这篇能做出什么
先看结果：让一个桌面操作智能体接管 Mac 的鼠标和键盘，把一件你每天手动做的事自动做完。
本文挑的真实任务是——整理 ~/Downloads 里的 PDF 发票：按 yyyy-mm 建子文件夹归档，把文件名规范成 日期_金额.pdf，最后生成一份 summary.csv。
跑完之后你应该拿到三样东西：
1. 归档好的目录结构，文件名整齐；
2. 一份 summary.csv，列清楚每个文件从哪来、到哪去、什么状态；
3. 一份可回看的操作日志，能查到智能体每一步点了什么、动了哪个文件。
判断成功的标准不是"它跑起来了"，而是：全程没碰鼠标、每个涉及移动或删除的动作都先弹确认、事后能凭日志复现整个过程。
前置条件清单
- 一台 Mac（Apple Silicon 或 Intel 均可），系统版本以 Meta Muse 官方文档当前要求为准。
- Meta Muse 本体。获取方式、安装包形态、是否需要账号，一律以官方页面为准，别从第三方网盘或论坛拿。
- 管理员密码。第一次改系统隐私权限时系统会要。
- 一个专门的工作目录，比如
~/AgentWork。不要一上来就在真实的家目录里跑。 - 终端（Terminal）会打开、会复制粘贴命令。
- 预留 30 分钟，其中一半时间花在授权和验证上。
分步骤
第 1 步：先建一个损失可控的沙箱
别拿真实数据试。先造一批假文件。
```bash
mkdir -p ~/AgentWork/inbox ~/AgentWork/out ~/AgentWork/logs
cd ~/AgentWork/inbox
for i in $(seq 1 12); do
printf '%%PDF-1.4 fake invoice 2024-%02d amount %d.00\n' "$i" "$((i*100))" \
> "invoice_2024-$(printf %02d $i)_$((i*100)).pdf"
done
ls -l
```
这些不是真 PDF，但文件名里有月份和金额，足够测试归档与重命名逻辑。
更稳妥的做法是新建一个专用的 macOS 账户：系统设置 → 用户与群组 → 添加账户，选"标准"而不是"管理员"。智能体在那个账户里只能伤到那个账户的数据，测完直接删账户。
第 2 步：安装并首次启动
从官方页面拿到安装包，拖进"应用程序"。首次打开时 macOS 可能拦一句"无法验证开发者"，到 系统设置 → 隐私与安全性 里点"仍要打开"。这一步只在确认过下载来源之后做。
首次启动通常会让你登录账号或填 API Key。密钥不要写进任务描述、不要贴进聊天框，用工具自带的凭据管理界面填。
第 3 步：按最小必要原则授权
桌面智能体想"替你动手"，绕不开两项权限，都在 系统设置 → 隐私与安全性 下：
- 辅助功能（Accessibility）：模拟点击、按键、拖拽。没有它，智能体只能看不能动。
- 屏幕录制（Screen Recording）：读屏、截图理解界面。没有它，智能体不知道屏幕上有什么。
不要顺手给的：
- 完全磁盘访问（Full Disk Access）：除非任务真的要读 Mail、Messages 的数据库文件。整理下载目录完全用不到。
- 自动化（Automation）：只有当任务要指挥别的 App（让 Finder 或 Terminal 执行动作）时才开，而且可以只勾选那一个 App，不要全选。
授权后完全退出 App 再重开（菜单栏退出或 Command+Q，不是关窗口）。macOS 对新增授权常常要重启进程才生效，这一步能省掉后面一半的排错时间。
想自查权限本身也麻烦——TCC 数据库受系统保护，普通进程读不到：
```bash
sqlite3 ~/Library/Application\ Support/com.apple.TCC/TCC.db \
"select service, client, auth_value from access;" 2>/dev/null \
|| echo "读不到属正常：TCC.db 受系统保护，只有开了完全磁盘访问的进程能读"
```
所以权限的审计，最终还得靠智能体自己的日志，见第 7 步。
第 4 步：把任务描述写成有边界的一段话
自然语言驱动很方便，但"随便你弄"是最危险的输入。参考这个写法：
```text
任务：整理 ~/AgentWork/inbox 里的 PDF。
规则：
1. 只处理 .pdf 结尾的文件，忽略子目录和其他文件类型。
2. 从文件名里取 yyyy-mm 作为月份，建 ~/AgentWork/out/yyyy-mm/ 并移动进去。
3. 文件名里的数字（如 100）视为金额，重命名为 yyyy-mm_金额.pdf。
4. 文件名里没有 yyyy-mm 的，不要猜，统一放到 ~/AgentWork/out/_待人工处理/。
5. 不要删除任何文件；不要动 inbox 以外的任何目录。
6. 每次移动前，把"从哪到哪"打出来，等我确认。
7. 结束后在 ~/AgentWork/logs/ 生成 summary.csv，列为 原路径,新路径,状态。
```
第 4 条和第 5 条是关键。给一个"我不确定"的出口，比让模型硬猜安全得多。第 6 条在下一步展开。
第 5 步：打开动作确认
这类工具一般有"每步确认 / 仅高风险确认 / 全自动"几档。第一次跑，先把档位调到"每次动作前确认"。
配置维度大致是这几类，具体字段名以 Meta Muse 官方文档为准：
```yaml
示意配置，字段名请对照官方文档
execution:
mode: confirm_each_step # 可选：confirm_each_step / confirm_risky / auto
max_steps: 50 # 单次任务上限，防止死循环
timeout_seconds: 300
permissions:
allow_paths:
- ~/AgentWork
