OpenAI Dots 隐私承诺迎来最严峻考验
OpenAI 推出始终在线的 Dots 时，面临着一个核心矛盾：OpenAI Dots 的隐私保护要求产品更深入地理解用户生活。
一个 dot 可以监控已连接的应用，在不同对话之间保持上下文，并在其主人离开后继续工作。这些能力让代理变得实用，也使其能够接触到定义其主人生活的消息、文档、日程、凭证和人际关系。
OpenAI 表示，Dots 可以将这些信息保留在受控环境中，并暂停存在风险的操作。其竞争性个人代理 Meta Muse 也提出了类似主张。这并不只是比拼哪款助手能完成更多任务。
而是在比拼两家公司中，是否有任何一家能够让广泛的数据访问真正令人安心。
这一承诺在当下很难评估。个人代理正从聊天窗口进入电子邮件、浏览器、工作空间和通信平台。它们连接的账户越多，价值越高；但一旦出错，影响也越大。
因此，隐私已成为产品功能，而不再只是法律条款中的脚注。OpenAI 和 Meta 都需要用户分享足够的上下文，才能让代理发挥作用。在独立证据尚不完整之前，如果无法赢得用户对系统的信任，两家公司都无法实现这一目标。
OpenAI Dots 隐私保护究竟承诺了什么
OpenAI Dots 的隐私保护建立在隔离、有限权限、活动可见性，以及敏感操作须经用户批准之上。
OpenAI 于 2026 年 9 月 29 日在其 DevDay 活动上推出 Dots。该公司将其描述为持久运行的代理，可管理持续性的职责，而不是等待用户逐条发出提示。
一个 dot 在专用云端计算机上工作。除非用户连接额外服务，否则这会将代理的工作环境与用户的实体设备隔离开来。
根据 Dots 公告，用户可以通过桌面端、网页端和移动端的 ChatGPT 与这些代理交流。Slack 和 Teams 支持则将同一工作上下文扩展到多个渠道。
这种连续性是产品的重要组成部分。用户不应在代理于 ChatGPT 和工作场所对话之间切换时，反复解释同一个项目。
OpenAI 将代理的后台活动称为“主动研究”。在这一过程中，dot 可以通过只读工具检查已连接应用中的信息。这些工具无法发送消息、编辑内容或控制用户的浏览器。
OpenAI 还表示，当监控系统检测到安全隐患时，可以暂停或停止一个 dot。自定义规则允许用户允许、阻止或要求批准特定操作。
读取与执行之间的区别至关重要。能够读取日历的代理属于一种风险类别；能够取消预约、发送电子邮件或购买机票的代理则属于另一种。
OpenAI 发布的隐私常见问题称，高度敏感的操作需要用户直接参与。更改密码或转账时，应要求用户接管操作。
其他操作则可在执行前要求批准，包括安装软件或永久删除信息。OpenAI 表示，用户有时可以对范围明确的重复性操作预先授权。
这些控制措施划定了边界，但并未消除根本性的暴露风险。只读代理仍可能发现机密事实、推断人际关系，或在错误的语境下总结信息。
不同账户类型的数据使用方式也不同。OpenAI 表示，默认情况下不会使用 ChatGPT Business、Enterprise 或 Edu 工作空间的数据训练模型。
对于个人套餐，“Improve the model for everyone”设置决定符合条件的 Dots 对话和工作内容是否可用于改进模型。这些内容可能包括委派任务、已连接应用数据以及代理执行的操作。
OpenAI 表示，不会直接利用主动研究内容或 dot 的私有工作笔记进行训练。不过，这些研究中的信息可能进入符合条件的对话；一旦进入，其处理方式将取决于用户设置。
许多用户可能很容易忽略这一差异。数据可能从受保护的后台流程进入对话，但对相关用户而言，两者看起来并无实质不同。
因此，该公司提出的是分层隐私模型，而非绝对保证。其可信度取决于这些层级能否在现实压力下始终如一地发挥作用。
为什么个人代理比聊天机器人需要更多数据
始终在线的代理若要变得更有用，就必须更深入地了解其所代表的人。
