在账号权限范围内运作

OpenAI 在公告中说明，管理员插件运行在既有的账号权限框架之内，不会突破企业已设定的安全边界。管理员可以基于工作区的使用与活动数据，向 ChatGPT Work 或 Codex 提问，并直接生成报表。

具体能力分为四类：一是掌握采用与使用情况，查看 ChatGPT Work 与 Codex 在各团队中的活跃度与额度消耗，识别哪些成员或小组临近额度上限；二是管理成员与群组，完成增删成员、调整群组，以及日常的入职、离职和团队变更；三是管理访问与权限，查看实际生效的权限、诊断访问异常，并按角色或群组控制功能与模型的开放范围；四是管理用量上限与支出申请，调整成员、群组或工作区的限额，结合当前用量审批或驳回申请。

一场月度复盘演示

在 OpenAI 给出的演示中，公司市场拓展团队（GTM）成员 Aarti Bagul 以「准备月度 AI 推广复盘」为例：她先询问 ChatGPT Work，过去 30 天各团队的采用率与额度消耗变化，再请系统生成突出变化的图表；随后分析趋势、要求进一步拆解，并在对话里直接批准用量申请，最后让 ChatGPT 生成一份演示文稿并分享到 Slack 频道。

OpenAI 列举了该插件可支撑的场景：把重复的行政管理流程自动化、借助现有管控手段扩大管理规模，以及为内部 IT 运营提供支撑。该插件目前已上架 ChatGPT Work 的插件目录。

对中国企业的参考价值

需要指出的是，ChatGPT Work 与 Codex 目前尚未向中国内地用户开放，国内企业暂无法直接试用这款插件。不过，把「管理动作」封装进对话、用自然语言完成账号与额度治理，正成为企业级人工智能工具的通用方向。对正在推进大模型落地的中国公司而言，这类「对话式 IT 治理」思路，同样值得在自有平台上借鉴。

一份”已盈利”的招股叙事

Anthropic 已于 2026 年 6 月向美国SEC秘密递交上市申请（draft S-1），主承销商为摩根士丹利、高盛与摩根大通。支撑高估值的核心，是商业化速度的超预期兑现。

报道披露，截至 2026 年 7 月，Anthropic 年化营收运行率已突破约 650 亿美元；第二季度账面营收约 115 亿美元，较一季度 47.3 亿美元环比增长约 143%，同比增幅超过 14 倍。更受关注的是盈利拐点：公司在二季度首次实现调整后营业利润转正，并实现正的经营现金流，营业利润率约 5%。单位 token 的算力成本较上年下降超过 60%，每 1 美元营收对应的算力成本从一季度的 71 美分降至 56 美分。

收入结构也被视为质量较高：约 85% 来自企业级 API 与专业开发者，年付费超百万美元的企业客户已突破 1000 家，财富十强企业中有 8 家是其客户；编程工具 Claude Code 半年内年化收入突破 25 亿美元，成为 AI 编程赛道的现象级产品。

算力与供应链的多元化布局

为缓解对单一芯片供应商的依赖，Anthropic 已构建英伟达 GPU、谷歌 TPU、亚马逊自研芯片在内的多元供给体系。报道还提到，AMD 一笔 50 亿美元的投资承诺了 2GW 的 MI450 Helios GPU 产能；公司还在洽谈以约 60 亿美元收购推理优化初创公司 Decart，后者的 DOS 技术栈 GPU 利用率可达 80% 以上，远高于常规推理栈 40%—50% 的水平。

高估值背后的风险

2 万亿美元估值对应的预期极为陡峭。以 10% 的资金成本粗略推算，稳态年自由现金流需接近 2000 亿美元，意味着营收须在成熟期达到数千亿美元量级。电网与变压器瓶颈同样构成现实约束：美国变压器交付周期已拉长至 100 周以上，互联排队负荷高达数百吉瓦。监管环境的不确定性、价格战对客户留存的压力，以及盈利持续性尚未经历周期验证，都是核心风险点。

对企业采购者的含义

对正在使用 Claude 的企业而言，IPO 短期内大概率不会改变商业关系，但会改变价格轨迹。一家私营公司可以追求符合长期投资者预期的增长指标，而上市公司要面对季度盈利目标与利润率扩张压力，续约价格可能逐步走高、批量折扣减少。报道建议，在 IPO 重新定价采购关系之前，企业应先厘清自身承诺量、续约日期与现有的价格保护条款。

