メインコンテンツまでスキップ

OpenAI Dots:常時稼働エージェントと、その下にある権限のはしご

中級

2026 年 9 月 29 日、DevDay で OpenAI は dots を発表しました:ChatGPT の内部に住む、 名前を持つ永続的なエージェントで、それぞれが 専用のクラウドコンピュータとブラウザを持ち、 それぞれが GPT-6 Astra 上で動き、それぞれがあなたがログオフしている間も働き続けます。 同じ dot に ChatGPT アプリからも、Slack からも、Microsoft Teams からも、あるいは電話をかけて 到達でき、どの経路でもプロジェクトを覚えています。

この launch のどの記事もデモを説明します。しかし、これらのひとつを自分のアカウントに本当に 解き放てるかを決める部分を説明するものはほとんどありません:権限アーキテクチャです。 このページの主題はそれ — そして Anthropic がすでに出荷しているものとの正直な並置です。 2 社は同じ問題を、意図的に異なる層で解いているからです。

What you'll learn
  • dot とは何かをメカニズムのレベルで説明する:クラウドコンピュータ、ブラウザ、永続記憶、プロアクティブ調査
  • 5 段の権限のはしごを読み、どの段を自分で設定できてどの段ができないかを知る
  • 「プロアクティブ調査中は読み取り専用」が指示ではなく能力のゲートである理由 — そしてその区別が安全性の話のすべてである理由を理解する
  • 公表された安全性評価を正しく解釈する（それはベースモデルを測っており、dot のタスク完遂率ではない）
  • dot を Claude Managed Agents、Cowork、Claude Code のバックグラウンドエージェントと比較し、自分の問題に正しい層を選ぶ
  • 同日に着地したプランと価格の変更（Pro 200 の削減を含む）を知る

1 段落版​

dot は会話ではなく 名前を持つ永続的なエージェントです。GPT-6 Astra 上で動き、あなた自身の ログインとはセッションが分離された 専用のクラウドコンピュータとブラウザを持ち、OpenAI の プラグインエコシステムを通じて 4,000 以上のアプリに到達し、タブを閉じても働き続けます。 あなたが話しかけていないとき、dot は プロアクティブ調査を行います — 接続されたアプリを 読み取り専用のツールのサブセットでスキャンし、次に何をすべきかを判断します。dot が行う すべては、実行前に、あなたの指示、あなたの Custom Rules、そして OpenAI 組み込みの安全要件に 照らした 自動レビューを通ります。最初の dot は対象プランに含まれ、追加分は有料アドオンとして 予告されています。

ここで本当に新しいもの​

ホスト型のエージェントループは新しくありません — OpenAI は 9 月に Agents API を出荷し、Anthropic は 4 月から Managed Agents を運用しています。dots について新しいのは 3 つで、 それらはモデルの決定ではなく製品の決定です。

1. 単位はセッションではなくエージェントです。 Managed Agents も Agents API も、開発者が 作成して破棄する永続的なセッションを与えます。dot はあなたが名前を付けるもので、複数の サーフェスをまたいで存続し、開発者でない人が所有します。メンタルモデルは「API リソース」より 「同僚の Slack ハンドル」に近いのです。

2. アイドル時間が設計上、生産的です。 ほとんどのエージェントランタイムはリクエスト駆動です: あなたが呼び、それが働き、止まる。dot のデフォルト状態はやることを探している状態です。 これは失敗モードを反転させます。問いは「エージェントはタスクを終えたか」ではなく、 「自分が寝ている間、エージェントは何を見ると決めたのか」になります。

3. アイデンティティがあなたのアイデンティティから分離されています。 dot は自分のマシンで 自分のセッションを使ってブラウズします。これは エージェント向け共有ログインブラウザ のパターンの 正反対で、あちらではエージェントがあなたのクッキーを継承することが要点です。分離はより安全で、 同時により弱くもあります:一部のサイトはクラウドブラウザをブロックしたり追加の検証を要求したり しますし、あなたの本物のセッションが必要な dot は尋ねなければなりません。

権限のはしご​

ここは 2 回読む価値のある部分です。OpenAI の制約設計は 5 層で、それらはすべて同じ種類の 制御ではありません — アーキテクチャ的なものもあり、ポリシー的なものもあり、あなたが自由に 設定できるのはそのうち 1 つだけです。

Guided walkthrough1 of 5
  1. 各 dot は自分のクラウドコンピュータで動き、あなたが明示的に自分のマシンを接続しない限り、あなたのマシンとその中身から分離されています。そのコンピュータはいつでも開いて作業を見ることができ、マウスとキーボードを引き継ぐこともできます。接続できる個人用コンピュータは一度に 1 台だけです。これは可観測性の段です:エージェントを制限するのではなく、監査できるようにします。

5 段すべての上に、ひとつの硬い境界があります:パスワードの変更など、特定の機微なタスクは 常にあなたに残ります。 切り替えられるデフォルトとしてではなく、構造的な除外として。

