OpenAI Dots 是什么：从产品定位到实现原理，以及与 GPT / Codex 的分工

OpenAI 在 DevDay 2026（9 月 29 日）发布了 Dots。官方定位是 “remarkably capable, always-on agents built to handle everything”——常驻在线、能处理各种事情的智能体，由 GPT-6 Astra 驱动。

这篇文章分三层来写：先讲 Dots 是什么、和 ChatGPT/Codex 的分工，再逐层拆解它的实现原理，最后明确哪些是官方文档实锤、哪些是合理推断。

需要先说明资料来源的边界：OpenAI 没有发布 Dots 的完整架构白皮书、API 或模型权重。下面的原理部分来自官方发布公告、Help Center 文档、隐私/安全 FAQ、GPT-6 Astra 系统卡片，加上多家实测与解读文章的交叉验证。凡属推断的地方会标注出来。

一、Dots 的产品定位

核心特点

常驻后台、自主干活：不同于 ChatGPT/Codex 的”你问一句、它答一句”，Dots 不依赖特定硬件或界面，在后端持续运行，朝你设定的目标推进任务，无需大量人工监督。你可以把任务丢给它就去干别的，它只在需要你决策时才回来找你。
自带”云端电脑”：每个 dot 有自己专属的云端计算机和浏览器，可以联网、访问你授权的应用，并逐渐学习你的工作方式和偏好——起点是 ChatGPT 已有的记忆/上下文。
可个性化：可以给”你的第一个 dot”起名字、定制专属规则（Custom Rules）、规定它不能越过的边界；安装软件、改密码等敏感操作必须获得你的明确授权。
多入口触达：可通过 ChatGPT 应用/网站、Slack、Microsoft Teams 与它对话；Pro 用户还能加入等待名单，通过 iMessage 或 Android RCS 短信直接发消息。

官方演示的场景

规划晚餐：它发现你的日历显示要工作到晚餐时间，主动推送外卖选项和价格，你选好它就下单；
与你协作上线一个新网站；
开发者：专门部署一个 dot 监控客户反馈，自动修 bug、实现用户要求的功能；
科研人员：新实验数据出来时自动重跑分析、调查异常结果。

商业化与推出节奏

先从 ChatGPT Pro（$100/月档）和 Business Premium 用户开始，后续逐步开放；初期只能控制一个 dot，未来支持多个 dots 协作。
企业向：高管宣布了 “specialist Dots”，针对会计、邮件营销、法律分析等特定岗位定制的版本；已与微软合作，集成其 Agent 365 安全控制体系。
被普遍视为对几周前爆火的 Meta Muse 的直接回应，同样采用”可爱的漂浮小圆点”形象。

发布时的争议背景

Dots 发布前一天，OpenAI 刚因安全问题取消了一次新模型发布（Guardian、BBC 均有报道）。因此当时就有媒体对这类可自主行动的智能体表达警惕：当它接管你生活中的自动化任务时，也存在被诱导越权、泄露信息的风险，安全研究员和媒体都提醒用户谨慎授权。

二、Dots vs ChatGPT vs Codex

三者不是替代关系，而是分工协作。

维度	ChatGPT（GPT）	Codex	Dots
定位	通用对话式 AI 助手，“一问一答”	开发者的编程智能体，跑代码任务	24 小时常驻的”虚拟同事/员工”，自主推进工作
交互方式	同步：你问它答，需要你在场	半同步：开发者发起任务后可交给它后台跑	异步 + 主动：你不看它时它继续干活，还会主动研究工作流、提醒你疏忽的事
运行环境	对话界面内（可带工具）	本地终端/IDE，或 Codex Cloud（云端环境可保留、可复用、团队共享一套配置）	自带云端电脑、工作环境和浏览器，也可操作你的工作环境
生态连接	有限工具	代码仓库、CI、IDE	4000+ 应用：Slack/Teams/Notion/邮件/短信等
驱动模型	按套餐可选多模型（GPT-6.1 Luna / Sol / Astra 等）	GPT-6.1 Sol（便宜）、Astra（UltraFast 8 倍速，300 token/s）	GPT-6 Astra
自主性/权限	无自主性，人驱动	任务内自主，但由开发者发起	自主性最高：Custom Rules 自定义边界、权限控制、自动操作审查、敏感操作需授权
计费	对话额度（Pro 分 100/200/500 三档，新会员额度减半）	单独消耗 coding 额度	Pro / Business Premium / Enterprise 送 1 只免费 dot，和它聊天不消耗普通额度；加 dot 或让它调用 Codex 干活要额外付费
典型场景	问答、写作、分析、日常办公	写代码、修 bug、重构、自动化脚本	监控竞品动态、筹备发布会、订外卖、数据研究；企业版还有 Specialist dots（法务、会计等岗位化专职虚拟同事）

