OpenAI Dots: Der Always-on-Agent und die Berechtigungsleiter darunter
Am 29. September 2026 hat OpenAI auf der DevDay dots gestartet: benannte, dauerhafte Agenten, die innerhalb von ChatGPT leben, jeder mit einem eigenen Cloud-Computer und Browser, jeder auf GPT-6 Astra laufend, jeder weiterarbeitend, während du ausgeloggt bist. Du erreichst denselben Dot aus der ChatGPT-App, aus Slack, aus Microsoft Teams oder per Telefonanruf, und er erinnert sich in jedem Fall an das Projekt.
Jeder Launch-Artikel beschreibt die Demo. Fast keiner beschreibt den Teil, der darüber entscheidet, ob du so etwas wirklich auf deine Accounts loslassen kannst: die Berechtigungsarchitektur. Darum geht es auf dieser Seite — plus ein ehrlicher Direktvergleich mit dem, was Anthropic bereits ausliefert, denn die beiden Firmen haben dasselbe Problem bewusst auf unterschiedlichen Ebenen gelöst.
- Erklären, was ein Dot auf Mechanismusebene ist: Cloud-Computer, Browser, dauerhaftes Gedächtnis, proaktive Recherche
- Die fünfstufige Berechtigungsleiter lesen und wissen, welche Stufen du konfigurieren kannst und welche nicht
- Verstehen, warum „nur lesend während der proaktiven Recherche“ ein Fähigkeits-Gate ist und keine Anweisung — und warum genau dieser Unterschied die ganze Sicherheitsgeschichte ist
- Die veröffentlichten Safety-Evals korrekt interpretieren (sie messen das Basismodell, nicht den Aufgabenerfolg eines Dots)
- Einen Dot gegen Claude Managed Agents, Cowork und die Hintergrund-Agenten von Claude Code stellen und die richtige Ebene für dein Problem wählen
- Die Tarif- und Preisänderungen kennen, die am selben Tag kamen, inklusive der Kürzung bei Pro 200
Die Version in einem Absatz
Ein Dot ist ein benannter, dauerhafter Agent und keine Unterhaltung. Er läuft auf GPT-6 Astra, bekommt einen eigenen Cloud-Computer und Browser, deren Sessions von deinen eigenen Logins getrennt sind, erreicht über OpenAIs Plugin-Ökosystem mehr als 4.000 Apps und arbeitet weiter, wenn du den Tab schließt. Wenn du nicht mit ihm sprichst, betreibt er proaktive Recherche — er durchsucht deine verbundenen Apps mit einer nur lesenden Teilmenge seiner Tools, um herauszufinden, was als Nächstes zu tun ist. Alles, was er tut, durchläuft vor der Ausführung eine automatische Prüfung gegen deine Anweisungen, deine Custom Rules und OpenAIs eingebaute Sicherheitsanforderungen. Dein erster Dot ist in berechtigten Tarifen enthalten; weitere sind als kostenpflichtiges Add-on angekündigt.
Was hier wirklich neu ist
Gehostete Agentenschleifen sind nicht neu — OpenAI hat die Agents API im September ausgeliefert, Anthropic betreibt Managed Agents seit April. Drei Dinge an dots sind neu, und es sind Produktentscheidungen, keine Modellentscheidungen.
1. Die Einheit ist der Agent, nicht die Session. Managed Agents und die Agents API geben dir beide beständige Sessions, die eine Entwicklerin erzeugt und wieder zerstört. Ein Dot ist etwas, das du benennst, das über Oberflächen hinweg fortbesteht und das jemand ohne Entwicklerkenntnisse besitzt. Das mentale Modell ist näher am „Slack-Handle einer Kollegin“ als an einer „API-Ressource“.
2. Leerlaufzeit ist per Design produktiv. Die meisten Agentenlaufzeiten sind anfragegetrieben: Du rufst auf, sie arbeiten, sie halten an. Der Standardzustand eines Dots ist nach etwas zu suchen, das zu tun ist. Das kehrt den Fehlermodus um. Die Frage lautet nicht mehr „hat mein Agent die Aufgabe abgeschlossen“, sondern „was hat mein Agent sich angesehen, während ich geschlafen habe“.
