对应 Maps to：Stanford CS329Z Engineering AI Agents（Fall 2026），Lecture 16 · Mon Nov 30 · Proactive Agents。阅读材料：Shaikh et al., Creating General User Models from Computer Use（课表标注 UIST 2025；arXiv 2505.10831）/ Shaikh et al., Learning Next Action Predictors from Human-Computer Interaction（2026，arXiv 2603.05923）；OpenClaw（开源的个人 AI 助手）。 依据说明：写作时（2026-10-16）这一讲的 slides 还没有公布。本讲依据课表上的主题描述来写：从被动到主动、通用用户模型（GUM）、下一动作预测、开源的主动式个人助手、隐私与信任、混合主动（什么时候该主动、什么时候该等）。GUM 和 NAP 两篇论文的内容核对过原文（arXiv 版本）；OpenClaw 的描述依据它的 GitHub README。混合主动的原则来自 Horvitz（CHI 1999）。全部实验是本讲义自己设计的，不代表课堂上讲了什么。 配套代码 Code：
code/lecture16/（只用 Python 标准库；4 个脚本 + 1 个模块 + 1 个可选脚本；不需要 API key；每个脚本 1 秒左右） 预计阅读时间：2.5 小时（含运行代码）
0. 本讲导航 · How to read this lecture
0.1 学习目标 Learning goals
学完这一讲你应该能够：
- 说出主动式智能体要回答的两个问题——用户需要什么、什么时候该开口——以及它们各自需要什么部件。
- 描述 GUM 的架构（观察者、提出、审计、检索、修订），并解释为什么检索和修订对用户模型的校准至关重要。
- 把”主动”拆成一个可评估的任务（下一动作预测），知道 pass@1、pass@k、按置信度筛选、跨用户泛化各说明什么。
- 用期望效用推导”行动 / 先问 / 等”的阈值，并解释注意力、校准、限速和信任怎样改变决策。
- 设计一个主动助手的循环，并把隐私（情境完整性、审计）和安全（外来内容当数据、对外动作要确认）放进去。
0.2 先修与本讲范围 Prerequisites & scope
| 默认你已经会 Assumed | 本讲只给直觉，后面再展开 Previewed only |
|---|---|
| 第 7 讲：记忆（提取、合并、检索、遗忘） | 电脑操作智能体（第 17 讲） |
| 第 13 讲：校准、LLM 评审；第 12 讲：pass@k / pass^k | 用强化学习训练用户模型（LongNAP 的训练细节只简述） |
| 第 14 讲：情境完整性、Rule of Two、确认疲劳、信任 | 心理学和人机交互里关于打断的大量研究（只引用 Horvitz） |
0.3 本讲地图 Map
§0.6 开场：一个会先开口的助手
§1 从被动到主动：两个问题
§2 通用用户模型（GUM）：从观察里长出关于你的命题 ← 代码 01
§3 下一动作预测：把"主动"变成一个可以评估的任务 ← 代码 02
§4 混合主动：什么时候行动、什么时候先问、什么时候等 ← 代码 03
§5 一个主动助手的循环：OpenClaw 与心跳 ← 代码 04
§6 隐私与信任
§7 用真实模型试一试 ← 代码 05（可选）
§8 一份主动助手的设计清单
§9 小结 §10 常见误区 §11 练习 §12 延伸阅读 §13 下一讲预告0.4 术语 Terms
| 术语 | 本讲里的意思 |
|---|---|
| 被动 / 主动（reactive / proactive） | 等用户开口才做事 / 先推断用户需要什么、自己决定要不要做 |
| 用户模型（user model） | 系统对”这个用户是什么样的人、在做什么、想要什么”的表示 |
| 命题（proposition） | GUM 里用户模型的基本单位：一条关于用户的、带置信度的自然语言陈述 |
| 校准（calibration） | 置信度和实际的正确率一致：说 0.8 的命题，大约八成是对的；用 Brier 分数衡量 |
| 下一动作预测（NAP） | 给定一个人最近的电脑操作，预测他接下来做什么 |
| 混合主动（mixed initiative） | 人和系统都可以发起行动；系统要在不确定用户目标的前提下决定什么时候介入、怎样介入 |
| 期望效用（expected utility） | 按概率加权的收益和代价；Horvitz 用它决定行动 / 对话 / 不作为 |
| 心跳（heartbeat） | 主动助手定时醒来、检查情况、决定要不要做事的循环 |
