从「教你怎么做」到「替你做完」：ChatGPT 接管浏览器与桌面，企业的权限账本该重算了

过去三年，我们对 AI 的使用方式几乎没有变过：打开一个输入框，把需求描述清楚，等它返回一段文字，然后自己复制、粘贴、改格式、填进系统。这条链路里，模型负责「想」，人负责「做」。分工很清晰，也很浪费——因为「做」的那一段，往往比「想」的那一段更耗时间。

2026 年 10 月中旬，OpenAI 把这条链路的后半段也接了过去。官方发布的口径是：ChatGPT 不再只是一个回答问题的窗口，而是一个可以接管工作的伙伴——它能在浏览器里跨页面执行步骤，能在桌面端代表你点击、输入、移动文件，还能把这些动作排成定时任务，在你不看着的时候继续跑。

这一步的意义，不在于模型又聪明了多少。它真正的分水岭是：AI 第一次被允许「动手」。而在企业里，「动手」从来不是技术问题，是权限问题。一个能读报表的助手是工具，一个能改状态的助手是员工——员工是需要工牌、权限和操作日志的。

OpenAI 这次同时放出了三条执行通道。三者的边界很清楚，企业选型时最该先分清的就是这个——因为它们看起来都是「AI 上网」，实际的权限半径差了一个数量级。

第一条是内置浏览器。它在 ChatGPT 桌面应用内部打开网页，做跨页研究、比较来源、从站点提取信息。你让它查三家供应商的报价并做成对比表，它会自己开页面、自己读、自己汇总。这条通道最安全，因为它不继承你在 Chrome 里的登录态，看不到你的内部系统。

第二条是 Chrome 侧边栏。它直接在你日常使用的 Chrome 里工作，包括你已经登录的站点——开新标签页、读内部仪表盘、操作页面控件、填写表单。它对开发者文档的描述很直白：可以在你已登录的网站里执行任务。这句话的另一面是：员工有什么权限，它就有什么权限。

第三条是桌面操作。它跨应用执行点击、输入、移动文件，可以在后台跑。这条通道的能力最强，也最难管——因为它面对的不是网页的 DOM 结构，是像素和坐标。它不知道那个按钮是「删除」，只知道那个位置有一个可以点的东西。

三条通道里，最容易被低估的是定时任务。一次性代操作，价值是把十分钟的活变成一句话；定时任务，价值是把一个岗位的日常动作变成一条常驻的流程。前者是提速，后者是重构。

官方给的例子都很朴素：每天早上检查网站和信息看板，总结变化并发送报告；每周梳理新的协作消息，更新例会日程；监测新的客户反馈，把反复出现的主题转成按优先级排序的产品构想。

这些例子的共同点是：它们本来都是「人每天花二十分钟做一遍」的低价值劳动，重要但不值得专门设岗。过去这类活要么被跳过，要么被塞给最忙的那个人。定时任务第一次让「每天做、但没人愿意做」的事情有了归属。

但一旦跑起来，企业面对的第一个问题不是「能不能做」，而是「做错了谁负责」。一个每天早上八点自动发出的报告，如果某天读错了数据源，会把错误结论扩散给整个管理层——而没有人会在八点零一分去核对它。这就是为什么定时任务必须配「异常停机」，而不是配「加油干」。

同一份公告里还有一句容易被忽略的话：OpenAI 将开始逐步下线独立的 Atlas 浏览器，并会与用户沟通如何过渡到 ChatGPT。

这个决定很说明问题。2025 年 Atlas 发布时，行业普遍的判断是「AI 公司一定要做自己的浏览器」，因为浏览器是入口，入口意味着分发权。一年多之后，OpenAI 的选择是相反的：不做入口，做入口里的那双手。

为什么？因为企业用户的浏览器不是空的。他们的客户系统、审批系统、财务系统、供应商门户，全都长在 Chrome 里，全都依赖已有的登录态和内部网络策略。要让智能体「能用」，最短的路径不是让用户换一个浏览器，而是让智能体进入用户已经在用的那个浏览器。

这对企业 IT 的启示是直接的：未来两年，你要准备的不是「给员工配哪个 AI 浏览器」，而是「哪些系统允许被代操作、在什么条件下、留什么痕迹」。入口之争已经结束了，接下来是权限之争。