3. Die Identität ist von deiner Identität getrennt. Der Dot surft auf seiner eigenen Maschine mit seinen eigenen Sessions. Das ist das Gegenteil des Musters aus Browsern mit geteiltem Login für Agenten, wo genau der Punkt ist, dass der Agent deine Cookies erbt. Trennung ist sicherer und zugleich schwächer: Manche Websites blockieren Cloud-Browser oder verlangen zusätzliche Verifizierung, und ein Dot, der deine echte Session braucht, muss fragen.
Die Berechtigungsleiter
Das ist der Teil, den man zweimal lesen sollte. OpenAIs Beschränkungsdesign hat fünf Ebenen, und sie sind nicht alle dieselbe Art von Kontrolle — manche sind architektonisch, manche sind Policy, und nur eine davon kannst du frei konfigurieren.
- Jeder Dot läuft auf seinem eigenen Cloud-Computer, getrennt von deiner Maschine und deren Inhalten, sofern du deine nicht ausdrücklich verbindest. Du kannst diesen Computer jederzeit öffnen, der Arbeit zusehen und Maus und Tastatur übernehmen. Es kann immer nur ein persönlicher Computer gleichzeitig verbunden sein. Das ist die Beobachtbarkeitsstufe: Sie schränkt den Agenten nicht ein, sie erlaubt dir, ihn zu prüfen.
- Ein Dot kann gespeicherte Passwörter verwenden, ohne dass diese Passwörter dem Modell offengelegt werden. Die Zugangsdaten werden vom umgebenden System verarbeitet und nicht in den Kontext des Modells gelegt. Das ist wichtig, weil es eine ganze Exfiltrationsklasse entfernt: Eine Prompt Injection, die das Modell überzeugt, ein Geheimnis preiszugeben, kann nicht preisgeben, was das Modell nie gesehen hat.
- Wenn der Dot aus eigener Initiative arbeitet, bekommt er ein eingeschränktes Tool-Set, das keine Nachrichten senden, keine App-Inhalte ändern und weder deinen Browser noch deinen Computer steuern kann. Die Einschränkung liegt darin, welche Tools verfügbar sind, nicht in einer Anweisung, die dem Modell sagt, wie es sich verhalten soll. Ein Jailbreak des Prompts gibt kein Tool zurück, das nie an die Schleife gebunden war.
- Dots starten mit einem Standardverhalten für Freigaben. Custom Rules erlauben dir, bestimmte Aktionen rundheraus zuzulassen, eine Freigabe zu verlangen oder sie zu blockieren. Die Asymmetrie ist der Punkt: Eingebaute Sicherheitsanforderungen gelten immer, und keine Custom Rule setzt sie außer Kraft. Du kannst den Standard verschärfen, unter den Boden lockern kannst du ihn nicht.
- Bevor eine Aktion ausgeführt wird, prüft eine automatische Kontrolle sie gegen deine Anweisungen, deine Custom Rules und die Sicherheitsanforderungen. Das Monitoring kann die Arbeit des Dots mitten im Lauf pausieren oder stoppen. Das ist die Stufe, die den Fall abfängt, den die anderen vier nicht abfangen: eine Aktion, die für sich genommen erlaubt, im Kontext aber falsch ist.
Über allen fünf steht eine harte Grenze: bestimmte sensible Aufgaben, etwa das Ändern eines Passworts, bleiben immer bei dir. Nicht als Standard, den du umlegen kannst — als strukturelle Ausnahme.
Warum Stufe 3 die interessante ist
Das meiste Marketing für „sichere Agenten“ beschreibt Regeln, die dem Modell gesagt werden. Stufe 3 gehört in eine andere Kategorie: Während der proaktiven Recherche sind die schreibenden Tools überhaupt nicht in der Schleife. Ein Agent kann ein Tool nicht missbrauchen, das er nie bekommen hat.
Das ist dasselbe Prinzip, bei dem der Sicherheitsbereich von AILmanac immer wieder von der Angriffsseite her ankommt — siehe Prompt Injection und unbeaufsichtigte Läufe härten. Anweisungen im Kontext eines Modells sind Daten, und Daten können von anderen Daten überschrieben werden. Tool-Bindungen sind Konfiguration, und ein kompromittierter Prompt kann sie nicht neu binden.
Die praktische Konsequenz für dich: der gefährliche Moment ist nicht die proaktive Recherche, es ist die Übergabe. Lesen ist nur lesend. In der Sekunde, in der ein Dot eine Aktion vorschlägt und du sie freigibst, bist du zurück bei einem normalen Agenten mit normalen Schreib-Tools, der auf Schlussfolgerungen handelt, die er beim Lesen von Inhalten gezogen hat, die du nicht geprüft hast. Behandle die Freigabeaufforderung als die Vertrauensgrenze.
