ChatGPT Work 完整拆解：Simon Willison 認證的「致命三重威脅」平台安全解剖

2026 年 7 月 9 日，OpenAI 發布了 ChatGPT Work——用資安研究者 Simon Willison 的話說，接下來便開始「瘋狂迭代」。將近兩個月後，這個產品以驚人速度堆疊了太多能力，以至於 OpenAI 之外幾乎沒有人能說清楚它到底是什麼。8 月 30 日，Willison 發表〈Understanding ChatGPT Work〉，一篇將近兩千字、基於數週實測逆向工程的完整拆解。對於任何正把公司標準化到 ChatGPT 上的團隊，他的結論都值得細讀：這個平台如今把他所謂「致命三重威脅」（lethal trifecta）攻擊模型的每一項要素——私有資料、不可信內容、外洩管道——全部打包進單一、一般消費者就能開通的產品，而 OpenAI 的官方文件至今沒有解釋它如何防禦提示注入（prompt injection）攻擊。

一個名字，兩個產品

Willison 的第一個發現是分類學層面的。「ChatGPT Work」其實是兩個不同的產品。第一個——他稱之為 Work Cloud——跑在 OpenAI 的基礎設施上，從 chatgpt.com 和手機 App 都能使用。第二個——Work Local——藏在 ChatGPT 桌面應用（也就是以前的 Codex）裡，可以直接存取你電腦上的檔案、在你電腦上執行程式。他形容 Work Local「比較像把普通 Codex 重新包裝、讓非軟體開發者不那麼害怕」，隨後便將其擱置。他的分析（以及本文）聚焦在 Work Cloud。

存取權採分級制：兩種 Work 都要求每月 20 美元以上的訂閱方案，免費用戶與每月 8 美元的 Go 用戶都被排除在外。Work 連線的用量計入 Codex 額度，而普通 Chat 連線用的是另一個獨立額度——Willison 用這個細節解釋了兩個介面為何提供不同的模型組合。Work 提供 GPT-5.6 的 Sol、Luna、Terra，推理等級從 Light 一路到 Ultra（根據他用 Codex 的經驗，Ultra 是一個更積極委派給子代理的模式）；Chat 則有自己的階梯，20 美元訂閱者最高只能用到 High，Pro 等級保留給每月 100 美元以上的方案。

OpenAI 不肯公布的能力清單

Willison 沮喪的核心——也是這篇文章存在的原因——在於 OpenAI「用用途來解釋 Work，而不是用它實際做什麼」。官方指引說，想要「答案」時用 Chat，想要「有明確產出的任務」時用 Work。Willison 覺得這「幾乎完全沒用」，因為這些任務類別他用普通 ChatGPT 都做好幾年了。於是他自己動手整理出功能差異。Work 有而 Chat 沒有的：

可連網的程式碼執行環境。 這一項讓長年推崇 OpenAI 2023 年開創的 Code Interpreter 模式的 Willison 真正坐直了身子。過去 ChatGPT 的 Python 沙箱一直被封在容器代理後面——不能裝套件、不能呼叫 API。Work 的環境可以設定允許的網域白名單，「但預設似乎是對全部開放」。實際後果：你可以讓 Work clone 一個 GitHub 儲存庫、安裝依賴套件，再用這些工具去和整個網路互動。他提到 Claude 的競品分析容器自 2025 年 9 月起就允許受限的網路存取，但僅限非常短的白名單（PyPI、npm、GitHub clone）——Work 的預設開放程度遠超 Anthropic 的姿態。

完整的無頭 Chrome 瀏覽器。 Work 可以啟動真正的 Chrome 實例、載入網站、填表單、截圖。遇到需要登入的網站時，瀏覽器可以把控制權交還給使用者輸入密碼和 2FA 驗證碼，且這些憑證不會經過模型。它還能對載入頁面的 DOM 執行任意 JavaScript——Willison 示範了一段用 Playwright 的 evaluate() 抓出他自己網站所有標題的程式碼，並說這感覺就像他的 shot-scraper javascript 工具，「只不過現在我用手機就能用了！」

