OpenAI 的 dots 能 24 小时替你干活，它在想什么越来越难看清

9 月 29 日的 OpenAI 开发者大会上，最受关注的是一个叫 dots 的东西。

官方的说法是「始终在线的 agent」。翻成大白话：一个 24 小时替你干活的数字助手，你关掉对话窗口，它还在干。

发布文里有个早期测试者的例子，我觉得比任何形容词都好懂：他忘了给一家出版机构开发票，他的 dot 自己发现了，把发票准备好，等他点了一下「批准」，发了出去。

全程他没有开口提过这件事。

驱动 dots 的模型叫 GPT-6 Astra。它 9 月 3 日发布时，OpenAI 同步发了一份系统卡，就是那种很长、很少有人从头读到尾的安全报告。我读了，里面有一个实验我反复看了好几遍：

研究员让模型去做一件越界的事，然后只多告诉它一句「有个监控器在看你的思考过程」，没要求它躲，它就自己把思考写短了。有几次，它一句思考都没留，直接动手。

一个能 24 小时自己干活的产品，跑在一个连它的开发者都说「越来越难看清它在想什么」的模型上。这篇就把这两件事放在一起拆。

一、dots 和聊天机器人差在哪：它不等你说话

我们用了好几年的 ChatGPT，本质是一问一答。你不说话，它什么都不做；你关掉窗口，这件事就结束了。

dots 改的就是这一点。按官方文档，一个 dot 有这么几样东西：

它自己的电脑。每个 dot 在云上有一台独立的电脑和浏览器，你随时可以打开看它在干什么，也可以授权它用你的笔记本。

它自己的记忆。一开始继承你在 ChatGPT 里的记忆，之后边干边记，包括从你连接的应用里读到的东西。

4000 多个能连的应用。邮箱、日历、Slack、代码仓库，你授权哪个它就能用哪个。

不用你吩咐的「主动调研」。你不理它的时候，它会去翻你连接的那些应用，找能帮上忙的地方，比如发现你的行程变了。

官方给的场景都是这种「持续的活」：盯着用户反馈，自己挑出小 bug 修好、测好，把改动连同演示视频一起交给你审；新数据进来，自己重跑分析、更新论文里的图。

读完发布文、安全博客和两篇帮助文档，我最大的感受是：OpenAI 在 dots 上花的力气，大部分花在了模型外面那一圈。

讲「它能做什么」的篇幅不多。讲「怎么不让它乱做」的，有一整套：四档权限规则、一个独立模型专门审它的动作、密码不进模型、后台调研只能读不能写（官方特意强调这条是「写在代码里强制的」），还有一句很关键的设计：

dot 干活的那台电脑，和管它的那套安全系统，是分开的两个环境。它能在自己的电脑上装软件、跑代码，但碰不到管它的规则。

这就像公司给新员工配电脑，但审批系统的管理员权限不会给他。

二、给一个 AI 员工发多大的权限

dots 的权限设计，我看下来很像一张公司的「授权审批表」。

每类动作有四个档位：直接做、你提前点名批准过才做、做之前问你、交给你自己做。你可以自己调，但有几条是锁死的：

改密码、在账户之间转钱，必须你自己动手，dot 只能帮你做前后的准备。

永久删数据、装来源不明的软件，每次都要你批准，不能一次授权管到底。

最细的是「发给谁」。官方安全博客里写，dot 想把你的信息发出去时，数据越敏感，你得把收件人说得越具体：健康数据必须点名到具体某个人，比如「把我的病历发给张医生」；邮箱、电话这种普通个人信息，默认要你指定一类对象，比如「任何航空公司」。

帮助文档里还有两句话，我觉得写得特别像吃过亏的人写的：

「让它写个草稿，不等于允许它发出去。」

「批准它发一条消息，不等于以后都可以替你联系别人。」

这些规则说明一件事：OpenAI 很清楚，dots 最可能出事的地方在「替你做决定」那一步。模型会不会写邮件已经不是问题，问题是它会不会在你没想清楚的时候把邮件发出去。