这次上市被视为 AI 大模型行业从”私募烧钱故事”走向”公开市场业绩验证”的里程碑：一端是企业级专业场景的 Anthropic，一端是偏消费通用生态的 OpenAI，双雄格局进一步明确。至于 2 万亿美元估值能否被后续业绩消化，将是未来一两年资本市场持续拷问的命题。

单轮审查为何不够

传统的安全过滤大多逐条请求判断。一条有害的提示或回复，单独看往往能被拦下；但真正危险的滥用常常分散在多次交互里。OpenAI 在公告中举例：攻击者会把恶意意图拆进一连串看似无害的提问，反复试探护栏，跨多个账号协同，或把威胁伪装成常规研究。在智能体（agentic）场景里，模型还可能在一次长任务中逐渐偏离用户本意、在被要求停止后仍继续行动。这些问题，单轮评分根本看不见。

PSP 怎么工作

PSP 的核心思路是把”是否发生滥用”的信号，与”说了什么”的内容分离开。在启用零数据保留（Zero Data Retention，简称 ZDR）的部署中，客户内容始终存放在客户自己控制的基础设施上；OpenAI 也在开发一种由自己托管、但用客户掌握的密钥加密的选项，使得 OpenAI 人员拿不到可解密的副本。

当系统侦测到可疑行为时，OpenAI 一侧收到的不是原始内容，而是一则范围极窄的”安全信号”——只说明涉及的活动的类别与严重程度，例如”疑似与武器相关的滥用”，不含任何提示词、回复或客户数据。OpenAI 可据此判断是否采取处置，但工作人员不会直接看到被标记的内容。客户则能用自有系统自行核查告警，并在申诉处置或配合已确认的滥用调查时，自愿上传相关内容。

OpenAI 称这一设计遵循”职责分离”原则：客户控制的基础设施或密钥限制了服务方的访问，而自动化遥测在不暴露完整内容的前提下完成滥用检测。

与 Anthropic 的相反选择

这一公告被普遍解读为对 Anthropic 的直接回应。Anthropic 对其最高能力级别的”Covered Models”（涵盖 Claude Console、Claude Code Enterprise、Amazon Bedrock、Google Cloud Agent Platform 与 Microsoft Foundry）采取了相反做法：保留提示词与输出 30 天，以便分类器跨多次请求观察模式，同时承诺不用这些数据训练，并对人工访问做防篡改日志记录。两家的技术判断其实一致——单轮审核已不够用，真正要抓的是一段”轨迹”而非一条”消息”——分歧只在字节由谁保管。这也是企业采购前沿模型时必须面对的新决策。

仍待九月揭晓的细节

PSP 目前正与早期客户测试，技术白皮书计划于 2026 年 9 月发布。公告中还有一处明确例外：被标记为疑似儿童性虐待材料的图片，即便在零数据保留下，仍会按美国法律要求留存以供人工复核与上报。

对金融、医疗、法律、关键基础设施等受监管行业，PSP 有望缓解”既要部署前沿能力、又要满足数据最小化与第三方访问限制”的矛盾。但 OpenAI 尚未公开跨交互关联的范围、信号粒度、密钥管理、可审计性、误报处理与申诉机制等具体设计。在白皮书发布、外部审计完成之前，PSP 仍是一套有前景、但尚未被验证的框架。

但《财富》杂志科技记者 Emily Forlini 在「Eye on AI」通讯中指出，报告第 35 页的一张小表格，讲了一个不太一样的故事。

第 35 页的反差

研究人员发现，员工人均营收与员工使用 AI 的强度（以发送消息量和消耗 token 数衡量）之间，不存在统计上显著的相关性。报告原文写道：「在纳入其他控制变量后，员工人均营收与员工人均输出 token、活跃用户消息数没有有意义的关联。」

换句话说，报告确实显示高营收公司往往更早采用 AI，但这更像「赚钱的公司更有钱先上 AI」，而不是「因为用了 AI 才更赚钱」——因果方向并不能由这份数据确立。

高管用得最少

报告第 29 页的图表还藏着一个细节：高管层级每周发送的消息量反而最少，资深员工的使用强度普遍偏低。OpenAI 首席财务官 Sarah Friar 随即在 LinkedIn 上发文称：「对领导者来说，这提醒我们竞争优势来自离工作最近的人。」言下之意，真正产生价值的可能是一线员工，而非决策层。