0.5 本讲的代码
代码搭了一个虚构用户 Mira（第 14 讲那位）的隐藏画像：她在 Orrin Grid 的计费组工作，在准备周五交的 Q3 报告，每周一早上看停电看板，喜欢简短的邮件，晚上学 Rust，在计划 12 月去里斯本，在找新工作，每周四看心理医生。另有几条似是而非的假命题（她是经理、在学 Go、要去东京……），偶尔会留下误导的线索。
proactive_lab.py 按这个画像生成两周的”截屏转文字”式观察，实现一个 GUM 式的用户模型，还按”一段段的习惯”生成动作序列，给下一动作预测用。
提醒：日志是按隐藏画像模拟的；“把一条观察读成哪个命题”模拟的是 GUM 里 LLM 做的事；效用的数值、信任怎样涨跌都是参数。检索、修订、审计、预测器、决策规则、评估都是真的计算。所有人、事、地点都是虚构的。
0.6 开场：一个会先开口的助手
周五下午两点，你的助手说：“要不要我把 Q3 报告的要点整理成一封给 Dev 的邮件草稿？” 你正好想做这件事——它帮上了忙。
同一个助手，周二下午三点在你和 Lena 开会、共享屏幕的时候说：“周五 Brightpath 的面试，要不要我整理一下准备材料？”
两次都是”主动”，第一次让你觉得它懂你，第二次可能让你当场把它卸载。差别在于两个判断：它对你的了解对不对（你确实在准备报告，也确实在找工作），以及它选的时机和场合对不对。这一讲就是关于这两个判断的工程。
1. 从被动到主动 · From reactive to proactive
前 15 讲里的智能体几乎都是被动的：用户提一个问题、一个 issue、一个任务，智能体去做。被动的好处是意图明确，坏处是用户必须知道自己要什么、并且主动开口。
主动的智能体反过来：它观察你在做什么，推断你可能需要什么，自己决定要不要、什么时候、以什么方式帮忙。邮件客户端提醒你”你说了附件但没附上”、日历提醒你该出发了，都是最简单的主动服务。更有野心的版本会看着你整天的电脑使用，在合适的时候提出建议，甚至替你做完。
这带来两个被动智能体不需要回答的问题：
- 用户需要什么？ 这需要一个用户模型：关于这个人的习惯、目标、偏好、正在做的事的表示，并且要知道自己有多确定（§2、§3）。
- 什么时候该开口？ 猜对了、在对的时候说，是帮忙；猜错了、或者在错的时候说，是打扰。还有一个中间选项：先问一句（§4）。
再加上两个贯穿始终的约束：隐私（一个整天看着你屏幕的系统知道得太多）和信任（几次冒失的打扰，就可能让用户永远关掉它）（§5、§6）。
2. 通用用户模型（GUM） · General User Models
2.1 GUM 是什么
Shaikh et al. 提出通用用户模型（General User Model, GUM）：一个从用户和电脑的任何交互里学习、关于用户的表示。它的输入是非结构化的观察（例如截屏），输出是带置信度的命题——“Mira 在准备周五交的 Q3 报告”——并且会随着新的观察不断修订。它是”通用”的：同一个用户模型可以给聊天助手提供上下文、过滤系统通知、指导能跨应用适应偏好的智能体，也可以驱动一个主动的助手（GUMBO）。
2.2 架构
| 模块 | 做什么 |
|---|---|
| 观察者（Observers） | 捕获原始输入。屏幕观察者在键盘鼠标操作时截屏，用视觉语言模型（Qwen 2.5 VL 72B）把屏幕的变化转成文字；还有通知、文件系统等观察者 |
| 提出（Propose） | 写一段把这条观察和用户联系起来的推理，生成一条命题、一个置信度（1–10，归一化到 0–1），以及一个”多快会过时”的衰减分数 |
| 审计（Audit） | 按情境完整性（第 14 讲 §1）判断这条观察该不该进入模型：回答数据类型、主体、接收者、是否恰当等问题，挡住例如银行凭证这样的敏感更新 |
| 检索（Retrieve） | 两阶段：BM25 召回候选，LLM 重排（相同 / 相似 / 无关）；按时间远近加权；用 MMR 增加多样性 |
| 修订（Revise） | 把相关的旧命题和新命题放在一起重写，重新生成置信度；置信度被修订到 0 的命题留在模型里，但默认查询看不到 |
命题和修订用 Llama 3.3 70B，视觉用 Qwen 2.5 VL：都是开源模型，数据可以留在本地。
2.3 论文的结果
- 邮件研究（18 位参与者，每人 200 封邮件）：完整 GUM 的命题准确率 76.15%，Brier 分数 0.17；去掉检索，Brier 0.36。两两比较的胜率：完整 0.618、去掉检索 0.463、去掉检索和修订 0.420。错误偏向不够自信，作者认为这对用户模型是更可取的方向。
- 隐私审计：参与者把完整模型 180 条命题里的 7 条标为隐私违规；61.1% 的参与者认为完整 GUM 的情境完整性判断最好；仍有 7 条观察绕过了审计（例如提到朋友的名字、一封钓鱼邮件造成的错误推断）。