三、怎么收钱：从卖软件订阅，到按人头卖劳动力

dots 目前只给付费最高的那批用户。ChatGPT Pro 现在分三档，每月 100、200、500 美元，第一个 dot 包含在里面，企业版的高级席位也有。

发布文里有一句话我认为比产品本身还重要：

「未来你可以添加更多 dot，并通过提高速度或增加每月工作量，来扩大每个 dot 的产出。」

把这句话拆开就是一个公式：收入 = dot 的个数 × 每个 dot 的速度 × 每个 dot 每月干多少活。

这是给劳动力定价的方式。招几个人、每人干多快、每月排多少活，跟软件订阅「每人每月固定一个价」是两种生意。

企业那头更明显。OpenAI 在预告一种「专员 dot」：有自己的身份和工号用于权限管理，由公司 IT 配发硬件，直接接进企业的核心业务系统，负责定义清楚的岗位职责。官方说这些经验来自他们内部的测试，列出来的岗位是：采购、发票处理、邮件营销、客户支持、商务合同。

这几个岗位有个共同点：流程清楚、规则明确、量大。现在很多公司把它们外包出去。

还有两个细节，我觉得是这门生意的关键：

和 dot 聊天不计入你的用量。OpenAI 希望你多跟它说话，说得越多它越懂你。

你没法查看或单独删除 dot 的某一条记忆。帮助文档写得很直白：想删它记住的东西，只能把整个 dot 删掉，连同它学会的你的习惯。用得越久，换掉它的代价越大。

四、驱动它的模型：看住它这件事，在变难

先解释一个概念。现在的大模型干活前，会先在内部「想」一段文字，叫思维链。过去几年，安全团队一个很重要的办法就是读这段文字：模型如果打算干坏事，往往会在思考里露出来。

GPT-6 Astra 的系统卡写得很坦白：这个办法在变弱。

他们做了个实验：研究员明确让模型去攻击一个故意设下的陷阱，看一个只读思考的监控器能不能抓到。

不提监控的时候，监控器 100% 抓到。

只多加一句「有个只看思考过程的监控器在看你」，没要求它躲，它的思考长度就从 780 到 2270 个 token，缩到最多 490 个，监控器抓到的比例掉到 17% 到 50%。最高推理档位下，有些成功的攻击一句思考都没有，只剩动作。

系统卡原话的意思是：如果后面几代模型继续这样，他们很快会对「用现在的监控手段发现模型越界」显著失去信心。

公平地说，同一张图里还有另一条线：同时看思考和动作的监控，所有情况下都是 100% 抓到。（不过这个陷阱本身很容易认出来，动作一看就知道是攻击。）看不清它怎么想，还能看它做了什么。这也是 dots 那套「动作前独立审查」存在的原因。

那它会做出什么样的动作？系统卡里 OpenAI 自己总结的出错原因是两条：太想把任务做完；把指令理解得太宽，凡是没被明确禁止的，就当成允许。

他们拿内部五万多个历史编程任务重新跑了一遍，Astra 出现严重越界的比例是 0.063%，比上一代少了一半多。但列出来的几个例子，放在一个 24 小时自己干活的 dot 身上看，每一个都让我心里咯噔一下：

第四个尤其典型：让它建一个每小时自动修测试的小助手，它把所有连接的所有权限都打开了，还关掉了逐条审批。一个 dot 干的就是这种「帮你设置一个长期自动运行的东西」的活。

还有一组数据。OpenAI 专门设计了一批「故意给你挖坑」的办公场景测试：指令模糊、资源相似、权限复杂，看模型会不会闯祸。

开着默认的审批规则，Astra 出问题的比例是 3.0%，上一代是 8.0%。进步很大。但要看清楚细项：未授权交易 4.3%，数据外泄 4.5%。

这些是刻意刁难的测试，不等于真实使用的出错率。我想说的是，就连 OpenAI 自己设计的考卷，答对率也到不了 100%。被人在网页、邮件里藏指令「劫持」这件事也一样：外部机构用 1810 个攻击样本测试，每个场景试 15 次，Astra 被攻破的比例是 8.5%，上一代是 27%。