企业采用的起伏

报告里的增长曲线也并非一路向上。输出 token 的图表显示，2025 年 10 月到 12 月，企业端总使用量几乎完全停滞，那段时间的黑线接近水平；而同期，Anthropic 的 Claude Code 正在企业里迅速普及。直到 2026 年 1 月，曲线才重新拉起，进入指数增长区间。

就在这份报告发布当天，OpenAI 宣布任命新的首席营收官 Dali Rajic，接替任职不到一年的 Denise Dresser。新官的重点被明确为「加速客户采用」和「帮助企业衡量影响」——这两项目标本身，也侧面说明客户尚未清晰看到可量化的回报。

一份报告的独立性质疑

这份 69 页报告共有五位作者，其中两位是学者：哥伦比亚商学院的 David Holtz 与宾夕法尼亚大学沃顿商学院的 Prasanna Tambe。但脚注注明，二人是「以 OpenAI 付费承包商身份参与贡献」。学界作者通常意味着更高的公信力，这一安排让独立性打上问号。

结论留给数据本身

需要澄清的是，报告并没有断言 AI 没有价值。「没有统计显著相关」不等于「没有影响」，它只说明在报告覆盖的数据范围内，找不到两者之间的稳定关联。究竟是口径问题，还是 AI 的价值还没传导到人均营收指标上，报告没有给出进一步解释。

对企业决策者而言，这份报告真正的看点是那个反差本身：营销语言与数据细节之间，存在一道值得留意的空隙。衡量 AI 的影响，最终恐怕还是要靠自己的第一手经验，而不是别人的宣传。

来源：Fortune

法国人工智能公司 Mistral 于 7 月发布 OCR 4.1 公开预览版，把文档识别从单纯的「文字提取」推进到「结构化理解」。新模型最大的变化，是能够输出段落级的边界框（Bounding Box）、结构化区块标签，以及区块级的置信度评分，让企业在把纸质或扫描文档喂给检索增强生成（RAG）系统之前，先对提取质量做更细的把控。

不只是识别文字

传统 OCR 只关心「图里是什么字」，而 OCR 4.1 试图理解文档的结构。它借助计算机视觉处理复杂排版、手写体以及数学公式，把图像和 PDF 中的文本、公式与表格布局，以较高的精度转换为结构化的 Markdown 格式。对于 RAG 管线而言，这意味着预处理步骤可以被压缩成一次 API 调用。

Mistral 在官方文档中介绍，OCR 4.1 的 API 新增了「block」级别的置信度粒度选项：除了原有的「page」（页面级）与「word」（词级）之外，开发者现在可以拿到页面级与区块级两套评分，从而判断某一段落、某张表格的提取是否可靠，再决定是自动入库还是转人工复核。

对手与定位

在企业文档智能领域，Mistral 的对手包括亚马逊的 Textract 与谷歌云的 Document AI。前者能提取文本、手写、表格与表单，后者则将 OCR 与版式分析、分类、结构化提取结合。相比这些背靠大型云生态的平台，Mistral 选择了一条更聚焦的路线：用一个连接自有模型、Studio 工具链与企业 AI 栈的专用文档模型切入。

不过价格引发了讨论。OCR 4.1 定价约为每千页 3.5 欧元（约合 4.38 美元），有开发者指出这比部分竞品贵出近一倍。但在处理历史文献、复杂版式时的稳定性，以及在合规与数据主权方面支持开放权重、可本地私有化部署的特性，让它成为文档 AI 赛道一个值得关注的变量。

为什么重要

文档摄取是智能体（agent）落地企业场景的关键入口。一个模型即便推理能力很强，只要把表格压平错了、把页脚误认成正文，或者把低置信度的数字直接写进检索索引，最终输出仍可能出错。OCR 4.1 把改进点放在「喂给搜索、智能体与自动化决策的那条文档管道」内部，用段落级输出与置信度评分，给开发者更细的检视、路由与索引能力。在头部大模型比拼通用能力的当下，押注细分工具模型，也是欧洲 AI 避开正面战场的一种务实选择。

来源：Mistral 官方文档与多家科技媒体综合整理

企业级人工智能正在从「问一问」走向「做出来」。OpenAI 在 2026 年 8 月 11 日同时发布两份研究，用真实使用数据勾勒出这场转变的轮廓：少数跑在前面企业，单位员工的 AI 产出已经拉开同行数倍。

