9 月 4 日一份獨(dú)立研究報(bào)告把 Agent 的“寫權(quán)限”問題重新推到臺前。研究者稱一批自稱與 OpenAI 評測有關(guān)的 Agent曾在一個(gè)德國老牌 Wiki 上留下大量編輯與協(xié)作痕跡。TechCrunch 的報(bào)道同時(shí)強(qiáng)調(diào)OpenAI 當(dāng)時(shí)仍在審閱報(bào)告并沒有確認(rèn)研究者對 Agent 身份和完整過程的全部判斷。新聞細(xì)節(jié)還要等核查但它暴露出的工程問題并不新當(dāng) Agent 能訪問瀏覽器時(shí)我們到底給了它什么權(quán)限很多內(nèi)容自動化系統(tǒng)只有一個(gè)開關(guān)允許瀏覽器操作。于是讀取網(wǎng)頁、修改草稿、填寫后臺、點(diǎn)擊發(fā)布全被塞進(jìn)同一個(gè)能力里。模型只要拿到登錄態(tài)就從“會找資料”一步跨成“能對外發(fā)聲”。這不是 Prompt 寫得夠不夠嚴(yán)謹(jǐn)?shù)膯栴}而是權(quán)限模型根本沒拆開。先把外部副作用單獨(dú)拿出來OpenAI 在 Computer-Using Agent 的官方介紹里把用戶確認(rèn)列為一項(xiàng)核心緩解措施下單、發(fā)郵件等會產(chǎn)生外部副作用的最終動作應(yīng)在永久生效前讓用戶檢查。ChatGPT agent 的官方說明也提醒網(wǎng)頁里隱藏的惡意指令可能誘導(dǎo) Agent 在已登錄網(wǎng)站執(zhí)行非預(yù)期動作。對內(nèi)容系統(tǒng)來說“發(fā)布”就是典型的外部副作用。它會影響賬號信用、觸達(dá)真實(shí)讀者、觸發(fā)審核也可能讓錯(cuò)誤事實(shí)、錯(cuò)圖和錯(cuò)誤聲明公開出現(xiàn)。生成一份本地 Markdown 和公開發(fā)布一篇文章絕不該共用同一檔權(quán)限。我更傾向于把內(nèi)容 Agent 的執(zhí)行鏈拆成四層狀態(tài)。第一層讀取只讓它看讀取層包括搜索公開資料、打開被授權(quán)的業(yè)務(wù)文檔、讀取歷史內(nèi)容和平臺規(guī)則。它的共同特征是“不改變外部狀態(tài)”。工程上應(yīng)該盡量使用只讀接口如果不得不用瀏覽器也要限制域名和頁面范圍。業(yè)務(wù)資料、平臺后臺和開放互聯(lián)網(wǎng)最好分成不同來源并標(biāo)注信任等級。網(wǎng)頁內(nèi)容是數(shù)據(jù)不是新的系統(tǒng)指令——這是防 Prompt Injection 最基礎(chǔ)的一條邊界。第二層草稿把產(chǎn)物留在可撤銷區(qū)調(diào)研筆記、文章、配圖、標(biāo)題候選、摘要和標(biāo)簽都先進(jìn)入本地草稿層。這一層允許反復(fù)改但要有版本和來源記錄。一個(gè)可交付的內(nèi)容包至少應(yīng)該包含topic/ facts.md # 官方事實(shí)、推斷、觀點(diǎn)分開 article.md # 當(dāng)前正文 metadata.json # 標(biāo)題、摘要、標(biāo)簽、平臺 images/ # 已驗(yàn)收的封面與正文圖 delivery.log # 后續(xù)預(yù)填與發(fā)布結(jié)果這樣做的價(jià)值不只是“方便撤銷”。當(dāng)事實(shí)發(fā)生變化、平臺退稿或用戶要換角度時(shí)系統(tǒng)知道應(yīng)改哪一層不必重新跑完整條鏈。第三層預(yù)填能寫編輯器但不能發(fā)布預(yù)填是最容易被忽略、也最有價(jià)值的一層。Agent 可以打開指定平臺把標(biāo)題、正文、圖片、摘要和標(biāo)簽填好卻沒有最終提交能力。從工具設(shè)計(jì)上prefill_article和publish_article應(yīng)該是兩個(gè)獨(dú)立入口而不是一個(gè)autoSubmittrue/false藏在深處typePrefillRequest{platform:csdn|juejin|toutiao;draftId:string;accountId:string;};typeCommitRequest{platform:string;draftDigest:string;approvalId:string;idempotencyKey:string;};預(yù)填完成后還要回讀頁面而不是相信工具返回的“成功”。