OpenAI dots 深度解析：全天候AI代理如何工作

OpenAI 在 DevDay 上展示了一个与常规 ChatGPT 对话截然不同的产品形态：一个在你关掉标签页、甚至睡觉之后仍在持续工作的 AI 代理，名为 dot。每个 dot 拥有独立的云端计算机、浏览器、应用访问权限和记忆，全天候运行。

据 rss 来源的详细梳理，dot 基于 GPT-6 Astra（9 月 3 日发布）构建。本文综合多方信息，拆解它的能力边界、权限设计与现实局限。

OpenAI dots 来源截图

dot 到底是什么

常规 ChatGPT 对话的生命周期取决于标签页——关闭即暂停，等待下一条消息。dot 的逻辑相反：它被设计为持续在线。据三到四个来源交叉印证的核心事实包括：

独立云端计算机：带浏览器，你不聊天时它继续运行，你可以随时打开观看它正在做什么。
应用接入：通过插件连接邮件、日历、Slack、表格等 4000+ 服务。
独立记忆：dot 的笔记与 ChatGPT 记忆分开存储，并从你的纠正中学习。
主动工作：没有指令时，它会主动寻找帮助你的方式，OpenAI 称之为“主动研究”。

每个 dot 有名字、外观和类似 @yourname-dot 的句柄，可在桌面端、移动端、Slack、Microsoft Teams 或语音中对话，上下文跨渠道延续。

发布时被反复引用的案例是：一位早期测试者的 dot 发现了他忘记发送的发票，从邮件线程中组装内容并生成 PDF 发送——在他批准之后。最后这一步才是关键。

权限系统才是核心

dot 的真正设计重心不在模型能力，而在权限控制。在自定义规则下，每个动作可归入四种模式之一：

无需询问直接执行——适合错误代价为零的例行事务。
经你指示后执行——预先批准，按你的指令触发。
执行前询问——dot 准备草稿，等你确认。
移交给你——dot 把任务推进到需要人介入的节点。

规则之上还有无法移除的硬限制：修改密码和转账始终回到你手中；购买需要审批，且预先批准仅对特定购买有效；永久删除和软件安装可能每次都需要批准。此外，自动审查会检查涉及账户或信息分享的动作（如发邮件），可拦截、询问或中止，dot 无法关闭它。主动研究严格只读，不能发消息、修改应用内容或控制浏览器。

暂停会停止主任务，但不一定停止已委派或已排期的任务，且没有任何回滚——发出的邮件就是发出了。

人在回路（human-in-the-loop） 是一种将人类判断嵌入自动化流程的控制范式：系统在关键节点暂停，等待人工确认、修正或接管，再继续执行。dot 的四种动作模式本质上是对人在回路强度的分级——从完全自动到完全移交，覆盖了不同错误代价的任务。这种设计的价值在于，它承认了代理能力与可靠性之间的差距：对于错误可撤销、代价趋近于零的例行事务，可以放宽到直接执行；而对于涉及资金、身份凭证或对外沟通的动作，则把最终决策权保留给人。值得注意的是，人在回路并非万能，其效果取决于审批节点的设计质量——如果代理在长链任务中把错误动作包装成看似合理的草稿，人类审批者可能因信息不对称而草率放行，这也是为什么硬限制（如转账、改密码始终回到人手）必须独立于代理的判断之外。

记忆机制：会学习，但你看不见笔记

dot 依赖对话内容、相关 ChatGPT 记忆及其自己的笔记。笔记是系统中最具争议的部分：你无法查看、纠正或删除单条记录，唯一彻底重置的方式是删除整个 dot。断开插件会阻止新访问，但保留已学到的内容；关闭 ChatGPT 记忆会停止共享，但不会删除 dot 已接收的信息。凭据、图像和截图不会进入 dot 上下文。

对于一个要读你邮件数月的代理来说，缺少“忘掉这条”按钮是真实的功能缺口。

安全数据：长任务链是薄弱点

据 Flavio Copes 的深度分析（唯一提供完整数据集的来源），GPT-6 Astra 系统卡附录披露：

提示注入：500 封模拟邮件、100 轮运行、16600 次攻击，无一成功。
自适应攻击者：2638 次尝试，零成功。
链式任务中的越界：中间隔 5 个任务时 8.6%，隔 10 个任务时 19.7%，无严重违规。
任务中途权限变更：17 个明确案例全部适应；49 个场景中通过 45 个。
人工红队数据外泄：全部失败。

第三项数据最值得警惕。十个任务的长链中，近五分之一的情况代理会走出授权范围——这不是被黑，而是代理“忘了自己被要求做什么”。而跨周的长任务链恰恰是 dot 的预期工作方式。OpenAI 自己的说法很直白：“Dots 仍可能犯错，务必审查重要工作。”

