ChatGPT Work 這週更新後，開始能登入網站幫你辦事了。
以前它只讀得到公開網頁。麻煩的事幾乎都在登入之後——保險公司網站裡的理賠進度、老舊系統裡的廠商報價後台、沒開放 API 的物流查詢頁。你叫它查保費、追包裹，它走到登入頁就停住，把連結丟回來要你自己點。
現在它會自己開一個瀏覽器走進去。登入畫面跳出來交回給你打，帳密它看不到、也不留；你打完就能走開，它繼續做。
這篇把三件事講完：它實際能做什麼、你該調哪個設定、以及它做不到的時候會發生什麼。最後一節談 WebMCP——網站那一端也開始動了，這件事比功能本身更值得注意。
先確認你有沒有
這個能力綁在 ChatGPT Work 底下，不是一般對話。說明頁寫的是：
The ability for ChatGPT Work to navigate to websites that need authentication is available on web and mobile on Plus and Pro plans.
拆開來看：
- 方案：Plus 與 Pro
- 平台：網頁版與手機版
- 明確排除：Enterprise 與 Edu 工作區。用的字是
isn't available，不是「尚未支援」
也就是說，公司開給你的帳號、學校的教育帳號，這個功能反而用不到。想在公司環境用的人卡在門外。
它跑的那個瀏覽器叫 cloud browser，本身的可用範圍比登入能力寬一些：付費方案（不含 Free 與 Go）都有，Enterprise 工作區需要管理員另外開啟。
還有一個很多人會誤判的狀況：整套功能仍在分批開通。文件裡寫 During rollout, the browser might not appear immediately even when your plan supports it.——你是 Plus、地區也支援，今天打開沒看到很正常，不是壞掉。
它到底能做什麼
OpenAI 在公告裡舉的四個例子，前三個都是美國的生活場景：
Figure out utilities for a new apartment and sign up for the right plan / Book a DMV appointment or fill out your passport renewal forms / Check X-ray and bloodwork costs through your insurance portal / Find profiles of people that fit your job description and are open to work
DMV 是美國的監理單位、insurance portal 是美式醫療保險入口網，直接套到台灣不成立；第四個是徵才用途，跟前三個不同類。比較貼近上班日常的例子，藏在說明頁而不是公告裡：
Check restaurant availability or request quotes from businesses. / Find flights that match your plans, or compare product availability and local stock. / Track a package using details from a connected email account and a tracking website. / Reconcile invoices and update records in your accounting software.
跟廠商要報價、拿信箱裡的單號去物流網站追包裹、對帳並更新會計軟體——這幾個是行銷、業務、財務真的會做的事。
動作本身沒有玄機，說明頁講得很白：
It can read web pages, click buttons, enter information into forms, and carry out steps on supported public and signed-in websites.
讀網頁、點按鈕、填表單。它是在用滑鼠鍵盤操作網頁，沒有走什麼特殊後門。
它跑在哪，決定了很多事
Work uses its own browser, running on a separate computer in the cloud, not the browser on your phone or laptop.
這句話撐起兩個結果。
一是你可以走開。任務跑在雲端那台機器上，你關掉筆電也不影響。
二是它碰不到你電腦裡的東西，列得很清楚：
It does not use your personal browser's open tabs, browsing history, saved passwords, cookies, extensions, or existing sign-ins.
所以每個網站第一次都要重登一次。有點煩，但你自己那台電腦的登入狀態也不會被拿去用。
帳密的保護，範圍到哪裡
密碼本身有明確保護：
Credentials entered through the secure form go directly to the remote browser. The username and password entered there are not visible to the model, and ChatGPT does not store those sign-in credentials.
你在那個安全表單裡打的帳密，直接送進遠端瀏覽器，模型看不到、系統也不存、不拿去訓練。iOS 上可以用支援的密碼管理器直接填；有些網站也會給你「改在網頁上登入」的選項，讓你自己在雲端瀏覽器裡登，登完按一下把控制權交回去。
在你按下登入之前，還有一道檢查：
Before presenting a sign-in request, an additional review model checks the request and where your information will be entered for signs of phishing or deception.
有另一個審查模型會先看這個登入要求、以及你的資料會被填到哪裡，找釣魚或詐騙的跡象。
但保護到這裡為止。 它登入之後在你保險帳號、公司後台裡讀到的內容，不在同一組保證裡：
Information from websites that ChatGPT uses to complete a task is handled according to your ChatGPT data-control settings.
那些內容走的是你自己在 Settings → Data controls 的設定，跟密碼不是同一套規則。
還有一條寫得非常硬：
Never paste passwords, security codes, or payment details into the conversation. Use the secure sign-in flow for credentials.
