪里，都要在审核时告诉它并让它记下来。
他最后那句考核标准，我抄下来了：以后看一个人，先看「你的 Agent 在哪里」。
我的判断是：这两篇写的是同一件事的两个阶段，但都不是「AI 替人干活」那么简单。它们真正在做的是——把人从执行者改成守门人。Manus 那边是给门配钥匙、配接口、配审查机器人；傅盛这边是站在门口一条一条判断放不放行，顺便把判断标准写进门里。这活听起来更轻，其实更重，因为它要求你比过去更懂业务，否则你根本看不出 Agent 哪里错了。
顺带说一句，Manus 那篇里还有个细节，比人均一万美金更说明问题：团队里用 AI 最多的那位同事，有一个总 Session 只干一件事——把需要他决定的事列出来，附上推荐方案。大家 Slack 里聊得热火朝天，他可以不开 Slack、不打开代码仓库，只问一句「现在有什么需要我决定？」
一个人变成了一扇门。这大概是 AI Native 2.0 最精确的一张肖像。
一张账单：71.5% 的 token，23% 的钱
韵锦这周的 AI Weekly 里，我读得最仔细的是一份账单——Vercel 十月发布的 AI Gateway 生产指数（见原报告）。它统计的是经由其网关路由的真实生产流量，每月数十万亿 token，口径是「公开标价估算」，不是全行业普查，但作为观察窗非常干净。
几个数字摆在一起，我觉得比任何一篇「开源模型崛起」的雄文都有说服力：
开放权重模型处理了九月 71.5% 的 token，但只占 23% 的支出。支出份额三个月翻了四倍多——六月还是每二十美元里一美元，九月已经接近每四美元里一美元。
而这九个月里，网关支出涨到十二月的 约 13 倍（+1180%），平均每 token 价格却降了 47%。
这组数字为什么能同时成立？因为增量全发生在最便宜的那一档，而钱还压在少数高价模型上。报告说得极准：最便宜的模型驱动 token 增长，昂贵的模型驱动支出增长。 DeepSeek-V4.1-Flash 一款就处理了九月将近一半的 token，却只占 2.6% 的支出；而单价在开源均价四倍以上的那一档（以 Kimi K3 为首）处理量小得多，却贡献了开源支出增量的约三分之二。
还有两个数字，我认为是这一轮真正的信号：
一是「换人」的频率。九月，接近一半的团队换了最常用模型，接近三分之一换了最常用厂商——这个「换厂商」的比例，创下了指数发布以来的最高纪录。 模型正在变成一个大投资里可替换的零件。
二是 Anthropic 的份额首次跌破一半，从 63.7% 掉到 43.9%。这跟「谁更强」关系不大，跟「谁能被替换」关系很大——报告里那句话我很喜欢：一家公司可以在依赖某个前沿实验室更少工作负载的同时，给它更多钱。实验室拿到的钱更多，占客户业务的比例更小。
我自己的判断是：这张账单其实也在讲门禁。 门禁的定价权，正在从「谁最聪明」转移到「谁最便宜、谁最可替换、谁的接口最标准」。就像公司采购门禁系统不会买最贵的那家，只会买能接进现有系统、坏了能换的那家。这也解释了为什么这一周我看到的模型新闻，全是「参数很猛」和「单价很低」同时出现——它们在争的不是王座，是插槽。
给 Agent 发一张画布门禁卡
十月十五日，Figma 在 Config India 上发了一批东西（见官方发布），我把它归到「门禁」这一栏，是因为它做的事本质上就是：给 Agent 也发一张能进画布的门卡。
最核心的是 Code Layers：把一段设计稿、一个 GitHub 仓库、一个用 Chrome 扩展抓下来的网页，甚至一句提示词，变成一个能跑的代码图层，直接放在画布上。大家可以一起点、一起评、一起改。公测对所有方案开放，付费方案在十一月四日之前免费。
