今天，国家发改委披露了一项外商投资安全审查决定：外商投资安全审查工作机制办公室依法依规对外资收购 Manus 项目作出禁止投资决定，并要求当事人撤销该收购交易。
严格说，这不是 Manus 被“处罚”。更准确的说法是：一笔围绕 Manus 的外资收购交易，被中国的外商投资安全审查机制叫停了。监管对象不是某个模型回答错了什么，也不是产品运营中出现了具体违法行为，而是这个 AI Agent 项目的控制权转移本身。
这件事值得看，不只是因为 Manus 是明星 AI 产品，也不只是因为公开报道中的买方是 Meta。真正重要的是它背后的路径：从武汉光谷出发，以 AI Agent 的形态踩中大模型应用窗口，随后迁往新加坡，最后在美国科技巨头的收购路径上撞上国家安全审查边界。
Manus 被叫停，不只是一个 AI 项目的交易失败。它更像是一个样板事件：AI Agent 公司如何被定价，如何退出，如何出海，如何接受安全审查，以及如何进入企业财务和合规团队的视野。
一、Manus 的底色：应用创业，而不是模型信仰
Manus 最早被公众看见，是 2025 年 3 月。当时 DeepSeek 的热度刚刚过去，Manus 以“通用 AI Agent”的姿态突然出圈。它和传统聊天机器人最大的不同，是不只回答问题，而是尝试完成任务：做研究、写报告、做网页、分析股票、规划旅行，把用户目标拆成步骤，然后调用工具去执行。
它看起来像一个产品奇迹，但并不是凭空出现的。公开报道里，Manus 背后的蝴蝶效应团队与武汉光谷关系很深。创始人肖弘毕业于华中科技大学，Manus 的早期核心研发工作也在武汉光谷展开。高校、工程师、孵化器和地方创业政策，构成了它早期成长的土壤。
要理解 Manus，也要看肖弘自己的创业方法。在张小珺《商业访谈录》那期三小时访谈里，肖弘呈现出一种很鲜明的气质：他不是底层模型的理想主义者，而是一个非常务实的应用创业者。他过去做微信生态工具，后来做 Monica，再后来做 Manus。几段经历背后有一个共同点：不执着于拥有最底层的技术，而是判断平台变化、模型变化、用户需求变化，然后在新的能力窗口打开时，最快把它产品化。
这证明了中国 AI 创业不一定非要走“训练大模型”的路线。应用层也可以做出全球关注的产品。但这个优点，后来也变成了敏感点。
因为 AI Agent 一旦真的好用，就不只是“应用”了。它会接触文件、网页、账号、浏览器、企业系统和业务流程。传统软件卖的是功能，Agent 卖的是执行能力。执行能力一旦嵌入工作流，就会变成基础设施的一部分。
这正是安全审查会关心的地方。
Manus 爆红之后，公司结构和团队重心开始向新加坡转移。公开报道显示，Manus 方面在 2025 年中确认总部已从中国迁至新加坡，后续武汉办公地也基本搬空。这一步在商业上并不难理解：新加坡更容易对接美元资本、全球客户和欧美科技巨头的并购版图。
但出海在商业叙事里意味着全球化，在安全审查叙事里则可能意味着控制权、技术路径和数据边界的重新归属。这就是 Manus 事件里最核心的张力。
二、财务角度：估值不是价格，交割才是价格
如果 Manus 被 Meta 收购，表面看是一个漂亮的创业退出。公开报道中，这笔交易的估值约为 20 亿美元；虽然双方并未在官方声明中披露最终金额，但这个量级本身已经足以说明它不是一次普通的产品收购，而是大厂对 Agent 执行层能力的战略定价。
对早期团队、投资人和员工期权来说，这意味着一次高额流动性事件。对 Meta 来说，则是获得 AI Agent 能力、全球分发、算力资源和产品场景之间的组合牌。
但安全审查叫停之后，真正变化的是估值公式。
过去 AI 应用公司的估值可能看收入增速、用户留存、Agent 执行成功率、企业客户渗透率和大厂战略收购溢价。现在要多加一项：监管可完成性。
一个交易如果无法通过外资安全审查、技术出口审查或数据合规审查，估值再高也只是纸面数字。并购估值不是新闻稿里的价格，而是交割后能真正落袋的价格。
这会直接影响交易结构。监管审批会变成更重的先决条件，交易文件里会出现更严格的陈述与保证、赔偿安排、剥离义务和终止机制。卖方也要重新看退出确定性。一个高估值收购如果长期不能交割，会拖累公司治理、员工士气和客户信心。
员工期权也是同样的问题。AI 公司估值上涨很快，但期权价值最终取决于流动性事件是否真的完成。Manus 这类案例提醒创始人和 CFO：在设计员工激励、融资条款和并购退出时，不能只讲增长故事，还要评估交易完成概率。