持久且共享的檔案系統。 Chat 連線拿到的是隨對話消失的暫存檔案系統。Work 則把一個 /workspace 卷宗掛載跨連線共享：每個連線有自己的暫存資料夾（他已累積了 171 個），檔案在不同對話間持久存在，而且——關鍵在這——這個卷宗似乎掛載在所有正在執行的 Work 連線上，一個連線的檔案編輯會即時反映到另一個。行程和 localhost 伺服器不會跨越連線邊界，但資料會。

ChatGPT Sites。 Work 可以建置並部署完整網站到 Cloudflare Workers——HTML、JavaScript、伺服端功能，以及建立在 Cloudflare D1 和 R2 上的有狀態後端。Willison 的示範提示一氣呵成：「找出倫敦所有有『虔誠鵜鶘』（pelican in her piety）雕飾的地方，把它們整理成 JSON 檔，然後建一個 ChatGPT Sites 網站。」成果是一個公開可訪問、涵蓋大倫敦地區中世紀鵜鶘圖像學的普查網站，還附資料下載。網站預設為私有，但可以設為公開或在團隊方案中分享給特定成員。

子代理與排程自動化。 Work 可以執行平行的子代理連線（跑 Sol、Luna 或 Terra）——這是 Chat 完全沒有的進階使用者功能。排程提示自動化（例如「每天早上 8 點搜尋 Waymo 是否公布了 Half Moon Bay 的啟用日期」）後來發現在 Chat 裡也能用，但在 Work 裡它能與其他能力組合：一個排程任務可以每小時重新生成並重新部署一個 ChatGPT Site。

為什麼「三重威脅」框架重要

Willison 在 2025 年 6 月提出「致命三重威脅」模型，用來解釋為什麼 AI 代理在結構上難以安全防護。任何同時具備私有資料存取權、暴露於不可信內容、以及對外通訊管道的系統，都容易受到提示注入攻擊：攻擊者只要能在代理會讀取的內容裡植入指令——一個網頁、一封 Email、一份 PDF、一個儲存庫的 README——就有機會讓代理反過來對付它的使用者。目前不存在可靠的一般性防禦。業界的緩解手段是隔離、白名單，以及對重大行動要求人工確認。

而 ChatGPT Work，按 Willison 的盤點，三個格子一次全中。持久檔案系統裡存放著你的連線產生的一切私有素材。預設開放連網的程式碼沙箱和無頭 Chrome 不斷接收不可信的網頁內容。至於對外管道——任意網路連出、JavaScript 執行、公開網站部署——本身就是產品的一級功能。他的結論克制但直白：「我很想聽 OpenAI 多談談他們如何保護 ChatGPT Work 連線免於提示注入攻擊。」他猜測答案是 Codex 文件裡那套自動審查（auto-review）機制，但 OpenAI 沒有明說，所以他在提問，而非斷言。

時間點讓這個問題更有分量。正是在同一個產品家族裡，OpenAI 的內部評估最近才因其 Astra 模型的代理編碼能力進展顯著，而在終止對 Cursor 供應模型時被引用。能力曲線陡峭上升，而透明度曲線——按 Willison 的第二項批評——沒有跟上：OpenAI「仍然堅持隱藏他們的系統提示與工具描述」。他的結尾一句同時也是全文論點：「如果 ChatGPT Work 的文件包含代理使用的確切系統提示和工具描述，我就不需要寫這篇文章了。」

拿到這些資訊後該做什麼

對資安團隊而言，行動項目很具體。把 ChatGPT Work 訂閱視為一個具備網路連出與部署權限的代理執行環境，而不是聊天機器人——並據此清點資產。假設任何寫入 /workspace 的內容都對所有並行中的 Work 連線可讀，也對任何成功劫持其中一個連線的注入指令可讀。如果你的方案有暴露網域白名單設定，優先設定它而非接受全開的預設值。並持續關注 OpenAI 對注入問題的回應：在 auto-review 或同等防護被明確文件化到 Work 之前，「致命三重威脅」仍是描述這個數百萬訂閱者預設開啟的產品時，最準確的威脅模型。