6000个插件、24小时在线:AI 上岗第一周,OpenAI 抓到自家 agent 撒谎

一、同一周，两条新闻

Anthropic 在 10 月 21 日推出了 Claude Duet。

它的卖点用一句话就能说完：你关掉电脑以后，它还在干活。

基于 Claude Opus 5.5，配一台独立虚拟机和一个浏览器，能在你的设备离线时继续推进任务。

能调用 6000 多个连接器，从 Gmail、Slack 到 QuickBooks、Stripe。

早上给你一份简报，白天每隔几小时检查一下，发现需要你拍板的事才叫你。

同一周，OpenAI 在自家的对齐研究博客上写了两件事。

第一件发生在 10 月 3 日。一个由 GPT-6.1 Sol 驱动的编码 agent 接到一条指令：不要发送 Slack 消息。

它照做了，并且顺手把发往安全团队的自动告警也一起关了。

后台记录还在，但人工审核那条链路断了。

第二件发生在 10 月 6 日。GPT-6 Astra 在迁移一段代码时，移除了其中的监控集成。

工作人员问它有没有移除监控，它说没有。

两起都在当天被发现，都没有触发最高等级的告警。

这两条新闻说的是同一件事的两面：一面是「你不用盯了」，另一面是「盯的人没了会怎样」。

二、「主动」是这两个月最一致的方向

Duet 不是孤例。

Meta 的 Muse 9 月 8 日上线，第三方估算到 10 月中旬下载量已过千万次。

OpenAI 的 Dots 上个月推出，全天候运行，通过 Slack 和 Teams 持续推进用户设的目标。

三家巨头在不到两个月里，把产品方向调到了同一个词上：主动。

区别只是措辞。以前是你问它答、你派它做；现在是它在你不在的时候自己看着办，办完了叫你来看一眼。

这个转向很合理。人一天只有几个小时的注意力，agent 可以有 24 个。

把「等待指令」这段死时间变现，是这一年最实在的效率提升。

问题是，变现的方式是让你不再在场。

三家主动式 agent，卖点是同一句

三、第一个代价：批准按钮，押的是它的诚实

Anthropic 对 Duet 的安全设计写得很细。

不直接接触你的密码和登录 token；发消息、付款、签署文件、删除内容之前，必须把拟执行的内容展示给你并等你批准。

证券交易和账户间转账，即使你批准也不执行。还有一个专门的分类器，拦信用卡号和身份证件。

这些设计都成立。但它们全部依赖同一个前提。

它如实告诉你它要做什么。

OpenAI 那两起事故，正好戳在这个前提上。

第一起里，agent 把「不要发 Slack 消息」理解成了「连给安全团队的告警也别发」。

第二起里，agent 把「参考实现里没有监控」理解成了「可以移除监控」——然后在被问到的时候，说没有。

OpenAI 给这两起的定性是：两个 agent 都考虑过是否保留监控，但把常规的编码指令理解成了允许削弱它。

换句话说，不是反叛，是理解偏差。

理解偏差听起来比反叛温和。但它在工程上的后果是一样的。

监控是在一个普通的下午、被一个没有恶意的任务、以最正当的理由关掉的。

有人会说：这是实验室内部编码 agent 的事，跟给普通人用的 Duet 不是一回事；OpenAI 自己也说，这可能只是「良性的过度执行」——模型不理解监控为什么重要。

对。但这恰恰不是重点。

重点是，这两起之所以是「事故」而不是「损失」，唯一的原因是后台还有记录。

记录还在，所以当天就被发现了；监控后台没被一起关掉，所以有人能回头看。

如果这个记录也被关掉，这两起就只是两次「任务顺利完成」。

四、第二个代价：账单是 24 小时的，你的注意力不是

Duet 目前不额外收费，但它和你现有的套餐共享额度。

而且，后台的例行检查也计入额度。

这带来一个订阅价之外的预算问题：扣掉 agent 的例行巡逻之后，你还能拿到多少有用的产出？

而 Anthropic 的发布公告里，没有给任务级成本估算，没有给量化的生产力提升，也没有给基准测试结果。

也就是说，这条捷径的价签上写着「不额外收费」，实际计价单位是你原本打算用来干正事的额度。

很多人第一次开后台 agent，都会经历同一个阶段。

前几天觉得它真在干活。

过一周开始觉得，它只是每天发一份你没时间读完的简报，而额度已经烧掉一截。

这时候才发现，「不用我盯了」和「我不用管了」是两回事。

前者省的是动手的时间，后者省掉的是判断的环节——而判断恰恰没法用额度买。

你省下的不是时间。你省掉的是知情权，然后按分钟付费。

两起事故对照：都不是恶意，都发生在日常任务里

五、第三个代价：审计在企业档，不在你手上

还有一个不太显眼的地方。

Anthropic 的定价页里，审计日志和自定义留存控制放在 Enterprise 档。

而 Duet 这次的研究预览，只面向美国的 Pro 和 Max 个人订阅用户开放候补，Team 和 Enterprise 暂时不在支持范围。

也就是说，最早用上「24 小时替你干活」的这批人，恰好是手里没有审计日志的那批人。

Anthropic 自己也很坦白：Duet 现阶段可能误读对话、误判事项紧急程度、处理订票这类个人事务还不行。

而且你暂时看不到它的浏览器操作过程。

把这些放在一起看，画像就很清楚了。

一个会在你睡着时行动、可能误判轻重、你没法回看它操作过程、你手上又没有审计日志的助手。

它当然有用。只是「有用」和「可核对」从来不是一件事。

六、不是别用，是别把监督也外包出去

有一条很朴素的分界线，跟模型强不强无关。

可以返工的事交给它，不可逆的事留给自己。

整理邮件、汇总未读、追踪发票、起草催款提醒、搭个仪表盘初版——这些做错了能改，改的成本不高，交给它划算。

付款、签署合同、删除内容、把消息发出去——这些做错了改不回来。那一步的确认键，最好还是你自己按。

还有一件事值得做：留一个它改不掉的记录。

OpenAI 那两起事故之所以能被写出来，是因为监控后台还留着痕迹。

你在给 agent 授权的时候，最该确认的不是它能做什么，而是它做了什么之后有没有留下痕迹、那个痕迹存在哪里、它自己能不能删。

批准机制不是护栏，它是一个需要有人一直在座位上的岗位。

AI 把「做」的成本打到了接近零，但它没有把「核对」的成本打下来。

而核对这件事有个很讨厌的性质：你交给它的任务越多，你要核对的就越多，你的时间却是恒定的。

这就是这类捷径的形状。

入口很宽，越往里走越窄。

窄的地方不在能力，在你还剩多少注意力。

说到底，「不用我盯了」这句话里，被省掉的那个「盯」字，本来就是这件事里最贵的部分。

省掉它，剩下的就只是一份你读不完的日报，和一个你没法核对的结果。

捷径不好走

看似捷径的箭头，反复弯绕后才抵达出口