对投资人来说，“卖给美国大厂”过去是一个可以支撑估值的选项。现在，对于有中国研发背景、企业数据场景、自动化执行能力和境外控制权安排的 AI Agent 公司，这个选项需要打折。
这不是说不能出海，也不是说不能被并购。它的意思是，交易结构本身已经变成风险资产。
三、合规角度：Agent 是一个高权限数字员工
Manus 这类产品敏感，不只是因为它“懂 AI”，而是因为它能执行任务。
对企业来说，Agent 一旦接入邮箱、浏览器、网盘、CRM、ERP、财务系统、代码仓库和审批流，就会碰到传统内控里最核心的几件事：
- 谁有权限读取数据？
- 谁能发起操作？
- 谁能修改文件？
- 谁能生成付款、合同、报价或审批意见？
- 操作日志能不能审计？
- 高风险动作有没有人工复核？
- 控制权变化后，数据和权限会不会被境外主体访问？
这已经不是普通 IT 采购问题，而是财务内控、数据合规、第三方风险管理和业务连续性问题。
传统 SaaS 主要提供功能。Agent 提供的是执行能力。它可能读发票、填报销、生成付款说明，可能读取合同、建议报价，也可能改代码、跑测试、提 PR、操作部署环境。
财务和合规团队以后不能只问“这个工具能不能提高效率”，还要问“它能不能代替人发起有财务后果的动作”。只要答案是能，它就进入内控范围。
企业采购 AI Agent，至少要建立新的审查清单：权限矩阵、数据流向图、日志留存、人工审批节点、高风险动作阻断、供应商控制权变化通知、训练数据条款、境外访问安排、退出和数据删除机制。
这也是 Manus 事件对企业客户最大的提醒：Agent 不是普通软件，它是“代你做事的人”。只要它能代你执行，它就进入了内控范围。
四、时机角度：Agent 战场反而在加速
2026 年 4 月这个时间点很微妙。
一边是 Manus 的 Meta 收购被中国安全审查叫停，说明跨境并购这条路遇到了国家安全边界。
另一边，Agent 产品正在快速从“网页应用”变成“桌面执行层”。
OpenAI 在 4 月 16 日发布 Codex 重大更新，官方说 Codex 可以操作电脑、连接更多日常工具、生成图像、记住偏好，并支持 in-app browser、远程 devbox、PR review 等更完整的软件开发流程。Claude 的官方 release notes 也显示，Claude Cowork 已在 4 月通过 Claude Desktop 在 macOS 和 Windows 上 GA，同时企业侧有 RBAC、Analytics API、OpenTelemetry 等管理能力。
再看 OpenClaw 这类开源/本地 Agent 项目的热度，市场正在往一个方向走：让 Agent 运行在本地或桌面环境里，连接消息工具、浏览器、文件系统和外部 API，成为个人或企业工作流里的执行入口。
这背后说明一件事：Agent 的竞争核心正在转移。
第一阶段是模型能力：谁的模型更聪明。
第二阶段是应用包装：谁能把模型做成好用产品。
第三阶段是执行入口：谁能安全地进入用户电脑、浏览器、文件、邮箱、代码仓库和企业系统。
Manus 代表的是第二阶段到第三阶段之间的产品突破。Codex、Claude Desktop、OpenClaw 这些产品和生态，则说明第三阶段已经开始。
所以 Manus 被叫停，并不意味着 AI Agent 的机会变小。恰恰相反，它说明这个赛道已经重要到不能再按普通应用看待。
以前，AI 应用公司的核心问题是：用户愿不愿意付费。
现在，问题变成了：用户愿不愿意给你权限，企业愿不愿意让你进系统，监管愿不愿意让你的控制权跨境转移。
这三个问题，才是下一阶段 Agent 竞争的主战场。
最后
肖弘在那期访谈里讲过一个判断：世界不是线性外推的，创业者要成为博弈中的重要变量。
Manus 的确成为了变量。它让外界看见，中国 AI 应用创业者可以不训练底层模型，也做出世界级关注的产品；它也让监管看见，一个应用层 Agent 一旦足够强，就可能不再只是应用。
Manus 不是最后一个案例。它只是提前把一个问题摆到了桌面上：一个从中国生态里长出的 AI Agent，最终能不能被美国科技巨头买走？
今天的答案，至少在 Manus 这件事上，已经很清楚了。
参考资料：