なぜ第 3 段が興味深いのか​

「安全なエージェント」のマーケティングの多くは、モデルが従うよう告げられたルールを説明します。 第 3 段は別のカテゴリです:プロアクティブ調査の間、書き込み系ツールは そもそもループに 入っていません。エージェントは与えられなかったツールを誤用できません。

これは AILmanac のセキュリティセクションが攻撃側から繰り返し到達している原則と同じです — プロンプトインジェクション と 自律実行の堅牢化 を参照してください。モデルの コンテキストにある指示はデータであり、データは別のデータに上書きされえます。ツールの バインディングは設定であり、汚染されたプロンプトはそれを再バインドできません。

あなたにとっての実務的な帰結:危険な瞬間はプロアクティブ調査ではなく、引き渡しです。 読むことは読み取り専用です。dot が動作を提案し、あなたがそれを承認した瞬間、あなたは通常の 書き込みツールを持つ通常のエージェントに戻っており、しかもそれは、あなたがレビューしていない 内容を読んで到達した結論に基づいて動作します。承認プロンプトを信頼境界として扱ってください。

Watch out
  • あなたの受信箱、チケットトラッカー、CRM を読む dot は、あなたにメッセージを送れる誰からでも来る信頼できないテキストを取り込んでいます。その提案はそのテキストの下流にあります。何かを提案したかどうかではなく、何を提案しているかを読んでください。
  • 下書きは承認ではありません。OpenAI 自身の言い方では、dot がメールを下書きすることは、それを送ってよいという意味ではありません。許可する動作をリクエストに書き込んでください。特に複数日にわたる作業では。
  • ベンチマークのスコアはベースモデルを説明するもので、あなたのセットアップを説明しません。接続されたカレンダーが正しいアカウントに繋がっているかは、それでは分かりません。

安全性の数値を正直に読む​

GPT-6 Astra のシステムカードから 3 つの数値が dots の報道で引用されます。どれも、聞こえるより 狭いものを測っています。

数値それが言っていることそれが言っていないこと
50,000 通のメールにわたる 100 ロールアウトで 攻撃成功 0 件そのテストハーネスでは大量の悪意あるメール生成が達成できなかった標的型・低頻度の悪用については何も言っていない。dot が読むメールに注入された内容についても
権限変更における 91.8% のアラインメント合格率おおよそ 10 試行のうち 9 で、モデルは権限変更のシナリオを意図どおり扱った残りの約 8% は権限の判断が間違った方向に行くことである。常時稼働エージェントでは、その割合は一度ではなく継続的にサンプリングされる
10 タスクを連鎖させた場合の 19.7% の moderate フラグ、重大な侵害や流出は観測されず長い連鎖は約 5 回に 1 回、懸念フラグを上げる「moderate」はベンダー自身のルーブリックによる評点ラベルであり、「重大な侵害は観測されなかった」は観測であって証明ではない

有用な読み方は「91.8% は良いのか」ではありません。率 × 曝露です。1 日 20 回呼び出す単発の アシスタントは、その分布を 20 回サンプリングします。プロアクティブ調査を行う常時稼働 エージェントは、目を覚ますと決めるたびにサンプリングします。そしてその回数は OpenAI が公表して いません。

dots 対 Anthropic がすでに出荷しているもの​

1 対 1 で対応する Claude 製品はありません。Anthropic は同じ能力を 1 層下 — API — に置き、 パッケージングをあなたに任せたからです。

OpenAI dotsClaude Managed AgentsClaude Cowork / エージェントチーム
誰が作るか対象プランの任意のユーザーが ChatGPT デスクトップアプリで開発者が API 経由でユーザーがデスクトップワークスペースで
永続性の単位dot（名前付き・長命）エージェント＋セッション＋環境ワークスペースとそのスレッド
離席中に動くかはい、設計上 — プロアクティブ調査はい、**スケジュールされたデプロイ（cron）**経由でワークスペースに紐づく
いつ動くかを決めるのは誰かモデルあなたのスケジュールまたはあなたの呼び出しあなた
専用のコンピュータ＋ブラウザはい、dot ごとにはい、環境／サンドボックスローカルのデスクトップコンテキスト
硬いコスト上限dot ごとには未公表。プランの割り当てに吸収されるあり — budget_reached 停止理由を伴う セッション予算プラン依存
Slack / Teams / 電話から到達可能かはい作ったものによるデスクトップ

2 つの違いが実際に効いています。

モデル起動 対 スケジュール起動。 Anthropic の無人パスは cron デプロイです:あなたが いつ動くかを選びます。dot は自分で選びます。モデル起動の起床は厳密により有用で、厳密により 推論が難しい。監査の問いが「03:00 に何が動いたか」から「なぜそれは 03:00 が好機だと考えたのか」 に変わるからです。

ドルの上限は一方ではプリミティブで、他方ではそうでない。 Managed Agents はリスト料金に 基づく硬い上限でセッションを止め、その理由を教えます。dot のコストはプランの割り当てに 折り込まれます — それは、無人プロセスにエージェントごとの予算が欲しくなるまでは親切です。 それが要件なら、製品を採用するのではなく API の上に作る論拠になります。