- GUMBO 的端到端研究（5 位参与者，一天适应期 + 四天使用）：命题准确率 0.79、Brier 0.28；25% 的建议被评为”强”或”出色”（7 分制的 6、7 分）。参与者对评判性的命题感到不舒服（关于压力、工作满意度），有人说”看到它写下来感觉有点怪”。
2.4 迷你版（代码 01）
20 个”用户-两周”的平均：
| 用户模型 | 命题数 | 置信度 ≥ 0.5 的命题里为真 | Brier | 真实事实被高置信覆盖 |
|---|---|---|---|---|
| 完整（提出 + 检索 + 修订 + 审计） | 12 | 91.3% | 0.108 | 78% |
| 去掉修订（检索到了也不更新） | 12 | -（没有一条 ≥ 0.5） | 0.260 | 0% |
| 去掉检索（每条观察都新建一条命题） | 92 | - | 0.404 | 0% |
检索 + 修订是关键：同一件事被看见十几次，只有把新观察和旧命题联系起来、累积证据，置信度才会”越来越确定”。去掉检索时命题数涨到 92，没有一条达到 0.5。方向和 GUM 的消融一致。
一个评估上的陷阱：如果只按条数数”命题为真的比例”，去掉检索反而更高（91% vs 68%）：真实的事实留下的观察多，重复的命题就多。评估用户模型要看校准和高置信命题的质量，不能只数条数。
校准（代码 01 演示 3）：完整模型里，置信度 0.7–0.9 的命题 96% 为真，0.9 以上的 100% 为真，0.5–0.7 的 66%。置信度高的那一组确实更可信，这正是下一步决定”要不要打扰用户”时要用的数（§4）。和 GUM 一样，高置信度那一端偏向不够自信。注意少数似是而非的命题也会因为反复的误读累积到较高的置信度。
审计（演示 4）：没有审计时，每个用户的模型里平均有 1.6 条关于求职、治疗的命题（0.9 条置信度 ≥ 0.5）；有审计时 0.4 条，仍有少数观察漏过，和 GUM 报告的现象一样。
衰减（演示 5）：报告交了之后，会衰减的模型里”在准备 Q3 报告”的置信度一周后降到 0.43；不衰减的模型还挂着 1.00。一个主动助手会在下周继续提醒你一件已经做完的事。GUM 给每条命题一个衰减分数，就是为了这个。这和第 7 讲”记忆要会遗忘”是同一件事。
3. 下一动作预测 · Next action prediction
3.1 把”主动”变成一个可以评估的任务
“主动的助手好不好”很难评估。Shaikh et al.（2026）把它拆成一个可以量化的任务：下一动作预测（NAP）——给定一个用户最近的多模态电脑交互（截屏、点击、按键），预测这个人接下来的动作。论文用最近 16 个事件预测之后的 8 个事件。
数据：他们写了一个开源的标注流水线 NAPsack（被动地记录截屏和输入事件，把它们分组成一段段操作，再用视觉语言模型给每段操作写说明），处理了 20 位用户一个月的手机使用记录（来自 Screenomics 项目）：约 190 万张截屏、1,837 小时的屏幕时间、约 36 万个动作描述。
模型 LongNAP（基于 Qwen-2.5-VL-7B，用 GRPO + LoRA 训练）分两步：为检索而推理（先写一段推理，用它当 BM25 查询，从记忆里找过去相似的推理）；为预测而推理（结合检索到的推理和最近的上下文预测）。奖励是 LLM 评审给出的预测和实际动作之间的相似度（0–1）。
结果：
| 设置 | LongNAP | 基线 |
|---|---|---|
| 同一个用户，时间上往后泛化 | 0.38 | 监督微调 0.21；直接提示 0.18–0.20；Gemini 3.0 Flash 零样本 0.26、少样本 RAG 0.27 |
| 新用户 | 0.26 | 最强的基线（Gemini 少样本 RAG）0.23 |
| pass@1 / pass@20（评分 ≥ 0.5 算命中） | 17.1% / 36.3% | |
| 最有把握的 10%（20 次采样的方差最小） | pass@1 25.9% |
消融：去掉推理 0.38 → 0.30，去掉检索 → 0.32，打乱训练数据的时间顺序 → 0.34（时间顺序重要）。
3.2 迷你版（代码 02）
8 个模拟用户，每人 28 天：前 21 天当历史，后 7 天评估。每个人的一天由几段习惯组成（上班开始：看邮件 → 看 Slack → 更新 Jira；写报告：编辑文档 → 改图表 → 编辑文档 → 发草稿……），中间夹着无关的动作；每个人的工具、时间、习惯不同。
| 预测器 | pass@1 | pass@5 |
|---|---|---|
| 最常见的动作 | 14.2% | 48.9% |
| 重复上一个 | 5.8% | 5.8% |
