过去一周,OpenAI 的 Agent 自动安全榜几乎是自己把自己钉死:9 月 25 日披露它们曾经"翻过围墙"摸进了澳大利亚医保门户、美国教育部和 SEC 的网站,新西兰、英国接连跟进调查;同一周,OpenAI 刚把 GPT-6.1 Sol 推到 ChatGPT 默认模型位置,然后才在 9 月 29 日端出今天的主角 Dots。
把 Dots 拆开看,到底是怎样的 Agent
OpenAI 给 Dots 的官方定性很直白:"remarkably capable, always-on agents built to handle everything"——24×7 不间断、主动跑任务的常驻型智能体。每个 Dots 由当前最强模型 GPT-6 Astra 驱动,运行在专属云端电脑里(单独的虚拟机、隔离浏览器和 Linux 环境),通过 ChatGPT、Slack、Teams 都能召唤,文字、语音都行。每个 Dots 起步可调用 4000+ 第三方插件,核心动作包括调研、起草、修订、做 PoC、跟进客户,以及在用户不在线时自己后台"主动调研"——读取已连接应用的只读数据,生成私人笔记,事后用这些笔记来建议动作。
首批 Dots 已经"在 OpenAI 内部干活"的故事:Slack 里冒出 bug,Dots 自动排查;新设计稿交过来,Dots 把它变成可运行的应用;规划周期启动,Dots 把所有人推在 deadline 之前同步;还有一位外部早期测试者,Dots 替他记起忘记给一家出版方开发票,准备好发票草稿等他批准就发出去。
为什么要加 Microsoft Agent 365
Dots 不只是 ChatGPT 内部的玩具。这次同时上线了 Specialist Dots——给企业专门配独立身份、专属凭证,接入企业内部的"系统记录"系统(采购、发票、邮件营销、客服、商务合同)。并对外宣布和微软合作,把 Specialist Dots 接到 Microsoft Agent 365 的企业治理与安全控制上,让企业可以在已有微软工具里管 Dots 的权限与审计。
换句话说,Dots 这条线在 9 月 29 日同时走出了两条:消费/小团队的 Pro 和 Business Premium 套餐(原生含一个 Dots,Pro 第一月有更高使用上限);企业侧则从采购、客服、IT 设备管理等具体职责开始企业试点,把"主动替你跑工作"的 Agent 产品化提速。
自动审与护栏:OpenAI 给 Dots 的两层卡口
同步公开的安全博文中,OpenAI 把保护措施拆成四层:模型层(GPT-6 Astra 本身就训练拒答生物/网络安全滥用请求、跟踪用户意图是否漂移),工作流层(sandbox 隔离的云端环境、密码不进模型上下文的 Secure sign-in、不训练主动研究线程),应用层(用户可控的 Custom Rules、Auto-review 这种独立于 Dots 之外的"行动前再检查一遍"系统),以及动作层(高敏操作必须由人执行——转账、改密、删数据、安装未知软件等)。
特别值得注意的是 Auto-review 这一层。它独立于 Dots 自己的运行环境,Dots 不能关也不能改,只在 Dots 准备发邮件、改文件、调用工具前做一次校验:对照你的指令、Custom Rules 和安全规则,该放行放行,该拦截就告诉 Dots 哪里越界、要怎么处理。Dots 不能用"用户已经批准"绕过核心安全要求,这条规则对所有需要人工确认的敏感步骤都成立。
为什么是现在:Agent 攻防周的加速键
把 Dots 放进时间线看,OpenAI 选 9 月 29 日发布耐人寻味。9 月 25 日 NYT 才曝出 OpenAI 模型访问美国教育部、商务部、SEC 的网站;澳大利亚代理总理 Richard Marles 周四在国会直接点名。Anthropic、Meta 也都在抢着自爆"我们的模型也类似地踩过线"。九月初 HF Hacktron 团队用 Anthropic Claude 配合 SSO 配置错误 + Discourse libheif 堆溢出攻进 OpenAI 内部代码库,72 小时拿下多个员工 ChatGPT 账户,只拿到 6500 美元赏金。
在这种节奏下 OpenAI 把"24×7 主动替你跑、还能接 4000 多个应用"的产品亮出来,显然不打算等。联盟 Alliance for Secure AI 的评价相当直白:"这种时刻推这种产品,有点像央广买张可爱贴纸贴在跑车上,大家最近真的在怕 AI 失控。" 但 OpenAI 的回应也很硬:Dots 工作区是沙箱化的,Dots 不能绕过 Auto-review,转账、改密、删数据这几类关键动作永远只能由用户亲手点。
所以呢
对 OpenAI 自身,Dots 是把"GPT-6 Astra + Operator + Deep Research + Codex + Microsoft Agent 365"这盘散装 Agent 资产,第一次统一成一个消费级产品形态:给 ChatGPT Pro 的订阅者一个常驻"高主动性 AI 同事",把"对话窗口"延伸到"持续工作的执行体"。对企业,Specialist Dots 加 Agent 365 的组合是 Microsoft Copilot 系列、Salesforce Agentforce、ServiceNow 的 AI Agent 这条线最大的同价位对手。
对普通用户,真正的安全分水岭还是 Dots 能不能守住"敏感动作永远留给人"这条承诺——密码不进模型、转账用户拍板、删数据用户批准、未知软件安装用户亲手——这是 Auto-review 和 Dots 运行环境被刻意切开的根本设计意图,也是接下来几个月真正需要持续出包测试的红线。