開発者層の比較を完全な形で読みたいなら、それは別ページです: OpenAI Agents API 対 Claude Managed Agents。

プランと、同日に出荷された削減​

dots は有料ティアに限定されています — launch 時の報道は ChatGPT Pro、 Business Premium、Enterprise を指しており、Enterprise、Edu、Healthcare の ワークスペースは管理者が有効化するまで デフォルトでオフです。最初の dot は含まれ、 追加の dot とより高いスループットは、条件未発表の有料アドオンとして予告されています。 dot とのチャットは ChatGPT の使用量上限に数えられませんが、それが Codex や ChatGPT Work で 走らせる作業は数えられます。

同日に着地し、はるかに議論されていないもの:

  • Pro 200 の含まれる使用量が 10 月 30 日に半減します — ChatGPT Work と Codex 全体で、 Plus 割り当てのおよそ 20 倍から 10 倍へ。GPT-6 Pro のメッセージは週 200 から 100 に下がります。 既存の加入者は 10 月 29 日まで現在の上限を維持し、年末に失効する一度限りの $2,500 の使用クレジットを受け取ります。
  • 新しい月額 $500 の Pro 500 ティア — Plus 割り当ての 25 倍と報じられ、Ultrafast を 備える唯一の Pro プランです。OpenAI は Ultrafast を Codex でのトークン生成が最大 8 倍高速 （毎秒約 300 トークン）と説明しています。

この 2 つは合わせて読んでください。見出しはより有能なエージェントですが、小さな文字は、それを 養う割り当てが、最もヘビーユーザーが多いティアで小さくなったということです。dot を中心に ワークフローを計画する前にモデル化すべき数字はそれです。

Pro tip
  • 常時稼働エージェントの費用を真剣に見積もるなら、サブスクリプションではなく割り当てをモデル化してください。プロアクティブなエージェントの消費は一度限りではなく率であり、dot がどれくらいの頻度で目を覚ますかを OpenAI は公表していません。

Claude ユーザーとして、実際に何をすべきか​

急ぐことは何もありません。ただ、今週やっておく価値のあることが 3 つあります。

Guided walkthrough1 of 3
  1. dots の恒久的な教訓は「OpenAI がエージェントを出荷した」ではありません。永続的＋プロアクティブ＋デフォルト読み取り専用が機能する形であり、それを今日 Claude の上に作れるということです:発見パス用に読み取り専用のツールセットを持つスケジュールされた Managed Agents デプロイと、書き込みツールを持つ人間ゲート付きの 2 番目のデプロイ。これがはしごの第 3 段と第 4 段を手で組み立てたものです。

無人エージェントのツールバインディングを監査する

Review this agent configuration and split its tools into two phases.

PHASE 1 (discovery, runs unattended): only tools that read. No sending,
no writing, no browser control, no shell.
PHASE 2 (action, runs after human approval): everything else.

For each tool, state which phase it belongs in and why. Then flag every
tool currently available during unattended operation that belongs in
phase 2 — those are the blast radius. Finally, tell me what the agent
can no longer accomplish unattended once phase 2 is gated, so I can
judge whether the restriction is affordable.

<paste your agent/tool configuration here>

誰も公表していない限界​

dot を中心に何か荷重のかかるものを計画する前に、頭に留めておく価値があります:

  • 同時実行数 — 1 つの dot が同時に走らせるタスク数:未公表。
  • クラウドコンピュータの ストレージとハードウェア:未公表。
  • 記憶の地平 — dot のメモとコンテキストが数週間・数か月にわたってどれだけ生き残るか: 未公表。OpenAI は dot が関連する ChatGPT の記憶と自分自身のメモを携えると説明し、その メモは 完全な記録ではないと述べています。ログではなく、欠落のある想起を前提にしてください。
  • プロアクティブ調査の 起床頻度:未公表であり、有用性とコストの両方を駆動する変数です。
  • サイトの互換性 — 一部のサイトはクラウドブラウザをブロックし、あるいは追加の検証を 要求するため、dot は完全に許可されていてもタスクを完遂できないことがあります。

学習データについて:OpenAI は、プロアクティブ調査や dot の自分向けメモで訓練は行わないと述べ、 Business、Enterprise、Edu のワークスペースの内容はデフォルトでモデル改善に使わないとしています。 個人プランでは、dot の会話と作業が使われるかどうかをあなたが制御します。

フラッシュカード​

Enter キーまたはスペースキーでカードを裏返します。左右の矢印キーでカードを移動できます。用語を表示しました。
1 / 10

クイズ​

Check yourself

0/5
  1. プロアクティブ調査の間、dot が自分の判断でメールを送るのを防いでいるのは何か?
  2. dot があなたに尋ねずにアカウントのパスワードを変更できる Custom Rule を作りたい。どうなるか?
  3. 無人ジョブについて、dot と Claude Managed Agents の比較として正確なのはどれか?
  4. Astra のシステムカードは 10 タスク連鎖で 19.7% の moderate フラグ率を報告しています。常時稼働エージェントを評価するとき、この数値の正しい使い方は?
  5. dot を使うときの実務的な信頼境界はどこか?

次に読む​

出典と参考文献​