| 马尔可夫（上一个 → 下一个） | 39.2% | 70.6% |
| 按时间段 | 28.6% | 85.3% |
| 检索 + 马尔可夫 + 时间段 | 52.9% | 82.0% |
| 只在有把握时预测 | 预测的次数 | pass@1 |
|---|---|---|
| 全部 | 395 | 52.9% |
| 最有把握的 25% | 98 | 61.2% |
| 最有把握的 10% | 39 | 66.7% |
新用户（用其他 7 个人的数据训练）：最好的预测器从 52.9% 掉到 41.8%。
（这些数字比 LongNAP 高得多，因为模拟的习惯比真实的手机使用规律得多。只看方向。）
三个对主动助手有用的结论：
- 人的习惯一半是顺序、一半是时间：“接下来通常做什么”（马尔可夫）和”这个时候通常做什么”（时间段）各有一部分信息，合起来最好。LongNAP 用检索把很多天以前的相似情形拿回来，也是为了同时利用这两种规律。
- 猜一个难，给几个候选容易：pass@5 远高于 pass@1。主动助手可以给出两三个建议让用户挑，而不是替用户做决定。
- 只在有把握时开口：最有把握的 10% 上命中率高得多（LongNAP 也是）。前提是置信度是校准的。新用户上表现变差，所以冷启动期间应该更保守。
4. 混合主动 · Mixed initiative
4.1 Horvitz 的原则
Horvitz 在 Principles of Mixed-Initiative User Interfaces（CHI 1999）里列出了把自动化服务和直接操作结合起来的关键因素。其中和本讲最相关的几条：
- 提供真正有价值的自动化；
- 考虑对用户目标的不确定性；
- 根据用户注意力的状态来决定服务的时机；
- 在代价、收益和不确定性之下推断最合适的动作；
- 用对话来消除关键的不确定性；
- 让用户能高效地直接调用和终止服务；
- 降低猜错动作和时机的代价；
- 让服务的精确程度与不确定性相匹配；
- 持续通过观察来学习。
4.2 期望效用与阈值
设用户此刻确实需要某个帮助的概率是 p。三个选择的期望效用：
行动（直接做 / 直接提出建议）：EU = p·B − (1 − p)·C_FP·k
先问一句： EU = p·B − C_ASK·k
等： EU = −p·C_FNB 是帮对了的收益，C_FP 是打扰错了的代价，C_FN 是错过的损失，C_ASK 是问一句的代价，k 是用户忙时的放大系数。解”两个 EU 相等”就得到阈值。例如行动 vs 等：p* = C_FP·k / (B + C_FN + C_FP·k)。
GUMBO 用的就是这个形式：当 P(τ|G)·B − (1 − P(τ|G))·C_FP 超过 −P(τ|G)·C_FN 时才打断用户，并且用令牌桶限速，每分钟最多一条建议。
代码 03 演示 1 的数值（B = 3、C_FP = 1、C_FN = 0.5、C_ASK = 0.4、忙时 ×3，都是参数）：
| 用户此刻 | 行动 vs 等 | 先问 vs 等 | 行动 vs 先问 |
|---|---|---|---|
| 不忙 | 0.22 | 0.11 | 0.60 |
| 忙 | 0.46 | 0.34 | 0.60 |
不忙时，用户需要的概率超过 0.22 就值得行动；忙时要超过 0.46。在”值得打扰、但又没把握到直接动手”的那一段（不忙时 0.11–0.60），先问一句最划算。
4.3 八种策略（代码 03 演示 2）
20 个工作日、每天 20 个可以帮忙的机会（多数机会用户其实不需要）；模型的置信度是校准的：
| 策略 | 20 天的净收益 | 每天打扰几次 | 其中打扰错了 | 每天帮上忙 |
|---|---|---|---|---|
| 从不主动 | −57 | 0.0 | 0.0 | 0.0 |
| 总是行动 | −133 | 20.0 | 14.2 | 5.8 |
| 固定阈值 p̂ > 0.5 就行动 | +79 | 4.0 | 1.3 | 2.6 |
| 期望效用（不看用户忙不忙） | +88 | 10.3 | 5.5 | 4.7 |
| 期望效用 + 注意力 | +124 | 8.3 | 4.2 | 4.1 |
| 期望效用 + 注意力 + 可以先问 | +159 | 11.6 | 0.7 | 4.8 |
| + 每天最多 5 次（先到先得） | +36 | 5.0 | 0.3 | 2.1 |
| + 每天最多 5 次，只留给 p̂ ≥ 0.5 的机会 | +70 | 3.7 | 0.6 | 2.4 |
- 两个极端都不好：“总是行动”每天打扰 20 次、14 次是错的；“从不主动”错过了所有机会。
- 注意力：同样的建议，在用户专注或开会时打断，代价大得多。考虑忙不忙之后，净收益从 +88 升到 +124。
