TL;DR

2026 年 9 月 29 日，OpenAI 发布了 dots：一种能持续处理任务的 ChatGPT 智能体。你给它目标、可用工具和行动边界，它可以在自己的云电脑上推进工作，跨对话保留上下文，并在需要判断时回来找你。发布时，一个 dot 随符合条件的 Pro 或 Business Premium 套餐提供；企业版仍处于由管理员开启的测试阶段。

dots 最值得关注的产品变化，是把 AI 的工作单位从“一次提问”变成“一段持续的委托”。 它试图减少用户反复发起任务、搬运背景和等待进度的时间。与之相伴的是更难的问题：连接多少数据、允许它做到哪一步、出了错如何发现和退出。本文依据 产品介绍、安全说明、使用帮助 和 GPT-6 Astra System Card 第 12 节，结合产品设计做出判断。文中的“我认为”“推测”属于分析，并非 OpenAI 的承诺。

一、它究竟交付了什么

先看一个比功能清单更具体的场景。OpenAI 介绍过一位早期用户：dot 注意到他忘了给出版机构开票，于是准备好发票，得到批准后才发出。这里包含了四个环节：发现遗漏、理解它与用户目标有关、准备可交付的结果、把对外发送留给用户审批。如果只比较“能否写发票”，普通聊天助手也能完成一部分；真正改变体验的是前三步无需用户每次重新提出请求。

dots 以 GPT-6 Astra 为底座。每个 dot 有自己的云电脑和浏览器，可以连接用户批准的应用，也可以在用户主动开启后使用本地电脑。官方称其插件生态覆盖 4,000 多个应用，但这个数字表示可连接的生态规模，不表示每个应用都支持同样深度的读写，也不代表连接后就能任意行动。dot 的实际能力取决于应用权限、任务授权、动作检查以及所在套餐。

用户可以在 ChatGPT 中与 dot 对话，也可以通过 Slack、Teams 联系它；语音通话可用，短信在部分美国 Pro 用户中处于有限测试。跨渠道延续上下文，减少了“换个窗口又要解释一遍”的摩擦。创建 dot 需要桌面版 ChatGPT 或桌面浏览器；移动端可用于后续交流，但官方帮助页提示，移动 Web 尚不支持 dots。对一个主打随时在线的产品来说，这些入口限制直接影响第一批用户的体验。

dot 还能同时推进多个项目。它在自己的工作空间里浏览、分析、创建文件、运行工具；用户可打开这台云电脑查看过程，在 Activity View 里看任务状态、补充背景、纠正方向或要求停止。这里的关键不是给 AI 起名字，而是让任务、上下文和运行环境有一个持续的归属。用户交代的是一项长期责任，不再只购买一段对话。

二、产品真正处理的是人的协调成本

使用传统 AI 助手时，很多时间花在模型之外。一个产品经理想跟进客户反馈，要先想到“今天该查什么”，再把 Slack、工单、文档和上次结论整理成提示词；模型给出摘要后，还得决定谁来创建任务、谁来提醒研发、何时复查。对话能力再强，也不会自动消除这些步骤。

原研究稿把这类损耗称为“发起税”“冷启动税”“编排税”和“盯梢税”。这个说法很形象，但它们不是独立的收费项目，而是用户每次使用 AI 时付出的注意力成本。dots 的常驻形态负责持续观察，记忆和跨渠道上下文减少重复交代，云电脑与应用连接处理跨系统操作，进度通知让用户不用一直守着任务。产品目标是把人从协调工作中释放出来，让人主要处理取舍与最终确认。

以发布新功能为例，用户可以交代：“持续关注这个版本的客户反馈，每天下午整理三个最值得处理的问题，给出证据和建议；可以写草稿，不要替我发布公告。”这个委托包含目标、信息来源、节奏、产出和禁止动作。dot 能独立完成其中的收集与整理，必要时再来询问。若它每天都给出长篇但无需处理的“惊喜”，用户的阅读负担又会回来。因此，衡量产品价值不应只看完成多少任务，还要看它让人少做了多少无效确认与反复解释。