配套的是 Specs：把写下来的意图、视觉探索、技术细节装进一个画布上的容器，把链接丢给编码 Agent，它就带着 Markdown、帧引用、代码图层和 Code Connect 片段一起走。再加上 Guidelines（把设计系统的规范和反模式写进库里给 Agent 看）、Code sources（从 GitHub 或 npm 导入真实组件库），以及 MCP 的二十个新合作方——OpenCode、Dia、JetBrains Junie、Meta Muse 都在里面。
体验碎周报第 296 期（见原文）对它的评价我很认同：AI 写原型已经很快了，卡住的环节在协作，这次 Figma 瞄准的就是这里。
顺着这个说一句我自己的看法。过去两年，设计工具都在解决「生成」；这一次 Figma 解决的是「门禁」——让 Agent 进到画布这个房间里来，和别人一起改同一件东西。 它没有把设计和代码合成一个东西，它做的是给两边都发门卡，让它们能在同一张桌子上碰面。这比「AI 帮你画得快一点」要有野心得多。
🛠️ 工具与技能
ego lite：一间给 Agent 的平行房间
回到开头那个浏览器。它叫 ego lite（见仓库），我在写这期稿子的时候天天在用，所以多说两句。
它的定位非常窄，窄到一句话能说完：把 Agent 放在后台自己的 Space 里干活，你在前台照常上网，不用抢鼠标；Claude Code、Codex 这类 Agent 可以直接用你真实的登录状态。
我觉得它这个「Space」的设计比「共享登录态」更值得学。共享登录态解决的是「能进门」，Space 解决的是「进门以后别把屋子搞乱」——Agent 有自己的一套标签页、自己的上下文，它在你登录过的环境里跑，但你们不共用同一块屏幕。这是个很朴素的隔离，却是所有「人和 Agent 共处」的产品迟早都要面对的问题。
我自己的使用体感是：它没有让我更信任 Agent，它让我更敢让 Agent 试。 这两件事差别很大。信任是心理门槛，敢试是操作门槛。把操作门槛降下来之后，你才会发现很多原来觉得「不值得让 AI 做」的琐事，其实是值得的——因为失败的成本从「收拾一地鸡毛」变成了「关掉那个 Space」。
⚠️ 一个提醒：给了登录态，等于给了它你这台浏览器里所有账号的身份。这套能力越方便，你越要清楚它连的是哪个 Space、跑的是哪个脚本。这一周我在门禁上读到的所有教训，归根到底都是这一条。
三种上下文：Agent 的记忆也要分房间
NN/g 九月发了一篇研究，体验碎周报这周也收了：《The 3 Roles of Context for AI Agents》（见原文）。它调研了一批天天用 Claude 干重活的重度用户，发现每个人都建了一个「上下文库」，而库里的东西可以按角色分成三类。
全局（Global）：很少变、跨会话塑造 Agent 判断的东西——你的偏好、你做事的标准、什么动作要先问你、什么是你的「正典」书单、品牌规范。
本地（Local）：只属于当前任务的——待办清单、项目变更日志、这次要用的研究数据、这次对话的历史。
环境（Ambient）：最脏最大的那一类——邮件、会议记录、Slack、Reddit、产品埋点。没被整理过，也不该被整理，但你希望 Agent 一直在旁边听着。
我最认同的一句是：「把上下文备好，比写一个好的 prompt 重要得多」。他们还举了个例子：一位用户指着项目目录说「读一下那个 md，然后实现它」——按很多标准这算很烂的 prompt，但足够了，因为那个文件里有完整的本地上下文。
这篇让我想到门禁的第三个部件：记录。上下文库其实就是 Agent 的记忆门禁——什么东西可以永久放进客厅（全局），什么东西只在书房用（本地），什么东西堆在储藏室让它自己翻（环境）。分不清这三间房的人，Agent 用起来就会永远「有点懂我，但总差一点」。
🔗：The 3 Roles of Context for AI Agents
✨ 随便看看