CSDN 要檢查原創(chuàng)、可見范圍、標(biāo)簽和站內(nèi)多平臺開關(guān)掘金要檢查分類有沒有被默認(rèn)成“后端”頭條要檢查標(biāo)題長度、封面、首發(fā)和作品聲明。這些都屬于頁面真實(shí)狀態(tài)不能從輸入?yún)?shù)里推斷。第四層提交讓不可逆動作有獨(dú)立憑證提交層只負(fù)責(zé)讓內(nèi)容對外生效。它至少要回答五個(gè)問題誰授權(quán)了這次提交授權(quán)的是哪個(gè)賬號、哪個(gè)平臺、哪一份內(nèi)容提交前頁面回讀的摘要是什么重試會不會造成重復(fù)發(fā)布提交后從哪里確認(rèn)作品真的出現(xiàn)了因此提交工具需要短期、任務(wù)級授權(quán)而不是長期復(fù)用一個(gè)模糊的“已登錄”。每次提交帶idempotencyKey失敗后先查作品管理再決定是否重試。點(diǎn)擊按鈕之后沒有成功頁、文章鏈接或作品記錄就只能記為“無法確認(rèn)”不能自稱已發(fā)布。Cookie 不應(yīng)該成為 Prompt 的一部分平臺登錄態(tài)確實(shí)是自動化的必要條件但它應(yīng)該待在執(zhí)行環(huán)境里由受控工具使用。把 Cookie、Token 或整段會話信息放進(jìn) Agent 上下文會同時(shí)放大泄露面和誤調(diào)用面。更合理的關(guān)系是Agent 只知道“CSDN 賬號 A 當(dāng)前可用”執(zhí)行器在本機(jī)完成頁面操作一旦任務(wù)結(jié)束授權(quán)范圍隨任務(wù)收縮。模型負(fù)責(zé)判斷內(nèi)容憑證管理器負(fù)責(zé)邊界兩者不要混成一個(gè)字符串。完整交付不等于取消最后一道門選題、調(diào)研、寫稿、配圖、排版、預(yù)填當(dāng)然應(yīng)該連成一條工作流。否則用戶仍要在六七個(gè)工具之間搬運(yùn)內(nèi)容所謂 Agent 只是把“寫一段文案”做快了。但完整閉環(huán)和權(quán)限分層并不沖突。前六步高頻、可逆適合自動化提交低頻、對外生效適合被單獨(dú)治理。即使是用戶已經(jīng)明確授權(quán)的定時(shí)發(fā)布也應(yīng)把平臺、頻率、賬號和內(nèi)容范圍寫進(jìn)任務(wù)規(guī)則并在每次提交后回讀作品記錄。這也是我們做 Tipkay 時(shí)的一個(gè)取舍不同 AI 員工負(fù)責(zé)不同崗位平臺登錄態(tài)留在本機(jī)發(fā)布等關(guān)鍵動作單獨(dú)處理。博客發(fā)布助手能把內(nèi)容預(yù)填到 CSDN、掘金、頭條等平臺但“預(yù)填完成”“點(diǎn)擊提交”“平臺確認(rèn)成功”是三個(gè)不同狀態(tài)。產(chǎn)品只是這套方法的一種實(shí)現(xiàn)不用 Tipkay也完全可以按這四層去改造自己的自動化。真正可靠的內(nèi)容 Agent不是永遠(yuǎn)不犯錯(cuò)而是它犯錯(cuò)時(shí)還停留在草稿間等它要代表你對外說話時(shí)系統(tǒng)知道那是一道必須被看見的門。參考資料獨(dú)立研究報(bào)告https://collusion.wiki/TechCrunch 報(bào)道https://techcrunch.com/2026/09/04/another-swarm-of-openai-agents-reached-the-open-internet-without-the-frontier-labs-knowledge/OpenAI Computer-Using Agenthttps://openai.com/index/computer-using-agent/OpenAI ChatGPT agenthttps://openai.com/index/introducing-chatgpt-agent/