端侧 Agent 部署的硬件约束与系统设计：手机如何承载跨应用 Agent？

端侧 Agent 的硬件设计从内存门槛开始：跨应用多步任务要求本地模型权重、KV cache 与多应用上下文同时驻留，内存容量直接划出能力档位。在此之上按负载特性决定 NPU 与通用核的分工，按延迟—隐私—成本把任务路由到端侧或云端卸载，最后用系统级权限、审计与降级策略收口。硬件规格表本质是功能清单，这也是 OEM 生态锁定的核心逻辑。

一、内存门槛：为什么 RAM 决定 Agent 能力档位

端侧 Agent 的内存占用与单轮对话模型有本质区别。第一，本地模型权重与 KV cache 必须常驻——Agent 是长期运行的后台服务，不能每次调用都重新加载。第二，多应用上下文要同时保持：一个跨应用任务（从消息提取航班信息、写入日历、规划路线）需要读取多个应用的屏幕内容与状态，中间态全部驻留内存。第三，与 OS 和前台应用共存：手机内存优先保障前台体验，Agent 能拿到的是剩余配额。

三层叠加使内存容量成为能力的阶跃函数：低于门槛，Agent 要么整体不可用，要么大幅降级（单应用、短上下文、频繁卸载上云）。Google 把 12GB 划为 Gemini Intelligence 的门槛（Pixel 11 世代，部分上代机型不满足），本质是把内存从硬件参数变成功能开关——硬件规格表直接成为功能清单。

二、芯片选型：NPU 与通用核的分工

端侧 Agent 的计算负载可拆成四类，各适合不同硬件。常驻感知（屏幕理解、唤醒、意图检测）：低功耗高频次，适合专用低功耗核而非主 NPU；Tensor G6 宣称浏览器性能 +25%、应用启动 +15%（官方口径，provisional），靠的是芯片级调度优化。突发规划与生成（任务分解、长文本生成）：计算密集，需要 NPU 峰值算力，但受散热与降频约束，持续性能比纸面 TOPS 更重要。上下文处理（读取并结构化多应用内容）：访存密集，解码阶段瓶颈在内存带宽而非算力。敏感数据处理：应在隔离执行环境（TEE/安全区）内完成，避免明文经过通用核。

选型判据不是「谁的 TOPS 高」，而是三个问题：峰值算力能否持续（散热设计）、内存带宽是否匹配模型尺寸、调度器能否保证 Agent 任务不抢占前台资源。

三、端云卸载：上下文本地与计算上云的决策矩阵

端侧不等于全本地，现实架构是端云混合路由器，决策变量四个：延迟预算（毫秒级意图识别必须本地）、隐私边界（屏幕内容与通信数据优先不出端，减少上传面）、网络状态（弱网与离线场景必须有本地降级能力）、成本（高频小任务端侧零边际成本，低频复杂任务上云比塞更大的端侧模型更划算）。

工程落地还要补两条：一是决策透明，用户能感知哪些数据上了云；二是降级路径，云端失效时本地保留最小可用功能（单应用任务），而不是整体瘫痪。Pixel 11 的路线是本地 Gemini Nano v3 处理轻任务、云端 Gemini 处理重任务（多源交叉，provisional）。

四、权限与隐私边界：系统级集成的信任设计

跨应用 Agent 本质是获得「替用户操作手机」的特权，权限模型必须严于普通应用：最小权限加逐应用授权，Agent 对每个应用的访问应可单独授权与撤销；动作链可审计，每次跨应用操作可回放——哪个意图、读了什么、写了什么；敏感操作确认，支付、发送、删除类不可逆动作需人工确认。

隐私边界与端云决策互相咬合：如果 Agent 必须把屏幕内容上传云端才能理解，隐私承诺即告失效，所以系统级语义理解要尽量在端侧完成——这反过来解释了内存门槛为什么必须抬高：隐私能力是用内存买来的。

五、OEM 生态锁定：业务结构如何塑造架构

端侧 Agent 天然是生态业务：自研芯片控制能力上限与物料成本，自有商店控制应用集成接口与分成，系统助手占据用户入口，三者构成闭环——Google 的 Tensor G6 加 Play 生态加 Gemini Intelligence 就是样板。

架构含义有两层。对平台方：闭环缺任何一环，Agent 架构都建在别人的地基上，OEM 想自研端侧 Agent 要先回答三件套是否齐备。对第三方 Agent：拿不到自研芯片与商店，只能获得 OS 层的次级权限，设计必须假设权限面随时间收窄，核心价值不能构建在脆弱权限上。

误区一：把内存门槛当营销参数。12GB 不是规格竞赛，而是 Agent 三层内存占用（模型权重、KV cache、多应用上下文）的真实阶跃函数：低于门槛，功能直接缺失或大幅降级。判断「设备能否跑 Agent」要看内存账本与能力集的对应关系，而不是跑分。

误区二：芯片选型只看 TOPS。解码阶段的瓶颈是内存带宽而非峰值算力，持续性能还受散热约束；TOPS 高但带宽不足或散热差的芯片，Agent 实际体验反而更差。常驻感知类负载还依赖专用低功耗核，不是主 NPU 的活。

误区三：把端侧 Agent 等同于「不上云」。现实架构是端云路由：毫秒级意图识别与隐私数据处理留在端侧，知识密集与长生成任务上云。以「纯本地」为设计目标，要么塞入过大模型导致发热降频，要么为隐私牺牲全部能力，两头皆输。

误区四：把权限模型当应用层问题。跨应用 Agent 持有的是系统级特权，逐应用授权、动作审计、敏感操作确认必须内置在 OS 层，靠单个应用自律等于把钥匙放门口地垫下。隐私承诺还与端云边界咬合：屏幕内容要上云才能理解时，「端侧」就名存实亡。