← Tools

OpenAI DotOpenAI Dot

OpenAI

编程编码agent 云端厂商云常驻审批订阅制 partial lifecycle: active 核验Checked 2026-10-03

OpenAI 官方的云端编码 agent：本机什么都不装，所有工作发生在 OpenAI 的云端机器上。官方给的能力边界写得很直白：

独立云端电脑
自带浏览器
插件接 4,000 多款应用
关机后仍在推进工作

Nothing installs locally; all work happens on OpenAI's cloud machine — the stated capability boundary is blunt: a standalone cloud computer plus its own browser plus plugins into 4,000+ apps, and it keeps progressing after you shut down.

适合与不适合When to use it, when not to

适合（官方自己给的场景，可直接当选型依据）：要的是「PR 交给你审、附演示视频」「产品范围变了发布材料自动跟上」「新数据到了论文图表自己更新」这类跨工具、跨时段的活。

不适合：想自己挑模型的人（模型被指定）；数据不能出本机的人（默认云端，只有授权后才碰本机）；要随时插手精细控制流的人（本机 IDE / CLI 形态更合适）。

Fits (scenarios the vendor itself gives, usable directly as selection criteria): work that is cross-tool and cross-time — "hand me the PR for review, with a demo video", "the product scope changed so the release materials keep up", "new data arrived so the paper's charts update themselves".

Not a fit for: people who want to pick the model themselves (the model is fixed); people whose data must not leave the machine (cloud by default, touching your machine only once authorised); people who want fine-grained control over the flow (the local IDE / CLI forms suit that better).

中文生态China availability 国产 / 国内可直接用 / 备案状态 · 快照domestic / direct access / CAC filing · snapshot 2026-10-20

出品属地Origin: 国外出品foreign-made　国外主体（网信办公示名单未见对应备案主体）。foreign entity (no matching filing entity in the CAC registry).
国内使用Direct access: 直连未核验direct unknown　openai.com 对 curl 直连与代理都返回 403（反爬拦截），本方法无法判定可达性。openai.com returns 403 to curl both direct and proxied (anti-bot) — reachability cannot be judged by this method.
备案状态CAC filing: 未见于备案名单not in filing list：未见于网信办公示名单（2026-10-20 检索 13 批附件，https://www.cac.gov.cn/2024-04/02/c_1713729983803145.htm）；该产品未面向大陆公众提供服务，备案不适用。not in the CAC public registry (13 batch attachments searched 2026-10-20, https://www.cac.gov.cn/2024-04/02/c_1713729983803145.htm); the product does not serve the mainland public, so filing does not apply.

备案信息以网信办《生成式人工智能服务已备案信息》公示名单为准（按批次滚动更新，本站只抄编号不解读）；「大陆可直连」是本站从大陆网络直连实测的结果，不是厂商承诺。GitHub 类站点当日实测有波动，口径写在依据里。Filing status is quoted from the CAC public registry (updated batch by batch; this site copies the number and does not interpret it). "Direct access" is this site's own reachability measurement from a mainland network, not a vendor promise. GitHub-hosted sites fluctuated on the measurement day — the note says so.

固定坐标系Fixed coordinate system

8 个维度dimensions, 与同分区其他对象逐项可比each comparable item by item against others in the same section.

模型与开放条件Model & openness

模型不是用户能选的，是厂商指定的 ——

官方发布页原文：「它们由 GPT‑6 Astra 驱动」。

即：Dot 跑在GPT-6 Astra 上，没有模型选择入口。

这与本分区的IDE / CLI 形态形成对照：那两类里模型通常可选， 厂商云形态把「选模型」这件事整个拿掉了。

运行位置Where it runs

形态的答案就是本产品：

官方原文：「拥有独立的云端电脑」，并有「自己的浏览器」，且「你随时都能打开 dot 的电脑，检查它的工作」。

官方还写明另一种授权方式：「你也可以授权 Dot 连接并使用你自己的设备，例如笔记本电脑，让它直接在你的工作环境中与你协作」——

所以 runtime 有两种：默认厂商云VM，可授权访问本机。

本地文件Local files

默认完全隔离。官方原文：「除非你选择连接自己的计算机，否则你的计算机及其中的内容始终与它隔离」。 Dot 的文件都在它自己的云端环境里。

授权连接本机后能做什么，官方安全文档给了具体例子（2026-10-03 补）：「你也可以选择连接自己的计算机，让 Dot 以更多方式提供帮助，例如分析保存在桌面上的电子表格，或使用设备上安装的编程工具」。