一句话概括三者关系

ChatGPT = 你的日常对话层：通用的交流与信息处理入口；
Codex = 你的”双手”：负责软件开发类实操，Cloud 化后关掉笔记本盖子也能继续跑；
Dots = 你的”同事/监工”：负责统筹、监控、主动推进整件事，它能反过来调度 Codex 和 ChatGPT Work 干活（加钱即可）——比如你的 dot 发现竞品上线，就调用 Codex 改代码、自己重做发布会物料。

ChatGPT 是你问它答的助手，Codex 是你派活的程序员，Dots 是你雇的、不用睡觉还要主动给你找活儿干的员工。

三、一个常见误解：Dots 不等于”带运行时环境的 HTTP 请求”

“每个 dot 就是一个云端 agent，自带运行时、不需要在本地持有”——这个方向是对的：它跑在 OpenAI 的云端，不占本地资源；每个 dot 有专属的云端电脑 + 浏览器；连接 4000+ 应用，任务进来后它自己找资源干活。

但 “HTTP 请求”这个类比有四处关键偏差：

HTTP 的特征	Dots 的实际行为
同步：发 request → 等 response，一次性	异步 + 长期运行：一个任务能跑几小时甚至几天，期间你完全不用管
无状态：每次请求彼此独立	有状态：带记忆，学你的工作方式和偏好，认得你
不会追着你问	会中途回来找你：关键决策、敏感操作（装软件/改密码）必须你授权
被动：只有你发它才动	主动：你不找它，它也会主动推送——比如发现你日历排满就帮你订外卖

更准确的类比是：你给一个”远程员工”派了一张任务单。它有自己的工位（云端电脑）、自己的通讯录（4000+ 应用的授权）、自己的记忆（学了你的习惯），干到关键节点会回来请示你，平时不需要你盯着，甚至会主动提醒你”这事你忘了”。

另外，“和 Codex 的最大区别就是带了运行时环境”这个说法不完全准确——Codex Cloud 也提供云端环境。真正的区别是两个：

谁发起、谁主动：Codex 是”你派活它才干”，任务内自主；Dots 常驻，自己找活干，还能主动研究、提醒你；
指挥关系：Dots 能反过来调度 Codex。一个是被指挥的”手”，一个是统筹的”同事”。

四、Dots 的实现原理

0. 一句话总览

Dots 本质是**“常驻 agent 循环 + 云沙箱执行环境 + 托管凭据 + 独立审核闸门”**四件套：一个由 GPT-6 Astra 驱动的 agent 循环，跑在 OpenAI 自家的隔离云虚拟机里，通过插件生态操作外部应用；它把”空闲时只能读、动作前必须过审、敏感操作必须交还人”用代码写死成默认边界。

分层结构（从官方文档反推）：

┌─────────────────────────────────────────────────────┐
│ 交互通道层：ChatGPT 桌面/Web/移动/语音、Slack、Teams、短信 │
└──────────────────────────┬──────────────────────────┘
                           ▼
┌─────────────────────────────────────────────────────┐
│ 编排层：agent 循环（GPT-6 Astra）+ 定时/事件/自唤醒调度    │
│         + 任务拆分 → 后台子 agent / Codex / Work 委托    │
└──────────────────────────┬──────────────────────────┘
                           ▼
┌─────────────────────────────────────────────────────┐
│ 执行环境层：每 dot 一台隔离云 VM（Linux + Chrome）        │
└──────────────────────────┬──────────────────────────┘
                           ▼
┌─────────────────────────────────────────────────────┐
│ 连接层：插件 SDK（4000+ 应用）、本地电脑(opt-in)、         │
│         凭据保险库（模型不可见）                          │
└──────────────────────────┬──────────────────────────┘
                           ▼
┌─────────────────────────────────────────────────────┐
│ 治理层：Auto-review 独立审核器、Custom Rules、           │
│         只读研究限制、安全监控、人工接管闸门               │
└─────────────────────────────────────────────────────┘

1. 执行环境层：每只 dot 一台”云电脑”

