逆向拆解 ChatGPT Work：官方未写的产品说明书

真正读懂 ChatGPT Work：一份官方没写的产品说明书

Simon Willison 最新博客通过大量实验逆向梳理出了 ChatGPT Work 的真实能力，非常值得收藏阅读。

Understanding ChatGPT Work https://simonwillison.net/2026/Aug/30/understanding-chatgpt-work/ Simon 还把它发布成 Sites http://codex-tool-reference.simonw.chatgpt.site

ChatGPT Work 实际上是两个产品 1. Work Cloud：云端版本，通过 http://chatgpt.com 或手机 App 访问（本文讨论重点）。 2. Work Local：桌面 App（原 Codex 改名而来）中的版本，可直接访问本地文件、运行程序，本质上是"换皮降门槛"的 Codex。

Work 与 Chat 的真正区别（Work 独有功能） · 可选 Luna、Terra 模型（Chat 只有 Sol 系列） · 可联网的代码执行环境（最重要的差异） · 完整的无头 Chrome 浏览器 · 跨会话持久化的共享文件系统 · 可发布 ChatGPT Sites（网站） · 可运行 Sol/Luna/Terra 子 agent · 定时自动化任务（Chat 中似乎也有）

杀手级特性：联网代码执行 Chat 的代码沙箱被代理封锁，无法装包、访问 API；Claude 的容器也只有极短的域名白名单。而 Work 默认对全网开放（可配置白名单），可以 clone GitHub 仓库、装依赖、与整个互联网交互——这是 2023 年 Code Interpreter 模式的重大升级。

无头 Chrome 浏览器 可加载网页、填表单、截图、对 DOM 执行 JavaScript（底层是 Playwright）。遇到登录时可把控制权交还用户输入密码和 2FA，凭据不经过模型——这个设计值得注意。

持久化共享文件系统 Chat 每个会话是全新文件系统；Work 的每个会话有独立 scratch 目录但跨会话持久保留（他已有 171 个），且 /workspace 卷在所有运行中的会话间实时共享（但不共享进程空间和 localhost 服务）。

ChatGPT Sites 可基于 Cloudflare Workers 构建并部署完整网站，支持服务端逻辑及 D1/R2 等有状态存储。默认私有，可设为公开或团队内共享。

安全性存疑 Simon 用他提出的 "致命三要素"（lethal trifecta） 框架指出风险：当一个 agent 系统同时具备 ① 访问私有数据、② 接触不可信内容、③ 对外通信能力时，就存在提示注入（prompt injection）导致数据泄露的风险。ChatGPT Work 三者全占。他希望 OpenAI 说明防护机制（推测与 Codex 的自动审查机制相同）。

逆向工程：223 个工具 + 44 个 Skills Simon 直接让 Work 自己建了一个网站，列出全部 223 个注册工具（其中 6 个来自他自己的 MCP）；发现浏览器工具列表不完整后，又让它导出全部 44 个 Skills（涵盖浏览器控制、docx/pdf/表格处理、图像生成、建站、数据看板等），甚至导出了 browser.documentation() 的完整内部文档。

44 个 Skills 的分类 1. 文档与视觉 - 10 documents（docx 红线批注）、pdf、presentations、spreadsheets、imagegen、visualize 2. 浏览器与建站 - 4 control-browser、sites-building、sites-hosting、sites-preview-troubleshooting 3. 上下文与交互 - 4 personal-context（跨会话记忆）、resolve-recipients（发消息前核实收件人） 4. OpenAI 生态 - 7 openai-docs、skill-creator、skill-installer、plugin-creator、template-creator 5. 数据分析 - 15 建看板、KPI 设计、市场规模估算（TAM/SAM/SOM）、指标异动诊断、数据质量校验 6. 宠物与演示 - 4 ChatGPT Work 内置的动画宠物系统