通用工作 Agent

一句话理解：通用工作 Agent 离开了代码仓库的天然反馈闭环，只能靠三样东西建立可控性——隔离的执行环境（云端虚拟机、云端浏览器）、按风险分级的确认与接管机制，以及“交付可审阅的产物”而不是“直接完成现实动作”。

Coding Agent 有测试和 Git，通用工作 Agent 面对的却是网页、表格、幻灯片、邮箱和各种 SaaS：结果没有标准答案，网页内容可能含有恶意指令，登录态和支付信息极其敏感。这类产品怎么设计，才能既“替你去做”又不闯祸？

本课拆解两款代表性产品：OpenAI 的 ChatGPT Work 与 Manus。两者都在 2026 年经历了重要变化，先说明现状（以官方文档与公告为准，截至 2026 年 9 月）：

• ChatGPT Work：2026 年 7 月 9 日随新的 ChatGPT 桌面应用推出，定位为“把真正的工作委派给 ChatGPT”。同日 OpenAI 宣布停止独立浏览器 ChatGPT Atlas（据报道于 2026 年 8 月 9 日停止服务），其浏览器能力转入 ChatGPT 桌面应用与浏览器扩展。OpenAI 在 2025 年 7 月曾发布 ChatGPT agent（agent 模式），其现状请以 OpenAI 帮助中心为准；本文只按 ChatGPT Work 的现行官方文档拆解。
• Manus：Meta 于 2025 年 12 月宣布收购 Manus；2026 年 4 月中国监管部门要求撤销这笔交易；2026 年 8 月 Manus 发布公告，宣布将恢复独立运营，并要求部分用户在限期内备份数据。产品本身持续提供服务。

两款产品速览

维度	ChatGPT Work	Manus
定位	ChatGPT 中的委派模式，产出可审阅的成品	自称“自主通用 AI Agent”，像一位“拥有自己电脑的虚拟同事”
典型产物	演示文稿、表格、文档、定期更新	研究报告、幻灯片、网站、数据分析
执行位置	本地（桌面应用）或云端（OpenAI 托管的虚拟机沙箱）	云端沙箱虚拟机；桌面应用可在本机执行
浏览器	云端浏览器；浏览器扩展可在用户自己的浏览器中工作	云端浏览器；Browser Operator 在用户本地浏览器中工作

把两款产品的执行位置、能力与确认机制并排画出来：

用八个问题拆解

1. 它完成什么 Job？

官方文档对 ChatGPT Work 的描述很克制：适合“有明确结果”的任务，例如简报、演示文稿、分析、更新、工作流与文件，并交付给人审阅；快速问答仍然用普通 Chat。入门文档给出的三个例子是做演示文稿、搭建对比表格、设置定期更新。

Manus 的文档则强调“规划、执行并交付完整工作成果”，覆盖研究、幻灯片、网站构建、数据分析与可视化、定时任务等。

两者的共同点：Job 都以 产物 为终点，而不是以“替你点完所有按钮”为终点。这是通用 Agent 在缺少反馈闭环时最务实的选择（参见「以产物为中心」）。

2. 它能调用哪些工具？

ChatGPT Work 的云端安全文档列出了四类独立管控的能力：云端浏览器、网页搜索、已连接的应用、代码与 Shell 的网络访问。此外还有文件、插件（Plugins）、Skills、定时任务等。本地模式下可以访问电脑上的文件与应用。

Manus 的工具更偏“给 Agent 一台完整的电脑”：官方文档描述它运行在带互联网访问、持久文件系统、可以安装软件和创建自定义工具的沙箱虚拟机中。连接外部系统的方式包括 MCP Connectors、自定义 MCP Server、Slack 与 Zapier 集成，以及对外提供的 Manus API。

3. 它拿得到什么上下文？

• ChatGPT Work：用户提供的文件与资料、已连接应用中的数据、网页搜索结果；另有 Memories 等跨对话记忆能力。云端任务不会继承用户电脑上的本地文件、桌面应用、浏览器会话或内网访问。
• Manus：官方文档提供 Projects、Skills、知识与数据源连接等功能，用来为任务补充持续性的资料与方法。

Manus 的 Wide Research 是一个值得单独看的上下文设计。官方文档指出，单个 Agent 顺序处理大量相似条目时，上下文会逐渐退化；Wide Research 的做法是：

文档称该能力测试过最多 250 个条目。这是「Subagent 与上下文隔离」在“批量研究”场景中的典型应用：用并行和隔离换取每个条目都获得完整的注意力。

4. 它在哪里执行？

这是两款产品设计最用心的地方，因为执行位置直接决定了风险。

ChatGPT Work：本地与云端二选一

模式	能访问什么	适合什么
本地（桌面应用）	本机文件、应用和其他资源	需要处理本地资料的任务
云端	OpenAI 托管的基于虚拟机的沙箱；不继承本地文件、浏览器会话与内网	关机后继续运行、跨设备接续、长期监控网站的定时任务

云端代码与 Shell 的网络访问遵循工作空间策略：受限时只能访问 Work 运行所必需的 OpenAI 许可地址；用户可以在设置中开启公共互联网访问，但无法覆盖管理员的限制。

浏览器的三种形态（ChatGPT）：桌面应用内置浏览器，与个人浏览器配置隔离；Work 使用的云端浏览器，运行在云端的独立计算机上；需要在用户现有的 Chrome、Edge、Brave、Opera 或 Vivaldi 标签页中工作时，使用浏览器扩展。

Manus 也区分了两种浏览器：云端浏览器在隔离的沙箱环境中运行，需要在会话内登录；Browser Operator 在用户本地浏览器中运行，可以使用已有登录态。Manus 桌面应用则允许 Agent 在本机读写文件、启动应用。

