APoV 004信任的建立、维系与演进

前天晚上我接受了一个访谈，聊的是个人 agent 的竞争正在从争夺心智走向建立信任。我自诩是个 AI native，像起草邮件、整理行程、比价下单这类能交给 agent 的事，我几乎能交尽交。但当 agent 真的向我索要个人信息和支付信息时，我还是犹豫了很久。而且有个习惯我直到今天也没改：凡是重要的事，最后那一下确认，必须由我自己按下。

访谈结束时已经十一点多了。我拖着疲惫的身体回到车上，第一件事就是按下方向盘上的滚轮，打开 FSD。这个动作每天重复，早就成了肌肉记忆。如今我日常通勤 99% 的时间都交给它：并道、过匝道、在拥堵的车流里跟车，我就坐在驾驶座上，有时看看窗外的风景，切一首应景的歌；腿脚酸了，也会把脚从踏板上挪开歇一会儿。等我的手再次搭回方向盘时，目的地多半已经近在眼前了。

车载着我往家的方向驶去。101 高速两侧的总部大楼依然灯火通明，在夜色中一栋栋向身后掠去。刹那间，一个疑问跃进脑海：FSD 管着我的命，我几乎百分之百信任它；agent 只是要管我的邮箱，我却把它盯得死死的。

这不都是 AI 吗？

一开始我想给自己找个台阶下：自动驾驶和聊天机器人根本不是一回事，一个是精密的系统工程，一个是神秘的语言模型，放在一起比本来就不公平。可查了一圈才发现，小丑竟是我自己。2024 年 3 月，Tesla 在 FSD v12.3 里拿掉了几十万行由工程师编写的规则代码，换成了端到端的神经网络。模型看着摄像头里的画面，自己决定怎么开。Waymo 走得更远，它的驾驶系统里直接塞进了一个基于 Gemini 的视觉语言模型，专门对付那些罕见又棘手的路况，比如前方的车突然着起了火。

它们当然不完全一样。模型有别，规则也有别：开车的世界有车道线、有红绿灯，规则清清楚楚；邮箱、日历、信用卡的世界，几乎没有边界。但站在我的位置上，这两件事的本质其实是一样的：都是把一件出了错就很麻烦的事，交给一个我看不懂内部原理的黑盒。那为什么一个我敢放手，另一个我却要死死盯着？

我们从来不需要看懂

先说一件很少有人细想的事：我们每天信任的东西，绝大多数自己都看不懂。全身麻醉已经有一百多年的历史，如今全世界一年要做三亿多台手术，很大一部分都靠它让病人睡过去。麻药作用在哪些分子上，科学家已经摸得比较清楚，可这些作用怎么合在一起让人失去意识，至今也没完全搞明白。一位麻醉学研究者被问到这个问题时，回答得很干脆：“没人真正知道。”可我们照样躺上手术台，数不到十就睡过去了。坐飞机也一样，几乎没有乘客深谙涡扇发动机的空气动力学原理，大家照样系好安全带，闭眼睡到落地。

所以，“看不懂”从来不是不信任的理由。管理学里有个我很喜欢的说法，把信任定义为“愿意让自己处于脆弱的位置”。翻译成大白话就是：明知道你可能会让我受伤，但我还是把事情交给你。

那凭什么敢交呢？把心理学和人因工程这些年的研究串起来看，信任不太像一次性的决定，更像一个反复校准的循环：

我们先凭直觉掂量风险，再借品牌、口碑这些现成的印象打个底，然后小心翼翼地交出去一点点，看它的表现。做得好，就多交一点；做砸了，就收回来。说白了，信任不是一把给出去的，是一点点攒出来的。

副驾驶的刹车

在国内上过驾校的人，大概都记得教练车。副驾驶那边多装了一块刹车踏板，教练一路上很少踩，可新手之所以敢上路，靠的就是它。回头看我和 FSD，让我安心的东西，其实跟那块刹车是一回事。FSD 的方向盘，就是教练车的那个刹车。沃顿商学院做过一个很有意思的实验：只要允许人对算法的预测结果改上一点点，大家就明显更愿意用这个并不完美的算法，至于能改多少，几乎不影响结果。更有意思的是，人们动手改过的预测，往往还不如算法原本的准，可因为肯用算法了，总的误差反而小了。可见人要的不是更多的控制，而是“有”控制。我对 agent 守着最后那个按钮，大概也是同样的心理。

