9 月 4 日一份獨立研究報告把 Agent 的“寫權(quán)限”問題重新推到臺前。研究者稱一批自稱與 OpenAI 評測有關(guān)的 Agent曾在一個德國老牌 Wiki 上留下大量編輯與協(xié)作痕跡。TechCrunch 的報道同時強調(diào)OpenAI 當(dāng)時仍在審閱報告并沒有確認(rèn)研究者對 Agent 身份和完整過程的全部判斷。新聞細(xì)節(jié)還要等核查但它暴露出的工程問題并不新當(dāng) Agent 能訪問瀏覽器時我們到底給了它什么權(quán)限很多內(nèi)容自動化系統(tǒng)只有一個開關(guān)允許瀏覽器操作。于是讀取網(wǎng)頁、修改草稿、填寫后臺、點擊發(fā)布全被塞進同一個能力里。模型只要拿到登錄態(tài)就從“會找資料”一步跨成“能對外發(fā)聲”。這不是 Prompt 寫得夠不夠嚴(yán)謹(jǐn)?shù)膯栴}而是權(quán)限模型根本沒拆開。先把外部副作用單獨拿出來OpenAI 在 Computer-Using Agent 的官方介紹里把用戶確認(rèn)列為一項核心緩解措施下單、發(fā)郵件等會產(chǎn)生外部副作用的最終動作應(yīng)在永久生效前讓用戶檢查。ChatGPT agent 的官方說明也提醒網(wǎng)頁里隱藏的惡意指令可能誘導(dǎo) Agent 在已登錄網(wǎng)站執(zhí)行非預(yù)期動作。對內(nèi)容系統(tǒng)來說“發(fā)布”就是典型的外部副作用。它會影響賬號信用、觸達真實讀者、觸發(fā)審核也可能讓錯誤事實、錯圖和錯誤聲明公開出現(xiàn)。生成一份本地 Markdown 和公開發(fā)布一篇文章絕不該共用同一檔權(quán)限。我更傾向于把內(nèi)容 Agent 的執(zhí)行鏈拆成四層狀態(tài)。第一層讀取只讓它看讀取層包括搜索公開資料、打開被授權(quán)的業(yè)務(wù)文檔、讀取歷史內(nèi)容和平臺規(guī)則。它的共同特征是“不改變外部狀態(tài)”。工程上應(yīng)該盡量使用只讀接口如果不得不用瀏覽器也要限制域名和頁面范圍。業(yè)務(wù)資料、平臺后臺和開放互聯(lián)網(wǎng)最好分成不同來源并標(biāo)注信任等級。網(wǎng)頁內(nèi)容是數(shù)據(jù)不是新的系統(tǒng)指令——這是防 Prompt Injection 最基礎(chǔ)的一條邊界。第二層草稿把產(chǎn)物留在可撤銷區(qū)調(diào)研筆記、文章、配圖、標(biāo)題候選、摘要和標(biāo)簽都先進入本地草稿層。這一層允許反復(fù)改但要有版本和來源記錄。一個可交付的內(nèi)容包至少應(yīng)該包含topic/ facts.md # 官方事實、推斷、觀點分開 article.md # 當(dāng)前正文 metadata.json # 標(biāo)題、摘要、標(biāo)簽、平臺 images/ # 已驗收的封面與正文圖 delivery.log # 后續(xù)預(yù)填與發(fā)布結(jié)果這樣做的價值不只是“方便撤銷”。當(dāng)事實發(fā)生變化、平臺退稿或用戶要換角度時系統(tǒng)知道應(yīng)改哪一層不必重新跑完整條鏈。第三層預(yù)填能寫編輯器但不能發(fā)布預(yù)填是最容易被忽略、也最有價值的一層。Agent 可以打開指定平臺把標(biāo)題、正文、圖片、摘要和標(biāo)簽填好卻沒有最終提交能力。從工具設(shè)計上prefill_article和publish_article應(yīng)該是兩個獨立入口而不是一個autoSubmittrue/false藏在深處typePrefillRequest{platform:csdn|juejin|toutiao;draftId:string;accountId:string;};typeCommitRequest{platform:string;draftDigest:string;approvalId:string;idempotencyKey:string;};預(yù)填完成后還要回讀頁面而不是相信工具返回的“成功”。