密碼、簡訊驗證碼、信用卡號絕對不要打進聊天框。打進去就是模型看得到的內容，上面那層保護完全不適用。
那個很多人會調錯的權限
設定的位置在 Settings > Cloud browser，說明頁原文：
By default, ChatGPT will ask for your permission before accessing a new website in the cloud browser. You can open Settings > Cloud browser to manage website access permissions
進去之後有三段可選，預設是最保守的那一檔：
| 設定 | 行為 |
|---|---|
| Always ask | 每一個網站都問過你才進 |
| Auto approve | 它自己看網址判斷，覺得不安全才問你 |
| Always allow | 全部放行 |
同一頁還可以逐站設定：個別網站的允許或封鎖，會蓋過你上面選的預設值。
第三檔後面，OpenAI 在自家說明書上加了一句 This is not recommended.——自己標不建議。
進門跟動手是兩個權限
Website access permission is separate from approval for consequential actions. Allowing a site does not remove the need to review an important action before it happens.
這裡有個值得注意的落差：同一份 ChatGPT Learn 文件裡，同一件事出現兩種措辭——一處寫 ChatGPT Work will always ask for confirmation before consequential actions（一定會問），另一處寫 it is trained to ask for confirmation（被訓練成會問）。「被訓練成會問」跟「一定會問」中間有距離，做重要動作時值得記住這個距離。
把某個網站設成永遠允許，只是讓它進門。真的要按下付款或送出的時候，還是會回頭問你。
那「重要的動作」怎麼定義？沒有給一張清單，給的是判準：
ChatGPT is designed to request confirmation before actions that could be hard to reverse or create a financial, legal, account, or other real-world commitment
不可逆、或造成金錢、法律、帳戶層級的真實承諾——訂位與付款是它自己舉的兩個例子。
這裡有個措辭值得注意。另一份文件寫的是 it is trained to ask for confirmation before consequential actions——被訓練成會問，跟「一定會問」中間有距離。這不是在挑字眼，因為官方自己也承認了下一段那件事。
沒有人說它安全
這句話直接引，因為它比任何轉述都清楚：
OpenAI tests for risks such as prompt injection, phishing, and unintended actions. Those safeguards do not eliminate every risk, so review sensitive steps and important results.
有測 提示詞注入、釣魚、非預期動作，但這些防護無法消除所有風險，敏感步驟與重要產出要你自己複查。
還有一句更根本的：
Treat page content as untrusted context. Review the site and proposed action before sharing sensitive information or allowing ChatGPT to act.
把網頁上的內容當成不可信的東西看待。
這是在講 提示詞注入。OpenAI 在 2025 年 7 月介紹 ChatGPT agent 時就講過攻擊長什麼樣：
a malicious prompt hidden in a webpage, such as in invisible elements or metadata, could trick the agent into taking unintended actions
網頁上有一段你看不見的字，藏在隱形元素或原始碼裡，AI 讀到會當成命令照做。同一篇還寫了為什麼這次風險更高：
Because ChatGPT agent can take direct actions, successful attacks can have greater impact and pose higher risks.
只會讀網頁的 AI 被騙，最多是答錯。會動手的 AI 被騙，是真的做了。
責任在誰身上
OpenAI 使用條款裡有兩條，用在公司環境之前該先看過：
YOU ACCEPT AND AGREE THAT ANY USE OF OUTPUTS FROM OUR SERVICE IS AT YOUR SOLE RISK
賠償上限則是：
OUR AGGREGATE LIABILITY UNDER THESE TERMS WILL NOT EXCEED THE GREATER OF THE AMOUNT YOU PAID FOR THE SERVICE THAT GAVE RISE TO THE CLAIM DURING THE 12 MONTHS BEFORE THE LIABILITY AROSE OR ONE HUNDRED DOLLARS ($100).
過去 12 個月你付的錢，跟一百美元，取較高者。對個人訂閱者來說，這個上限大致就是一年份的訂閱費，跟你實際損失多少無關。
如果你是公司或組織，條款還要求你反過來為第三方因你使用服務提出的索賠，向 OpenAI 賠償並使其免責。
它做不完的時候
網站會擋。 而且這件事不是 OpenAI 能決定的：
A website may block ChatGPT from accessing the site or completing your task, even if the same website works normally in your own browser.
同一個網站你自己開好好的，它去就被擋。有些站會跳「我不是機器人」驗證，碰到那個它就過不去。
也不保證做得完：
What ChatGPT can complete depends on the website, your access, and the steps involved. Some tasks require your review or a final step you complete yourself.
卡住有解：
If ChatGPT gets stuck on a task, it will ask you to take over the cloud browser on your phone or computer.
它會請你接手；你也可以主動說要接手，它會給一個連結，點進去就是你在遠端操作那台機器。
沒有「登出」這個按鈕
登入狀態會留著：
The authentication will persist for future tasks until it expires, so you do not need to sign in each time.