- Ein Dot, der dein Postfach, dein Ticketsystem und dein CRM liest, hat nicht vertrauenswürdigen Text von jedem aufgenommen, der dir eine Nachricht schicken kann. Seine Vorschläge stehen hinter diesem Text. Lies, was er vorschlägt, nicht nur, ob er etwas vorgeschlagen hat.
- Ein Entwurf ist keine Autorisierung. OpenAIs eigene Formulierung: Dass ein Dot eine E-Mail entwirft, heißt nicht, dass er sie senden darf. Schreibe die erlaubten Aktionen in die Anfrage, besonders bei mehrtägiger Arbeit.
- Benchmark-Scores beschreiben das Basismodell, nicht deinen Aufbau. Sie können dir nicht sagen, ob ein verbundener Kalender auf dem richtigen Account hängt.
Die Sicherheitszahlen ehrlich lesen
Drei Zahlen aus dem System Card von GPT-6 Astra werden in der dots-Berichterstattung zitiert. Jede misst etwas Engeres, als sie klingt.
| Zahl | Was sie sagt | Was sie nicht sagt |
|---|---|---|
| 0 gewertete Angriffserfolge in 100 Rollouts über 50.000 E-Mails | Massenhafte Erzeugung bösartiger E-Mails war in diesem Testaufbau nicht erreichbar | Nichts über gezielten Missbrauch in kleiner Stückzahl oder über eingeschleuste Inhalte in Mails, die der Dot liest |
| 91,8 % Alignment-Bestehensquote bei Berechtigungsänderungen | In etwa 9 von 10 Durchläufen behandelte das Modell ein Szenario mit Berechtigungsänderung wie vorgesehen | Die übrigen rund 8 % sind eine Berechtigungsentscheidung, die falsch ausgeht. Bei einem Always-on-Agenten wird dieser Anteil fortlaufend gezogen, nicht einmalig |
| 19,7 % moderate Flags bei zehn verketteten Aufgaben, kein schwerer Verstoß und keine Exfiltration beobachtet | Lange Ketten lösen bei etwa einem von fünf Läufen Bedenken-Flags aus | „Moderat“ ist ein Bewertungslabel aus dem Rubrik-System des Anbieters selbst, und „kein schwerer Verstoß beobachtet“ ist eine Beobachtung, kein Beweis |
Die nützliche Lesart ist nicht „sind 91,8 % gut“. Sie lautet Rate mal Exposition. Ein Einmal-Assistent, den du zwanzigmal am Tag aufrufst, zieht zwanzig Stichproben aus dieser Verteilung. Ein Always-on-Agent mit proaktiver Recherche zieht eine, wann immer er beschließt aufzuwachen — und diese Zahl hat OpenAI nicht veröffentlicht.
Dots gegen das, was Anthropic bereits ausliefert
Es gibt kein Claude-Produkt, das eins zu eins entspricht, weil Anthropic dieselbe Fähigkeit eine Ebene tiefer gelegt hat — in die API — und die Verpackung dir überlässt.
| OpenAI dots | Claude Managed Agents | Claude Cowork / Agententeams | |
|---|---|---|---|
| Wer legt einen an | Jede Nutzerin mit berechtigtem Tarif, in der ChatGPT-Desktop-App | Eine Entwicklerin, per API | Eine Nutzerin, im Desktop-Workspace |
| Einheit der Beständigkeit | Der Dot (benannt, langlebig) | Agent + Session + Umgebung | Der Workspace und seine Threads |
| Läuft, während du weg bist | Ja, per Design — proaktive Recherche | Ja, über geplante Deployments (Cron) | An den Workspace gebunden |
| Wer entscheidet, wann gehandelt wird | Das Modell | Dein Zeitplan oder dein Aufruf | Du |
| Eigene Rechenleistung + Browser | Ja, pro Dot | Ja, Umgebungen/Sandboxes | Lokaler Desktop-Kontext |
| Harte Kostenobergrenze | Pro Dot nicht veröffentlicht; in Tarifkontingenten aufgelöst | Ja — Session-Budgets mit einem budget_reached-Stoppgrund | Tarifabhängig |
| Erreichbar aus Slack / Teams / per Telefon | Ja | Was immer du baust | Desktop |
Zwei Unterschiede machen echte Arbeit:
Modellinitiiert gegen zeitplaninitiiert. Anthropics unbeaufsichtigter Pfad ist ein Cron-Deployment: du wählst, wann es läuft. Ein Dot wählt selbst. Modellinitiierte Weckrufe sind strikt nützlicher und strikt schwerer zu durchdenken, weil sich deine Audit-Frage von „was lief um 03:00“ zu „warum hielt es 03:00 für den richtigen Moment“ verschiebt.