聊天机器人可以利用单条提示回答一个孤立问题。个人代理则必须了解此前发生了什么、还有哪些事项未完成，以及未来的哪项行动符合用户意图。
这需要记忆，也需要访问那些会因决策而产生后果的实时系统。
以管理商务出行为例，代理需要掌握旅客的日程、目的地、航空公司偏好、报销政策、护照要求和通信记录。
它还可能需要访问电子邮件、支付工具、企业文件以及其他人的日程。实用的答案取决于整合这些来源，而不是分别读取它们。
这也是个人 AI 第二大脑随着上下文积累而更有价值的原因。系统能够检索相关知识，是因为它已保留并组织了这些知识。
自主代理则将同一模式更推进了一步。它不只是检索上下文，还会利用这些上下文采取行动。
由此产生的隐私问题包含三个层面。
首先，代理可以访问用户明知会提供的信息，包括消息、文件、偏好和已连接账户。
其次，它能够推断用户从未作为正式事实输入的信息。重复出现的日历事件可能揭示医疗治疗情况，电子邮件模式可能暴露商业谈判或私人关系。
第三，代理会接触从未接受其条款的人的数据。用户收件箱中包含来自同事、客户、亲属和朋友的通信内容。
代理可能需要这些通信内容才能完成合法任务，但其他参与者可能并不知道 AI 系统正在处理他们的文字，或正在构建他们关系的工作模型。
这使得同意问题比标准应用权限界面所暗示的更复杂。授予电子邮件访问权限，并不能解决消息中的信息应如何被解读或保留的所有问题。
持久运行的代理还改变了最小权限原则的含义。最小权限是指，系统应只获得完成当前任务所必需的访问权限。
始终在线的代理很少只有一项当前任务。它旨在发现机会、准备工作，并将上下文带入未来请求。
广泛访问支持这种灵活性。有限访问可以减少潜在损害，但也会限制代理能够完成的工作。
OpenAI 试图通过将主动只读活动与改变外部系统的操作分开，来管理这一张力。这种划分合乎逻辑，但读取本身也可能产生后果。
遭到入侵的代理无需编辑源文档，也可能泄露敏感摘要。它还可能将机密材料带入共享频道，或在起草无关回复时使用这些材料。
提示注入又增加了一层风险。提示注入是隐藏在内容中的指令，试图让 AI 系统偏离用户的实际目标。
浏览网站和处理电子邮件的代理会持续接触不可信指令。它必须区分合法内容与旨在操纵其行为的文本。
OpenAI 表示，Dots 包含监控和权限控制机制。然而，现有设计都无法让提示注入彻底消失。真正的问题在于：防御机制会多频繁地失效，以及失效时还保留了多少可用访问权限。
这使隐私成为一项架构测试。政策措辞固然重要，但隔离边界、凭证处理、审计日志和恢复流程更为关键。
OpenAI Dots 与 Meta Muse 的竞争是一场信任竞赛
OpenAI Dots 与 Meta Muse 的竞争将由可验证的限制决定，而不是哪家公司使用了更强硬的隐私措辞。
Meta 在 OpenAI 发布 Dots 前数周推出了 Muse。两款产品都承诺提供持续协助、持久记忆、云端执行，以及针对敏感操作的用户控制。
Muse 运行在专用虚拟机，即 VM 中。VM 是一台隔离的软件计算机，包含代理的文件、工具、浏览器和运行环境。
Meta 表示，每位用户都拥有隔离环境。凭证保存在单独的容器中，同时 Sentinel 代理会审查 Muse 的对外活动。
该公司的 Muse 发布公告称，代理会在发送电子邮件或进行购买等操作前请求许可。用户还可以查看审计记录。
这些功能与 OpenAI 的做法相似。两家公司都将代理活动隔离在云端，向模型隐藏凭证，并在具有重要后果的操作周围设置批准关卡。
关键差异体现在两家公司如何描述访问权限和未来保护措施。
Meta 承认，其当前架构并未在技术上阻止公司访问 Muse 数据。其政策限制员工访问，但 Meta 在运营、保护或支持服务时仍可访问相关信息。
Meta 表示，计划于 2026 年晚些时候推出 Confidential VM。该公司称，该版本将通过密码学方式阻止 Meta 和其他服务提供商查看环境中的信息。