即本机授权不是「打开文件权限」这一项，而是桌面文件 + 设备上已装的开发工具两类。

云端工作空间内部还有一层沙盒：「在每个 Dot 受保护的工作空间内，沙盒机制会限制该 Dot 可以访问的代码和工具，帮助控制有害代码或错误命令的影响范围」。

多租户隔离也写明了：「将不同用户的云端环境彼此隔离」，且「Dot 运行代码的环境，与协调其工作及执行关键防护措施的系统相互独立」。

⚠ 只读工具在已连接应用里究竟能读到什么程度，官方仍未给量化边界 （只给了「无法发送消息、更改应用内容」这类否定式描述）。

关机后的任务Tasks after shutdown

这一维度是它最强的一项，官方专门有整节讲：「即使你没有直接与 Dot 互动，它也会在后台寻找能帮上忙的地方。我们将其称为『主动研究』」。

官方还写明关闭应用后仍在继续推进工作，以及「你的 Dot 可以接手项目并自主推进，即使它同时还在处理其他几个项目」。 多任务并行是官方明说的能力，不是推测。

工作空间是持续存在的：「每个 Dot 都有自己的云端计算机，可以在其中浏览网页、分析信息、创建文件和运行工具。即使你没有主动参与， Dot 也能在这些工作空间中持续推进工作」。

⚠ 「主动研究」期间用的是只读工具 —— 官方原文：「在此过程中，它会通过仅具备只读权限的工具访问你已连接的应用。这些工具无法发送消息、更改应用内容，也无法控制你的浏览器或计算机」。

这行限定条件很重要：后台自主 ≠ 后台可改。 ⚠ 后台工作不是无条件跑下去的（2026-10-03 补）：官方安全文档明确监控可以在执行中暂停它 ——

「如果安全监控在 Dot 正在进行的工作中发现风险，它可以暂停该工作，并向你显示警告」；发布页版本写的是「可以暂停或停止 Dot 的工作」。 所以「关机后仍在推进」的准确表述是：仍在推进，但可能中途被拦下。

工具与扩展Tools & extensions

插件生态是核心卖点，官方原文「通过我们的插件生态，它们可以轻松连接 4,000 多款应用」。

官方明确说应用来源是「你已连接的应用」，且内置了应用控制选项来管理权限。

另有：可把编码类任务交给 Codex（DevDay 上Codex 本身也宣布云端化）；正与 Microsoft合作把专职 Dot 接进 Agent 365 的治理与安全控制。

上下文与记忆Context & memory

跨渠道保留上下文 —— 官方原文：「dot 会在各个渠道间保留上下文，因此无论你通过哪个渠道联系它，它都能掌握完整的上下文信息」。

渠道含：

ChatGPT（桌面/网页/移动）
Slack
Teams
短信（官方写「即将推出」）
语音通话

跨渠道共享的载体官方写明了是「项目」：「你可以在 ChatGPT 中启动项目，通过 Slack 与负责该项目的团队共享上下文，再让 dot 继续推进工作」——

即上下文挂在项目上而不是挂在某个渠道上，这是它能跨渠道的机制前提。

官方强调学习机制：「能在长期使用中从反馈里学习」「合作越多， Dot 就越了解你的偏好、思考方式，以及你心目中好工作的标准」。

⚠ 训练数据默认不用于改进模型，但有一条重要例外（2026-10-03 补，此前档案漏了这条）：官方原文「默认情况下，我们不会使用 ChatGPT Business、Enterprise 或 Edu 工作空间中的内容来改进模型」。

限定在三个工作空间档位——按发布页字面，个人档与 Pro 档的去向官方在此页没有同样的表述，这三档之间是否存在差异，官方页面未说明。不要把「不用来训练」推广到所有档位。

上下文窗口大小与记忆存储实现，官方两个页面均未给数字。

权限与限制Permissions & limits

本档案权限信息最完整的一份，官方有独立两节。

分三层：

① 自定义规则 —— 官方原文：「通过自定义规则，你可以允许特定操作、要求先获批准，或禁止这些操作」，且「内置安全要求始终有效」 （即自定义规则只能在官方底线之上收紧，不能放松）；

② 自动审核 —— 「对于可能影响你的账户或分享信息的操作，Dot 会通过自动审核」，官方说明审核判据是「是否符合你的指令、自定义规则和安全要求」，且明确「更改密码等特定敏感任务始终需要由你亲自完成」；

③ 凭据隔离 —— 「登录受支持的网站时，Dot 可以使用已保存的密码，而无需向模型透露这些密码」。

④ 运行期监控会真的拦下来（2026-10-03 补，此前档案缺这一层）：官方安全文档写「我们还会在 Dot 规划和执行操作时进行监控，查找潜在有害行为，例如超出你的指令范围，或试图绕过防护措施。