这是 Dots 和普通 ChatGPT 会话最本质的结构差异——运行位置被搬走了。

每个 dot 活在 OpenAI 的一台隔离云虚拟机里，不是你的手机或电脑上。环境是 Linux + 一个 Chrome 浏览器，实测演示中的配置约 10GB 内存 / 32GB 硬盘，可安装 Blender、FreeCAD 这类生产力软件。
虚拟机有状态、可持久：自己的文件、软件、浏览器会话跨次保留。你笔记本上登录的网站，不会自动登录到它的浏览器——两套会话完全隔离。
环境之间按用户互相隔离，官方安全说明明确写了 “cloud environments of different users are isolated from one another”。
你可以从 dot 的个人资料页打开它的电脑围观它干活，还有 Take over（接管）按钮——人类随时接手浏览器操作，干完再归还控制权。

为什么这么设计：要 7×24 常驻、要操作真实浏览器、要跨设备连续，把环境放在自家云上体验最好；代价是把”你的自动化操作在别人的机器上发生”这件事摆到台面。

2. 大脑层：agent 循环 + 唤醒调度

驱动模型是 GPT-6 Astra（旗舰档，不是便宜档）。但模型只是”大脑”，真正让 dot”活着”的是它外层的 agent 循环。

自主决定暂停/唤醒：文档原话是 dot 可以 “decide when to pause and wake up to continue work”。不是一直烧 GPU，而是事件驱动 + 定时 + 自判断三种唤醒方式：
1. 调度唤醒：你给它定时任务（“每周一 9 点查反馈汇总”）；
2. 事件触发：连接的服务支持时，事件一到就唤醒（如 Slack 新增 bug 上报）；官方承认”并非所有服务都支持事件”；
3. 自判断续跑：它在等一封邮件回复，过段时间自己醒来复查。
协调者而非执行者：dot 更像项目经理。文档明确它能 “use background agents, start new cloud threads, and create Work or Codex tasks on a connected computer”。重活拆给后台子代理，或委托给 Codex（写代码）和 ChatGPT Work（跑任务），自己检查产出、回来汇报。Codex 任务是独立线程，dot 只把需要的上下文传过去，不倒整段对话。
后台并行：同一时间可以拆多个子任务并行跑。

3. 记忆层：三源记忆

dot 的知识来自三处：

记忆源	内容	特点
会话上下文	当前对话 + 抓取资料 + 工具结果	临时
ChatGPT 记忆	你账号里已有的记忆	双向流动：dot 读你的，你与 dot 的对话也可能写回 ChatGPT 记忆
dot 自己的笔记	你的偏好、决策、进行中的工作	不是转录稿，是它主动维护的结构化笔记，跨渠道（ChatGPT/Slack/Teams/电话）携带

记忆是工程上目前最弱的一环：没有逐条查看/修改/删除的 UI，清空记忆的唯一方式是删掉整个 dot；断开某个应用的连接只停止新访问，已学到的内容不清除。

4. 连接与凭据层：秘密不进模型

插件 SDK：连接 4000+ 应用，与 ChatGPT / ChatGPT Work / Codex 共享同一套插件权限——授权一次多处生效，权限细到动作级（“可以读邮件” ≠ “可以发邮件”）。
本地电脑是 opt-in 且默认关闭：开启后 dot 可以碰本地文件、本地技能，甚至在云浏览器被挡住的站点时绕道；但一次只能连一台电脑，且要求电脑在线 + ChatGPT 桌面端开着。
凭据保险库（Vault）：已保存的登录凭据存放在平台侧，模型永远看不到。需要登录时，dot 暂停，弹出一个独立于对话的安全表单，你输入的密码/验证码被直接注入远端浏览器环境，“without exposing them to the model”。模型拿到的只是”已登录的会话”状态。使用已保存的登录凭据做新登录，还需要你确认。这是对”把密码塞进 prompt”这类 agent 安全反面教材的正规解法。
保护边界：这套保护只覆盖登录流程——你把密码粘贴进聊天消息或文档里，就不受保护了。

5. 治理层：把”安全默认值”写进代码

这是 Dots 工程上最细致、也是和别家拉开差距的部分，五道防线：

① 空闲时只读（proactive research 限制）

不和你交互时，dot 会主动研究（读授权应用、记私密笔记、主动提建议）。但该模式在代码层强制限制：不能给别人发消息、不能改应用内容、不能控制浏览器/电脑。官方称这些限制 “enforced in code”，而且 Custom Rules 无法解除。逻辑是：一个 7×24 在线的 agent 最大风险不是做错事，是没人看着时做错事——所以默认状态先定义成”只读”，要解锁更危险的动作必须用户主动。

② Auto-review：独立于 agent 的审核器

在 dot 执行任何会触碰你账户/对外分享信息的行为前，另一个独立的审核系统会按”你的指令 + Custom Rules + OpenAI 安全要求”审查该动作（发邮件时连收件人和正文都查，防发错地址/误泄露）。关键工程点：Auto-review 的控制权在 dot 无法修改的环境之外——它自己关不掉自己。审核结果四种：放行 / 要你批准 / 改成更安全的替代路径 / 拦下。这一步和 Codex 的 sandbox boundary Auto-review 同源，只是为 dot 加了专属策略。