Meta 描述这一更强的功能时，它仍在测试和外部审查阶段。因此，应将其视为一项计划中的保护措施，而非所有当前 Muse 会话的既有属性。
Meta 还表示，Muse 的对话轨迹可用于训练。轨迹包括对话、工具调用和代理之间的交接。
该公司称，在使用这些轨迹前会移除关键个人身份信息。用户可以通过设置禁用训练。
OpenAI 同样让个人账户用户控制是否用于训练。两种模式都将重要责任放在用户必须理解并配置的设置上。
Meta 发布的安全说明还作出了另一项重要让步：Muse 并非不受攻击，提示注入仍是整个行业尚未解决的问题。
这种承认比无条件的安全声明更有价值。它明确了买家应采用的真正标准：不是攻击是否可能发生，而是系统如何限制损害。
OpenAI 的优势在于其与消费者和企业之间已建立的 ChatGPT 关系。Dots 可以继承该平台的连接、账户控制和工作场所分发能力。
Meta 的优势则在于其覆盖 WhatsApp、Instagram、Facebook 和互联设备。这些服务能够提供广泛的人际关系和行为上下文。
同样的优势也带来了压力。OpenAI 必须证明，一个 dot 不会将敏感上下文带入错误的工作区。Meta 则必须让用户相信，其广告业务不会损害 Muse 的隐私边界。
Meta 表示，Muse 对话和 VM 数据不会直接流入其广告系统。它还指出，代理的浏览活动可能会间接影响广告。
例如，Muse 访问过的零售商之后可能会利用这次访问，在 Instagram 上投放定向广告。代理的数据或许仍留在 Meta 广告系统之外，但其行为依然会产生广告信号。
这种区分在技术上具有重要意义。但对看到与委派给代理的任务相关广告的用户而言，这种区别未必有意义。
OpenAI 面临着类似的沟通问题。用户必须了解，主动研究何时会留在训练体系之外，以及同一信息在进入对话后何时会变得可用于训练。
在这两种情况下，隐私模型都包含难以简明概括的边界。单一的隐私开关无法解释记忆、推理、训练、浏览和行动之间的每一次转换。
因此，这些公司在用户能够独立验证完整系统之前，就已经在推销信任。谁能提供更清晰的日志、更强的默认设置和可审计的基础设施，谁的主张就更可信。
隐私控制并不等于隐私保障
权限提示可以减少意外伤害，但无法证明代理理解了正确的边界。
传统权限系统假设访问权限能够清晰映射到某种资源。应用可以获得使用摄像头、读取联系人或查看文件夹的权限。
代理权限则更为复杂，因为软件会动态解释信息并选择行动。同样的邮件访问权限，既可以用于生成无害的摘要，也可能暴露一场机密谈判。
批准界面可能会显示即时操作，却不会揭示促成该操作的所有事实。用户可能会批准发送一封邮件，却不知道该草稿依赖了另一个账户中的材料。
预先批准会带来额外的不确定性。它可以让代理在不每次打断用户的情况下，完成可预测的重复性工作。
然而，条件会发生变化。一项用于发送每周更新的长期权限，可能在项目变为机密或收件人职责变更后依然有效。
在这些情况下，日志至关重要。用户需要看到代理访问了什么、推断了什么、使用了哪个工具，以及为何选择某项行动。
完整的事件记录也能帮助调查人员重建故障过程。没有它，公司可能知道代理行为失当，却无法知道是哪条不可信指令改变了它的行为。
事故发生后的可见性并不能阻止事故本身。有些行动可以撤销，但信息披露往往无法挽回。
代理或许可以撤回一封邮件，或恢复被编辑的文件。但它无法可靠地让收件人忘记机密信息。
同样的局限也适用于存储在记忆中的个人数据。删除源邮件并不必然表明代理是否在其他地方保留了其中提取的事实。
用户还需要了解备份情况。系统可能删除活动数据，但出于安全或运营原因仍保留可恢复的副本。
在适用情况下，数据删除权可以处理其中一部分复杂性。OpenAI 表示，用户可以请求访问、更正、删除或获取个人信息副本。
然而，代理也可能处理非用户的信息。这些人可能不知道是哪位客户的代理收集了相关信息，也不知道应向何处提出请求。
