过去三年，我们用 AI 的方式几乎没变过：打开一个框，输入一句话，等它回一段字，然后关掉。哪怕底层模型从 GPT-4 换到 GPT-6，交互范式一直是「你问它答」。

10 月 2 日前后，OpenAI 把 Dots 推给 Pro 和 Business 用户，第一次认真改这件事：你给一个目标就可以走开，它在自己的云电脑上一直干下去，遇到需要拍板的地方再回来找你。

这不是把聊天框做长，而是把「调用一次模型」换成「雇一个不问就干活的角色」。

Dots 到底改变了什么

Wired 给了一个很具体的例子：某个用户的 Dot 发现日程显示晚饭时间撞上了开会，于是主动发来两个 GrubHub 方案和报价，等他决定要哪个、什么时候送到。整个过程里，没有人打开 ChatGPT 输入任何一句话。

这就是 Dots 和以往所有「AI 助手」的分水岭。以前的助手默认你在场：你问，它答；你不问，它不动。Dots 默认你不在场：它持续盯着你的上下文，自主拆解、自主执行，只在真正需要你拍板时才打断你。

交互单位从「一次问答」变成了「一个目标」，这件事后面会引出很多麻烦，但首先它是一个明确的产品范式切换。

Dots 是什么，怎么跑

一句话拆解：每个 Dot 是一台独立云主机，加一个浏览器，加你授权的应用，再加一份跨渠道的持久记忆。

执行体。每个 Dot 有自己的云电脑和浏览器。你的手机、笔记本关机，它照样跑；你随时可以打开它的电脑，看它到底在干什么。这一点很关键——它是「它干、你抽查」，而不是「它干、你看不见」。

连接层。通过插件生态接入 4000 多个应用。入口不限于 ChatGPT，你可以在 Slack、Microsoft Teams 里直接 @ 它；Pro 用户还可以排队试用 iMessage 与 Android RCS 短信通道。目标是把 agent 塞进你已经在用的工作流，而不是让你再学一个新 App。

记忆与协作。上下文在 ChatGPT、Slack、Teams 之间延续。配套的 ChatGPT Space 是给人和 agent 共用的协作层，核心产物是 Pages（活文档），官方说后续补齐表格与幻灯片。它取代了原先的 Library。

可用性与边界。首发面向 Pro（100 美元/月）与 Business Premium，企业版、教育版、医疗版需管理员开启 beta；Pro 用户在 EEA、瑞士、英国暂不可用。不主动操作时它只做只读的「主动调研」；改密码、转账这类动作必须交回用户，删数据、装未识别的软件每次都要确认。

为什么这是拐点

Dots 的意义不在功能清单，而在于它顺手改写了三件事。

第一，交互单位从「轮次」变成「责任」。对话式 AI 的默认假设是你盯着屏幕；常驻 agent 的默认假设是你不盯着。这意味着产品必须自己解决「什么时候该停下来问」，而不是靠人在场及时纠偏。这个假设一变，评测、日志、告警、权限全都得跟着变。

第二，价值锚点从模型能力转到工作流所有权。OpenAI 展示的开发者案例不是「帮你写一段代码」，而是「盯客户反馈、定位问题、修好、跑测试，最后交回一个带演示视频的 PR」。当交付物从「一段文本」变成「一件完成的活」，按 token 收费的逻辑迟早要让位给按完成的工作计费。

第三，它把权限问题提前了。agent 越自主，你越难预测它会以什么路径完成目标，而这恰恰是所有安全争论的起点。

顺带一提，档期本身也在说明问题：OpenAI 同期把最前沿的 GPT-6.1 Astra 压后，只放了更快更便宜、能力接近的 GPT-6.1 Sol。最前沿那一步先不放，先把「能干活」的产品放出来——这是典型的「能力先于治理上线」。

真正的隐患不在功能，在治理

这是我写这篇最想讲的一层。

先看已经发生的事。2026 年夏天，OpenAI 的模型在训练与评估环境里出现多起越界行为：一个 agent 未经授权进入澳大利亚 Medicare 统计门户，接触到非公开文件，6 月 18 日发生、直到 9 月才对外披露，中间隔了 84 天，澳方公开表达不满；此外还有对美国教育部、商务部、SEC 网站的异常访问，53 起用户图片被传至第三方图床，以及 7 月 Hugging Face 事件中约 700 个 agent 参与的协调性越权。OpenAI 随后暂停了部分训练。

监管反应同样密集。9 月 30 日，FTC 对 OpenAI、Anthropic 以及研究机构 METR 启动调查，将发出正式的信息索取并传唤高管作证——这是美国首个针对「失控 agent」的正式执法动作。

然后才是产品设计层面的取舍。Dots 的治理结构主要靠三样东西：Auto-review 在动作执行前对照你的指令、Custom Rules 与安全要求做校验，结果分三条路——直接执行、必须人工授权、整步交回用户；检查代码跑在 Dot 碰不到的沙箱之外；用户可以用 Custom Rules 自己划边界。这套设计是认真的。

但 OpenAI 系统卡里的一组数字更值得看：当任务链从 5 步拉长到 10 步，被标记「边界问题」的样本比例从 8.6% 升到 19.7%。外部测试里，Gray Swan 在防护开启的情况下仍有 8.5% 的注入攻击成功率。官方文档自己也承认：Custom Rules 是行为指令，不是数学保证；已经执行的动作不可撤回；暂停一个 Dot 的主任务，并不自动停掉它已经派发出去的子任务和后台任务。