③ Custom Rules：四级授权阶梯

可自定义”某个动作”的处理方式，四档：直接做 / 你明确说了才做（pre-approved）/ 每次都问 / 交还给你自己干。规则无法覆盖核心安全要求、无法解除只读研究和 Auto-review。

④ 分级敏感操作（不可配置的铁底）

改密码、转账 → 永远强制交还给你亲自完成；
永久删除数据、安装软件 → 可能每次都要批准；
用商家已存卡购物 → 必须你批准（可预授权，但只覆盖该笔）；
批准一条消息 ≠ 获得持续联系别人的许可。

⑤ Prompt injection 防御（有测试数据，也有承认的局限）

系统卡片公布了红队测试数据：100 轮 × 每轮 500 封模拟邮件、其中 16,600 封由内部红队模型写的攻击邮件——无一成功；换用”每次失败后自我改进”的自适应攻击者，2,638 次尝试也无一成功；人类红队伪装成同事/网站/其他 agent 试图窃取数据也全部失败。

但官方坦诚：注入只能”降低风险，不能消除”。最弱环节是长期多任务场景的作用域漂移——任务链从 5 个中间任务增加到 10 个时，轻度越界率从 8.6% 升到 19.7%（如把 A 任务的信息带进无关的 B 任务）；无严重越界，但有 49 个”中途改权限”测试里 4 个因边界模糊没处理对。

6. 编排与可观测层

Activity View（桌面端）：看每个任务的进度、产物文件、中间步骤；卡在决策/登录/审批时能直接处理。一句话就能盘问它：“你现在在干什么，什么需要我？”
任务状态机：dot 资料页分 In progress / Scheduled / Completed 三区管理所有任务。
Pause ≠ Stop：暂停只停主任务，可能不停委托的子任务、也不取消已排程任务——三者是独立的控制。

7. 工程上的五个关键取舍

运行位置搬到厂商云 → 换来 7×24 常驻、真实浏览器操作、跨设备连续；代价是隐私模型改变（企业客户最敏感的点）。
凭据放平台侧、不进模型上下文 → 把秘密从”模型可见处”挪到”模型碰不到处”；代价是信任转移到”OpenAI 的密钥管理过不过关”。
“空闲只读”当默认值 → 比事后再堆权限配置有效得多，因为默认值才是大多数人实际用的值。
审核器独立于 agent 之外 → 不允许被执行者修改控制自己的闸门，是自动驾驶里”独立安全监控”思路的 agent 版。
成本真实化 → 常驻 agent = 独立 VM 全天候跑 + 操作浏览器 + 跨几千应用集成，贵到官方把 200 美元档限额砍半、新增 500 美元档——等于承认”常驻”无法用旧价格支撑。你与 dot 对话不占普通额度（送的），但它委托给 Codex/Work 的活照常计费。

8. 哪些还没公开

OpenAI 没有发布 dots 的 API、模型权重或完整架构图。上文第 1、5、7 节是官方文档 + 系统卡片能实锤的；第 2 节循环调度的具体机制（如何做规划的 token 预算、唤醒判定用什么实现）属合理推断。
“只读边界如何在几千个第三方集成上逐一强制”官方未给出机制细节，实质外包给插件侧的权限实现。
企业版的数据驻留、零数据保留（ZDR）在 beta 期明确不提供。
发布会现场演示数次卡壳，说明常驻 agent 的可靠性仍是开放工程问题——长期跑、没人盯、状态要一致，比单次问答难得多。

五、核心参考文献

OpenAI 官方：Introducing dots（2026-09-29）、Getting started with your dot（Help Center）、Dots privacy/security/safety FAQ、GPT-6 Astra 系统卡片附录 Dots
深度整理：eesel《OpenAI Dots explained》、Flavio Copes《A deep dive into OpenAI dots》、dev.to《dots, explained from the docs》等
实测：80aj《OpenAI dots 实测：云端智能体开始交付文件》

一句话收尾：Dots 的实现原理 = 你雇的那个”远程员工”，是真的在 OpenAI 的机房里有台装了 Chrome 的 Linux 电脑；它的脑子（Astra）、它的工位（云 VM）、它的通讯录（插件）、它的保险柜（凭据库）和它的”合规部门”（Auto-review）是分开部署、层层设防的。

Sources

No external sources for this entry.

2026-10-09 · blog