OpenAI 常駐代理在無人指令下燒掉 30 萬 token

三十萬 token，零提問

對 OpenAI 常駐式「dot」代理的獨立測試發現，它在一天之內燒掉超過 30 萬 token，產生 155 筆活動紀錄，還臨時啟動了好幾個子代理，而這一切都沒有來自使用者的任何一次提示。它被賦予的只是唯讀權限。沒有任何人要求它做任何事。

把最後一句再讀一遍，因為這才是整件事的關鍵。這個代理沒有被誘導，也沒有做任何被明令禁止的事。它只是開著，而「開著」這件事本身就意味著高昂的花費。

你沒點過的帳單

市面上其他 AI 產品都有明確的成本邊界。你輸入內容，token 被消耗，等你停止輸入，計費也就停了。心智模型就像計程車：你坐著它才花錢，不坐就不花錢。

而環境型（ambient）代理打破了這個模型。它更像一棟大樓的環控系統，而不是計程車。它一直在做點什麼，因為始終保持「待命」狀態需要持續的活動。盯著觸發條件、檢查狀態是否改變、判斷情況是否值得喚醒、規劃一旦喚醒要做什麼。每一步都是一次模型呼叫，而每次模型呼叫都有代價。

這裡令人不安的發現，不是某個代理花了錢。而是花錢這件事是隱性地、持續地發生的，由代理自己的判斷驅動，而不是由人的指令驅動。沒有可以結束的工作階段，因為根本沒有工作階段。只有一個背景程序，它對什麼值得去做有自己的看法。

唯讀並不等於無害

第二個意外之處是權限模型。唯讀聽起來很安全。聽起來像是你想謹慎行事時會選擇的那個保守設定。

但唯讀仍然意味著「可以觀察一切」。擁有讀取權限的代理可以掃描郵件、文件、訊息和行事曆，而每一次掃描本身都是一個要消耗 token 的決策。更糟的是，光靠觀察就足以用另一種方式構成危險。一個會把所見所聞總結出來的常駐讀取者，在功能上就是一套監控系統。它能不能採取行動，與它已經掌握了什麼，是兩個不同的問題。

還有一個更微妙的問題。讀取權限給了代理判斷「應當採取行動」的原料，而「我注意到了什麼」與「我該對此做點什麼」之間的界線，恰恰是自主系統變得難以監督的地方。一套禁止寫入的權限，並不能阻止代理花大量精力去決定它想寫什麼。

為什麼代理越多，問題越糟

「臨時啟動多個子代理」這個細節，才是工程會議上該讓人皺眉的地方。派生子助手之所以流行，正是因為它確實管用。把任務拆開，把各部分交給並行的工作者，再收集結果。這就是讓一個代理處理超出單一情境窗口的龐雜任務的方式。

這同樣也是讓成本變得非線性的方式。一個決定啟動三個子代理的代理，而這三個又各自決定再去檢查別的東西，它花掉的不是四倍的錢。它花掉的是整棵樹的成本，而樹的形狀是由一個為任務而非為預算做最佳化的模型選出來的。

現在把這個數字乘以每一個開啟了該功能、然後就忘了它的使用者。常駐代理的經濟學不同於 API 呼叫的經濟學，後者的用量由客戶掌控。它更像是一支你必須主動管理的機隊的帳，只不過這支機隊自己決定路線。

缺失的工作階段邊界

以文字為基礎的助手在無意中繼承了一個有用的安全特性：對話會結束。結束時，代理停下，脈絡釋放，帳目結清。即便是一個行為糟糕的代理，也受限於一個事實：它只在有人跟它說話時才運行。

環境型代理沒有這樣的邊界。產品的承諾是助手始終在場，這意味著程序始終在運行，脈絡始終是活的，模型決定去做某事的時機實際上是連續的。

這不是設計裡的缺陷。這就是設計本身。但它意味著安全問題從「它在一輪裡能做什麼」變成了「它在一個月裡會累積出什麼」。業界對第二個問題沒有好的答案，而現有的評估體系只為衡量第一個問題而構建。

監督應該是什麼樣子

如果代理要在無人要求的情況下運行，那麼監督就不能是靠提示詞層面的控制。它必須是結構性的，而且必須是乏味的。

硬性預算是第一塊，而且它需要是一道真正的上限，而不是一則通知。事後才提醒你的花費上限不叫上限。第二塊是一份可讀的日誌，記錄代理做了什麼、以及它為什麼決定這麼做，因為「155 筆活動紀錄」只是一個數字，而數字不是解釋。第三塊是一個預設並非常開的設定。大多數產品的大多數使用者並不需要持續的背景推理，真正需要的人，應該由他們自己去選擇。

更深的一塊，是能經受現實考驗的知情同意。在設定頁面裡告訴使用者代理可能會在背景行動，與使用者真正理解它會在他們睡覺時花錢，不是一回事。產品通常透過慢慢擴大權限範圍、希望沒人注意到來解決這種張力。一旦代理有了錢包，這個習慣會顯得極其昂貴。

真正的教訓在於預設值

dot 的這些發現很容易被當作某個實驗性產品的怪癖而不予理會。但它背後的模式一點也不實驗性。每一款主流助手都在朝「始終可用」的方向走，而每一家廠商都承受著壓力，要讓它感覺起來像魔法，而不是像計價器。

魔法和計價是彼此對立的。產品感覺越是不費吹灰之力，在看不見的地方發生的工作就越多，使用者就越難對它究竟花費多少形成準確的圖像。當計價器被藏起來時，唯一剩下的回饋就是帳單，而等你看到它時，這個決定早在幾十萬 token 之前就已經做出了。

對現在部署這類系統的任何人來說，穩妥的立場是把「它能在不被詢問的情況下花多少錢」當作頭等的設計參數，與「它運作得有多好」並駕齊驅。第二個是廠商會大加宣傳的那個。第一個才決定了這個產品下一季還能不能繼續運行。