两份研究，一套真实数据

其中一份是学术论文《How Organizations Use AI: Evidence from ChatGPT》，作者包括 Aaron Chatterji、David Holtz（哥伦比亚商学院）、Neel Rakholia、Prasanna Tambe（沃顿商学院）与 Gawesha Weeratunga，均来自 OpenAI。配套的《Enterprise Signals》报告则从企业客户的实际用量切入。

研究把 ChatGPT Enterprise 企业账号记录，与使用情况、员工角色、任务分类以及上市公司财务数据（截至 2026 年 3 月）做了关联。在六个月的采用窗口里，样本覆盖 1500 多家组织和超过 1700 万条消息。

四个被记录下来的事实

第一，企业用量快速增长，既来自新客户的加入，也来自老客户使用强度的加深。聚合输出词元在 2025 年 6 月到 2026 年 3 月之间增长约 7 倍；在一批 2024 年 1 月至 2025 年 6 月就采用的一致企业队列内，也增长了约 4 倍，其中约一半增长来自这些既有的采用企业。

第二，在美国上市公司里，采用 AI 的企业往往规模更大、估值更高，研发以及销售与管理费用的投入强度也更高，说明早期采用和企业此前的无形资产、组织能力积累有关。

第三，在采用企业内部，活跃使用横跨不同职能和资深层级，其中早期职业员工的使用强度尤其突出。

第四，使用覆盖广泛的知识工作任务，包括写作、技术工作、沟通和信息综合。

前沿企业把同行甩开 8 倍

《Enterprise Signals》报告刻画了「前沿企业」——即每月 AI 用量排前 10% 的客户——与典型企业的差距。截至 2026 年 6 月，前沿企业每位活跃用户产生的输出词元，是典型企业的 8.3 倍，而当年 1 月这一数字还只是 2.6 倍，差距在三个月内明显拉大。

智能体正在承接更实质、可委托的工作。报告显示，截至 6 月，在 OpenAI 企业客户中，Codex 已经贡献了 Codex 与 ChatGPT 合并输出词元的 64%。自 2 月以来，企业里每周活跃使用 Codex 的用户增速差异显著：法律职能增长 108 倍，销售与招聘各 41 倍，市场 26 倍，而工程仅 5 倍——知识工作职能的智能化正在全面铺开。OpenAI 内部也有 95% 的员工每周使用插件类能力。

差距不在模型，在组织

研究给出的启示是：企业间 AI 落地的速度、广度和目的差异巨大，而且很多组织仍在摸索如何把 AI 真正嵌进工作流程。ChatGPT 每周已经服务超过 8 亿用户，但对企业而言，瓶颈往往不再是模型能力或工具本身，而是组织准备度——能否把智能体接入所需的情境与工具、建立清晰的权限审查和治理，并帮助员工把有效的个人流程变成可共享的团队方式。

来源：OpenAI 官方研究（How Organizations Use AI: Evidence from ChatGPT 及配套 Enterprise Signals 报告）

Rovo 是 Atlassian 面向企业推出的多用途智能体，横跨 Jira、Confluence 等整条产品线运行。对大量团队而言，这两个系统承载着需求排期、故障复盘、内部技术方案等最核心的协作资料。

五步走完，全程没有一行恶意代码

PromptArmor 复现的攻击链条只有五步，且不依赖任何漏洞利用程序或恶意软件。

第一步，受害者准备了一个再普通不过的请求——让 Rovo 帮忙整理 Jira 工单。

第二步，受害者向 Rovo 上传了一份文件，文件里藏着一段隐蔽的提示词注入指令。PromptArmor 强调，这个环节在日常使用中相当常见：用户从网上找到一份资料，顺手传给助手参考。演示中被用作载体的是一份名为「Backlog Guide」的待办事项整理指南。研究人员同时指出，注入源并不局限于上传文件，Atlassian 内部的外部数据（例如客户提交的支持工单）、开启搜索后的网页数据、第三方连接器，都可以充当同样的角色。

第三步，Rovo 开始按指令检索 Jira 与 Confluence。

第四步是整套攻击的关键。注入的指令操纵 Rovo 把检索到的工单和文档内容拼接到攻击者控制的网址后面，再调用自身的网址读取工具去访问这个地址。PromptArmor 指出，这个工具本身是不安全的——它对智能体动态拼装出来的网址没有任何防护。当 Rovo 发起访问，攻击者的服务器日志里就完整记录下了这些被附加的敏感内容。

第五步，攻击者只需翻看自家网站的访问日志，受害者的工单与文档内容便一览无余。提示词注入能带走的，是这个智能体权限范围内的任何数据，包括它通过各类连接器所能触及的内容。