Eine Dollar-Obergrenze ist auf der einen Seite ein Primitiv und auf der anderen nicht. Managed Agents stoppen eine Session an einer harten Obergrenze zu Listenpreisen und sagen dir, warum. Die Kosten eines Dots verschwinden in Tarifkontingenten — was freundlicher ist, bis du ein Budget pro Agent für einen unbeaufsichtigten Prozess willst. Wenn das deine Anforderung ist, spricht es dafür, auf einer API zu bauen statt ein Produkt zu übernehmen.
Wenn du den Vergleich auf Entwicklerebene vollständig willst, dafür gibt es eine eigene Seite: OpenAI Agents API gegen Claude Managed Agents.
Tarife und die Kürzung, die am selben Tag kam
Dots sind auf zahlende Stufen beschränkt — die Berichterstattung zum Launch nennt ChatGPT Pro, Business Premium und Enterprise, wobei Enterprise-, Edu- und Healthcare-Workspaces standardmäßig deaktiviert sind, bis eine Admin sie aktiviert. Dein erster Dot ist enthalten; zusätzliche Dots und höherer Durchsatz sind als kostenpflichtiges Add-on angekündigt, mit noch nicht bekannten Konditionen. Das Chatten mit einem Dot zählt nicht auf deine ChatGPT-Nutzungslimits, die Arbeit, die er in Codex oder ChatGPT Work ausführt, hingegen schon.
Am selben Tag gelandet und deutlich weniger diskutiert:
- Das enthaltene Kontingent von Pro 200 halbiert sich am 30. Oktober — von rund dem 20-Fachen des Plus-Kontingents auf das 10-Fache, über ChatGPT Work und Codex hinweg, wobei die GPT-6-Pro-Nachrichten von 200 auf 100 pro Woche fallen. Bestehende Abonnentinnen behalten die aktuellen Limits bis zum 29. Oktober und erhalten einmalig ein Nutzungsguthaben von 2.500 $, das zum Jahresende verfällt.
- Eine neue Stufe Pro 500 für 500 $/Monat — berichtet mit dem 25-Fachen des Plus-Kontingents und als einziger Pro-Tarif mit Ultrafast, das OpenAI mit bis zu 8× schnellerer Token-Generierung in Codex beschreibt (rund 300 Tokens pro Sekunde).
Lies die beiden zusammen. Die Schlagzeile ist ein fähigerer Agent; das Kleingedruckte ist, dass das Kontingent, das ihn speist, genau auf der Stufe kleiner wurde, auf der die meisten Power-User sitzen. Das ist die Zahl, die du modellieren solltest, bevor du einen Workflow um einen Dot herum planst.
- Wenn du einen Always-on-Agenten ernsthaft kalkulierst, modelliere das Kontingent, nicht das Abo. Der Verbrauch eines proaktiven Agenten ist eine Rate, keine Einmalgröße, und OpenAI hat nicht veröffentlicht, wie oft ein Dot aufwacht.
Wenn du Claude nutzt: Was solltest du tatsächlich tun
Nichts Dringendes. Aber drei Dinge lohnen sich diese Woche.
- Die bleibende Lehre aus dots ist nicht „OpenAI hat einen Agenten ausgeliefert“. Sie ist, dass dauerhaft + proaktiv + standardmäßig nur lesend eine Bauform ist, die funktioniert — und du kannst sie heute auf Claude bauen: ein geplantes Managed-Agents-Deployment mit einem nur lesenden Tool-Set für den Erkundungsdurchlauf und ein zweites, menschlich freigegebenes Deployment, das die Schreib-Tools hält. Das sind Stufe 3 und Stufe 4 der Leiter, von Hand zusammengesetzt.