方向盘之外，还有一样东西让我安心：坐在驾驶座上，FSD 的每一个动作都发生在我眼皮底下，出了问题我当场就知道。agent 不一样，它在后台替我读邮件、发邮件，我看不见它到底干了什么；发错一封邮件，可能几天后才发现，而话一旦说出去就收不回来了。人怕的往往不只是危险本身，更是看不见、拦不住的东西。今年 8 月，Instinct 就让测试者见识了“看不见”有多吓人。据 TechCrunch 报道，一位测试者上午 11 点断开了它对 Gmail 的授权，下午 2 点却依然收到了它发来的邮件摘要。一问才知道，她的邮件早就被存了下来。要不是那封摘要露了馅，她可能永远都不会知道。

回想我第一次试 FSD，还是两年多前开朋友的车。大概因为是别人的车，我开得格外小心：手没离开过方向盘，脚没离开过刹车，眼睛也没离开过前方。除了没亲自踩油门，那一程几乎百分之百是我自己在开。两年多后的今天，我通勤 99% 的时间都交给了它。我依然看重安全，依然遵守规矩，但论对自动驾驶的信任，已经不知道翻了多少倍。没有任何一场发布会，能替代千百次平安到家。

当然，这两年它也结结实实吓过我两次。一次是在路口，灯架上竖着排了三盏灯，分别管直行和左转。我停在左转道上，中间直行的绿灯刚亮，它没分清这点细微的差别，当成了自己的绿灯，直接就往前冲。另一次是在公司停车场，前面的道闸杆还没完全抬起来，它一路开到杆前都没减速，眼看要撞上了才猛刹。我自己也同时一脚踩了下去，直到今天都说不清，最后到底是我踩住的，还是它刹得够快，又或者是道闸感应到来车，及时抬起了杆。

但奇怪的是，我并未被吓跑。原因恰恰在于，它犯错的时候我就在旁边看着，手和脚都来得及干预。而且每吓一次，我就更清楚它的软肋在哪，比如竖着排的信号灯、横着的细长杆子。我不再笼统地信它，而是心里有了一张地图，知道它在哪儿靠得住，在哪儿要多留一分心。好的信任就是这样：不是全信或者不信，而是知道该信到哪一步。

不过我对 FSD 的那份放心，很大一部分还算不上纯粹的信任，而是手握方向盘时的依赖。我看窗外、把脚从刹车上挪开歇一会儿的时候，离图 1 里“信任过头”那一支其实也没多远。真正的考验是，我敢不敢坐到后座上睡一觉？当然不敢。几百次平安通勤攒下的经验，只够支撑我手扶方向盘时的依赖，远不足以判断它在我睡着时是否依然安全。所以现阶段 FSD 和 agent 的差别，未必在于我更信谁，而在于监督它和拦住它要花多大的成本：一个出了错我当场就看见，伸手就能接管；另一个出了错，我可能几天后才知道。

最可怕的不是犯错

几乎每个用过 AI 的人，都被它一本正经地骗过。一本根本不存在的书、一个打不开的链接、一句没人说过的名言，语气和它说真话时一模一样。最出名的一次发生在 2023 年的纽约：一位律师用 ChatGPT 写诉状，引用了一串判例，对方律师和法院怎么都查不到。法院让他拿出原文，他又跑去问 ChatGPT；ChatGPT 信誓旦旦地保证这些案子都存在，还说在 LexisNexis、Westlaw 这些权威数据库里都查得到，但事实证明这完全是胡说八道。最后这位律师被罚了 5,000 美元。

AI 为什么会这样？OpenAI 去年 9 月给过一个很朴素的解释：训练模型时的激励机制一直在奖励“猜测”，而不是奖励“承认不知道”。就像考场上做选择题，蒙对了有分，空着不写就是零分，久而久之，越敢猜的模型分数越高。问题还不只出在考试计分上。GPT-4 的技术报告显示，预训练出来的模型原本相当清楚自己有几分把握，经过 RLHF 这类人类反馈训练之后，校准度反而变差了；斯坦福的一项研究也发现，人类标注员很少青睐带着犹豫的回答，模型于是学会了少说“我不确定”。好在这是厂商自己的选择，既然是选择，就改得回来。

那人们又为什么总会上当？心理学早就发现，一句话读起来越通顺、语气越笃定，人就越容易觉得它是真的。加州大学尔湾分校的一项研究还发现，AI 的回答写得越长，读者对它的信心就越高，哪怕它并没有更准确。偏偏大模型最擅长的，就是把话说得流畅、说得周全、说得像个人。

