Passa al contenuto principale

OpenAI Dots: l'agente sempre acceso, e la scala dei permessi sotto di esso

Intermedio

Il 29 settembre 2026, al DevDay, OpenAI ha lanciato i dots: agenti persistenti e dotati di nome che vivono dentro ChatGPT, ognuno con il proprio computer cloud e il proprio browser, ognuno in esecuzione su GPT-6 Astra, ognuno che continua a lavorare mentre tu sei disconnesso. Raggiungi lo stesso dot dall'app ChatGPT, da Slack, da Microsoft Teams, o chiamandolo al telefono, e in ogni caso si ricorda del progetto.

Ogni articolo sul lancio descrive la demo. Quasi nessuno descrive la parte che decide se puoi davvero lasciarne uno libero sui tuoi account: l'architettura dei permessi. È di questo che parla questa pagina — più un confronto onesto con quello che Anthropic già offre, perché le due aziende hanno risolto lo stesso problema a livelli deliberatamente diversi.

What you'll learn
  • Spiegare cos'è un dot a livello di meccanismo: computer cloud, browser, memoria persistente, ricerca proattiva
  • Leggere la scala dei permessi a cinque gradini e sapere quali gradini puoi configurare e quali no
  • Capire perché «sola lettura durante la ricerca proattiva» è un gate di capacità, non un'istruzione — e perché quella distinzione è tutta la storia della sicurezza
  • Interpretare correttamente le valutazioni di sicurezza pubblicate (misurano il modello base, non il completamento dei task del dot)
  • Confrontare un dot con Claude Managed Agents, Cowork e gli agenti in background di Claude Code, e scegliere il livello giusto per il tuo problema
  • Conoscere i cambiamenti di piano e prezzo arrivati lo stesso giorno, incluso il taglio al Pro 200

La versione in un paragrafo​

Un dot è un agente persistente dotato di nome, non una conversazione. Gira su GPT-6 Astra, ottiene un computer cloud e un browser dedicati le cui sessioni sono separate dai tuoi login, raggiunge oltre 4.000 app attraverso l'ecosistema di plugin di OpenAI, e continua a lavorare quando chiudi la scheda. Quando non stai parlando con lui, fa ricerca proattiva — scandaglia le tue app collegate con un sottoinsieme in sola lettura dei suoi tool per capire cosa fare dopo. Tutto ciò che fa passa per una revisione automatica rispetto alle tue istruzioni, alle tue Custom Rules e ai requisiti di sicurezza integrati di OpenAI prima di essere eseguito. Il tuo primo dot è incluso nei piani idonei; altri sono promessi come add-on a pagamento.

Cosa c'è di davvero nuovo qui​

I loop agentici hosted non sono una novità — OpenAI ha rilasciato l'Agents API a settembre, Anthropic fa girare i Managed Agents da aprile. Tre cose dei dots sono nuove, e sono decisioni di prodotto, non decisioni di modello.

1. L'unità è l'agente, non la sessione. Managed Agents e Agents API danno entrambi sessioni durevoli che uno sviluppatore crea e distrugge. Un dot è una cosa a cui dai un nome, che persiste attraverso le superfici, e che possiede una persona non sviluppatrice. Il modello mentale è più vicino a «l'handle Slack di un collega» che a «una risorsa API».

2. Il tempo inattivo è produttivo per progetto. Quasi tutti i runtime agentici sono guidati dalle richieste: chiami, lavora, si ferma. Lo stato di default di un dot è in cerca di qualcosa da fare. Questo inverte la modalità di fallimento. La domanda smette di essere «il mio agente ha finito il task» e diventa «cosa ha deciso di guardare il mio agente mentre dormivo».

3. L'identità è separata dalla tua identità. Il dot naviga sulla propria macchina con le proprie sessioni. È l'opposto del pattern dei browser a login condiviso per agenti, dove il punto è proprio che l'agente eredita i tuoi cookie. La separazione è più sicura e anche più debole: alcuni siti bloccano i browser cloud o richiedono verifiche extra, e un dot che ha bisogno della tua sessione reale deve chiedere.