我认为 dots 对 AI 产品设计的启发在于：智能体的价值由能力、可用权限和持续工作时间共同决定，任何一项受限都会影响可交付结果。但这只是分析框架，不是可以套算收益的公式。尤其在企业里，“能连接”与“适合授权”之间往往隔着数据分级、审批流程和责任归属；模型越能做事，这道间隔越需要被认真设计。

这也改变了产品的“完成”定义。聊天助手通常在给出答案时结束一次交互；常驻智能体却可能在等待客户回复、审批结果或新数据到来。它需要知道什么时候继续、什么时候提醒、什么时候承认目标已经失效。一个每隔十分钟报告“还在等待”的 dot，形式上很主动，实际却占用了更多注意力。好的委托体验应该允许用户明确交付时点和升级条件，例如“只有出现阻塞超过一天，或发现与发布范围相冲突的证据时才提醒我”。

三、为什么“主动研究”被限制为只读

常驻智能体最容易让人担心的是：我没下新指令时，它会不会自己发邮件、改文档或购买东西？OpenAI 将 dots 的 proactive research 限制为从已获许可的来源读取信息、生成给 dot 自己使用的笔记。这个后台研究任务的工具不能直接给别人发消息、修改连接应用里的内容，也不能控制浏览器或电脑。若研究发现需要采取后续行动，后续动作仍要走普通任务的授权和安全检查。

这个分界很重要。用户可以允许 dot 留意日历和相关资料，却不必同时允许它替自己改行程。主动发现问题的收益，与主动执行动作的风险被拆开。对于第一次尝试常驻智能体的人，先看到“它发现了什么、准备了什么”，再决定是否批准下一步，通常比一上来交出完整操作权更容易建立信任。

只读不等于零风险。 读取本身可能接触到敏感信息，后台笔记也可能影响后来生成的建议；外部网页、邮件和文档还可能带有恶意指令。OpenAI 为此叠加应用权限、模型防护、工具限制、动作审核和运行监控。用户仍应先想清楚哪些来源值得连接，因为 dot 在主动研究时会从这些来源形成记忆。官方明确说，断开应用只阻止后续访问，已经进入 dot 上下文的信息不会因此消失。

还有一个容易被忽略的界限：官方表示不直接拿后台主动研究及其笔记训练模型；如果笔记内容后来进入符合条件的对话或任务，它可能随用户的模型改进设置进入训练流程。Business、Enterprise 和 Edu 工作区默认不用于训练；个人套餐则需要检查自己的“为所有人改进模型”设置。这种数据流不容易从“后台研究只读”四个字推断出来，接入敏感资料前值得单独核对。

四、授权不是一个“允许全部”的开关

dots 将动作放在不同的处理档位：可直接做、已明确预授权后可做、需要当下确认、必须交还给人。比如读取已开放的信息、分析和起草通常可以推进；给指定收件人发出已明确授权的消息，可以依据该次授权执行；超出授权范围的对外分享需要停下来问。改密码、账户间转账等步骤仍需本人接手。永久删除数据、安装来源不明的软件、增加安全敏感权限等，则要求每次确认。

这些规则解决的是一个很具体的问题：同一句“帮我处理这件事”，在人和机器看来可能包含不同的默认权限。把收件人、内容和时间写进任务，比笼统说“以后都帮我发”更清楚。OpenAI 也区分信息敏感度：分享健康数据需要具名收件人；邮箱、电话等个人信息通常要求明确收件人类别。后续继续执行或转交子智能体，并不会自动扩大原任务的授权。Custom Rules 能进一步限制或允许某些受支持的动作，但不能关闭强制确认、交还本人或主动研究的工具限制。

这里的设计重点不是让用户每天点更多确认按钮，而是让确认只出现在值得承担责任的时刻。太多确认会让人机械地点“同意”；太少确认又把错误成本转嫁给用户。产品经理需要问的不是“审批次数能否降到零”，而是“每次审批是否让用户看到足够的上下文”：将发给谁、会改变什么、依据是什么、能否撤回。如果这些信息不清楚，审批只是一个形式上的弹窗。

在动作真正执行前，dots 还使用 Auto-review 对部分计划动作做额外检查。它对照用户指令、Custom Rules 与安全要求；若拦下，会把原因交给 dot，后者可以补问用户、尝试被允许的替代步骤、交还给人或停止。执行代码的环境与协调和强制执行关键保护的系统分离，dot 无法自行关闭所需检查。这个机制降低了“模型误解一句话就直接行动”的风险，但也无法证明任何复杂任务都不会出错。

