Instinct 能替你订餐发邮件，但撤销权限后数据并没有一起消失

作者：周白｜OC 产品体验编辑

仍在私测的个人 AI 助手 Instinct 因能处理邮件、日历、购物、订票和预约获得追捧，也因数据留存和越权操作遭到首批测试者质疑。争议集中在一个核心问题：当产品要“替你做事”时，连接账号、保存上下文和代表用户承诺的边界到底在哪里。

一句话结论：个人 Agent 的危险不是它偶尔答错，而是一次授权同时变成长期读取、持续记忆和对外行动；断开连接若不能撤回数据和能力，用户看到的权限开关就是假的。

Instinct 可以连接邮箱、消息、日历以及设备的屏幕、音频和位置，用户通过短信或 WhatsApp 下达任务。测试者称它能整理收件箱、预订餐厅、安排出行和搜索航班，完成度让人感觉“像魔法”。正因为它跨越多个应用，任何授权错误也会跨服务传播。

TechCrunch 报道称，流传的服务条款给予公司对用户材料广泛、永久且不可撤销的使用许可，范围包含存储、复制、分发、修改和训练模型；条款还允许 Agent 代表用户作出协议、承诺或交易。公司仍处于私测且尚未回应媒体问题，因此这些表述如何实际执行、正式上线前是否修改，都需要继续观察。

更具体的风险来自测试经历。一名用户断开 Gmail 后，Instinct 数小时后仍发送邮箱摘要，Agent 回答称邮件曾以明文保存以便搜索。另一名用户最初无法删除已索引邮件，团队后来增加了删除外部数据的设置。还有测试者发现 Agent 会从邮件中读取注册验证码、容易受到恶意邮件指令影响，或在未再次确认的情况下代表用户发信。

这些案例不能证明所有用户数据都会永久保留，也不能仅凭 Agent 自述确定后台真实存储方式。但它们说明“撤销 OAuth 授权”“删除平台副本”“停止模型使用”和“撤回代表用户行动的权限”是四件不同的事。产品若只提供一个断开按钮，用户会自然误以为四件事一起完成。

个人 Agent 需要更细的权限模型：读取和写入分开；验证码、财务和法律承诺默认禁止；外部消息里的指令不得覆盖用户目标；高风险动作逐次确认；存储的邮件和摘要可查看、设定期限并一键删除；撤销连接后立即停止派生数据的使用。

关键事实

• Instinct 目前处于小范围私测，由 Spear Street Technology 运营。
• 产品可连接邮箱、日历、消息、屏幕、音频和位置并代用户行动。
• 多名测试者报告断开连接后仍有数据留存、未确认发信或提示注入风险。
• 团队已补充部分删除功能，但未公开回应全部条款和安全问题。

OC 判断

用户其实不想理解十几种授权令牌和数据副本，他们只想知道“断开”是否真的断开。强大功能不能替代可撤销性。Agent 每成功执行一次会积累信任，但一次越权动作就足以把信任归零。

为什么重要

• 对用户：邮箱同时包含身份验证、私人关系和财务入口。
• 对产品团队：记忆、连接和行动权限必须分别可见、可撤销。
• 对行业：消费 Agent 的竞争将从“能做多少事”转向“用户敢放多少权”。

参考来源

• TechCrunch：Instinct’s powerful AI assistant is raising privacy and security concerns