关于 Muse 的早期报道体现了这一担忧。一名独立安全研究人员据称提取了内部指令，其中描述了关于用户生活中人物的页面。
由此得出的 Muse memory findings 表明，这些页面可能涵盖家庭成员、同事、朋友及其他联系人。该发现并不能证明每位 Muse 用户都拥有关于每位联系人的详细档案。
但它确实表明，代理记忆可以延伸至账户持有人之外。一个人可能从未使用该产品，却仍会出现在另一位用户的关系背景中。
OpenAI 尚未公开表示 Dots 使用相同的记忆结构。Muse 的例子不应被视为两者行为完全一致的证据。
但这仍是一个相关警示。个人代理需要关系知识，而关系知识很少只属于一个人。
行业偏好的答案是用户控制。这一原则仍然必要，但当一名用户控制着涉及许多其他人的数据时，它并不完整。
因此，更强的隐私保护需要的不只是设置。还需要对收集、保留、推理、跨上下文复用、员工访问和二次训练加以限制。
公司还必须让这些限制可被测试。独立审计人员需要访问系统设计、威胁模型和可复现的证据。
漏洞赏金计划可以帮助研究人员安全地报告漏洞。但它们不能替代正式评估，尤其是在故障涉及常规产品行为而非软件漏洞利用时。
决定性证据将来自事故及其应对。一家公司在披露故障、控制损害、修复根因并清晰告知用户时，其隐私承诺才会变得可信。
首批故障揭示了什么：代理隐私
即使底层模型从未看到密码，且用户批准了每一项连接，代理隐私仍可能失效。
凭证隔离能够应对一种严重威胁。如果模型无法读取已存储的密码，恶意提示词直接窃取密码的机会就会更少。
但这种保护无法阻止代理滥用已经过身份验证的会话。代理可能通过有效令牌访问服务，并执行用户无意进行的操作。
因此，安全边界必须同时管理秘密信息和能力。若代理可以自由使用凭证所提供的访问权限，仅隐藏凭证并不足够。
OpenAI 表示，Dots 将保存的密码与模型分离。Meta 对 Muse 提出了类似主张。两种方法都能减少暴露，但授权决策仍存在于更广泛的代理系统之中。
首轮公开测试将聚焦于明显的故障。研究人员会尝试让代理泄露系统提示词、忽略权限规则，或遵从嵌入网页中的指令。
更棘手的故障将发生在上下文层面。代理可能向错误的人披露正确的信息、在错误的时间安排操作，或将不同项目中的事实结合起来。
这些故障很难预防，因为每一步单独看来都可能合理。伤害来自这一连串操作。
假设一个 dot 利用已连接的邮件和内部文件准备客户提案。它正确识别了客户、产品要求和此前的谈判。
一份共享文档中包含关于另一位客户折扣的旧备注。代理将该备注视为通用定价规则，并将其纳入新提案。
攻击者无需窃取密码。恶意软件也无需离开云端计算机。代理只是跨越了一条上下文边界。
人工审核可以发现部分错误。然而，全天候代理的承诺取决于减少所需的审核量。
如果用户必须检查每个来源和推断过程，许多效率优势就会消失。如果他们快速批准操作，批准便会流于形式。
这带来了产品设计上的取舍。频繁的警告会促使用户忽略它们，而较少的警告则会给代理更大的自主裁量权。
公司需要基于风险的批准系统，将日常且可逆的工作与异常或不可逆的操作区分开来。这些系统还需要解释某项操作为何显得有风险。
更广泛的安全环境进一步提高了风险。该 DevDay coverage 指出，OpenAI 在因安全问题暂停另一款模型发布后不久推出了 Dots。
这一时间顺序并不能证明 Dots 不安全。但它表明，OpenAI 的保证将受到严密审视。
OpenAI 正要求用户接受一个始终处于活动状态、观察已连接信息并跨外部服务完成任务的系统。证据责任应与这种权限级别相匹配。
Meta 面临同样的责任。Muse 可以浏览网页、填写表单、发送通信、进行购买，并维护长期上下文。
这些公司的公开保障措施奠定了合理的起点。但它们并不能证明现实世界中的故障率。
独立测试必须检验代理请求不必要访问权限、错误分类敏感操作以及跨账户暴露信息的频率。