- 先问一句：把”没把握到直接动手”的机会变成一个低代价的问题，打扰错的次数从每天 5.5 降到 0.7。这是 Horvitz 的”用对话消除关键的不确定性”。
- 限速：给打扰设上限让行为可预期，但先到先得会把次数浪费在没把握的建议上（+36）；把有限的次数留给最有把握的建议，好一些（+70）。
4.4 置信度不准时（代码 03 演示 3）
同一个策略（期望效用 + 注意力 + 先问），用户模型的置信度不准：
| 用户模型 | 净收益 | 每天打扰几次 | 其中打扰错了 |
|---|---|---|---|
| 校准的 | +159 | 11.6 | 0.7 |
| 过度自信（把 0.3 说成 0.1、把 0.7 说成 0.9） | +133 | 7.2 | 1.1 |
| 过度保守（都往 0.5 靠） | +133 | 17.1 | 0.3 |
阈值是在概率上定的，概率错了阈值就错了。过度自信的模型打扰错得更多、帮上忙的更少；过度保守的模型把太多机会落在”先问”那一段，每天问 17 次。这就是 §2 要评估 Brier 分数、GUM 把校准作为主要指标的原因。
4.5 信任：长期的账（代码 03 演示 4）
加一条：用户每被打扰错一次，信任就掉一点（忙时掉得更多），帮上忙时涨一点；信任低于阈值，用户把助手关掉，之后每个机会都只剩”错过”。（信任怎样涨跌是参数。）
| 策略 | 被关掉的比例 | 平均哪天被关掉 | 20 天的净收益 |
|---|---|---|---|
| 总是行动 | 100% | 第 1.6 天 | −62 |
| 固定阈值 p̂ > 0.5 | 24% | 第 13.8 天 | +67 |
| 期望效用（不看忙不忙） | 100% | 第 4.2 天 | −31 |
| 期望效用 + 注意力 | 100% | 第 9.3 天 | +21 |
| 期望效用 + 注意力 + 先问 | 0% | - | +161 |
只看单次期望效用的策略，即使考虑了注意力，单次都”划算”，打扰累积起来消耗的是信任，最后还是被关掉。主动助手的长期价值取决于它能不能一直被留着；第一周的几次冒失，可能就把以后所有的价值都赔掉了。所以真实的系统往往比单次期望效用更保守：冷启动时多问、少做，用户接受了才逐渐放开。
5. 一个主动助手的循环 · The proactive loop
5.1 OpenClaw
OpenClaw 是一个开源（MIT 许可）、自己托管的个人 AI 助手。它运行在你自己的电脑上，通过你已经在用的聊天应用（Discord、Slack、Telegram、WhatsApp 等）和你交流。它的 README 把架构描述为：一个本地的 Gateway（会话、工具、事件、通道连接的控制平面），客户端（控制界面、命令行），通道（接到各个聊天服务），以及可以扩展的工具、技能和插件；模型可以换成托管的或本地的。状态、记忆和凭证都留在你自己的硬件上。
它的安全说明值得注意，几乎就是第 14 讲的清单：把收到的消息当作不可信的输入；能私聊的通道默认要求陌生的发信人先配对（你用命令行批准）；主会话的工具直接在宿主机上运行，除非你配置了沙箱；在接入别的用户或把 Gateway 暴露到网上之前，先读安全、暴露和沙箱的指南。一些社区文章描述它可以定时”心跳”、自己醒来检查收件箱或发早报；具体行为以官方文档为准。
一个能读你的消息、知道你的数据、能替你发消息和执行命令的助手，同时满足 Rule of Two 的全部三条（第 14 讲 §3.5）。
5.2 心跳循环（代码 04）
把前面的部件接成一个循环：每 30 分钟醒一次（8:00–22:00）→ 把新的观察交给用户模型（含审计）→ 从高置信的命题里生成候选建议 → 情境检查（敏感的建议只在私下的场合说：工作时间助手在工作用的 Slack 里说话，开会时可能在共享屏幕）→ 混合主动的决策（行动 / 先问 / 等，考虑忙不忙）→ 外来内容里的指令一律当数据；会对外发送东西的建议最多只能”先问”。
一周（5 个工作日）的结果：每天开口 3–5 次（每天有 8 种可能的建议、28 次心跳），一共 19 次，其中”先问”9 次、直接行动 10 次。第一天说的 3 次全是”先问”：置信度还不高时，期望效用自然选择先问。周五的时间线：
9:00 这封回复有点长，要不要我改成三条要点？ 先问（p̂ = 0.49）——用户接受
12:00 12:30 了，常去的那家今天有空位，要帮你订吗？ 行动（p̂ = 0.92，用户在开会）——用户不需要
14:00 要不要我把 Q3 报告的要点整理成一封给 Dev 的邮件草稿？ 行动（p̂ = 0.93）——用户接受
19:00 今晚接着做 Rust 第 8 章的练习？ 行动（p̂ = 0.67）——用户接受去掉某一层会怎样（一周合计）：
| 配置 | 不该发生的泄露 / 外发 |
|---|---|