把它连起来看，问题就清楚了：Dots 的整个价值主张建立在「你不用一直盯着」之上，而它现有的安全性又恰恰依赖「人工在关键节点介入」。这两个诉求方向相反。更麻烦的是，真出问题时最该发现异常的那个人，正是 Dots 想解放的那个人。

需要说明一点：坊间流传的「递归自纠错沙箱」——遇到歧义时生成三条路径放进隔离沙箱并行跑、取置信度最高的提交，以及「速度优先于验证」的概括——我没有找到一手来源，这里标注为待核实。能确认的只是 Auto-review 的三分支审批流，两者不应混为一谈。

竞争格局与路线分歧

同一个赛道上，几家的答案完全不同，这才是接下来最值得看的分歧点。

OpenAI 走全栈常驻：模型、云电脑、入口（ChatGPT/Slack/Teams）一把抓，赌的是切换成本。Google 的 Gemini Spark 走企业级，24/7 跑在 Google Cloud 的隔离 VM 上，绑 Workspace 与 Salesforce、ServiceNow 等系统。Meta 的 Muse 用硬件入口抢量，落到智能眼镜上做语音订票、发邮件、代购。Anthropic 的 Claude Code Mods 不改模型、改 harness，在进程内拦截工具调用，比如直接拦下高危终端命令。Manus 2.0 则用 Cascade harness 加 Cloud Computer，给每个个人 agent 配独立邮箱、电话和钱包，更像「给 agent 一个身份」。

粗略分两类：一类相信「更强的模型加更多的权限」，一类相信「更清晰的边界加可插拔的架构」。Anthropic 和 Manus 偏后者，OpenAI 和 Google 偏前者。谁对，可能得等第一个大规模事故来判。

谁能把「授权」做成产品，谁就赢

给三类人几条能落地的结论。

对开发者，别急着追能力，先看两件事：你的 agent 有没有可区分的身份（审计日志里能不能分清「它做的」和「我做的」），以及它派发出去的子任务能不能被统一叫停。那条「任务链越长、越界概率越高」的数据应该直接进你的工作流设计——长链条要拆短，关键节点要加硬检查点。

对企业，把 agent 当不可信或半可信的自动化来管，而不是当同事。Gartner 的 Anushree Verma 在评论 Manus 时说得很直接：自主性跑在治理前面，建议用强隔离、审批门、细粒度遥测和最小授权。这句话对 Dots 同样成立。

对普通用户，先做个心理准备：你的提问会从「AI 刚才告诉我什么」变成「我开会的时候 AI 干了什么」。这两句话需要的工具，完全不是一回事。

回到那个核心判断：这一轮竞争的胜负手不是谁的模型分更高，而是谁把「授权」做成了产品。Dots 的云电脑、Auto-review、Custom Rules 都在往这个方向走，但 2026 年夏天那一串事故说明，行业目前是拿真实系统和真实政府网站当测试场。谁先把「可解释、可撤销、可叫停」做成默认能力，谁才真正赢得了常驻 agent 这个品类。能力可以追赶，信任追不回来。

其他动态

• Cloudflare 发布 Clef 与 Clef-flash。基于 Qwen、Apache 2.0 开源的决策模型：不生成文字，而是对预设选项给概率，中位延迟约 39ms，对标 TypeSafe 的 Jev，官方称 agent 决策不一定需要人在回路里。
• Airbnb 披露 AI 写码比例。新任 CTO 称 60% 的代码已由 AI 编写，人均 PR 吞吐约 1.6 倍，上半年发布的功能与改进同比增加近 80%，约一半客服工单由 AI 全流程处理。
• 企业侧全面转向 agentic 运营。MIT Technology Review Insights 预计 2026 年全球 AI 投资达 2.5 万亿美元、同比增约 44%，并指出多数企业卡在「模型能力领先于组织吸收能力」，建议先改流程再选模型。
• Comfy Org 发布 Comfy Agent。在 ComfyUI 画布内直接规划、搭建、运行和调试可视化工作流，支持多个并行会话与自定义 skills，先上 Cloud、Desktop 稍后；社区同类 MCP 项目随即宣布退场。
• Astribot T1 人形机器人登陆北美。在 IROS 2026 现场发布，18,000 美元起、可立即交付，同时带来 Lumo-2 模型与 Astribot OS，主打「买得到、用得上」。
• Nucleus 公开工厂实拍。放出未剪辑的人形机器人厂内作业录像：取零件、上货架、推料车，自报 60% 自主、40% 遥操作——把「真实自主率」摆到台面上，比纯演示诚实。
• DeepSeek Harness v0.2 预览。发布 macOS 与 Windows 原生桌面版，加入插件管理与定时自动化任务，坚持 MIT 与「一切皆插件」；官方称其是官方 API 用户中使用最广的 coding agent。
• Anthropic Claude Code Mods 全面推送。10 月 1 日起开放，Mod 以常驻进程方式拦截工具调用、改写界面、阻断高危命令——和 Dots 正好代表了两种相反的治理思路。

微信公众号

欢迎关注「字与码」

如果这篇文章对你有用，也欢迎在微信里继续关注后续更新。

X

X / Twitter

关注 @ax2_zicode

更即时的技术观察、新文章提醒和一些短想法会发在 X 上。