企业客户还会希望看到关于管理员控制的证据。个人批准未必能满足组织关于保留、法律保全或受监管信息的规则。
消费者面临不同的问题。他们需要无需具备虚拟机、模型训练或机密计算专业知识也能理解的隐私说明。
一个系统可以在技术上非常复杂，却仍可能因其设置营造虚假信心而失败。用户界面是安全模型的一部分。
胜出的设计会让安全行为比不安全行为更容易实现。它还会假定用户会错过警告、授予过多访问权限，并误解数据流向。
这一标准要求很高，因为代理承诺消除摩擦。隐私保护往往恰恰会在自动化试图消除的地方增加摩擦。
三项测试将决定这些承诺是否成立
OpenAI Dots 隐私的下一阶段，将通过独立测试、透明的事故处理，以及无需过度授权的采用情况来评判。
第一个信号是技术验证。
OpenAI 应提供足够的细节，让外部研究人员能够审查隔离、权限执行、凭证处理和提示词注入防御。当合格研究人员能够复现底层证据时，安全主张会更有说服力。
Meta 计划中的 Confidential VM 也会形成类似测试。Meta 表示，外部审计人员将检查该设计，持续审计信息也将公开可见。
如果该系统上线时附带可访问的证据，它将提高所有个人代理提供商的预期标准。如果它仍然受限或延期，Meta 最强的隐私承诺仍将未经证实。
技术验证还应覆盖服务之间的边界。Dots 可以在 ChatGPT、Slack、Teams 和已连接应用之间维持上下文。
研究人员必须测试信息是否遵循预期的用户和工作区边界。如果上下文进入未经授权的渠道，再安全的云端计算机也提供不了多少保护。
第二个信号是事故披露。
代理会犯错。OpenAI 和 Meta 都承认这一现实，无论是直接承认，还是通过其描述的保障措施间接承认。
重要的问题是每家公司检测故障的速度，以及向受影响用户告知了多少。有效的披露应说明涉及的信息、失效的控制措施和纠正行动。
观察公司发布的是狭窄的解释，还是可衡量的改进。一句含糊的“安全性已提升”并不能表明是哪条边界失效。
用户还应检查代理是否提供完整的活动历史。审计轨迹需要足够详细，才能区分模型错误、权限失效或恶意指令。
第三个信号是用户行为。
隐私架构可能看起来令人信服，但用户仍可能不愿连接敏感账户。低风险演示并不能证明人们愿意将财务、工作文件、健康信息或私人通信交给智能体。
企业客户的采用情况将提供一项有用的衡量标准。安全团队通常会要求更明确的控制措施、合同承诺和管理可见性。
消费者行为同样重要。用户可能会广泛采用智能体，但将其限制在购物、旅行研究和公开信息等场景。
这种模式表明人们对自动化感兴趣，却尚未建立完全信任。与电子邮件、日历和个人档案建立更深层的连接，将意味着更高的信心，不过企业必须谨慎披露此类指标。
权限模式比原始账户总量更有意义。一个拥有数百万用户的智能体，仍可能只能有限访问那些影响重大的系统。
读者还应关注隐私默认设置是否会变得更严格。OpenAI 和 Meta 都允许个人用户控制某些互动是否用于支持模型训练。
将二次使用降至最低的默认设置，能减轻从不调整设置的用户的负担。默认启用更广泛使用，则会更加依赖信息披露和知情同意。
根本问题不在于 OpenAI 或 Meta 是否能写出一份有说服力的隐私声明。两家公司都能描述分层控制措施和负责任的意图。
问题在于，这些控制措施能否经受住普通用户、敌对内容、模糊指令，以及让智能体更加自主的压力。
个人智能体需要掌握私密背景信息，才能兑现其承诺的价值。这不是意外产生的隐私风险，而是产品最核心的运行要求。
只有当用户能够验证智能体知道了什么、为何采取行动，以及他们的信息流向何处时，OpenAI Dots 的隐私保护才会赢得信任。Meta Muse 面临同样的标准。
在将一款始终在线的智能体连接到你数字生活的核心之前，请检查其训练设置、限制权限，并查看其活动记录。然后再问一个更严肃的问题：如果智能体明天作出了错误推断，你能否看见它、阻止它，并修复造成的损害？