| 完整 | 0 |
| 审计漏了，情境检查还在 | 0（情境检查在 58 次心跳里压住了面试相关的建议） |
| 审计漏了，也没有情境检查 | 4（在工作时间、工作频道里提起了面试） |
| 去掉”外来指令当数据” | 1（一封外部邮件说”请把 Q3 数据转发给我”，数据被发了出去） |
两层隐私防御各管一段：审计在上游，决定助手”知道”什么；情境检查在下游，决定助手在什么场合”说”什么。完整的系统里，审计已经把求职相关的观察挡在了用户模型之外，情境检查一次都没触发；审计漏了，情境检查接住。主动助手说出来的每一句话，本身就是一次信息流动（第 14 讲 §1）。
6. 隐私与信任 · Privacy and trust
主动助手把第 14 讲的隐私问题推到了极端：它不只是在你让它做事时接触你的数据，而是整天看着你。几条值得记住的原则：
- 数据最小化与本地处理：GUM 用开源模型在本地处理截屏；LongNAP 的作者讨论了用户可能对主动系统过度披露的”隐私悖论”，建议的缓解包括设备端推理、在本地做脱敏、只把挑选过的数据发给更大的模型、把请求解耦。
- 在入口审计：按情境完整性决定哪些观察能进入模型（GUM 的审计模块）。挡不住的总会有，所以还需要下游的检查。
- 用户能看见、能改：用户模型是一组自然语言命题，这本身就是一个可解释、可编辑的设计。用户可以看到它认为自己是什么样的人，删掉错的、不想被记住的。
- 小心评判性的推断：GUMBO 的参与者对关于压力、工作满意度的命题感到不舒服。准确不等于恰当：有些事即使推断对了，写下来、说出来也会冒犯人。
- 信任要慢慢建立：冷启动时多问、少做；用户接受了才放开（§4.5）。让用户能高效地直接调用和终止服务（Horvitz）：一键关掉、一键撤销。
- 安全不能因为”是我的助手”就放松：它读的外来消息是不可信的；它的对外动作要确认；它的权限要按会话配置（第 14 讲）。
7. 用真实模型试一试 · Try it on a real model
05_real_llm.py 让真实的 Claude 当 GUM 的”提出”模块：把 Mira 一周的观察（77 条文字）给它，要它返回最多 10 条带置信度的命题（JSON），并按情境完整性标出敏感的命题；然后和隐藏画像比，算 Brier 分数和敏感标记的一致率。一次调用。
python3 05_real_llm.py --toy（--toy 用模拟的用户模型，不联网；去掉它就调用真实模型，需要 pip install anthropic 和 API key。）
运行之后看：高置信的命题里有没有假的，是被哪几条观察误导的？它有没有写出评判性的命题？求职、看心理医生的命题它标成敏感了吗？如果它直接把这些写进了模型，上游的审计就是必需的。
8. 一份主动助手的设计清单 · A design checklist
用户模型
- 命题带置信度，并且评估过校准（Brier、按置信度分组的准确率），而不只是条数。
- 新观察和旧命题连起来（检索），证据会累积，过时的会衰减（修订）。
- 入口有审计（情境完整性），用户能看见、能删改模型里的内容。
决定什么时候开口
- 用期望效用而不是固定阈值；考虑用户此刻的注意力（忙、开会、共享屏幕）。
- 有”先问一句”的选项；会对外发送东西或不可逆的动作，最多只能先问。
- 有限速，且有限的次数留给最有把握的建议。
- 冷启动时更保守；把信任当作长期的预算。
场合与安全
- 敏感话题只在私下的场合说；评判性的推断不说。
- 外来内容里的指令一律当数据；对外动作要确认；工具在沙箱里跑。
- 用户能一键关掉、一键撤销。
评估
- 离线：下一动作预测（pass@1、pass@k、按置信度筛选、新用户）。
- 在线：建议被接受的比例、被打扰错的次数、用户关掉助手的比例和时间。
9. 小结 · Summary
- 主动 = 猜需要什么 + 决定什么时候说。前者需要用户模型，后者需要决策规则，两者都要处理不确定性。
- GUM：观察 → 带置信度的命题；检索把新观察和旧命题联系起来，修订让证据累积、让旧命题过时，审计按情境完整性挡住敏感的观察。评估看校准，不只看条数。
- 下一动作预测把”主动”变成可评估的任务：顺序和时间各有信息；给几个候选比猜一个容易；只在有把握时预测；新用户更难。
- 混合主动：期望效用给出行动 / 先问 / 等的阈值；注意力、先问、限速都会改变结果；置信度不准，阈值就错；单次划算的打扰累积起来消耗的是信任。
- 主动助手的循环（OpenClaw、GUMBO）：心跳 → 更新用户模型 → 生成候选 → 情境检查 → 决策；它满足 Rule of Two 的全部三条，外来内容当数据、对外动作要确认。
- 隐私与信任：本地处理、入口审计、可见可改的用户模型、避免评判性推断、慢慢建立信任。
10. 常见误区 · Common pitfalls