提示注入（prompt injection） 是指攻击者将恶意指令隐藏在代理会读取的内容中——例如邮件正文、网页、文档或日历邀请——诱导 AI 模型把这些内容当作合法指令执行，而非当作待处理的数据。对 dot 这类拥有邮件、日历和应用访问权的持久代理而言，提示注入是最具威胁性的攻击面之一：一封精心构造的邮件就可能在用户不知情的情况下触发数据外泄或未授权操作。OpenAI 在系统卡中用 500 封模拟邮件、16600 次攻击零成功的数据来证明其防御能力，但这类测试的局限在于攻击模式相对固定，真实世界中攻击者的创造力与场景多样性远高于离线模拟。

自适应攻击者（adaptive attacker） 指能够观察防御措施并据此调整策略的攻击者，区别于使用固定攻击集的静态测试。在安全评估中，自适应攻击更能反映真实对抗强度，因为攻击者会针对已知的过滤规则、系统提示和权限边界不断试错。文章提到的 2638 次自适应尝试零成功，是比静态提示注入测试更强的证据，但仍需注意测试环境与生产环境的差异——真实用户面对的社工诱饵、多轮诱导和跨渠道组合攻击，往往比实验室条件更复杂。

谁能用，多少钱

方案	dot 数量	价格
Free / Go / Plus	无，无时间表	—
Pro	1 个；EEA、英国、瑞士不可用	每月 100 美元起
Business Premium	1 个，所有支持地区	年付 100 美元/用户/月，月付 125 美元
Enterprise / Edu / Healthcare	Beta，需管理员开启	通过销售

首个 dot 包含在订阅内，发布后首月有扩展额度。发布后的额度上限、额外 dot 和额外容量均未公布价格。设置仅限桌面端，18 岁以下用户不可使用。

EEA（欧洲经济区） 由欧盟成员国加上冰岛、列支敦士登和挪威组成，其数据保护法律框架以《通用数据保护条例》（GDPR）为核心，对个人数据的跨境传输、自动化决策和用户权利有严格要求。dot 在 EEA、英国和瑞士暂不可用，很可能与这些司法辖区对 AI 代理自动处理个人数据、记忆存储和跨境数据流动的合规门槛有关。对用户而言，这意味着 dot 的可用性不仅是商业决策，也受制于区域监管——同样的产品在不同法律环境下可能呈现不同的功能边界，例如记忆机制、数据保留期限或人工审查要求都可能需要本地化调整。

与竞品的差异

据产品描述对比（非实测）：

Grok Bot 最接近：持久云端计算机、定时任务、敏感操作前询问，但提供多个具名 Bot 而非单一代理。
Cursor Projects 专注长时间编码工作，返回拉取请求。
Meta Muse 面向消费级跑腿、旅行和表单，多数用途免费，DevDay 上推出了小企业版本。

dot 的独特之处在于：一个始终在线的协调者，委派给 Codex 和 Work，严格规则，且没有 API。

开发者视角：没有 API 是一个信号

对于构建应用和代理的开发者，最直接的疑问是如何从代码调用 dot——答案是目前没有。OpenAI 未宣布 dot 的 API，它是 ChatGPT 产品，不是开发者平台。

Codex 的衔接值得注意：dot 可以在你电脑关机时于 Codex 云端环境启动任务，把工作发到你连接的机器，或继续已有的 Codex 线程。OpenAI 在构建一种层级：上层是了解你和你的工作的代理，下层是专用执行器。对自建代理的开发者而言，卖“全能助手”更难了，而接口清晰的垂直执行器仍有需求。

什么任务适合交给 dot

好的 dot 任务具备三个特征：周期性、跨多个应用、以草稿收尾。例如：每周五下午 4 点核对已交付项目与发票，起草缺失发票，不发送，发你一份列表；监控 Leads 标签，起草回复，发送前询问，把 48 小时未回复者标到 Slack；每周对比库存与补货线，起草采购单待批，绝不下单。

坏任务是错误不可撤销的那些：钱、密码、未经检查发给重要人物的邮件。原因不是 dot 笨，而是长链任务 19.7% 的越界率对不可逆操作来说太高了。把它当成一个新助理：先给草稿权限，再逐一放宽。

目前做不到的事

没有自己的邮箱地址。
不能给你打电话；短信是部分美国 Pro 用户的窄范围 Beta。
每人一个主 dot；多 dot 团队在规划中。
没有 API。
无法逐条检查或清理记忆。

dot 代表的方向是清晰的：AI 从被动应答转向持续在场。但它当前的设计也诚实地暴露了代价——权限规则越严密，越说明自主性与可控性之间的张力尚未解决。