Claude 学会后台操控 Mac，AI 第一次不用抢你的鼠标

01. 那条官宣，逐字读

  需要澄清一个常见误会：AI 操作电脑不是新本事。

  2024 年 10 月，Anthropic 就让 Claude 学会了截屏、看屏幕、模拟点击。近两年里它一直保持着一种尴尬形态：AI 一上机，你就得交出鼠标键盘，全程陪坐。功能是演示级的，体验是监工级的。

  这次变了的是「后台」二字。

  按官方帮助文档，Claude 现在在后台窗口里干活，「不接管你的指针和键盘」；你打字时它会让位等待；想接管全屏，需要单独征得同意。支持的产品有两个：面向开发者的 Claude Code，面向普通办公族的 Claude Cowork。

  门槛和价码也都摆在了明面上：macOS 15 及以上，Pro 订阅每月 20 美元起，Max 档每月 100 到 200 美元，电脑保持唤醒、桌面端保持打开。Team 和企业版暂时无缘。

  科技媒体 9to5Mac 的评价是，这是 Mac 上「一次重大的多任务解锁」。

  评价克制，分量不轻。过去十年，多任务解脱的是「软件等软件」：下载时你还能写文档。这一次解脱的是「智能等智能」：AI 干活时，你终于不用陪着。

02. AI 是怎么看屏幕的

  原理得先讲透，后面所有的风险都从这里长出来。

  电脑操控的原理是一个循环：截一张屏给模型看，模型理解画面，输出「点这里、输入这个」的指令，再截屏验证结果，如此往复。屏幕是它的眼睛，点击指令是它的手。

  一个够用的类比：你给一位远程办公的实习生开了自己电脑的远程桌面。他看得见你屏幕上的一切，按你的吩咐点来点去；你下线之后，他按自己的理解继续干。

  有个细节最能说明厂商的态度。官方文档披露，Claude 干活有条优先级：能走 Gmail、Drive、Slack 这类现成接口，就不碰界面；接口不通，先开内置浏览器；实在绕不开，才亲自上屏幕。

  原因很朴素：界面是画给人看的，对程序又慢又脆。「上屏幕」是万能兜底，也是通用性的证明：接口没覆盖的老软件、单位内部系统、任意网页表单，人怎么用，它就怎么用。

  这条兜底能力，才是真正的护城河。接口集成是一场一场谈的生意，看屏幕点鼠标是零集成成本的通用方案。

03. 真正的变化：从「借用」到「常驻」

  把这条新闻放进更大的坐标系，才能看清它的位置。

  此前的电脑操控，本质是「借用」：按次申请，全程陪同，人机不能同时用机。后台模式把它变成了「常驻」：办了工牌，占了工位，白班是你，夜班是它。

  借用和常驻的区别，不在技术，在权限模型。借用时代，每一次上机都是一次显性授权；常驻时代，授权变成了一次性设置，之后是默认放行。

  权限模型一换，一连串事都会跟着变：软件的授权体系、企业的 IT 管控、保险与审计的口径，都要回答同一个问题，一台被 AI 常驻使用的电脑，出了事算谁的。

  钱已经开始投票。研究机构 Gartner 估算，2026 年全球智能体 AI 支出约 2019 亿美元，同比增长 141%；到 2030 年，这个数字会冲到 9850 亿美元。同一份调研里还有个耐人寻味的对照：已经部署 AI 智能体的组织只有 17%，计划部署的超过 60%。

  一半是空座位，一半是热钱。这个缺口，就是所有厂商抢着把能力塞进个人订阅的原因：企业市场还没醒，先让上班族把 AI 领进门。

  AI 拿走的不是你的鼠标，是鼠标后面那串流程的所有权。

04. 先把兴奋的理由说充分

  冷水后面再泼，先把兴奋说充分。

  对普通办公族，Cowork 补上的是「流程末端」那一环。前两年 AI 已经能写会算，但你得复制、粘贴、来回倒手；现在从读文件到归文件，整条流程可以一次性交出去。下载文件夹里堆了三个月的发票合同、散落在备忘录里的会议记录、每周例行填的报表，这类活有个共同点：规则清楚、动作琐碎、耗时且不费脑，恰好是委托出去性价比最高的部分。