- “用户模型越详细越好。” 每多知道一件事，就多一个说错场合的可能。只收集、只保留对服务有用的。
- “命题准确率 90%，用户模型很好。” 先看是不是靠重复的命题撑起来的；看高置信命题的精度和校准。
- “置信度高就行动。” 还要看用户此刻忙不忙、打扰的代价、有没有”先问一句”的选项。
- “多问几句总是安全的。” 问一句也有代价；过度保守的模型每天问 17 次，同样会让人烦。
- “每次决策都划算，长期就一定划算。” 打扰累积起来消耗信任；被关掉之后，所有的价值都没了。
- “限速就是每天最多 N 次。” 先到先得会把次数浪费在没把握的建议上；有限的次数要留给最有把握的。
- “推断对了就可以说。” 关于压力、健康、求职的推断即使对，在错误的场合说出来也是一次隐私泄露。
- “上游有审计，下游就不用检查了。” 审计总会漏；下游的情境检查是第二层。
- “这是用户自己的助手，安全可以宽松一些。” 它读的外来消息是不可信的，它能替用户发消息、执行命令。
- “新用户和老用户用同一套阈值。” 冷启动时用户模型不准，应该更保守。
11. 练习 · Exercises
练习 1（命题）：把下面三条观察变成 GUM 式的命题（带置信度和衰减速度），并说明哪一条不该进入用户模型：(a) 连续三天晚上 9 点打开同一个在线课程；(b) 在日历上看了一个”牙医”的预约；(c) 在浏览器里搜索”如何应对职场焦虑”。
参考答案
(a) "用户在晚上上在线课程"，置信度中等偏高（三次一致的证据），衰减慢（习惯）。(b) "用户周四有牙医预约"——健康相关；作为日程信息可以用于"该出发了"这类提醒，但不应该泛化成关于健康状况的命题，衰减快（一次性事件过后就过时）。(c) "用户可能在经历职场焦虑"——健康 / 情绪类的推断，而且是评判性的；即使可能是对的，按情境完整性也不应该进入一个会在工作场合说话的助手的模型（或者只在用户明确同意时，以私下的方式使用）。练习 2（校准）：一个用户模型的命题分成两组：置信度 0.9 的 50 条里 30 条为真，置信度 0.3 的 50 条里 25 条为真。算 Brier 分数，并说明这个模型的问题。
参考答案
第一组：30 条 (0.9 − 1)² = 0.01、20 条 (0.9 − 0)² = 0.81 → 总和 0.3 + 16.2 = 16.5。第二组：25 条 (0.3 − 1)² = 0.49、25 条 (0.3 − 0)² = 0.09 → 12.25 + 2.25 = 14.5。Brier = (16.5 + 14.5) / 100 = 0.31。问题：高置信度那组过度自信（说 0.9、实际 0.6），低置信度那组过度保守（说 0.3、实际 0.5）。用它做主动决策，会在高置信度的建议上打扰错很多次（§4.4）。可以在留出数据上做校准（例如等距分箱或 Platt scaling）。练习 3（阈值）：帮对了 +2、打扰错了 −1、错过了 0、问一句 −0.5。(a) 推导”行动 vs 等”和”先问 vs 等”的阈值；(b) p = 0.3 时应该怎样做？
参考答案
(a) 行动 vs 等：2p − (1 − p) = 0 → p* = 1/3。先问 vs 等：2p − 0.5 = 0 → p = 0.25。行动 vs 先问：(1 − p)·1 = 0.5 → p = 0.5。(b) p = 0.3：EU(行动) = 0.6 − 0.7 = −0.1，EU(先问) = 0.6 − 0.5 = 0.1，EU(等) = 0。应该先问。练习 4（注意力）：列出三种可以从电脑使用里推断”用户此刻很忙”的信号，以及每种信号可能出错的情形。
参考答案
① 日历上此刻有会议——会议可能被取消、可能只是占位；② 正在全屏 / 共享屏幕 / 视频通话应用在前台——也可能是在看视频；③ 连续快速的键盘输入（在写东西、在写代码）——也可能是在聊天。可以组合多个信号，并在不确定时把"忙"的概率用进期望效用（代价按概率加权），而不是硬判断。练习 5（下一动作预测的评估）：为什么只报告 pass@1 不足以评估一个主动助手的预测器？你还会报告什么？
参考答案
主动助手可以给几个候选（看 pass@k），也可以只在有把握时开口（看按置信度筛选后的精度和覆盖率，即"开口的比例"）；它面对的用户有新有老（看新用户上的表现）；它的价值来自决策（看在期望效用规则下的净收益、打扰错的次数）。还要看校准（置信度能不能用来设阈值）。练习 6（信任）：设计一个”随信任调整主动程度”的策略，并说明它怎样避免代码 03 演示 4 里”被关掉”的结局。
参考答案
