模型之外，真正的產品戰場在操作層

[[我也希望安全第一]]｜第 29／30 天

少一個分頁，也可能少掉一次風險提示

Anthropic 在 2026 年 9 月把 Claude Chat、Cowork、Artifacts 和 Claude Design 收進同一個介面。過去使用者得先選聊天或讓 Agent 工作，現在系統自動判斷該走哪條路。

這解掉一個真實痛點。多數人不知道問題該丟進 Chat 還是 Cowork，也不想先學產品架構才開始工作。但原本那次選擇同時是一個心理提示：我是在問問題，還是要讓軟體持續操作檔案和外部服務？

介面把選擇拿掉後，差異沒有消失，只是移到 routing 和 harness 裡。使用者不再點那個開關，產品替他點。

操作層決定的，比模型名稱更多

第 4、5 篇已經說過 harness 如何包住模型。到了產品競爭，操作層還會一起決定：

使用者請求
   ↓
意圖與風險分類
   ├── Chat：只產生文字
   ├── Workspace：讀寫指定文件
   ├── Agent：呼叫工具、跨步驟執行
   └── High-impact：停下來要求確認／交給人
        ↓
資料來源、權限、記憶、監控、成本與錯誤處理

同一個底層模型走不同分支，造成的外部效果完全不同。模型 benchmark 沒變，產品風險仍可能因預設 routing 改版而上升。

因此 routing 不只是推薦系統。它是一個授權決定：這次請求可以拿到哪些工具、使用哪段記憶、保留多久，以及失敗時誰接手。

Agent 的入口開始離開工作桌面

ChatGPT 行動版現在可以用語音啟動 Work 任務：草擬 email、整理 Slack、建立文件，或接上網站與雲端瀏覽器。工作能在手機開始，再回桌面接續。口語指令通常比表單省略更多條件；一句「幫我寄掉」如果沒有回顯收件人、內容和使用的帳號，就可能把語音辨識或語意誤差直接變成外部操作。

Meta 的 Muse 走得更像消費平台。它準備把 email、行事曆、購物、Mac 與智慧眼鏡接到同一個個人 Agent；Meta 又握有 Facebook、Instagram、WhatsApp 等分發入口。第三方估計顯示 Muse 上線初期下載很快，但下載不等於留存或任務成功。這裡比較值得注意的是，平台不必先贏下每一個 benchmark，只要成為使用者最順手的入口，就可能先取得連接器、日常脈絡與代理權。

於是操作層的安全問題也從「哪個分頁」變成「哪個裝置正在替我動手」。手機鎖定後背景任務是否繼續、語音與畫面確認是否指向同一份 proposal、跨裝置 session 能否單獨撤銷，以及購物連接器何時取得付款能力，都要寫進 route contract。

每次能力升級，都該讓使用者看得見

系統可以自動選模式，但不該靜默增加外部效果。比較清楚的規則是：

確認視窗也不能只寫「允許 Claude 繼續」。使用者需要知道是要讀十份文件、寄一封信，還是讓背景 Agent 未來七天持續存取信箱。第 9 篇談過批准疲乏；解法不是拿掉所有提示，而是只在能力或不可逆效果跨級時出現，並把內容寫具體。

垂直產品的護城河，同時是風險集中點

Claude Science 不是一個新模型，而是把資料庫、分析工具、多代理分工、fact-checker 與可重現環境包成科學工作台。ChatGPT Health 接上 Epic，也不是模型突然學會醫療，而是產品取得病歷工作流的位置，並用唯讀限制控制風險。

這就是操作層的商業價值：模型可以替換，使用者的資料、流程、權限與協作習慣留在產品裡。OpenAI 的 ChatGPT Work 也押同一件事；報導中的採用率和高 token 成本則顯示，能做 Agent 不代表大多數人會持續使用。

平台把獨立功能吸收後，小產品可能消失；平台自己若把入口合得太複雜，也可能因使用者反彈而退回舊版。AI 產品墳場裡兩種例子都有。安全因此不只是多裝一個 classifier，還包括使用者能不能理解產品現在打算做什麼。

三種操作層，其實是三種控制權分配

前面拿來看工具和隔離的三個專案，到操作層又呈現不同答案：

Pi 的吸引力是沒有先替你決定整套平台；OpenHands 的價值則是已經把遠端執行、多人控制面與自動化拆成可部署元件。Goose 走在中間：同一套本機 Agent 可以從桌面、CLI 或 API 使用，再透過 MCP extension 擴充能力。代價是每加一個 extension，就多一個工具來源與信任關係；切到 autonomous mode，也等於把更多即時決定交給 runtime。選擇哪套不只是功能偏好，也是在決定事故時要跨幾份紀錄找證據，以及哪個 process 有權真正停止工作。

替 routing 留下一張決策紀錄

自動 routing 上線前，可以要求每條路徑有一份 route contract：

route: cowork_background_task
trigger: multi_step_workspace_request
allowed_tools: [read_workspace, write_draft]
denied_tools: [send_email, publish, payment]
memory_scope: workspace_only
max_runtime: 30m
max_cost_usd: 5
user_notice: before_background_execution
approval_required_for: [external_write, new_connector]
fallback: chat_only
trace_fields: [route_reason, model, policy, tools, approvals]

實際值會依產品調整，核心是讓路由理由、能力集合和使用者看到的提示一起版本化。誤路由時，團隊才能回答「分類器選錯」「政策給太多能力」或「介面沒有說清楚」，而不是把所有問題都歸給模型。

明天是最後一篇。前面看過的鎖分散在資料、模型、context、工具、基礎設施、組織與法律；最後要把它們放進同一張圖，也補上這幾天新冒出的 state／compaction 完整性問題。

參考與來源

• 統一介面：原始報導
• 產品失敗對照：原始報導
• Agent 採用與 harness：原始報導
• 行動語音 Agent：原始報導
• 消費型 Agent 平台：原始節目：TechCrunch Equity
• 開源操作層對照：Pi、Goose、Goose session management、OpenHands SDK、OpenHands Canvas
• 科學工作台：原始報導
• 醫療唯讀：原始報導