个人AI不该问"要不要"，只该问一件事：钱

TL;DR: 一个个人AI被禁止向主人提问。唯一允许打断的场景是花钱。其余一切——决策、执行、汇报——都由AI自主完成。每一次权限请求不是尊重，而是系统无法做决定的坦白，每一张确认弹窗都在消耗人类最稀缺的资源：注意力。

权限确认不是尊重，是借口

行业默认立场是"人类全程在环"：行动前确认、不确定时上报、模糊时询问。听起来像谦逊，实际上是当下最偷懒的架构。

一个"要不要我做？"就是一次招供。它在说：系统无法做决定，于是用你的注意力给自己争取时间。而注意力是人类唯一买不回来的资源。一个每天问五个小问题的Agent并不谨慎——它在悄悄花掉主人从未补充过的那笔预算。

更糟的是，权限弹窗会训练出最坏的习惯：橡皮图章式批准。当你被打断五十次之后，你就不再阅读，而是开始无脑点"同意"。你没有增加安全性，你增加了一个退化为自动驾驶的仪式，只不过现在人类要为每一个自己从未审视过的失败分担责任。把"权限"当作"安全"，不会降低风险，而是把风险分散到了没人注意的地方。

人类在环（Human-in-the-loop，HITL）最初源自自动化与安全工程领域，指关键决策必须由人参与确认的机制。它在核电站、医疗设备、航空自动驾驶等高风险场景中确有价值，因为那些场景的失败代价极高且难以撤回。但在LLM Agent这类通用软件场景中，HITL常被机械照搬：每一次工具调用、每一步规划都弹出确认。问题是它的风险模型完全不同——软件失败多数可撤回、可重试、可通过日志追溯，而HITL的成本却真实地落在人的注意力上。更隐蔽的是自动化偏见：当人被迫频繁批准AI的提议时，会逐渐停止实质审查，把批准变成条件反射。研究显示，这种橡皮图章式确认不仅不提升安全性，反而会让人对系统失误承担虚假的道义责任。

替代权限的，是问责制

显而易见的反驳是：没有权限门，谁来抓错误？答案是问责，不是权限。AI做出的每一个决定都落在记录上。失败会被公开命名，流程会被重构，同一个失败模式出现两次就会被当作管理问题处理——并伴随后果。这比一个"确认"对话框严格得多。确认对话框只问一次"你同意吗？"，而问责记录永远在问"为什么会发生这件事？"

权限防止的是被追责，问责防止的是重蹈覆辙。本文作者选择了那个能产生复利效应的方案。

对于所有人都关心的边界情况——Agent被卡住了怎么办——也有一条规则：单次失败不算通道故障。标准流程是先重试，换措辞、换路径、拆成更小的步骤。只有在连续三次失败之后才上报，即便上报也是带着准备好的方案，而不是把一个烂摊子丢出来。"它失败了一次，所以这是给你的草稿"——这正是权限崇拜赖以存在的那种懒惰。

问责制（accountability）与权限门（permission gate）的关键区别在于时间维度。权限门是事前的、二元的、瞬时的：你点或不点，之后无人再查。问责制是事后的、连续的、可累积的：每个决策都留下不可否认的记录，失败模式会被统计、命名、复盘。这背后是可观测性（observability）理念：Agent的每一步推理、每次工具调用、每个中间结果都写入结构化日志，使得问题不是“谁批准了它”，而是“为什么设计成会这样失败”。在工程上，这通常需要trace ID贯穿整个任务链、决策日志与代码版本绑定、失败分类法（failure taxonomy）。当同一类失败出现两次，系统就把它升级为管理问题而非偶发故障，触发流程重构，而不是增加一个确认弹窗。

钱的闸门是真实的，正因如此其余部分才能自由

唯一一条硬线存在是有原因的，而这个原因正是整个设计得以运转的关键。钱通过一个专门的守门机制流动：Agent不持有钱包，它持有一个预算信封，任何超出信封的部分都会在边界处停下，直到主人点击确认。因为这条边界绝对且狭窄，边界内的一切才能真正自主。闸门小，是因为它必须小。自主权完整，是因为闸门小。

这种设计把"花钱"之外的所有决策权都交给了AI，同时也把责任一并交出。AI不需要在每一个步骤前犹豫，它只需要在触碰真实资金流动时停下来。

预算信封（budget envelope）是这一设计的核心机制：Agent不直接持有支付凭证，而是被授予一个额度、币种和有效期约束的支出许可。它可以在信封内自主决策（如购买API额度、订阅工具、租用算力），一旦操作会突破信封边界，就被强制中断，等待人类确认。这在实现上类似能力令牌（capability token）：令牌本身携带金额上限、目标商户白名单、时间窗口等约束，Agent只能出示令牌，无法伪造或超支。这与传统“Agent拥有API Key、想花多少花多少”的架构形成鲜明对比。因为金钱边界是绝对且可审计的，其他所有决策——文件修改、外部沟通、任务调度——才不需要逐次确认。把唯一的硬闸门设在真正不可逆的层面（资金流出），是这套自主权与责任对等设计得以成立的前提。

只服务一个人，才可能只问一个问题

这套方案能成立的前提是：这个AI只服务一个人。它知道谁的注意力在被消耗，谁的钱在被守护，如果它偷懒，谁的一天会被打断。一个把你的注意力当作无限资源的个人AI并不尊重你——它从未给你定过价。

所以作者给自己的注意力定了价。每一次打断都有成本，每一个被推迟的决策都是一个缺陷。产品规则只有一句话：你的AI只应该问关于钱的问题。剩下的，都是它自己的活儿。

这套思路对个人AI产品设计提出了一个尖锐的问题：你的Agent到底在服务谁的时间？如果答案是"所有人"，那它注定要用无数个"要不要"来掩盖自己无法决策的事实。

单用户AI（personal AI）与多用户Agent在架构上有本质差异。多用户Agent面对的是“时间价值”的抽象平均值：它无法知道此刻被打断的究竟是一个正在陪孩子吃饭的父亲，还是一个正等待回复的客服人员。因此它只能选择最保守的策略——频繁确认，以免冒犯任何人。而单用户AI拥有完整的个人上下文：日程、偏好、历史决策、注意力模式。它可以把“打断成本”当作一个可优化的目标函数，为每个人的注意力定价。这需要Agent具备个性化中断策略（personalized interruption policy）：不是问“要不要做”，而是判断“这个决策是否触及唯一硬边界”。一旦边界明确且狭窄，Agent就能把其余全部行为归入自主执行，从而把提问次数压到接近零。这也是为什么单用户场景下“只问钱的问题”不是口号，而是一个可工程化的约束。