值得注意的一个细节是，如果用户稍后重新打开这段对话，看到的只是助手给出的工单更新建议，攻击痕迹已经消失，输出看起来一切正常。

关掉的开关，只关掉了一半

这次披露中最值得企业安全团队警惕的，是那个「已关闭」的网页搜索开关。

PromptArmor 的测试显示，组织级的「启用网页搜索」设置被关掉之后，攻击照样成功。原因在于，这个开关移除的是搜索功能本身，却没有一并移除用来打开搜索结果的那个工具。换句话说，管理员在控制台看到的是「网络访问已关闭」，而智能体实际持有的工具清单并非如此。管理员以为自己配置好的状态，和智能体真正握有的能力之间存在落差，这道落差正在成为企业级智能体最典型的一类漏洞。

PromptArmor 还提到了第二条外泄通道：Rovo 会渲染 AI 输出中的 Markdown 图片。不安全的 Markdown 图片渲染，是提示词注入实现数据外泄的一条公认路径。该公司此前发布的多份研究中，已经出现过多个同类案例。

74 天，一个案件编号和两次无回音的跟进

比漏洞本身更引人关注的，是这条披露时间线。

• 5 月 23 日，PromptArmor 向 Atlassian 报送漏洞
• 5 月 25 日，Atlassian 表示感谢，并分配了案件编号
• 6 月 4 日，PromptArmor 第一次跟进
• 7 月 29 日，PromptArmor 第二次跟进
• 8 月 5 日，文章公开发布

从上报到公开，整整 74 天。PromptArmor 表示，在分配案件编号之后，经过两个多月的多次跟进，Atlassian 再未给出任何进一步沟通，截至文章发布，Rovo 仍然可被利用。正是基于这一点，该公司选择公开披露，以便让用户了解自身面临的风险。

这类风险为什么难堵

这次事件暴露的是企业 AI 助手的一个通病：它被同时授予了读文档、访问网址、渲染内容三类权限，而一旦藏在数据里的指令劫持了模型，这些权限就直接构成了一条现成的外泄通道。

传统的安全开关挡不住这种「借模型之手」的攻击，因为问题的根源在于模型会盲从上下文中出现的指令，而不在于某个功能是否被启用。间接提示词注入至今没有干净利落的解法，这恰恰意味着厂商的响应流程变得格外重要。

对于正在部署企业 AI 助手的组织，可行的做法是把智能体的每一项工具权限都当成攻击面来审计，并对其对外发起的请求行为做独立管控，而不是指望模型自己不上当。在把内部知识库接入 AI 助手之前，安全评估这一环省不得。

来源：PromptArmor Threat Intelligence

Cloudflare 给出的答案叫 Cloudflare OS。8 月 5 日，这家公司宣布把它开源，任何组织都可以自行部署、接入内部系统并按需改造。

先在自家跑了三个月

今年 5 月，Cloudflare 向全体员工开放了第一个版本。据其官方博客描述，各职能部门数千人每天使用，其中很多人并非工程师——他们用它撰写文档和幻灯片、把重复性任务自动化、搭建小型应用来可视化数据。

更关键的是共享层。Cloudflare OS 为所有人提供了一个由各团队共建的上下文与技能库，把公司的术语、流程和处理常规工作的最佳做法，沉淀成智能体可以直接遵循的指令。一个人摸索出更好的做法，其他人立刻就能复用。

第一版也暴露了问题。它以个人私有工作区为中心，生成的应用是静态的，而非连接内部系统的活体软件；即便是几乎完全确定的重复任务，也得重新跑一遍智能体技能，白白消耗模型 token（模型处理文本的计费单位）。

协作环节的问题更根本。接入 MCP 服务（模型上下文协议，用于让智能体调用外部工具）只能告诉系统智能体可以调用哪些工具，却无法说明它实际读取过哪些底层资源。一旦开始共享工作区、应用和产出，就必须确保协作不会让人看到本不该看到的信息。

于是 Cloudflare 把整套系统在新底座上重建了一遍，核心判断是：安全必须是平台自带的能力，而不是每个搭应用、用智能体的人各自去正确实现一遍。

三个组成部分

新版 Cloudflare OS 由三块拼成：一个以公司自建上下文与技能为基础的智能体工作区，内置可让智能体编写并运行代码的隔离运行时；一套面向内部数据与服务的安全治理框架；以及一个支持个人搭建、共享并持续修改应用的平台。