从交互设计看，授权还要处理“时间”问题。用户今天批准给甲同事发送一份草稿，并不表示下周可以把更新版、附件或另一个项目的材料继续发给甲。批准应与具体任务、信息内容和收件对象绑定；工作范围改变，就需要重新判断。dots 的官方规则强调授权不会因为任务延续或子智能体接手而扩大，这一设计适合被其他智能体产品借鉴。否则，用户最初一句宽泛的“你看着办”，会在几轮自动转交后变成谁也说不清的长期权限。

五、官方测试数据应该怎样读

GPT-6 Astra System Card 为 dots 增加了专门评估。抗提示注入测试里，100 轮批量试验共投递 5 万封模拟邮件，其中 1.66 万封为攻击邮件；按该测试的计分标准，没有出现成功攻击。另一组迭代攻击包含 100 条攻击链、2638 次有效尝试，同样没有计分成功。这些数字说明在官方设计的攻击分布里防护表现较好，不能外推为真实世界遭遇任意邮件时风险为零。官方也承认人工红队发现过敏感信息披露与确认策略可加强的场景，并在部分场景中更新策略、重新测试。

更值得产品团队关注的是持续工作的边界。一个任务执行到一半时，如果外部权限或目标发生变化，dots 在官方测试的 49 个案例中通过 45 个，约为 91.8%；其中 17 个明确变更权限的案例全部通过。剩余四个案例涉及操作边界的歧义。这个结果不能简单理解为“权限变更有 8.2% 概率失控”，因为样本小、任务经过设计；它提示我们，含糊的边界比明确撤权更难处理。

另一组测试在同一持久环境里安排连续任务。当中间任务从 5 个增加到 10 个，中度越界标记率从 8.6% 升至 19.7%。报告没有观察到严重越界或数据外带，但发现一些较轻的跨任务携带信息、修改共享文档等行为。时间一长，旧上下文与新授权混在一起的机会增加。对使用者来说，这意味着长链委托需要定期回看目标和权限；对产品团队来说，则需要让当前授权范围随时可见、可调整，并让任务在边界变化时有明确检查点。

还有一个解释边界：这些是 OpenAI 的内部模拟与红队结果，不是独立第三方在所有行业数据上的实测。评估中的“零次成功”表示本次样本未观察到成功，不是安全证明。采购决策应结合自己的数据类型、连接应用、任务长度和审批要求做小范围试点。最有用的指标也不只是完成率，还应包括无效升级、人工纠错时间、越界事件和最终净节省时间。

六、云电脑、记忆与退出：长期关系的另一面

每个 dot 拥有独立云电脑，是能力边界也是信任边界。它能在隔离环境中运行工具，用户可观察工作过程；本地电脑接入则默认关闭，开启后 dot 才能使用本地文件、技能或浏览器。这个默认设置意味着即使云端智能体有很强的执行能力，访问用户设备仍是一个单独决定。对团队而言，连接本地电脑之前，最好明确可访问目录、设备账户权限及审批责任。

持续记忆可以减少重复解释，但用户对这段记忆的控制还不够细。官方帮助页说，当前不能逐条查看、修改或删除 dot 自身记忆；Reset 会删除这个 dot 的对话、保存记忆和计划任务。另一份隐私 FAQ 补充：dot 创建在 ChatGPT Library、Codex 或外部存储中的文件与会话可能分别留存；已经共享到 ChatGPT Memory 的内容也要在相应设置里单独管理。也就是说，Reset 是清理 dot 自身上下文的手段，并非清除所有下游痕迹的一键按钮。

这暴露出常驻产品的一个难题：用户愿意让它积累背景，是因为省事；一旦发现某条信息不该被记住，目前能用的清理粒度却可能过大。全量重置会连有用的偏好和计划一起丢失。OpenAI 后续若要进入更多敏感场景，逐条记忆可见、可纠正和数据来源可追溯，恐怕会比给 dot 增加一个新形象更有价值。这是产品判断，不是已公布的路线图。