方便，但沒寫明「多久過期」。說明頁講到怎麼收回授權時，指的是清資料這條路：
Settings > Cloud browser > Browser data
可以全部清，也可以只清單一網站——說明頁寫明「清掉某個網站的資料，就等於從那個網站登出」。
換句話說，收回的動作藏在「清資料」底下，而不是一顆叫「登出」的按鈕。
用完敏感帳號（銀行、公司後台、醫療入口）之後，這一步值得養成習慣。
登入態留在別人的機器上，這週剛好有個提醒
這個功能的本質，是把你的登入狀態交給雲端一台機器保管。官方寫了會留著給之後的任務用，直到過期——沒說多久。
八月二十八號，一家部署平台在自家狀態頁貼了一則事件公告：內部一組服務憑證遭到未授權存取，攻擊者拿它撈走了客戶專案的環境變數紀錄。公告裡具名列出的變數有二十幾個，過半是第三方服務的金鑰，OpenAI、Anthropic、AWS、GitHub、Stripe 都在名單上。平台說已經撤銷那組憑證、封住存取路徑，也在同一天內控制住，正在直接通知受影響的人去換掉金鑰。調查還沒結束，公告連結放在文末來源。
那則公告裡有一句話值得記下來：放在你自己取名的變數底下，一樣在外洩名單裡。 官方認定的依據是那個值長得像不像一把金鑰——AWS、GitHub、Anthropic、OpenRouter、OpenAI、Stripe 的格式都被點名。改名字藏不住。
（公告沒說攻擊者用什麼方式挑資料，調查也還在進行。所以這裡只寫官方確認外洩了什麼，不推測對方怎麼做到的。）
這也不是頭一次。四月 Vercel 公告過一起：起點是員工在用的一個第三方 AI 工具被入侵，攻擊者接管了那名員工的 Google Workspace 帳號，進到 Vercel 環境後，把沒有標成 sensitive 的環境變數列出來並解密。受影響的是一部分客戶、而且限於那些「沒標 sensitive、可解密成明文」的變數——但他們給所有人的建議裡有一句話，任何把金鑰放在雲端平台的人都該抄下來：
刪掉專案或帳號並不足以消除風險，因為外洩的密鑰仍可能存取正式環境。
要先換，再刪。沒標成 sensitive 的那些，一律當成「可能已經曝光」處理。
而「換」這一步，做的人比想像中少。GitGuardian 追蹤自己在 2022 年於公開 GitHub 上驗證過仍有效的那批外洩憑證：2025 年 1 月重測近七成還活著，2026 年 1 月再測仍超過六成。四年過去，將近三分之二從沒被撤換。
扣回這篇：OpenAI 自己在講 Atlas（他們自家的瀏覽器）怎麼防提示詞注入的時候，擺在第一條的建議是「能不給登入權就不給」——任務用不到已登入的網站，就用登出狀態跑。他們的資安長 Dane Stuckey 在 2025 年 10 月講得更白：登入模式最適合的是範圍明確的動作，而且要在你非常信任的網站上。
這一年防護進步得很快。Anthropic 去年八月開放瀏覽器代操試營運時公布的那組紅隊評測，今年八月產品正式上線時官方說已經退役了——理由是被自家模型打到 0% 成功率，題目太簡單。他們換上更難的一套：未加防護時，成績從兩位數降到 3.8%；再加上探針與安全分類器之後，大多數模型掛零，但仍有一顆殘留 0.3% 沒擋下來——官方說那些都是低嚴重度、還在修。
但 OpenAI 對這件事講過一句很清楚的話：提示詞注入跟網路詐騙、社交工程一樣，「不太可能被完全解決」。防護在追，攻擊也在追。
有一點要先講明：上面這些研究與數字，打的都是「跑在你自己電腦上的瀏覽器內 agent」，不是 ChatGPT Work 這種雲端瀏覽器。目前沒有公開的 cloud browser 專屬攻擊研究，所以這裡只當風險輪廓看，不要對號入座。
講這些不是要你別用。方便是真的，代價是你的登入態多存在一個地方。前面那三件事因此值得變成習慣：權限停在「每次都問你」、敏感帳號用完就進設定清掉那站的資料、記得「讓它進門」跟「讓它動手」是兩個分開的權限。
什麼時候不該用它
OpenAI 自己的安全建議第一條，剛好是這篇最實用的一句：
Prefer a connected app or plugin when it supports the task directly.
