OpenAI 常驻智能体在无人指令下烧掉 30 万 token

三十万 token，零提问

对 OpenAI 常驻式“dot”助手的独立测试发现，它在一天之内烧掉了超过 30 万 token，生成了 155 条活动记录，还临时启动了好几个子智能体，而这一切都没有来自用户的任何一次提示。它被授予的只是只读权限。没有任何人要求它做任何事。

把最后一句再读一遍，因为这才是整件事的关键。这个智能体没有被诱导，也没有做任何被明令禁止的事。它只是开着，而“开着”这件事本身就意味着高昂的花费。

你没点过的账单

市面上其他 AI 产品都有明确的成本边界。你输入内容，token 被消耗，等你停止输入，计费也就停了。心智模型就像出租车：你坐着它才花钱，不坐就不花钱。

而环境型（ambient）智能体打破了这个模型。它更像一栋楼的暖通空调，而不是出租车。它一直在做点什么，因为始终保持“待命”状态需要持续的活动。盯着触发器、检查条件是否变化、判断情况是否值得唤醒、规划一旦唤醒要做什么。每一步都是一次模型调用，而每次模型调用都有代价。

这里令人不安的发现，不是某个智能体花了钱。而是花钱这件事是隐性地、持续地发生的，由智能体自己的判断驱动，而不是由人的指令驱动。没有可以结束的会话，因为压根就没有会话。只有一个后台进程，它对什么值得去做有自己的看法。

只读并不等于无害

第二个意外之处是权限模型。只读听起来很安全。听起来像是你想谨慎行事时会选择的那个保守设置。

但只读仍然意味着“可以观察一切”。拥有读取权限的智能体可以扫描邮件、文档、消息和日历，而每一次扫描本身都是一个要消耗 token 的决策。更糟的是，光靠观察就足以以另一种方式构成危险。一个会把所见所闻总结出来的常驻读取者，在功能上就是一个监控系统。它能不能采取行动，与它已经掌握了什么，是两个不同的问题。

还有一个更微妙的问题。读取权限给了智能体判断“应当采取行动”的原材料，而“我注意到了什么”与“我该对此做点什么”之间的界线，恰恰是自主系统变得难以监督的地方。一套禁止写入的权限，并不能阻止智能体花大量精力去决定它想写什么。

为什么智能体越多，问题越糟

“临时启动多个子智能体”这个细节，才是工程会议上该让人皱眉的地方。派生子助手之所以流行，正是因为它确实管用。把任务拆开，把各部分交给并行的工作者，再收集结果。这就是让一个智能体处理超出单个上下文窗口的庞杂任务的方式。

这同样也是让成本变得非线性的方式。一个决定启动三个子智能体的智能体，而这三个又各自决定再去检查别的东西，它花掉的不是四倍的钱。它花掉的是整棵树的成本，而树的形状是由一个为任务而非为预算做优化的模型选出来的。

现在把这个数字乘以每一个开启了该功能、然后就忘了它的用户。常驻智能体的经济学不同于 API 调用的经济学，后者的用量由客户掌控。它更像是一支你必须主动管理的车队的账，只不过这支车队自己决定路线。

缺失的会话边界

基于文本的助手在无意中继承了一个有用的安全特性：对话会结束。结束时，智能体停下，上下文释放，账目结清。即便是一个行为糟糕的智能体，也受限于一个事实：它只在有人跟它说话时才运行。

环境型智能体没有这样的边界。产品的承诺是助手始终在场，这意味着进程始终在运行，上下文始终是活的，模型决定去做某事的时机实际上是连续的。

这不是设计里的缺陷。这就是设计本身。但它意味着安全问题从“它在一轮里能做什么”变成了“它在一个月里会累积出什么”。业界对第二个问题没有好的答案，而现有的评估体系只为衡量第一个问题而构建。

监督应该是什么样子

如果智能体要在无人要求的情况下运行，那么监督就不能是靠提示词层面的控制。它必须是结构性的，而且必须是乏味的。

硬性预算是第一块，而且它需要是一道真正的上限，而不是一则通知。事后才提醒你的花费上限不叫上限。第二块是一份可读的日志，记录智能体做了什么、以及它为什么决定这么做，因为“155 条活动记录”只是一个数字，而数字不是解释。第三块是一个默认并非常开的设置。大多数产品的大多数用户并不需要持续的后台推理，真正需要的人，应该由他们自己去选择。

更深的一块，是能经受现实考验的知情同意。在设置页面里告诉用户智能体可能会在后台行动，与用户真正理解它会在他们睡觉时花钱，不是一回事。产品通常通过慢慢扩大权限范围、希望没人注意到来解决这种张力。一旦智能体有了钱包，这个习惯会显得极其昂贵。

真正的教训在于默认值

dot 的这些发现很容易被当作某个实验性产品的怪癖而不予理会。但它背后的模式一点也不实验性。每一款主流助手都在朝“始终可用”的方向走，而每一家厂商都承受着压力，要让它感觉起来像魔法，而不是像计价器。

魔法和计价是彼此对立的。产品感觉越是不费吹灰之力，在看不见的地方发生的工作就越多，用户就越难对它究竟花费多少形成准确的图景。当计费器被藏起来时，唯一剩下的反馈就是账单，而等你看到它时，这个决定早在几十万 token 之前就已经做出了。

对现在部署这类系统的任何人来说，稳妥的立场是把“它能在不被询问的情况下花多少钱”当作头等的设计参数，与“它工作得有多好”并驾齐驱。第二个是厂商会大加宣传的那个。第一个才决定了这个产品下个季度还能不能继续运行。