个人 Agent 与常驻智能体：长期记忆、主动性与隐私边界

我让一个常驻 Agent 帮我盯过一个快递。包裹签收三天后，它还在提醒我“预计今天送达”。

不是它不聪明。它记住了物流单号，也记住了“每天检查一次”，但它没学会一件事：任务已经结束了。

这件事很小，但很典型。个人 Agent 的难点，从来不是能不能回答问题，而是能不能在长期运行中保持分寸。

从问答到常驻，多了什么

聊天机器人是被动响应：你问，它答，会话结束。

个人 Agent 更像一个常驻服务：持续接收事件，维护状态，在合适的时候主动做点什么。它要处理邮件、日程、消息、位置、文件，还要跨会话记住你是谁、你喜欢什么、哪些事情已经做过。

系统复杂度也随之变化。请求—响应变成了事件—状态—决策—行动。你要考虑调度、队列、失败重试、成本上限、权限和隐私。这些在聊天产品里基本不用管。

所以个人 Agent 的第一道坎，不是模型能力，是工程能力。

记忆：记住什么比记住多少重要

长期记忆是个人 Agent 的核心，也是最容易做坏的地方。

我一般会把记忆分成几类：情节记忆，记录某次对话或事件发生了什么；语义记忆，记录偏好、关系和事实；程序记忆，记录完成某类任务的步骤；工作记忆，记录当前任务的状态。

分类不是为了好看，是为了决定怎么存、怎么取、什么时候删。

写入策略比检索策略更重要。不是所有对话都值得记住。只写入未来可能复用的信息，记录来源、时间和置信度，区分用户明确表达的偏好和模型推断，敏感信息单独加密，用户能查看、修改、删除。

还要有遗忘机制。记忆越多，噪声越大。设置 TTL，过期内容不参与默认检索；冲突时保留新版本，标记旧版本失效，不要静默覆盖。

很多个人 Agent 的问题，不是记不住，是记了太多不该记的。

主动性：什么时候该闭嘴

主动性是个人 Agent 最有价值、也最容易越界的部分。

定时提醒、事件通知、异常告警，这些都能体现“它在帮我”。但用户注意力是稀缺资源，发多了就是打扰。

我现在会设几道限制：

每个渠道每天有通知上限；按重要性和紧急度分级；低优先级合并成摘要；允许用户设置免打扰时段；连续无响应时自动降频。

还要区分“执行”和“通知”。低风险动作可以直接做并记录；中风险动作做完通知；高风险动作执行前确认；不确定的时候先问，而不是猜。

一个简单的判断标准：这条通知能不能帮用户做出更好的决定，或者避免一个真实的损失？如果只是系统想展示自己有用，就不要发。

通知分级要具体。我的做法是分三档：必须马上知道的，比如航班取消、支付失败；可以稍后看的，比如日报、周报；只在用户主动查看时展示的，比如历史提醒。大部分 Agent 的问题，是把第三档当成第一档发。

隐私：用户要的是控制权

个人 Agent 往往能访问邮件、日历、文件、位置和健康数据。隐私设计的核心，不是“我们不会滥用”，而是“用户能控制”。

数据最小化是第一步。只收集完成任务所需的数据，优先本地处理，不把完整数据发给第三方模型，敏感字段脱敏或加密。

本地优先能解决一部分问题。唤醒、分类、抽取、草稿这些任务，很多可以在设备端完成；复杂推理再上云，并明确传输范围。

第三方共享要透明。每次向外部服务发送数据，都要告知用户，只发必要字段，记录共享目的和范围，支持撤回和删除。

用户还应该能回答：Agent 知道我哪些信息？它最近做了什么？把数据发给了谁？怎么删除？答不上来，信任就建立不起来。

工程上的几个硬问题

常驻 Agent 需要可靠的任务调度：持久化队列、失败重试、死信、幂等执行、优先级和限流、可取消。

成本也要控制。按用户设 token 或金额预算，后台任务用更便宜的模型，缓存常见结果，低价值任务降频或合并。

可观测性不能少。每个事件有 trace，记录决策依据，监控延迟、成功率、成本，异常行为要告警。

最后是沙箱和 kill switch。限制文件、网络、进程权限，高风险动作要确认，支持按用户或全局停用。

这些东西不做，个人 Agent 很难长期稳定运行。

产品判断：助手还是负担

个人 Agent 的成功标准，不是功能多，而是：

有没有减少用户的认知负担；有没有提高关键任务的完成率；有没有尊重用户的时间和隐私；出错时是否容易纠正；用户是否感到可控。

一个安静、可靠、偶尔给出关键提醒的 Agent，往往比一个频繁打扰、什么都想做的 Agent 更有价值。

我现在评价这类产品，会先看它有没有“什么都不做”的能力。知道什么时候不打扰，比知道什么时候提醒更难。

一次快递提醒的复盘

回到那个快递 Agent。它的问题不是记性差，而是没有“任务结束”这个概念。

它记住的是“每天查一次物流”，但没有记住“包裹已签收，任务关闭”。状态机里只有“进行中”，没有“已完成”和“已取消”，所以它会一直查下去。

修复不复杂：给任务加状态和 TTL，签收或取消后自动关闭；关闭后不再触发主动通知；如果用户再次询问，才重新打开。我们还加了一个通知预算：同一任务每天最多提醒一次，连续两次没有回应就降频。

这件事之后，我给所有常驻任务都加了结束条件。没有结束条件的自动化，最后都会变成骚扰。

用户控制也很重要。通知设置里要能看到“它在帮我盯什么”，能暂停、能删除、能修改频率。用户不是不愿意被打扰，是不愿意被无法控制的东西打扰。

本地优先能做到什么程度

个人 Agent 最敏感的数据，最好别离开设备。

唤醒、分类、抽取、简单提醒、敏感字段的初步处理，这些都可以放在端侧。它们不需要最强的模型，但对延迟和隐私要求高。

必须上云的部分，尽量只传必要字段，不传原始文档。传输加密，存储加密，密钥和数据分开管理。用户要能看见哪些数据被上传，能随时撤回。

完全本地化不现实，但“能本地就本地”是一个值得坚持的方向。它不仅是隐私问题，也决定了断网时 Agent 还能不能干活。

安静一点

个人 Agent 的长期价值，来自被信任。

而信任来自三件事：记得住真正重要的信息，在该出现的时候出现，并且不越过用户划定的边界。

把记忆、主动性和隐私当成产品的一等公民，常驻智能体才可能从概念走向日常。否则，它只会变成一个更吵的聊天框。