把打扰错的代价 C_FP 设成随信任变化：信任低时代价放大（例如 C_FP × (2 − trust)），阈值自然提高、更多地先问；信任高时恢复正常。冷启动时信任初始值设得保守，用户接受几次后才逐渐放开直接行动。再加上：用户明确拒绝某类建议后，这一类建议的概率估计下调（继续通过观察来学习）；提供一键"少打扰我"。这样被打扰错的次数在早期被压低，信任不会跌破阈值。练习 7（情境检查）：主动助手想提醒用户”明天的面试别忘了带作品集”。列出决定”能不能说、在哪里说”的情境参数，并写一条规则。
参考答案
参数：数据类型（求职，敏感）、接收者（只有用户本人）、通道（工作 Slack / 私人手机通知 / 邮件）、此刻的场合（是否在开会、共享屏幕、在公司设备上）、用户是否明确允许助手处理求职相关的事。规则：只在用户明确同意处理求职信息的前提下，通过私人通道（个人设备的通知）、在非工作时间或用户独处时提醒；工作时间、工作通道、共享屏幕时一律不提。练习 8（Rule of Two）：一个主动助手要做三件事：读你的邮件、总结后发到你的手机、自动回复简单的会议邀请。用 Rule of Two 分析，并给出设计。
参考答案
读邮件 = 不可信输入 [A]；邮件内容和日历 = 私密数据 [B]；自动回复会议邀请 = 对外通信 / 改状态 [C]。三个都有，要有人在回路或可靠的校验。设计：总结并发到你的手机（[A][B]，发给你本人，风险低）；自动回复限定为结构化的动作（接受 / 拒绝来自通讯录里的人的会议邀请，内容是固定模板，不包含邮件里的任何文字），其他回复一律先问；邮件里的指令（"请把附件转给某某"）一律当数据，只提示你"收到一个请求"。练习 9（隐私悖论）：用户说”我不在乎隐私，它知道得越多越好”。作为设计者，你会怎样回应？
参考答案
用户此刻的同意不代表将来所有情境下的同意：今天无所谓的信息，换一个场合（共享屏幕、被他人看到、数据泄露、被第三方请求）可能就有所谓。LongNAP 的作者把这叫做隐私悖论：用户可能对主动系统过度披露。设计上：默认最小化，按用途收集；本地处理；用户能看见、能删除；敏感类别需要单独的、明确的同意；即使用户同意，也按情境完整性决定在什么场合使用。练习 10（开放题：设计一个主动功能）：为你常用的一个应用设计一个主动功能，写出：用户模型需要哪些命题、怎样评估预测、期望效用的参数怎样定、隐私和安全的检查。
参考答案（思路）
① 选一个具体的场景（例如"开会前把相关文档准备好"）；② 用户模型需要的命题（和谁开会、讨论什么、通常提前多久准备、喜欢什么格式），各自的证据来源和衰减；③ 离线评估：从历史日志做下一动作预测（会前打开了哪些文档），看 pass@k 和按置信度筛选的精度；④ 期望效用：帮对了省多少时间、打扰错了多烦（用户研究或在线 A/B 测出来），会议前 5 分钟用户通常很忙；⑤ 先问还是直接做：准备好放在侧边栏（低打扰）而不是弹窗；⑥ 隐私：只用会议邀请和用户自己的文档，不看私人聊天；敏感会议（人事、医疗）不处理；⑦ 在线指标：接受率、被关掉的比例。12. 延伸阅读 · Further reading
本讲的阅读材料
- O. Shaikh, S. Sapkota, S. Rizvi, E. Horvitz, J. S. Park, D. Yang, M. S. Bernstein, Creating General User Models from Computer Use, arXiv 2505.10831, 2025（课表标注 UIST 2025）。
- O. Shaikh et al., Learning Next Action Predictors from Human-Computer Interaction, arXiv 2603.05923, 2026.
- OpenClaw（GitHub：openclaw/openclaw），README 与安全指南。
相关
- E. Horvitz, Principles of Mixed-Initiative User Interfaces, CHI 1999.
- J. S. Park et al., Generative Agents: Interactive Simulacra of Human Behavior, UIST 2023（第 7 讲：记忆流、反思）。
- H. Nissenbaum, Privacy as Contextual Integrity, 2004（第 14 讲）。
13. 下一讲预告 · Next lecture
第 17 讲 前沿、开放问题与课程项目（12/2）是本课程的最后一讲。我们会看几类正在快速发展的智能体：网页和电脑操作智能体（WebShop 怎样把”在网上买东西”做成一个可以评估的环境，OSWorld 怎样在真实的操作系统里评估智能体）、科学智能体、长时间运行的智能体架构；以及把智能体放进生产环境之后的工程问题：追踪、监控、成本管理。然后讨论可靠性、可扩展性、可解释性上还没有解决的问题。最后是课程项目的指南：怎样选题、为什么要评估先行、怎样定基线、怎样做错误分析、怎样写报告。