如果安全监控在 Dot 正在进行的工作中发现风险，它可以暂停该工作，并向你显示警告，供你查看」。

这是「审核」与「执行」分离的实证 —— 不是只在动作前拦，也能在执行中停下。

这是它与 Meta Muse「审批交给另一个 agent」最接近的一层，但官方未说明这个监控器是否独立于模型（Muse 明写了 Sentinel 系统级隔离， Dot 没写）—— 这一项不要替它补。

审计面：官方提供活动视图（activity view）可跟进进度含后台工作。

⚠ 官方同一页也写了「Dot 仍可能出错，因此，请务必检查可能产生重要影响的工作成果」。

适合什么任务Best for

官方给的是岗位化场景，值得直接抄成选型依据：

把反馈转成经过测试的修复（交完整 PR 附演示视频）
产品范围变化时调整发布方案
拿到新证据后重跑分析并更新论文图表
销售提案随需求变化更新
内容制作自动完成

反过来说它不适合：要自己挑模型的人；数据不能出本机的人；需要随时接管的精细控制流（本机 IDE/CLI 形态更合适）。

头号误解Top misconception

把「主动研究」理解成后台可以随便改你的东西 —— 官方限定那是只读工具Reading "proactive research" as background access to change your things — the official docs limit it to read-only tools
以为自定义规则能放宽官方限制 —— 官方明确「内置安全要求始终有效」Assuming custom rules can relax the official limits — the docs state built-in safety requirements always apply
把 Dot 当独立产品去订阅 —— 它是 Pro / Business Premium 附带的权益Treating Dot as a standalone product to subscribe to — it comes with Pro / Business Premium
以为 Enterprise 默认可用 —— 官方明确默认关闭、需工作空间管理员启用Assuming it is on by default in Enterprise — the docs say it is off by default and a workspace admin must enable it
把「内容不用于训练」推广到所有档位 —— 官方只点了 Business / Enterprise / EduGeneralising "content is not used for training" to every tier — the docs name Business / Enterprise / Edu only
以为后台工作会一直跑到底 —— 官方明写安全监控可在执行中暂停它Assuming background work runs to completion — the docs state safety monitoring can pause it mid-run

未知项清单Known unknowns

上下文窗口大小与记忆的具体实现
「主动研究」的触发条件与频率
已连接应用在只读工具下究竟能读到什么程度（官方只给否定式描述）
安全监控系统的检出率 / 误报率（官方只写「红队测试」，无数字）
运行期监控器是否独立于模型（Muse 明写 Sentinel 隔离，Dot 未说明）
「不用客户内容改进模型」是否也覆盖个人档与 Pro 档（官方只点了 Business/Enterprise/Edu）
不同地区/账号的 rollout 差异

证据来源Evidence sources

判断可回到以下一手源复核。本站核验日Every judgement can be rechecked against the primary sources below. Verified on 2026-10-03，内容更新日content updated on 2026-10-03。

类型Type	名称Name	链接Link
official	OpenAI · Introducing Dot（官方发布页，2026-09-29，正文 5,166 字逐节取）	https://openai.com/index/introducing-dots/
official	OpenAI · 我们如何将安全性、信息安全和隐私保护融入 Dot（官方安全文档，2026-10-03 取到正文：沙盒机制 / 多租户隔离 / 执行环境与防护系统分离 / 运行期监控可暂停工作 / 授权本机后分析桌面表格 / prompt injection 官方承认）	https://openai.com/index/how-we-build-safety-security-and-privacy-into-dots/
official	OpenAI · DevDay 2026 回顾（Dots 的方案范围与 Enterprise beta 状态）	https://openai.com/index/devday-2026-recap
changelog	OpenAI · 产品发布记录（Product News and Updates，2026-09-29「隆重推出 Dot」）	https://help.openai.com/en/articles/6825453-chatgpt-release-notes

实测记录Measured runs

本站尚未完成实测。测试协议见 tasks/_protocol.md。

实测建议：这三份厂商云 agent 的比较维度集中在 background 与 permissions，本地装不了（要 Pro / Business Premium 订阅），

所以实测要靠「关掉客户端后它是否还在动」这种外部观察，而不是本地基准。

形态与额度口径已核验，不必重复测。

与本分区另两组形态的根本差别

这不是「又一个AI 编码工具」，而是另一个方向：

	IDE 形态 / CLI 形态	厂商云形态（本条目）
装在哪	你本机	厂商的云VM
模型谁能选	通常可选	厂商指定（GPT‑6 Astra）
关机后	停	继续跑
本地文件	直接读写	默认隔离，需显式授权连接本机
审批	在对话/终端里逐次确认	自定义规则 + 自动审核 + 敏感动作永远人工