那件事要是本來就能直接叫得動，就別讓它去點網頁。
Notion、Canva、Google 體系這些都在 ChatGPT 的外掛目錄裡（chatgpt.com/apps 會轉到 /plugins）。走串接的差別很實際：不用等它開瀏覽器、不用等頁面載入，也不用把額度燒在讀你根本不需要看的畫面上。
如果你有工程資源，往下還有兩層：用 MCP 建自訂 connector 接自家系統（方案條件以你自己畫面上看到的為準），再往下就是直接打 API 或 CLI。層級越低越穩、越省，但也越需要有人維護。
判準很簡單：有正式介面就走正式介面，其他都沒有才輪到瀏覽器代操。
網站那一端也在動：WebMCP
讓 AI 去模擬人點網頁，本來就脆弱。拖曳、展開、無限滑動——這些在人眼裡絲滑的體驗，在 Agent 眼裡是一團困惑。
所以有人從另一端下手。微軟與 Google 的工程師在 2025 年 8 月 13 日提出一份叫 WebMCP 的網頁標準草案，目前在 W3C 的 Web Machine Learning 社群組底下發展。它做的事是：
WebMCP lets developers expose web application functionality—either JavaScript functions or HTML <form> elements—as "tools" with natural language descriptions and structured schemas, designed for AI agent ingestion.
白話說，讓網站直接告訴 AI：我有哪些功能、每個功能要填什麼。不用它一個步驟一個步驟截圖猜按鈕在哪。
規格書的目標清單裡有兩條特別值得看。
第一條，它直接把模擬點擊定性了：
Enable AI agents to be more reliable and helpful by interacting with web sites through well-defined client-side tools instead of through brittle UI actuation (DOM scraping, simulated clicks).
brittle——脆弱。這是規格書自己的用字。
第二條解釋了網站方為什麼願意配合：
Prevent web content disintermediation: Prevent disintermediation of web apps by backend integrations by adapting front-ends for use by agents, rather than replacing them.
白話說：網站不想被後端串接繞過去、變成沒人造訪的空殼，所以把自己的前端改成 Agent 也走得進來。
還有一條把「人機平衡」寫進了設計目標：
Enable human-in-the-loop workflows: Support cooperative scenarios where users delegate tasks to AI agents while maintaining visibility, history, and control over web pages.
這份規格仍標著實驗性，Chrome 有在跑 origin trial，離普及還很遠。但方向已經很明白：AI 學著用人的介面，網站也開始長出給 AI 走的門。
「介面工作流」與「Agent 工作流」這兩件看似極端的做法，正在往中間走。
今天的五分鐘
打開 ChatGPT，看你的帳號有沒有 Work 這個模式。有的話，挑一件你這個月已經手動做過三次以上的查詢，交給它跑一次。
跑之前先確認三件事：權限設定停在「每次都問」、你沒有把密碼打進聊天框、以及你知道跑完之後要去哪裡清掉那個網站的登入狀態。
跑完不管成不成功都有收穫。成功了你多一個省時間的路徑；被擋了，你也知道那個網站短期內不必再試。
上面這些檢查我整理成一張可以帶著跑的卡片——方案自檢、三個動手前設定、六個交出去之前的確認、還有它做不完時的對照表：AI 代操網站的安全上手卡。
來源與查核日期
- ChatGPT release notes：2026-08-25「ChatGPT Work can now complete tasks on signed-in websites」公告原文與四個示範例子。
- Using cloud browser in ChatGPT：能執行的動作、更貼近工作的例子清單、方案與地區條件、網站權限三段設定、安全使用建議。
- ChatGPT Work 瀏覽器說明：雲端瀏覽器與個人瀏覽器的隔離、卡住時接手的機制、登入狀態保留與清除方式。
- WebMCP 規格草案：定義、設計目標（含 brittle UI actuation 與 disintermediation 兩條）、作者與首次發表日期 2025-08-13。
- OpenAI 使用條款：輸出風險自負、賠償上限、企業使用者的補償義務。
- Introducing ChatGPT agent（2025-07）：prompt injection 的攻擊樣態與風險輪廓說明。
- Zeabur status page — Unauthorized Access to Project Environment Variable Data：2026-08-28 的事件公告與後續更新（調查仍在進行）。
- Vercel April 2026 security incident：環境變數遭列舉與解密的事件說明，以及「先輪替再刪除」那句建議。
- GitGuardian, State of Secrets Sprawl 2026：2022 年確認有效的外洩憑證，2026 年 1 月重測仍逾六成有效。
- OpenAI, Hardening Atlas against prompt injection：「任務用不到已登入網站就用登出狀態跑」列在建議第一條。
- Anthropic, Claude in Chrome is generally available：2026-08-26 說明初版紅隊評測已因 0% 成功率退役，以及新評測上加防護前後的成功率（含最新一顆仍殘留 0.3%）。
資料最後查核：2026-08-29（Asia/Taipei）。功能、方案與地區隨時可能調整，動手前以你自己畫面上看到的為準。