- Geh jeden unbeaufsichtigten Claude-Agenten durch, den du betreibst, und stelle pro Tool eine Frage: Ist dieses Tool an die Schleife gebunden, weil der Agent es für diesen Durchlauf braucht, oder weil es bequem war, einmal alles zu binden? Jedes Schreib-Tool, das während einer Nur-Lese-Phase vorhanden ist, ist unnötiger Wirkungsradius.
- Wenn ein Agent läuft, während niemand zusieht, muss ihn etwas stoppen. Bei Claude ist das ein Session-Budget mit einem expliziten Stoppgrund. Wenn du ein Produkt übernimmst, bei dem die Obergrenze ein Tarifkontingent ist, lautet deine Stoppbedingung „das Kontingent ist ausgegangen“ — und die kommt als verschlechterter Dienst an, nicht als Fehler, den du abfangen kannst.
Die Tool-Bindungen eines unbeaufsichtigten Agenten prüfen
Review this agent configuration and split its tools into two phases. PHASE 1 (discovery, runs unattended): only tools that read. No sending, no writing, no browser control, no shell. PHASE 2 (action, runs after human approval): everything else. For each tool, state which phase it belongs in and why. Then flag every tool currently available during unattended operation that belongs in phase 2 — those are the blast radius. Finally, tell me what the agent can no longer accomplish unattended once phase 2 is gated, so I can judge whether the restriction is affordable. <paste your agent/tool configuration here>
Die Grenzen, die niemand veröffentlicht hat
Behalte sie im Kopf, bevor du etwas Tragendes um einen Dot herum planst:
- Nebenläufigkeit — wie viele Aufgaben ein Dot gleichzeitig ausführt: unveröffentlicht.
- Speicher und Hardware des Cloud-Computers: unveröffentlicht.
- Gedächtnishorizont — wie lange die Notizen und der Kontext eines Dots über Wochen oder Monate überleben: unveröffentlicht. OpenAI beschreibt den Dot so, dass er relevantes ChatGPT-Gedächtnis plus eigene Notizen mitführt, und stellt fest, dass diese Notizen kein vollständiges Transkript sind. Rechne mit verlustbehafteter Erinnerung, nicht mit einem Log.
- Aufwachfrequenz für die proaktive Recherche: unveröffentlicht — und genau die Variable, die sowohl Nutzen als auch Kosten treibt.
- Website-Kompatibilität — manche Websites blockieren Cloud-Browser oder verlangen zusätzliche Verifizierung, sodass ein Dot vollständig berechtigt und trotzdem außer Stande sein kann, eine Aufgabe abzuschließen.
Zu den Trainingsdaten: OpenAI erklärt, nicht auf proaktiver Recherche oder auf den Notizen eines Dots an sich selbst zu trainieren, und dass Inhalte aus Business-, Enterprise- und Edu-Workspaces standardmäßig nicht zur Modellverbesserung genutzt werden; in privaten Tarifen steuerst du selbst, ob die Unterhaltungen und die Arbeit eines Dots verwendet werden.
Lernkarten
Quiz
Check yourself
0/5Weiter
- OpenAI Agents API gegen Claude Managed Agents — dieselbe Fähigkeit eine Ebene tiefer, wo du Berechtigungen, Vaults, Budgets und Netzwerkrichtlinien kontrollierst
- Claude Managed Agents — die gehostete Agentenschleife, auf der du das dots-Muster bauen würdest
- Prompt Injection — warum eine nur lesende Erkundungsphase die Unbequemlichkeit wert ist
Quellen und weiterführende Literatur
- Introducing dots — OpenAIs Launch-Ankündigung
- Dots privacy, security, and safety FAQs — die Berechtigungsleiter, die Einschränkung bei proaktiver Recherche, die Isolation des Cloud-Computers und die Trainingspolitik
- DevDay 2026 recap — die vollständige Liste der Ankündigungen
- DevDay 2026: Ankündigungen und Entwicklerressourcen — OpenAIs eigener Index mit Links pro Ankündigung
- Über die ChatGPT-Pro-Stufen — die Kontingente von Pro 100 / 200 / 500
- Simon Willisons DevDay-2026-Liveblog — zeitgleiche Notizen, inklusive der rauen Kanten der Demo
- OpenAI launches Dots, new „always-on agents“ you can assign tasks to — Launch-Berichterstattung zu Tarifen und Oberflächen
- OpenAI halbiert die Nutzung von Pro 200 und startet auf der DevDay einen 500-$-ChatGPT-Tarif — die Kontingentänderung und Pro 500