La scala dei permessi​

Questa è la parte che vale rileggere due volte. Il disegno dei vincoli di OpenAI è a cinque livelli, e non sono tutti lo stesso tipo di controllo — alcuni sono architetturali, alcuni sono di policy, e solo uno è tuo da configurare liberamente.

Guided walkthrough1 of 5
  1. Ogni dot gira sul proprio computer cloud, separato dalla tua macchina e dai suoi contenuti a meno che tu non colleghi esplicitamente la tua. Puoi aprire quel computer in qualsiasi momento, guardare il lavoro e prendere il controllo di mouse e tastiera. Si può collegare un solo computer personale alla volta. Questo è il gradino dell'osservabilità: non limita l'agente, ti permette di verificarlo.

Sopra tutti e cinque c'è un confine duro: certi task sensibili, come cambiare una password, restano sempre a te. Non come un default che puoi ribaltare — come un'esclusione strutturale.

Perché il gradino 3 è quello interessante​

Quasi tutto il marketing sugli «agenti sicuri» descrive regole che al modello viene detto di seguire. Il gradino 3 è una categoria diversa: durante la ricerca proattiva i tool di scrittura non sono affatto nel loop. Un agente non può abusare di un tool che non gli è stato dato.

È lo stesso principio a cui la sezione sicurezza di AILmanac continua ad arrivare dal lato dell'attacco — vedi prompt injection e irrobustire le esecuzioni autonome. Le istruzioni nel contesto di un modello sono dati, e i dati possono essere sovrascritti da altri dati. I binding dei tool sono configurazione, e un prompt compromesso non può rifarne il binding.

La conseguenza pratica per te: il momento pericoloso non è la ricerca proattiva, è il passaggio di consegne. La lettura è in sola lettura. Nell'istante in cui un dot propone un'azione e tu la approvi, sei tornato a un agente normale con normali tool di scrittura, che agisce su conclusioni raggiunte leggendo contenuti che tu non hai rivisto. Tratta il prompt di approvazione come il confine di fiducia.

Watch out
  • Un dot che legge la tua casella di posta, il tuo tracker di ticket e il tuo CRM ha ingerito testo non fidato scritto da chiunque possa mandarti un messaggio. Le sue proposte stanno a valle di quel testo. Leggi cosa propone, non solo se ha proposto qualcosa.
  • Redigere non è autorizzare. L'inquadratura di OpenAI stessa: un dot che redige una email non significa che possa inviarla. Scrivi le azioni consentite dentro la richiesta, specialmente per lavori che durano più giorni.
  • I punteggi di benchmark descrivono il modello base, non il tuo setup. Non possono dirti se un calendario collegato è agganciato all'account giusto.

Leggere onestamente i numeri di sicurezza​

Tre cifre dalla system card di GPT-6 Astra vengono citate nella copertura dei dots. Ognuna misura qualcosa di più stretto di come suona.

CifraCosa diceCosa non dice
0 attacchi riusciti a punteggio su 100 rollout attraverso 50.000 emailLa generazione massiva di email malevole non era ottenibile in quel banco di provaNulla su abusi mirati e a basso volume, né sui contenuti iniettati nella posta che il dot legge
91,8% di tasso di superamento sull'allineamento sui cambi di permessiIn circa 9 prove su 10 il modello ha gestito uno scenario di cambio permessi come previstoIl restante ~8% è una decisione sui permessi che va nella direzione sbagliata. Su un agente sempre acceso quella frazione è campionata in continuo, non una volta sola
19,7% di segnalazioni moderate con dieci task concatenati, nessuna violazione grave né esfiltrazione osservataLe catene lunghe alzano segnalazioni di preoccupazione circa una esecuzione su cinque«Moderata» è un'etichetta di valutazione della rubrica del vendor stesso, e «nessuna violazione grave osservata» è un'osservazione, non una prova

La lettura utile non è «91,8% è un buon numero». È tasso per esposizione. Un assistente one-shot che invochi venti volte al giorno campiona quella distribuzione venti volte. Un agente sempre acceso con ricerca proattiva la campiona ogni volta che decide di svegliarsi, che è un numero che OpenAI non ha pubblicato.