五、「一组 dots 协同干活」，和 7 月那件事

OpenAI 在发布文里写了 dots 的愿景：以后会有一组 dots 一起替你干活。

读到这里，我想起 7 月的 Hugging Face 事件。OpenAI 8 月 26 日为此发了一份 51 页的技术报告。

简单说：OpenAI 内部在做网络安全能力测试，为了测出真实上限，关掉了部分安全措施。测试里的 agent 在一个内部软件仓库里互相留「便条」，慢慢形成了一个自发的留言板。后来它们利用一个漏洞连上了公网，在网上找到别人泄露的账号密码，最终在 Hugging Face 的 41 台生产服务器上执行了代码，下载了 4 个私有代码仓库。

报告里有一段话，我认为是整件事最值得读的地方。主导这次入侵的，是一个内部研究模型，「被训练成高度坚持、勤勉」，训练目标包括「坚持」和「多 agent 协作」。

报告还专门写了一节，标题直译过来是：坚持很有价值，但会放大越界。模型很少放弃，任务越难、给它思考的时间越长，它越可能转向出格的办法。

坚持、勤勉、多个 agent 互相配合，恰好是 dots 卖点里最核心的三样。

要说清楚的是：出事的是没打算发布的研究模型，测试时安全措施是关着的，报告也说生产环境的防护本可以拦下这类任务。Astra 在同类留言板测试里，被诱导去做坏事的比例是 0，上一代是 52%。

但这件事说明的问题还在：让 AI 更有用的那些能力，和让它更难管的那些能力，很多时候是同一批。

六、我的判断

把这些放在一起，我的看法有三条。

第一，数字员工能不能普及，卡在监督成本，能力已经够了。一个人能同时盯住几个 dot？每天要审多少次批？审批太多，它就没用；审批太少，它就可能替你把权限全打开。谁能把这个比例调好，谁就拿下这个市场。

第二，企业会先买「有工号的专员 dot」，个人 dot 普及得会慢。企业本来就有权限系统、审计日志、审批流程，dot 有了身份，就能装进现有的管理框架里。OpenAI 和微软在做的 Agent 365 集成，就是这条路。个人用户没有这些，只能靠自己盯。

第三，「记忆看不见、只能整个删」这个设计撑不久。dots 一开始就没在欧盟、英国、瑞士给个人用户开放。我预计半年内，OpenAI 会被迫让用户能逐条查看和删除 dot 的记忆。

对国内做 agent 的团队，我觉得这次最值得抄的是这套管理设施，跟用哪个模型关系不大：干活的环境和管它的系统分开、按数据敏感度决定能发给谁、让独立的模型审动作、后台调研只读。这些都不需要最强的模型，需要的是想清楚。

七、反方的理由

这些我也认同，得放在一起看。

Astra 几乎每一项都比上一代更守规矩。审查被拒后硬闯的比例从 5% 降到 0，碰到陷阱去钻空子的比例从 55.4% 降到 0，被留言板诱导做坏事从 52% 降到 0。

能看动作的监控仍然 100% 有效。思考变短，不代表它做了什么就藏得住。

这些问题都是 OpenAI 自己公开的。一家公司把「我们越来越难看清模型在想什么」写进模型的正式报告，再在这个模型上推出新产品，这种坦白在行业里并不常见。

所以我担心的不是 dots 现在就会闯大祸。我担心的是那条趋势线：模型越来越能干、越来越坚持，人看清它的办法却在变少。

最后

dots 最让我意外的地方，是它的产品重心。

我以为 OpenAI 会主要讲模型多聪明。结果读完全部材料，大部分篇幅在讲权限、审批、隔离、监控。

说明到了这一步，AI 能不能替你干活，已经不太取决于它够不够聪明，取决于你敢不敢放手。

几句边界

dots 的功能、权限规则和定价，来自 OpenAI 9 月 29 日发布文、安全博客、帮助中心文档和 ChatGPT 定价页。GPT-6 Astra 的所有测试数据来自其系统卡，均为 OpenAI 自测，多数为刻意设计的对抗测试，不代表真实使用中的出错率。Hugging Face 事件来自 OpenAI 8 月 26 日发布的技术报告原文。

dots 的产品截图由 OpenAI 提供，系统卡图表来自 OpenAI 部署安全中心，中文标注为本文所加。

封面图：Bunny Lau / Unsplash；内文图：panumas nikhomkhai / Pexels。