OpenWorker：当 AI 不再只是回答问题，而是交付成品
内容提要
OpenWorker是吴恩达团队开源的桌面端AI Coworker，2026年7月发布，MIT协议。它从“回答问题”升级为“交付成品”，用户提出目标，AI自主规划执行并产出可用文件。核心特点包括本地优先、模型中立、四层架构和精细的权限审批体系。它适合个人知识工作者和小团队，但产品仍处早期阶段。
延伸解读
权限设计的细节：防止命令拼接绕过
OpenWorker 的权限系统不仅按风险分类，还特别处理了命令拼接绕过的问题。它先拒绝包含分号、管道符、反引号等 shell 操作符的命令，再对剩余命令做语法解析和逐词精确前缀匹配。这意味着类似 `git status && rm -rf ~` 的命令会在第一步被拦截，而 `git status -s` 可以正常放行。这种设计比简单的字符串前缀匹配更安全，值得其他 Agent 项目借鉴。
审批机制与执行环境隔离的边界
文章指出，OpenWorker 的审批引擎只覆盖工具调用层面，而 MCP 工具服务器等进程在会话建立时启动，尚未纳入审批管辖。这提示了一个普遍问题：审批只能控制模型决策是否被允许，但执行环境本身的风险（如恶意进程）需要独立的隔离机制（如容器、沙箱）来兜底。用户在使用时需注意，审批通过不代表执行环境绝对安全。
本地优先与模型中立：数据隐私与灵活性的平衡
OpenWorker 采用本地优先架构，状态、密钥、历史记录都存储在本机，不依赖云端托管。同时，它通过 aisuite 支持多种模型，包括 OpenAI、Anthropic、Google 以及国产模型，甚至可通过 Ollama 完全离线运行。这种设计让用户可以根据成本、合规或隐私需求灵活选择模型，而无需改变整体架构，适合对数据敏感的个人或小团队。
Q&A
OpenWorker是什么？它和普通的AI助手有什么不同？
OpenWorker是吴恩达团队于2026年7月开源的桌面端AI Coworker，采用MIT协议。它从“回答问题”升级为“交付成品”，用户提出目标后，AI自主规划执行并产出可用的文件或消息，而不是只提供建议。
OpenWorker的本地优先和模型中立具体指什么？
本地优先指整个Agent Runtime运行在用户自己的机器上，状态、密钥、历史记录都保存在本机，不依赖云端托管。模型中立指不绑定任何模型厂商，支持OpenAI、Anthropic、Google等，也支持GLM、DeepSeek、Kimi、Qwen、MiniMax等国产模型，还可通过Ollama运行纯本地模型。
OpenWorker的权限体系是如何设计的？
OpenWorker将工具调用按副作用分为四类风险：读取（READ）、本地写入（WRITE_LOCAL）、命令执行（EXEC）、外部副作用（EXTERNAL）。用户可选择五种权限模式，从“只讨论不动手”到“完全自动但限定可写目录”。命令执行采用语法解析和逐词精确前缀匹配，防止拼接绕过。外部副作用操作即使免审批也必须绑定精确目标，无人值守时挂起等待。
OpenWorker支持哪些模型和工具？
OpenWorker通过aisuite支持约三十个模型，涵盖OpenAI、Anthropic、Google等，以及GLM、DeepSeek、Kimi、Qwen、MiniMax等，还支持Ollama本地模型。工具方面已覆盖约四十个连接器，包括Slack、Gmail、Google Calendar、GitHub、GitLab、Jira、Confluence、Notion、Salesforce、HubSpot等，并支持MCP协议。
OpenWorker适合哪些人使用？
适合个人知识工作者（如产品经理、销售、运营、创业者）处理重复性强的资料整理、会议准备、周报、客户分析等任务；适合小团队分担行政、运营、调研工作；也适合对数据隐私敏感、希望本地处理办公任务的用户。不适合作为编程助手替代品，也不适合需要多用户协作、统一审计、单点登录的企业组织。
OpenWorker目前处于什么阶段？有哪些已知限制？
OpenWorker目前版本为0.1.6，自称处于open beta。macOS安装包已签名，Windows未签名，Linux暂无官方版本。已知限制包括：审批引擎不覆盖MCP工具服务器等会话早期启动的进程，执行环境缺乏独立隔离（如容器、沙箱）。
OpenWorker的Artifact-First理念是什么意思？
Artifact-First（以产物为先）是OpenWorker的工作观，强调任务的核心是最终产出的成品，而不是聊天记录。产物作为独立对象，可被引用、复用，并与任务和审批记录关联追溯。这有助于跨任务检索和衡量任务完成质量。