OpenAI 这次把治理能力放在了很显眼的位置，这本身是一个信号：他们知道企业最怕什么。四件事值得逐个看清楚。

第一是集中管控。Enterprise 与 Edu 管理员可以统一管理「谁能用、能用哪些公司上下文、能连接哪些工具、能执行哪些动作」。这句话的关键在最后一个分句——「能执行哪些动作」是可以被管理员定义的，不是员工自己说了算。

第二是 Compliance API。它把 ChatGPT 的对话与操作以规模化方式暴露给企业合规体系。对受监管行业来说，这一条比任何功能都重要：不能审计的智能体，等于不能上线的智能体。

第三是网络访问策略。网页端可以为云环境配置浏览器使用与网络访问范围；桌面端沿用既有的企业治理模型，包含智能体的网络访问策略。这是把「能访问哪些域名」变成配置项，而不是靠模型自觉。

第四是用量与预算控制。ChatGPT Work 沿用既有的用量结构，管理员可以设置工作区默认值、分组限额、个人覆盖，并审批额外额度申请。这一条解决的是「失控的账单」——智能体跑一个下午的浏览器任务，消耗量可能远超一次对话，封顶机制必须先有。

在所有治理能力里，Auto-review 最值得单独说。官方描述是：用最先进的模型，在涉及已连接工具与 API 的重要动作发生之前进行审查，帮助防止敏感信息被未授权地共享。

这个设计思路很聪明，也很无奈。聪明在于它把「事后审计」前移成了「事前拦截」——智能体的动作一旦发出，损失就已经发生了，日志再全也只是追溯。无奈在于它承认了一件事：规则写不全。

静态规则能拦住「把文件发到外部邮箱」，但拦不住「把这个季度的客户名单整理成表格，然后按惯例发给对接人」。后者在语法上完全合规，在业务上可能是一次数据外泄。这类判断只能靠另一个模型来做——它可以读懂上下文，知道这份名单里有手机号，知道对接人是外部账号。

这也意味着企业要接受一个新的现实：安全边界从「确定性规则」变成了「概率性判断」。Auto-review 会有误报（该放行的拦了），也会有漏报（该拦的放了）。所以它只能作为一层，不能作为唯一一层。规则引擎管确定的，模型审查管模糊的，人工复核管高价值的——三层叠加才成立。

如果一家企业今天就要开始用，我的建议是不要从「最想自动化的岗位」开始，而是从「最容易出事的动作」开始倒推。因为效率收益是可预期的，而权限失控是不可逆的。

具体做法是画四个圈。第一个圈是只读：允许智能体看仪表盘、读报表、抓取公开信息。风险最低，见效最快，建议全员开放。第二个圈是草稿：允许它填写表单、生成文档、准备邮件，但必须人工点发送。这一圈能吃掉大部分重复劳动，而且出错代价接近于零。

第三个圈是可逆写操作：允许在业务系统里创建草稿单、改状态、打标签，前提是系统本身有回滚能力、有操作日志。第四个圈是不可逆或对外动作：付款、签合同、发对外通知、删除数据。这一圈要么不开，要么必须双人确认加全量留痕。

这个分法的好处是，它把「要不要用 AI」这个模糊的问题，变成了「这个动作属于第几圈」这个可以开会决定的问题。决策一旦变成分类，落地速度反而更快。

第一个细节：Chrome 通道是在「你已经登录的站点」里工作。这意味着智能体继承的是员工的全部权限——包括那些员工自己都忘了有的权限。所以在开放这条通道之前，先做一次权限盘点，比写一百条提示词都重要。

第二个细节：桌面操作依赖屏幕录制和辅助功能权限。这两项权限在操作系统层面是全局的，一旦授予，理论上可以读取屏幕上的任何内容。这不是 OpenAI 的问题，是操作系统权限模型的固有特性；企业需要在终端管理策略里单独为这类应用设定规则。

第三个细节：定时任务的失败是静默的。一次性任务失败了，你会当场看到；定时任务失败了，只会第二天早上少一封邮件——而你可能以为是那天没数据。所以定时任务必须配「成功回执」和「异常告警」，否则它就是一个定时埋下的坑。

如果只做五件事，按这个顺序做：