工作区在浏览器里使用，不需要懂终端。它能做四类事：调用公司上下文与已授权资源做研究，且智能体是通过写代码去搜索、筛选、连接和分析信息，而不是把整个数据集塞进模型的上下文窗口；把研究结果转成可继续编辑的文档、演示或表格，这些产出可以与实时数据保持连接、随数据源更新，也能导出为常见格式；在文档表格不够用时，直接构建带界面、逻辑和状态的应用，供多人协同；以及把已知步骤的重复工作转成基本确定性的流程，用代码处理可预测部分，只在真正需要判断的环节调用模型，流程可按需触发、定时执行或由连接系统的事件驱动。

安全设计：智能体的默认权限是零

员工接触 AI 后最常提的诉求，往往是索要公司系统的 API 密钥。Cloudflare 的判断很明确：把密钥直接交给人和智能体既危险也无法规模化，密钥通常权限宽泛、有效期长，难以约束、难以安全共享、难以审计。

Cloudflare OS 的做法分三层。

默认无权限。 由 Cloudflare Access 控制谁能进入系统，进来之后每个智能体和应用的初始权限是零。智能体可以申请访问某个具体资源，由人决定批准或拒绝，生成的代码以类型化绑定的形式拿到该资源，凭据始终与智能体和代码完全隔离。服务端代码运行在关闭了全局出站网络的 Dynamic Worker 中，客户端代码运行在浏览器的沙箱框架内，两者除了显式授予的能力之外都无法访问互联网。

Gatekeeper 管资源和动作。 这是一个针对特定服务的 Worker，夹在 Cloudflare OS 与外部服务之间，理解该服务的接口、资源和可执行操作。官方举的例子是：把整个 GitHub 账号交给智能体范围太大，而 Gatekeeper 可以只开放单个仓库、只允许读取议题而不能读源码、屏蔽特定字段、施加速率限制，并要求合并请求前必须经人工审批。智能体看到的只是一个小巧的 TypeScript 接口，OAuth 授权、凭据保管、策略执行、读取记录和外部副作用的中介，全部由 Gatekeeper 承担。

策略跟着智能体看过的东西走。 只管住第一次读取是不够的。官方设想了这样一种场景：智能体读取数据仓库中一张敏感表，据此生成实时看板，分享看板不能变成把这张表分享给无权访问的人。为此，Cloudflare OS 记录智能体观察到的每一项资源，这些记录始终附着在智能体及其产出上。当另一个人试图打开工作区、与智能体交互或查看产出时，Gatekeeper 会核验此人对那些被观察资源的访问权限。同一套观察日志还用于判定智能体何时可以发起外部请求——读取过敏感数据，可能就会禁止它向特定目标写入、邀请新协作者、把工作移交给另一个智能体或发起外部请求。

每一个“文件”都是一个完整应用

多数生产力套件给的是固定几件套：文档、表格、演示。Cloudflare OS 的思路不同——每个“文件”都可以是一个应用，由智能体为某个人、某个项目或某个团队专门编写。

这些不是需要导出再另行部署的原型，而是自带客户端代码、服务端代码、接口和持久状态的全栈应用，默认私有，可像文档一样共享。智能体写应用时产出两部分：渲染界面的客户端代码，以及存储状态、实现逻辑的服务端代码。服务端以 Dynamic Worker 按需加载，并实例化为 Durable Object Facet（这两项能力都是为该项目专门构建的）。Facet 给每个应用一个独立的 SQLite 数据库，与管理它的运行时相互分离；Dynamic Workers 使用轻量级 V8 隔离环境，因此每个应用都能拥有独立运行时，而不必长期占用一台服务器或容器。

浏览器客户端通过 Cap’n Web 与服务端通信，这是 Cloudflare 开源的对象能力式远程过程调用系统。服务端方法可以像普通 JavaScript 函数一样从客户端调用——特别之处在于，智能体也能调用同一个方法。用官方博客的说法，只要一个人能造出工具来完成某项工作，那么在这个人不在的时候，智能体也能用同一件工具把活干完。

共享方式有两种：共享应用本身，其他人可基于同一份状态实时协作；共享应用的“蓝图”，其他人可创建属于自己的副本。从蓝图创建的应用包含原应用的代码，但不包含其 SQLite 数据、对话历史、凭据和已连接资源，每个新应用都从独立的状态和资源开始。这意味着团队成员可以自己用 AI 修改应用，而不必提工单等着原作者排期。