CSDN 要檢查原創(chuàng)、可見范圍、標(biāo)簽和站內(nèi)多平臺開關(guān)掘金要檢查分類有沒有被默認(rèn)成“后端”頭條要檢查標(biāo)題長度、封面、首發(fā)和作品聲明。這些都屬于頁面真實狀態(tài)不能從輸入?yún)?shù)里推斷。第四層提交讓不可逆動作有獨立憑證提交層只負(fù)責(zé)讓內(nèi)容對外生效。它至少要回答五個問題誰授權(quán)了這次提交授權(quán)的是哪個賬號、哪個平臺、哪一份內(nèi)容提交前頁面回讀的摘要是什么重試會不會造成重復(fù)發(fā)布提交后從哪里確認(rèn)作品真的出現(xiàn)了因此提交工具需要短期、任務(wù)級授權(quán)而不是長期復(fù)用一個模糊的“已登錄”。每次提交帶idempotencyKey失敗后先查作品管理再決定是否重試。點擊按鈕之后沒有成功頁、文章鏈接或作品記錄就只能記為“無法確認(rèn)”不能自稱已發(fā)布。Cookie 不應(yīng)該成為 Prompt 的一部分平臺登錄態(tài)確實是自動化的必要條件但它應(yīng)該待在執(zhí)行環(huán)境里由受控工具使用。把 Cookie、Token 或整段會話信息放進 Agent 上下文會同時放大泄露面和誤調(diào)用面。更合理的關(guān)系是Agent 只知道“CSDN 賬號 A 當(dāng)前可用”執(zhí)行器在本機完成頁面操作一旦任務(wù)結(jié)束授權(quán)范圍隨任務(wù)收縮。模型負(fù)責(zé)判斷內(nèi)容憑證管理器負(fù)責(zé)邊界兩者不要混成一個字符串。完整交付不等于取消最后一道門選題、調(diào)研、寫稿、配圖、排版、預(yù)填當(dāng)然應(yīng)該連成一條工作流。否則用戶仍要在六七個工具之間搬運內(nèi)容所謂 Agent 只是把“寫一段文案”做快了。但完整閉環(huán)和權(quán)限分層并不沖突。前六步高頻、可逆適合自動化提交低頻、對外生效適合被單獨治理。即使是用戶已經(jīng)明確授權(quán)的定時發(fā)布也應(yīng)把平臺、頻率、賬號和內(nèi)容范圍寫進任務(wù)規(guī)則并在每次提交后回讀作品記錄。這也是我們做 Tipkay 時的一個取舍不同 AI 員工負(fù)責(zé)不同崗位平臺登錄態(tài)留在本機發(fā)布等關(guān)鍵動作單獨處理。博客發(fā)布助手能把內(nèi)容預(yù)填到 CSDN、掘金、頭條等平臺但“預(yù)填完成”“點擊提交”“平臺確認(rèn)成功”是三個不同狀態(tài)。產(chǎn)品只是這套方法的一種實現(xiàn)不用 Tipkay也完全可以按這四層去改造自己的自動化。真正可靠的內(nèi)容 Agent不是永遠(yuǎn)不犯錯而是它犯錯時還停留在草稿間等它要代表你對外說話時系統(tǒng)知道那是一道必須被看見的門。參考資料獨立研究報告https://collusion.wiki/TechCrunch 報道https://techcrunch.com/2026/09/04/another-swarm-of-openai-agents-reached-the-open-internet-without-the-frontier-labs-knowledge/OpenAI Computer-Using Agenthttps://openai.com/index/computer-using-agent/OpenAI ChatGPT agenthttps://openai.com/index/introducing-chatgpt-agent/