deny_paths:
- ~/Documents
- ~/Library
- /System
- /Applications
allow_apps:
- Finder
deny_actions:
- delete
- empty_trash
- send_email
- payment
- system_settings
```
deny_actions 里那几项建议长期保留：删除、清空废纸篓、发邮件、支付、改系统设置。误触发的代价，比省下的那几分钟大得多。
跑起来后重点看确认弹窗的内容：是不是"把 A 移到 B"这种一眼能看懂的具体动作？如果只写"执行步骤 3"，说明粒度太粗，回设置里调细，或者换更严格的档位。
第 6 步：小批量跑通，再放量
先只放 2 个文件进 inbox，跑一遍，检查三件事：
```bash
1. 归档结构对不对
find ~/AgentWork/out -type d
2. 内容有没有被改动（跑之前先记一遍，跑完再比）
cd ~/AgentWork/inbox && md5 *.pdf
3. 汇总表生成了没
column -s, -t < ~/AgentWork/logs/summary.csv
```
没问题再放 12 个、100 个。每次放量前打个快照：
```bash
cd ~/AgentWork && tar czf "logs/inbox-snapshot-$(date +%Y%m%d-%H%M%S).tgz" inbox
```
出事能回滚，比事后翻日志快得多。
第 7 步：留一份能审计的操作日志
建议同时留三层日志。
第一层，智能体自己的日志。 多数工具会写在 ~/Library/Application Support/ 或 ~/.config/ 下：
```bash
ls -lt ~/Library/Application\ Support/ | head -20
ls -lt ~/.config 2>/dev/null | head -20
```
找到之后接个软链，方便统一查看：
```bash
ln -s "<上一步找到的日志目录>" ~/AgentWork/logs/agent
```
第二层，文件系统变化。 轻量做法是定时打清单：
```bash
#!/bin/bash
存成 ~/AgentWork/watch-fs.sh，chmod +x 后后台运行
while true; do
find ~/AgentWork -type f -exec stat -f "%m %N" {} \; \
>> ~/AgentWork/logs/fs-audit-$(date +%Y%m%d).log
sleep 300
done
```
第三层，系统级日志。 权限相关的事件会写进 macOS 统一日志：
```bash
回看最近 1 小时的 TCC（隐私权限）相关事件
log show --predicate 'subsystem == "com.apple.TCC"' --last 1h --style compact | tail -50
```
每周花十分钟翻一次，重点看三件事：有没有出现 allow_paths 之外的文件路径；有没有被拒绝的动作（说明规则起作用了，也可能是任务写歪了）；有没有同一个步骤重复几十次（说明智能体在死循环）。
第 8 步：不用的时候收回权限
关掉开关即可：系统设置 → 隐私与安全性 → 辅助功能 / 屏幕录制，把对应项关掉。
想连授权记录一起清掉，用命令行：
```bash
tccutil reset Accessibility
tccutil reset ScreenCapture
```
注意这会清掉该 App 的授权，下次使用要重新授一遍。只是临时不用，退出 App 就够了。
常见坑与排错
授权了但没反应。 多半是没重启 App。完全退出再打开；还不行就在系统设置里把开关关掉、再打开一次。
能截图但点不动。 辅助功能没给。屏幕录制管"看"，辅助功能管"动"，是两个独立的权限。
点击位置偏了。 通常是分辨率、缩放比例或外接显示器变了。接上或拔掉外屏后重新校准，跑任务时尽量别改窗口布局。
输入法捣乱。 中文输入法开着时，模拟键入可能弹出候选词。跑批量任务前切到英文输入法。
卡在系统密码框。 涉及安装、改系统设置的密码框，智能体一般处理不了——这是好事。把这类步骤从任务里剔掉，手动做。
锁屏后任务静默失败。 屏幕锁定或进入睡眠后，读屏和点击都会失效。跑长任务时临时把"显示器睡眠"设为"永不"，跑完改回来。
Gatekeeper 拦住安装包。 到 系统设置 → 隐私与安全性 里找"仍要打开"。如果这个选项压根不出现，先核对下载来源是不是官方页面。
日志里同一动作重复几十次。 立刻停掉任务。通常是目标元素找不到在反复重试。回到任务描述，补一条显式规则："如果连续 3 次找不到目标，停下来并报告，不要继续。"
误删了文件。 从第 6 步的 tar 快照恢复。所以那一步别省。
下一步建议
1. 把跑通的任务存成模板。 桌面智能体真正的价值不在于"能点鼠标"，而在于同一件事不用教第二遍。存模板时保留边界规则那几条，别图省事删掉。
2. 能用命令行做的，就别用鼠标做。 批量改名、格式转换、合并 PDF，用 shell 脚本或快捷指令更快、更好审计。智能体适合的是"这个 App 没有 API，只能点界面"的场景。
3. 给高风险动作留一道人工闸门。 发邮件、提交表单、付款、删除，这几类长期保持"每次确认"。
4. 每月做一次权限体检。 打开 系统设置 → 隐私与安全性，看一遍给了哪些 App 什么权限，把不再用的收掉。
5. 升级前先看更新说明。 桌面智能体的能力边界变化较快，重点看有没有涉及权限范围、动作类型的变更，再决定要不要升。具体版本信息以官方文档当前版本为准。
桌面操作智能体交出的是重复劳动，换来的是"你的账号 + 你的鼠标键盘"被一个程序握着。先想清楚它最坏能做什么，再决定给多少权限——顺序反了，省下来的时间不够收拾摊子。