所以它不可替代的地方不是「功能更多」，是「你本机不在线时它也在干活」。

后台自主 ≠ 后台可改（这一条最容易被误读）

官方有整节讲后台行为，值得原样引用：

`` 即使你没有直接与 Dot 互动，它也会在后台寻找能帮上忙的地方。我们将其称之"主动研究"。在此过程中，它会通过仅具备只读权限的工具访问你已连接的应用。这意味着这些工具无法发送消息、更改应用内容，也无法控制你的浏览器或计算机。 ``

限定条件写得很清楚：后台自主动作拿到的是只读工具。

换句话说：「它在我不在时自己干活」成立；「它在我不在时替我发消息、改内容」不成立。本站此前若把它理解成后者，那是把官方那一行限定读漏了。

权限：三层，其中一层是官方底线

官方把权限拆成明确的三块，这对做选型很有用（可逐层对照，不用猜）：

层	官方原文要点	你能收紧到多紧
自定义规则	「你可以允许特定操作、要求先获批准，或禁止这些操作」	完全由你定
内置安全要求	「内置安全要求始终有效」	底线，你的规则只能在这之上收紧
自动审核	「通过自动审核，检查其是否符合你的指令、自定义规则和安全要求」	判定依据含上述三者

以及一条硬边界：

`` 更改密码等特定敏感任务始终需要由你亲自完成。 ``

「自定义规则只能在官方底线之上收紧，不能放松」是这一层里最有价值的信息 —— 意味着配规则时不必担心自己配松了，官方有兜底。

凭据：不向模型暴露密码

`` 登录受支持的网站时，Dot 可以使用已保存的密码，而无需向模型透露这些密码。 ``

这与 Meta Muse 的 Secure Credentials Store 是同一类设计： 凭据交给「保管处」，模型只拿到「用凭据做完这件事的权限」。两边都独立地采用了这个模式，值得单独记一笔—— 厂商对agent 凭据的共识正在收敛。

计费：一句话，但有个坑

`` Pro 或 Business Premium 套餐已包含你的首个 Dot，无需额外付费。 ``

但同一页有两条容易漏的限定：

场景	是否计入 ChatGPT 使用额度
与 Dot 自己的对话	不计入（官方原文：「与 Dot 的对话不会占用你的 ChatGPT 使用额度」）
Dot 在 Codex / ChatGPT 工作中启动或管理的任务	照常计入

即：Dot 自己跟你聊天免费，但它替你派出去的活儿照常算钱。

另外 Enterprise（含 Edu / Healthcare）默认关闭，需工作空间管理员启用 beta。

采集限制

页面	状态
Introducing Dot 发布页	✅ Playwright 渲染取到 5,166 字，八维度均从正文取证
DevDay 2026 回顾	✅ 取到（Dots 的方案范围、Enterprise beta 默认关闭）
帮助中心发布记录	✅ 取到（23 万字，确认 2026-09-29 发布条目）
Dot 安全文档 · how-we-build-safety	✅ 2026-10-03 取到整页正文，补齐 `local_files` / `background` / `permissions` 三维

⚠ confidence 仍为 partial，但缺口已经收窄到两类：补核验前是「安全文档完全没读到」；现在安全机制的实现路径已拿到（沙盒 / 隔离 / 运行期监控 / 执行环境分离），

剩下这两类官方确实没给： ① 量化指标（监测系统检出率、误报率、只读工具的读取边界）； ② 上下文窗口大小与记忆存储实现。

另有两条「官方未说明是否如此」需要保留为未知：运行期监控器是否独立于模型、训练数据不用于改进的表述是否覆盖个人档与 Pro 档。

安全文档给出的三条硬机制（此前档案缺这一整块）

这一版补核验最大的收获，是找到了那份安全文档本身。它给了三条可核对的机制：

机制	官方原话要点
工作空间沙盒	「沙盒机制会限制该 Dot 可以访问的代码和工具，帮助控制有害代码或错误命令的影响范围」
多租户隔离	「将不同用户的云端环境彼此隔离」
执行与防护分离	「Dot 运行代码的环境，与协调其工作及执行关键防护措施的系统相互独立」

第三条与 Meta Muse 的 Sentinel 是同一类设计取向 —— 两家都把关键防护放到模型之外。这不是巧合，是厂商云 agent 的一个共同收敛点。

另外官方自己承认了 prompt injection 的存在与缓解方式：「网页、电子邮件或文档中可能包含恶意指令，试图改变智能体的行动方向或诱使其分享私密信息，这类问题称为提示词注入。我们将模型防护措施与工具限制、操作前检查和监控相结合」。

注意这份文档也留了一手：「人工和自动化红队测试帮助我们发现弱点、改进模型及其周边系统，并对这些改进再次进行测试」—— 官方没给任何检出率数字，所以上面 ① 类缺口是官方确实未披露，不是本站没找到。