模型可换，花销可控

Cloudflare OS 支持任意模型，所有推理调用都经由 Cloudflare AI Gateway，组织可在同一处决定哪些模型可用、哪项工作交给哪个模型。官方给出的理由很实际：不是每项任务都需要最贵的模型——每天早上总结未读邮件，未必值得动用最昂贵的前沿模型。

每一次请求都会归属到发起它的人、团队或工作区。管理员可以看到推理支出流向，设定预算与速率限制，并决定触及上限后如何处理。

开源之后

代码已在 GitHub 的 cloudflare-os 仓库放出，可部署到自有 Cloudflare 账号，配合自家的 Access 策略、AI Gateway 配置、数据与集成。Cloudflare 一共发布两个仓库：Cloudflare OS 核心，以及一个基于其内部运行方式的示例部署；部署仓库不修改核心即可使用，用于承载配置、自定义界面、内部集成、分析和部署流水线。

值得一提的是，该项目在 GitHub 上把自己类比为一套真正的操作系统：workshop-backend 相当于内核，各类 Gatekeeper 相当于设备驱动，workshop-frontend 相当于 shell，Gadget 相当于进程，蓝图相当于可执行文件。而传统操作系统尚未管理的那一类对象，正是 AI 智能体——Cloudflare 的观点是，智能体不能简单当成用户对待，它必须对某个人类用户负责，同时拥有自己受限的权限，这种场景下更合适的安全模型是基于能力的安全，而非访问控制列表。

由于 Cloudflare Workers 的运行时 workerd 本身也是开源的，Cloudflare OS 并不局限于只能跑在 Cloudflare 上，完全可以架在自有服务器的 workerd 之上。

代码只是起点。Cloudflare 表示，其战略伙伴 Presidio 和 Happy Cog 会协助企业按自身运作方式定制并推广。后续规划包括：把 Cloudflare OS 做成 Cloudflare 控制台中的全托管产品、为开发流程增加容器支持，以及把工作区接入 Slack 等聊天工具。

来源：The Cloudflare Blog

问题出在“token”这个计量单位

用户向大模型提问、让它写代码或自动执行流程时，这段提示词会被拆成一个个被称为 token 的数学块交给模型处理，模型的回答同样以 token 的形式产出，再还原成文字、代码或指令。

麻烦在于，这个过程并不可预测。提示词的细微差别会带来不同的回答，同一段提示词两次运行结果也未必一致，换个模型答案又不一样。而在智能体系统里，多个 AI 智能体协同决策与执行，token 消耗量和不确定性还会进一步叠加。

身份管理公司 Saviynt 正在把智能体能力接入自家服务，公司高管 Simon Gooch 的说法很直白：“想把客户绑定在一套未来 12 个月、两年、三年的成本模型上，说实话根本讲不通，因为我们自己也不知道。”

单价暴跌，用量暴涨

高盛的分析显示，近年来单个 token 及其对应额度的价格已大幅下滑，但企业和个人消耗的 token 数量却在飞速膨胀。该行预测，随着各方转向使用 AI 智能体，2026 年到 2030 年间 token 消耗量将增长 24 倍，达到每月 120 千万亿个（1.2×10¹⁷）。

问题是，多数使用者对自己烧掉了多少 token 只有模糊的概念，往往要等到额度用尽或月底账单送达才反应过来。报道援引消息称，连微软都已收紧工程师对部分第三方编程工具的使用；而优步在今年早些时候，把一整年的 AI 编程 token 预算在几个月内就消耗殆尽。

伦敦政治经济学院数字创新与信息系统副教授 Will Venters 认为，企业在内部试验或落地 AI 时最容易踩坑，因为员工会不知不觉把额度耗光。“大家发现这个成本真的很难管……它的产出是非确定的，所以价值也是非确定的。”

各方的应对办法

工程软件公司 smartR AI 创始人 Oliver King-Smith 观察到，规模较小的组织“可以躲在雷达下，用固定费用的个人账户，我敢肯定大厂并不乐意”。但他判断这条路走不长：“大厂在这些账户上是在亏钱的。”一旦平台开始面临股东的盈利压力，“他们就会收紧”。

英国财务软件公司 iplicit 首席财务官 Rob Steele 则强调提示词要写得更精确。他打了个比方：“你总不会一句交代都没有，就打发家里人去采购一周的东西吧？”