5. 它如何决定下一步？

两款产品都由模型动态规划：拆解目标、分步执行、根据结果调整。ChatGPT Work 的文档强调用户可以“跟进进度、回答问题、改变方向、批准重要动作”；Manus 在批量任务上用主 Agent 拆解、子 Agent 并行的方式组织执行。

6. 它如何验证结果？

这是通用 Agent 最薄弱、也最依赖产品设计的环节。可以观察到的策略：

• 人审阅产物：两款产品都把结果交付为可查看、可编辑的文件或页面，由人判断质量。
• 过程可见：用户可以跟进进度与中间步骤，在执行中纠偏。
• 来源可追溯：研究类任务基于搜索与浏览获得的来源生成结论，便于人工抽查。

但必须诚实地说：对于“这份竞品分析写得对不对”，目前没有程序化的客观验证手段。这正是「办公 Agent 与 Coding Agent」中所说的结构性差异。

7. 什么时候需要人确认？

ChatGPT Work 的确认设计是分层的：

• 敏感动作确认：官方浏览器文档说明，在提交信息、购买、更改权限、删除数据等敏感动作之前会请求确认。
• 登录保护：登录通过专门的表单完成，ChatGPT 看不到用户名和密码；在请求登录任何网站之前，还有一个额外的审查模型检查登录请求与信息输入的位置是否存在钓鱼或欺骗迹象。
• 连接应用的动作控制：云端安全文档列出了“Always ask”“Any changes”“Never ask”等确认选项；在策略允许时，已授权的写入可以不弹出提示直接执行，但不会扩大底层权限。
• 权限模式：“Ask for approval”为默认推荐；“Approve for me”把越界请求交给自动审阅；“Full access”需要在设置中手动开启。

Manus 的确认设计集中在本地执行上：桌面应用在本机执行的每一条命令都需要用户明确批准（可选“仅允许一次”或“始终允许”），并且只能访问用户授权的文件夹；Browser Operator 的每个会话都需要授权，用户可以点进标签页接管，或关闭标签页直接停止任务。

8. 失败如何恢复？

• 执行中纠偏与接管：ChatGPT Work 允许用户在执行中回答问题、改变方向；Manus 的浏览器任务可以点进标签页接管，或关闭标签页停止。
• 隔离限制爆炸半径：云端任务在沙箱中运行，不继承本地凭据与内网访问，出错影响有限。
• 防注入的基本立场：ChatGPT 文档明确指出，网页上的指令可能具有误导性或恶意，授予网站权限并不代表该网站内容可信（参见「Prompt 注入」）。
• 产物可迭代：结果不满意时，在产物上追问修改，而不是重新开始。

可借鉴的设计决策

设计决策	产品中的做法	迁移到业务 Agent
执行位置是显式选择	ChatGPT Work 区分本地与云端，云端不继承本地资源	让用户和管理员明确知道 Agent 在哪里运行、能碰到什么
凭据不经过模型	登录表单与模型隔离，登录前再做钓鱼审查	凭据由系统注入，模型只拿到调用结果
按动作类型确认	提交、购买、改权限、删除前确认	按操作分级设置确认，而不是每步都问
能力分项管控	浏览器、搜索、连接应用、代码网络分别开关	每类工具独立授权，便于按租户、角色收紧
本地执行逐条授权	Manus 桌面端逐条命令批准、按文件夹授权	首次接入高风险环境时从最小授权开始，再逐步放开
批量任务隔离上下文	Wide Research 为每个条目分配独立子 Agent	批量处理 200 张售后工单时，每单独立上下文，最后汇总
产物优先	交付文档、表格、幻灯片供审阅	在缺乏客观验证的场景，把“执行”降级为“生成待审阅产物”

常见误区

• “通用 Agent 能做任何事，所以不需要选场景。” 通用能力不等于每个场景都可靠。企业引入时仍需按 Job 评估，并限制连接的应用与动作。
• “云端浏览器更安全，所以可以随便浏览。” 隔离只限制了爆炸半径，网页内容中的恶意指令仍可能诱导 Agent 做出错误动作。
• “人工确认越多越安全。” 确认要放在真正有风险的动作上；过多确认会让用户习惯性点击“同意”。

设计要点

• 为每个执行位置写清楚：能访问什么、不能访问什么、运行结束后留下什么。
• 让登录、支付等敏感信息绕过模型。
• 把外部内容视为不可信数据，而不是指令。
• 在无法客观验证的场景，以可审阅产物作为交付物。
• 批量任务用并行子任务隔离上下文。

练习

选一个通用工作 Agent（ChatGPT Work、Manus 或你常用的同类产品），用 45 分钟：

1. 布置一个“调研 10 家竞品定价并整理成表格”的任务。
2. 记录它在哪里执行、访问了哪些网站、在哪些步骤请求了你的确认。
3. 抽查表格中 3 个数字的来源是否真实可查，并按八个问题写下你的拆解。

延伸阅读

• Get started with ChatGPT Work：ChatGPT Work 的定位、本地与云端选择。
• ChatGPT Work Overview：本地与云端执行、网络访问与数据保留。
• Browser：三种浏览器形态、登录保护与敏感动作确认。
• Wide Research：Manus 的并行子 Agent 研究机制。
• Browser Operator 与 Desktop：Manus 的本地浏览器与本机执行授权。
• A Note to Our Users：Manus 恢复独立运营期间的用户公告。

下一步

个人或小团队可以直接使用通用 Agent，但企业需要在同一平台上构建、治理成百上千个 Agent。下一课「企业 Agent 平台」以 Copilot Studio 为例，看治理与生命周期如何成为产品的核心。