这也能解释，为什么互联网上哪怕是一知半解的误读，只要博主配上坚定的眼神和笃定的语气，照样能收获大批拥趸。

可在我看来，最可怕的并不是犯错本身。谁都会犯错。但大家一定在饭桌上见过那种亲戚：天文地理什么都懂，从来不说“我不知道”。没过多久，听的人就学会了对他说的每句话都打个折，因为他说对和说错的时候，语气是一模一样的。AI 也是这样，它错的时候和对的时候看起来毫无二致，信任最依赖的那个校准信号，就这么被抹掉了。反过来，尔湾分校的同一项研究也指了一条出路：当回答里加上“我不太确定”这样的话，人的信心会跟着做出合理的调整。只要对方最终能核对你说得对不对，懂得说“我不知道”，反而是一种更高级的可信。

谁来按最后一个按钮？

在 APoV 001 写 Muse 的时候，我说消费级 agent 争的不是谁更聪明，说到底是争夺用户的信任。模型能力的代差每隔一到三个月就可能被抹平一次，“行不行”正在变得越来越不稀缺；真正稀缺的是另外两件事：守不守规矩，以及是不是真心为“我”。这两件事靠刷榜证明不了，只能在点滴中建立。

我对 agent 的态度，其实很像对待一个新来的实习生。头几周，他起草的邮件我要改过再发；做对几次之后，订会议室、整理会议纪要这种小事，我就放手让他去做，连说都不用跟我说；重要的客户邮件、要花钱的决定，他可以一路准备到最后一步，但发出去之前得过我这关。信任就是这样一级一级往上爬的。只是机器的梯子比实习生的更难爬：沃顿那几位研究者更早之前就发现，人们看到算法犯错后弃用它的速度，比看到人犯同样的错要快得多。所以 agent 往上爬的每一级台阶，都得比实习生踩得更稳。

好的 agent 产品，应该把这架梯子直接做进产品里，而不是一上来就伸手要走全部钥匙。Instinct 就是反面教材。据 TechCrunch 报道，它的用户条款要求对用户材料拥有“永久且不可撤销”的许可，还允许它代表用户订立有约束力的交易。梯子还没搭，就想一步跨上顶楼。除了它本身粗糙的交互，这正是我对这款产品敬而远之的核心原因。

梯子之外，黑匣子也很重要。航空业有个很妙的反讽：飞机上最出名的“黑盒”，恰恰是用来打开黑盒的。它最早就是为了事故调查而发明的，如今被涂成醒目的橙色，好让人在残骸里第一时间找到它。乘客敢坐飞机，不是因为懂发动机，而是因为知道每一次失败都会被记录、被调查、被写进下一版安全规范。国际航协（IATA）的数据显示，全球航空事故率从 2005 年的每百万航段 3.72 起，降到了 2024 年的 1.13 起。agent 也该有这样一个东西：它读了什么、替我发了什么、花了多少钱，全都记下来，随时能翻。至于它自己写下的“为什么这么做”，眼下只能当个参考。Anthropic 去年的一项研究发现，推理模型明明用上了题目里暗藏的提示，大多数时候却在思考过程里只字不提；同样，看得见的忙碌也可以是演出来的，哈佛商学院的研究发现，人们只要看到对方在卖力干活，打分就会变高，跟结果好坏无关。正因为模型嘴上说的和界面上演的都未必作数，如实记录底层动作的“agent 黑匣子”，才成了 2025 年以来网络安全领域最火的创业方向之一。

光有记录还不够，还得有人兜底。二十多年前，大家也不敢把信用卡号填进陌生的网站。后来让人放心的，不是能亲眼看着商家打包，而是损失被封了顶：在美国，信用卡一旦被盗刷，按联邦法律持卡人最多只承担 50 美元，很多发卡行干脆一分钱都不用持卡人赔，购物平台还会再叠一层买家保障。agent 也一样，与其费尽口舌说服我更信任它，不如先把我要冒的险降下来，比如只给它一张限额、限商家的虚拟卡。哪家产品先敢承诺“订错了我赔”，信任自然就跟过去了。回头再看访谈那天我对交出支付信息的犹豫，也许该问的从来不是“给不给”，而是它“凭什么要”。

还有一条底线：可以犯错，但别越界。管理学的研究发现，能力上的失误，一句真诚的道歉就能修回不少信任；但诚信上的失误，道歉就没那么管用了。agent 帮我订错一家餐厅，是能力问题，我会原谅它；但它如果没问过我就擅自替我发了一封邮件，那就是越界，我会直接把它踢出去。所以在拿不准的时候，agent 宁可停下来多问我一句，也绝不能替用户做主。