- 国务院给「被替代」留了一道缓冲门：十月十六日印发、二十三日公布的《关于适应人工智能技术发展助力构建就业友好型发展方式的意见》（国办发〔2026〕29 号，见全文），六个方面十八条任务。最被讨论的是那句「鼓励企业探索建立失业缓冲期制度」——大规模推广 AI 前提前告知受影响劳动者、提供转岗培训。文件还要求「稳慎把握人工智能在劳动密集型行业应用的范围、力度、节奏」，以及建立就业风险评估机制。体验碎周报的编辑读完只写了一句「这种发文真是让人焦虑」，我挺理解这种复杂心情：它是一道门，但门是装在被替代那一侧的。
- 当门禁开始「认出你是谁」：苹果十月十三日发了 HomeView，七英寸方屏、299 美元、A18 芯片，最多识别六位家庭成员，各自切换自己的主屏；更有意思的是它会根据你和屏幕的距离调整信息密度——站远看重点，靠近给细节（设计要点见这篇拆解）。首发不含中国大陆，Siri AI 初期只给英语。我把它放进这一期，是因为它把门禁的形态讲明白了：未来的门不是锁，是识别。
- 一个人组织了一整条产业链：南非代笔作家科拉尔·哈特，被客户用 AI 解约之后，二十个月用二十一个笔名出版三百七十一本书，卖出一百多万册，二〇二六年到十月收入突破一百万美元（见这篇拆解）。Claude 搭骨架、ChatGPT 写对白、Grok 写亲密戏，大纲阶段改，初稿跑 AI 体检，最后人工校对；再用多笔名做高频 AB 测试，一个笔名只占一个极窄的言情细分。争议很大，但她真正稀缺的能力不是「会用 AI 写作」，是知道该生产什么、以及怎么组织一整套生产线。
- 七十万买来的一场崩塌：另一位作者写了个反面案例，陕西一位县城老板花七十万买了「AI 客服+获客+军师+面试」四件套，结果账号被封、工资数据泄露、员工离职、供应商失联。文里那组数据很扎眼：二〇二五年调研显示 62% 的规上制造企业已采购或上线 AI 系统，但上线满三个月还能常态化运行的只有 38%，近三成停用是因为没人持续陪跑。真正的 FDE 要驻场、要按年算、要七八个人起步；假的那个只卖焦虑，然后把门禁的钥匙收走。
- 两个「不用打开主窗口」的设计：一是 Mac 上的 Tangerine，拖起文件后按 Shift 出轮盘菜单直接选格式，按 Command 走文件工具、按 Control 做 AirDrop，松手即完成（见细节）；二是 flomo 的知识图谱——它不用 Obsidian 那种节点连线，而是用等高线画你的思考：语义相近的笔记聚成山峰，记录越密，峰越明显（见细节）。一个把动作压进手势，一个把认知画成地形，都是很小、很聪明的东西。
- 初级产品设计岗正在悄悄消失：一篇译自 Medium 的职场文（体验碎周报 296 收录）说得很直接：画线框图、写按钮文案这些新人活，AI 几分钟就能做完，于是公司开始更早要求新人拿出自己的判断。这跟这一期的主题其实是一回事——门禁放低了，进门的人就得自己带点东西。
写到这里，我又想起开头那个浏览器。
我把它打开，是为了让一个 Agent 替我登进一个后台、扒一份数据、填进一张表。它干得很好，我没操一点心。但我在旁边看着它输密码的那几十秒，心里有个很清楚的念头：我交出去的不是密码，是「谁在替我做事」这句话的解释权。
这一周读到的所有东西，都在这句话上打转。1Password 说，把钥匙交出去，但别让它看见钥匙；a16z 说，让 Agent 用我的卡，但别让它拥有我的卡；晚点那篇说，门禁每一条都合规，但没人读记录，于是两个月的故障被当成太阳黑子的错；Manus 和傅盛说，把门开给 Agent，然后人站在门口一条一条地判断。
所以我想把这一期的判断压成一句话：智能正在变得便宜，门禁正在变得昂贵。
便宜到什么程度？一张账单告诉你，同样一笔钱，能买到的 token 大约翻了一倍，而九月的总支出是去年十二月的十三倍——便宜的是单价，涨的是用量。昂贵到什么程度？一道门的钥匙要专门做一家公司，一道门的规则要三大卡组织同时立标准，一道门的失败要一百名工程师查两个月、要一个人赌上整个职业生涯。
而站在门里的我们，剩下的活其实很清楚：决定谁能进来，判断它进来干了什么，以及在它干错的时候，认下这笔账。
这三件事，目前都还不能交给 Agent 自己。
下期见。