七、商业模式与企业采用仍有问号

发布时，第一个 dot 包含在符合条件的 Pro 或 Business Premium 套餐中，无需额外购买。与 dot 的对话不计入 ChatGPT 对话限额；它发起或管理的 Codex、ChatGPT Work 任务仍按原有规则计入用量。官方说套餐包含深度工作的额度，并在上线首月提供扩展限额；另外，发布说明称符合条件的用户在接下来一个月内，dots 用量暂不计入套餐额度，期满后再公布各套餐的使用条款。这些安排说明沟通和执行工作有不同的计量口径，不能把“第一个 dot 免费”理解为无限制的后台算力。

这类定价也会影响用户给 dot 分配任务的方式。如果每次问进度不占额度，用户可能更愿意把它当作持续的协作者；如果真正执行一次代码任务、跨应用操作或长时间研究会消耗工作额度，用户就需要判断哪些工作值得委托。产品若只展示“已完成 30 个任务”，却不展示每个任务的人力复核时间和额度消耗，很难说明它究竟创造了多少净价值。对团队采购者，最有说服力的账本应是“节省的人时减去审阅、纠错和平台成本”。

额外 dot、运行速度和月工作量的扩容价格，发布时仍未确定。每个 dot 有独立云电脑，但“24 小时可用”不等于云主机每分每秒都以最高算力运行；外部也没有足够数据推算 OpenAI 的真实单位成本。因此，常驻资源会如何影响毛利，只能列为待验证的商业问题。对用户更直接的观察点是：一个 dot 每月能完成多少有价值的工作、额度耗尽后体验如何，以及多人共用流程的授权和审计成本。

企业版目前要由管理员开启测试。OpenAI 预告了 specialist dots：它们将有独立身份、凭证和 IT 配发的硬件，可接入企业记录系统，承担采购、发票处理、客服等边界相对清晰的职责；与 Microsoft Agent 365 的治理能力整合也在规划中。这些属于预览和试点方向，不能当作所有企业用户今天即可直接部署的功能。 对企业来说，关键问题是智能体在组织里归谁负责、凭什么身份访问系统、谁审核外发与资金动作、离职或项目结束时如何停用。

八、怎样判断它是否适合你的团队

我会从低风险、可检查的工作开始：让 dot 读取指定公开资料或非敏感项目状态，按固定时间汇总变化，附上来源，并把所有对外发送与内容修改留给负责人批准。第一轮先看它能否发现真正值得处理的变化，以及负责人审阅后是否确实省时。若只会生成大量需要重写的摘要，即使自动化次数很多，也未必带来生产率提升。

试点前可写下五个具体约束：范围，这次委托交付什么；数据，允许读哪些来源；权限，哪些动作只可起草、哪些可执行；复核，谁看证据并批准；退出，怎样暂停、撤销连接、清理记忆与外部产物。把“不要做什么”放进任务本身，尤其包括发消息、公开发布、删除、付款和授权他人。任务越长，检查点越重要；当项目目标或人员权限变化时，不应假设旧委托会自动更新。

最后，最好故意测试三种情况：中途撤销一个权限、在连接资料中放入与用户目标冲突的指令、给出一个收件人或预算不够明确的请求。观察 dot 是否停下、询问，以及 Activity View 和 Auto-review 是否给出可理解的理由。这比演示一条完美的“从头做到尾”路径，更能判断它是否值得长期接入真实工作。

还有一类任务暂时不适合一开始就交给它：目标本身反复变化、涉及不可撤回的对外承诺，或缺少明确负责人的流程。比如“自己决定本季度最重要的客户并代表公司谈判”，即使 dot 能收集资料、拟定方案，也难以替代组织内部对预算、信誉和法律责任的判断。更稳妥的方式是让它整理客户背景、列出未决问题、起草谈判材料，再由负责人决定是否发送。常驻能力在这里仍有价值，只是责任边界应该与组织现实保持一致。

结语

dots 让“AI 助手”成为一个需要长期管理的工作关系：它有自己的运行空间、跨渠道上下文和后台任务，也需要清晰的授权、可见的进度、必要的人工复核以及可执行的退出路径。产品前景取决于它能否稳定减少用户的协调负担，同时让关键决定继续由人掌握。当前官方资料已说明基本能力与防护设计；具体成本、企业治理成熟度和长期真实使用表现，仍要靠后续定价与实际部署验证。

参考资料