I dots contro quello che Anthropic già offre​

Non c'è un prodotto Claude che mappi uno a uno, perché Anthropic ha messo la stessa capacità un livello più in basso — nell'API — lasciando a te la confezione.

OpenAI dotsClaude Managed AgentsClaude Cowork / agent teams
Chi ne crea unoQualsiasi utente su un piano idoneo, nell'app desktop ChatGPTUno sviluppatore, via APIUn utente, nel workspace desktop
Unità di persistenzaIl dot (dotato di nome, a lunga vita)Agente + sessione + ambienteIl workspace e i suoi thread
Gira mentre sei viaSì, per progetto — ricerca proattivaSì, via deployment schedulati (cron)Legato al workspace
Chi decide quando agireIl modelloLa tua schedulazione o la tua chiamataTu
Compute + browser propriSì, per dotSì, ambienti/sandboxContesto desktop locale
Tetto di costo duroNon pubblicato per dot; assorbito nelle quote di pianoSì — budget di sessione con uno stop reason budget_reachedIn base al piano
Raggiungibile da Slack / Teams / telefonoSìQuello che costruisci tuDesktop

Due differenze fanno lavoro vero:

Iniziato dal modello vs iniziato dalla schedulazione. Il percorso non presidiato di Anthropic è un deployment cron: sei tu a scegliere quando gira. Un dot sceglie da sé. I risvegli iniziati dal modello sono strettamente più utili e strettamente più difficili da ragionare, perché la tua domanda di audit passa da «cosa è girato alle 03:00» a «perché ha pensato che le 03:00 fossero il momento».

Un tetto in dollari è una primitiva da un lato e non dall'altro. I Managed Agents fermano una sessione a un soffitto duro sulle tariffe di listino e ti dicono perché. Il costo di un dot è ripiegato nelle quote di piano — il che è più amichevole finché non vuoi un budget per singolo agente per un processo non presidiato. Se quello è il tuo requisito, è un argomento per costruire su un'API invece che adottare un prodotto.

Se vuoi il confronto a livello di sviluppatore per intero, è una pagina a parte: OpenAI Agents API vs Claude Managed Agents.

I piani, e il taglio arrivato lo stesso giorno​

I dots sono riservati ai tier a pagamento — la cronaca al lancio indica ChatGPT Pro, Business Premium ed Enterprise, con i workspace Enterprise, Edu e Healthcare disattivati di default finché un amministratore non li abilita. Il tuo primo dot è incluso; dots aggiuntivi e throughput maggiore sono promessi come add-on a pagamento con termini non ancora annunciati. Chattare con un dot non conta verso i tuoi limiti d'uso di ChatGPT, ma il lavoro che esegue in Codex o ChatGPT Work sì.

Arrivati lo stesso giorno, e molto meno discussi:

  • L'uso incluso del Pro 200 si dimezza il 30 ottobre — da circa 20× la quota Plus a 10×, su ChatGPT Work e Codex, con i messaggi GPT-6 Pro che scendono da 200 a 100 a settimana. Gli abbonati esistenti mantengono i limiti attuali fino al 29 ottobre e ricevono un credito d'uso una tantum di 2.500 $ che scade a fine anno.
  • Un nuovo tier Pro 500 da 500 $/mese — riportato a 25× la quota Plus, e l'unico piano Pro con Ultrafast, che OpenAI descrive come fino a 8× più veloce nella generazione di token in Codex (circa 300 token al secondo).