Venters 补充说，当 AI 被嵌入一款要面向成千上万用户推广的产品时，局面会更难控制——管理者可能才意识到，除了核心的软件开发，测试、安全乃至护栏机制同样都要消耗 token。他还提到一个容易被忽视的对比：多雇几个 AI 智能体只需点一下按钮，而扩充人类团队则要经过编制和招聘的层层讨论。

不过 Venters 也提醒，成本不可预测未必等于亏，企业可能确实从中获得了更高的价值。“这跟计算器不一样，”他说，“你喂给它的越多，它就越贵，但结果也可能越好。”

卖方同样一头雾水

企业还得把这些成本转嫁给自己的客户，而这一步同样没有答案。软件公司 Sumo Logic 产品营销高级总监 Bill Peterson 说得直接：“没人真正搞明白。”该公司正在预览基于智能体的新安全服务，如何收费仍在与企业客户商讨中。“我们内部还在开一些‘有意思’的会。”他略带调侃地表示。

可选方案包括全线涨价、按结果付费，或按“事件包”打包销售。但只要底层大模型厂商调整自己的定价策略，这些结构随时可能被推翻。“一旦进入浮动定价，价格每隔几个月就变一次，”Peterson 说，“客户不喜欢这样，没人是这么做预算的。”

来源：BBC News

据《卫报》看到的内部备忘录，Atlassian 本月为研发团队的员工推出了”AI 钱包”，每人每月上限在 500 至 2000 美元之间，可用于包括 Claude Code 在内的四款 AI 产品。当花费接近上限时，员工会收到提醒；额度用尽后，AI 工具将暂停使用。员工可以申请追加预算，知情人士称目前公司并未拒绝过任何追加请求。

“Tokenmaxxing” 正在推高企业 AI 账单

Atlassian 的举动，与硅谷一度流行的”tokenmaxxing”形成鲜明对比。这个词指鼓励员工尽可能多地使用 AI，一些公司甚至用排行榜来炫耀谁的 AI 用量最高。

代价是真实的。据报道，Uber 在四个月内就烧光了全年 AI 预算；亚马逊也已要求员工不要为使用而使用 AI。token 是 AI 响应的基本计费单位，OpenAI 称一个 token 约等于四个字符，而美国《独立宣言》全文约为 1695 个 token。即便模型单价持续下降，企业实际支出仍在快速上涨，因为 AI 代理会自主生成大量子任务和提示词。

Atlassian 发言人表示，公司正转型为”AI 优先企业”，AI 工具预算按角色设定，”AI 钱包”实际上还提高了员工可支配的额度。但显然，核心目的不是省钱本身，而是让花钱变得可见、可管理。

80% 的高管担心”用得多”被误当成”干得多”

一项由搜索 AI 公司 Elastic 委托、PureProfile 在 6 月开展的调查访问了 500 名澳大利亚企业高管，其中 80% 担心高频 AI 使用被误解为生产力提升。32% 的受访者表示，由于成本压力，公司已经暂停、取消或缩减了 AI 部署。

Gartner 副总裁分析师阿伦·钱德拉塞卡兰认为，”钱包”是一种简单有效的激励手段，能促使员工把 AI 用在真正值得的地方。他指出，AI 代理是成本激增的主要推手：”这些系统会自主生成任务、派生子代理、自己写提示词并发起模型请求。虽然模型价格三年来一直在降，但代理发送给模型的 token 总量正在显著增加。”

企业正在尝试多种降本手段：对简单任务使用更小的模型、采用可本地部署的开源或开放权重模型、以及像 Atlassian 这样直接给预算设上限。

从”无限量”到”有天花板”

Atlassian 的限额策略，某种程度上标志着企业 AI 应用进入第二阶段。第一阶段是探索和尝鲜，预算模糊、用量无上限；第二阶段则要回答一个更现实的问题：这些 token 到底换来了什么价值？

Atlassian 今年年初曾表示，AI 是公司裁员 1600 人的部分原因。如今它用”AI 钱包”把成本责任压到每个研发团队身上。这一做法会不会被其他公司效仿，取决于两个指标：员工是否因为额度而减少无效使用，以及 AI 带来的实际产出是否因此变得更清晰。

对中国企业而言，这一幕同样值得留意。随着豆包、Kimi、通义千问等模型在企业场景的渗透率提升，如何计量、分摊和控制 AI 支出，很可能很快从”后台技术问题”变成”前台管理问题”。

来源：The Guardian（https://www.theguardian.com/technology/2026/jul/30/atlassian-tightens-tracking-of-staff-ai-use-as-other-technology-firms-encourage-tokenmaxxing）