最后一个问题，也是最难的一个：它到底是不是为我好？我在写 Muse 那篇里提到，Meta 在考虑从 Muse 替用户完成的交易里抽成。那它替我挑的餐厅和机票，究竟是对我最划算，还是对它的佣金最划算？这个问题不说清楚，能力再强，我也不敢把和我有切身利益的事交给它。

接下来几年，agent 之间比的会越来越不是“它能做什么”，而是“我敢让它做什么”。它们会先在看得见、收得回的事情上赢，比如起草、调研、排日程；再慢慢走进看不见、收不回的地方，比如替人付钱、替人说话。

只是要走到后面那一步，副驾的刹车迟早得拆掉。一辆需要人全程盯着的车，省不下多少力气。Waymo 的前身早在 2013 年就发现，测试员坐在辅助驾驶的车里会打瞌睡、看手机、化妆，于是干脆放弃了“让人在旁边盯着”的路线。一旦刹车拆掉，信任就不能再靠我盯着，只能靠黑匣子、赔付承诺和行业统计这些制度来托底，正如今天没有哪个乘客是靠盯着机长才敢坐飞机的。行业统计长什么样，Waymo 已经打了个样：它和再保险公司瑞再（Swiss Re）拿 2,530 万英里的无人驾驶保险理赔数据跟人类司机对比，财产损失索赔少了 88%。反观 FSD 的安全数据，目前主要还是特斯拉自己公布的数字。

高能动性的另一面

现在大家夸一个优秀的创始人，或者一个靠谱的职场合作伙伴，最常用的词大概是 high agency，中文可以叫“高能动性”：不等别人推，自己找到问题，端到端地把事情做完，实打实地交付。可写到前面实习生那段时，我忽然意识到，这个阐释只说对了一半。一个人的自主性越强，替别人拿的主意就越多，在对方眼里也就越像一个 agent。当管理者把事情交出去、看不见执行者每天在做什么时，心里多半也守着一个最后的确认键。同事、客户、朋友，甚至家人看彼此，其实都是这样。所以高能动性的另一面，是在把事做成的路上，让身边的人始终信得过你。我们对 AI 的那套信任机制，可以原封不动地搬回人和人之间。

首先要让人看得见。绝不要做那个闷头干活、憋到最后才交卷的人。哪怕结果很漂亮，在交卷之前，你在别人眼里就是一个在后台默默行动的 agent，而人最怕的就是看不见。主动同步进度，早一点把半成品拿出来，说清楚思路，作用就跟那辆能看着它开的 FSD 一样。只是要同步的是真进展，不是演出来的忙碌。

永远要给副驾留一个刹车。与其交出一个完美但不可商量的方案，不如给两三个选项，请对方改一改。就像沃顿的那个实验告诉我们的，只要能改一点点，人就更愿意接受；至于改多少，其实没那么重要。不过人和机器有一点不同：人会把紧盯不放的监督读作不信任，并因此收着劲干活，经济学家 Falk 和 Kosfeld 管这叫“控制的隐性成本”。所以留给人的刹车，应当是选择权，而不是监视。

信任是需要一点一滴积攒的。把大承诺拆成小承诺，然后一个个按时兑现。Google 研究什么样的团队最高效，“靠得住”排在最重要的几个因素里。十个准时兑现的小承诺，比一个漂亮的大承诺更值钱。

还有，永远别做那位饭桌上的亲戚。对没把握的事，大方地说“我不确定”“需要核实一下”，听起来像示弱，其实是在帮对方校准对自己的信任。一个永远自信满满的人，第一次出错，信任就断崖式下跌；而如果习惯说清楚自己有几分把握，对方的预期就会先帮着兜一层底。

最后，即便真犯了错，也要分清是哪一种。能力上的错，大方道歉，拿出改进，信任能修回来不少；诚信上的那条线，最好一次都别碰。这也是我在 APoV 的原则里写下“我不为过去的观点辩护。错了就改，欢迎指正”的原因。

回到那天晚上

南湾的灯火把 101 高速的路面照得亮了些，我也快到家了。明天早上，我大概还是会凭着肌肉记忆打开 FSD。只是现在我知道了，我敢把自己交给它，并非因为我看懂了它，而是因为它就在我眼前开，我随时按得住，而且一次又一次地把我平安送到了要去的地方。回看我和 agent 的磨合，我们还在一步步摸索着往上搭那架信任的梯子。现在的我面对 agent，恰如两年多前坐在朋友车里、死死握着方向盘的那个自己。