Leggi quei due insieme. Il titolo è un agente più capace; le note in calce dicono che la quota che lo alimenta si è ridotta proprio sul tier su cui sta la maggior parte dei power user. È quello il numero da modellare prima di pianificare un workflow attorno a un dot.

Pro tip
  • Se stai valutando seriamente il costo di un agente sempre acceso, modella la quota, non l'abbonamento. Il consumo di un agente proattivo è un tasso, non una spesa una tantum, e OpenAI non ha pubblicato con quale frequenza un dot si svegli.

Se usi Claude, cosa dovresti fare davvero​

Niente di urgente. Ma tre cose valgono la pena questa settimana.

Guided walkthrough1 of 3
  1. La lezione durevole dei dots non è «OpenAI ha rilasciato un agente». È che persistente + proattivo + in sola lettura di default è una forma che funziona, e puoi costruirla su Claude già oggi: un deployment schedulato di Managed Agents con un set di tool in sola lettura per il passaggio di scoperta, e un secondo deployment, con gate umano, che tiene i tool di scrittura. Sono il gradino 3 e il gradino 4 della scala, assemblati a mano.

Verifica i binding dei tool di un agente non presidiato

Review this agent configuration and split its tools into two phases.

PHASE 1 (discovery, runs unattended): only tools that read. No sending,
no writing, no browser control, no shell.
PHASE 2 (action, runs after human approval): everything else.

For each tool, state which phase it belongs in and why. Then flag every
tool currently available during unattended operation that belongs in
phase 2 — those are the blast radius. Finally, tell me what the agent
can no longer accomplish unattended once phase 2 is gated, so I can
judge whether the restriction is affordable.

<paste your agent/tool configuration here>

I limiti che nessuno ha pubblicato​

Vale la pena tenerli a mente prima di pianificare qualcosa di portante attorno a un dot:

  • Concorrenza — quanti task esegue contemporaneamente un dot: non pubblicato.
  • Storage e hardware sul computer cloud: non pubblicati.
  • Orizzonte della memoria — quanto sopravvivono le note e il contesto di un dot nell'arco di settimane o mesi: non pubblicato. OpenAI descrive il dot come portatore della memoria ChatGPT rilevante più le proprie note, e dichiara che quelle note non sono una trascrizione completa. Metti in conto un richiamo con perdite, non un log.
  • Frequenza di risveglio per la ricerca proattiva: non pubblicata, ed è la variabile che guida sia l'utilità sia il costo.
  • Compatibilità dei siti — alcuni siti bloccano i browser cloud o richiedono verifiche aggiuntive, quindi un dot può essere pienamente autorizzato e comunque incapace di completare un task.

Sui dati di addestramento: OpenAI dichiara di non addestrare sulla ricerca proattiva né sulle note che un dot scrive a se stesso, e che i contenuti dei workspace Business, Enterprise ed Edu non sono usati per migliorare i modelli di default; sui piani personali sei tu a controllare se le conversazioni e il lavoro di un dot vengano usati.

Flashcard​

Premi Invio o Spazio per girare la carta. Usa le frecce sinistra e destra per spostarti tra le carte.Termine mostrato.
1 / 10

Quiz​

Check yourself

0/5
  1. Durante la ricerca proattiva, cosa impedisce a un dot di inviare una email di propria iniziativa?
  2. Vuoi una Custom Rule che permetta al tuo dot di cambiare la password di un account senza chiedertelo. Cosa succede?
  3. Quale confronto tra un dot e Claude Managed Agents è accurato per un lavoro non presidiato?
  4. La system card di Astra riporta un tasso del 19,7% di segnalazioni moderate su dieci task concatenati. Qual è il modo corretto di usare quel numero quando valuti un agente sempre acceso?
  5. Qual è il confine di fiducia pratico quando si lavora con un dot?

Prossimi passi​

Fonti e approfondimenti​