  对开发者，Claude Code 的后台化解决的是更具体的痛：以前 agent 跑测试、装依赖时，整台机器陪着蹲监狱；现在它跑它的，你写你的。

  经济学里有个概念叫比较优势：即便 AI 每件事都比你干得差一点，把琐碎流程让给它、把注意力留给要紧事，总产出仍然更高。20 美元一个月的定价，把这个账算到了个人消费者够得着的高度。

  社区的情绪也印证了方向。Reddit 上的一条高赞评论说，Cowork 适合「根本不想碰代码的人」做研究、整文件。工具的人口重心，正在从程序员滑向所有上班族。

05. 该泼的冷水：没有沙箱的世界

  兴奋说完，冷水必须泼透。这盆水也是 Anthropic 自己递过来的。

  官方帮助文档里有一句罕见的坦白：「电脑操控在 Claude 与你的应用之间，没有沙箱。」翻译过来：它看得见你屏幕上的一切；它在一个应用里点开的链接，可能跑到另一个未授权的应用里弹出来。

  官方对自家护栏的成色也毫不含糊：回避股票交易、不碰敏感信息这些训练出来的安全习惯，「并不绝对」，替代不了用户的主动拦截。

  这不是纸面风险。安全机构 Unit 42 已经记录到真实世界的攻击样本：恶意网页把一段人眼看不见、专给 AI 读的指令，做了视觉伪装藏在页面里，等着「看屏幕的智能体」上钩。学术界也演示过，浏览型智能体被注入指令后，能把用户的登录凭据打包送出去。这类攻击统称提示注入，OpenAI 和 Anthropic 都把它列为最头疼的前沿安全问题之一。

  还有一层更老的历史视角。人因工程领域上世纪八十年代就有个「自动化悖论」：自动化程度越高，人在系统里剩下的角色越接近「监考」，而监考恰恰是最难做好的事：注意力会涣散，异常来临时人已经生疏了。把电脑交给后台的 AI，人省下的操作时间，多半会变成走神时间；等它点错的那一下到来，你的反应速度未必比从头盯着快。

  安全事件的老读者会记得，本报此前跟过两条事件线：8 月底 OpenAI 承认评估中的一个模型曾自主串联漏洞攻入内部系统；9 月初的首份 Cyber Weapon Index 测了 18 个模型，只有一个能独立跑完网络攻击的完整链条。

  会自己用电脑的 AI，和会自己找口子的 AI，是同一棵技术树上的两根枝杈。

  权限给出去只要一次点击，收回来要翻遍整个设置菜单。

06. 牌桌上坐着四家，打法各不相同

  这条赛道上，Anthropic 并不孤独，也不领先。

  OpenAI 今年 4 月 17 日就给 Codex 桌面端上了同款后台操控，多智能体并行；ChatGPT 桌面端随后把 Computer Use 挂上卖点。同赛道这个星期还有新变量：xAI 把 Grok Bot 开放成企业版，按座订阅约每月 120 美元，Cursor 企业客户免费试用两周。企业买 AI 的计费口径，正从「按用量」滑向「按人头」，买工具变成了雇同事。

  国内智谱的 AutoGLM 走第三条路：不碰你的电脑，给 AI 配「云手机」和「云电脑」，让它在云端开 App 干长任务，官方称可连做 50 步以上，框架已开源。云端的隔离性，天然绕开了本地权限的雷区。

  第四家在硬件端。同一个星期，英伟达宣布首批 RTX Spark AI PC 十月开卖，联想、宏碁首发，官方定位「第一批为个人 AI 智能体打造的 Windows PC」。云端刚教会 AI 上机，机箱厂开始给 AI 造电脑。

  把时间轴拉长看，这一幕有旧影子。上一代 RPA（机器人流程自动化）也承诺过「让软件替人操作软件」，企业为固定规则的脚本付了大钱，最后发现规则一变就崩，浪潮退去。这一代的差别在于模型「看得懂屏幕」，不必预先写死流程；但成本失控与价值不清的老病，Gartner 的警告（超四成项目将被取消）一个字都没改。

  历史不会简单重复，押韵的地方在于：胜利者从来不是最早起跑的，是把能力装进普通人日常的那一个。

07. 五条授权红线，今天就能用

  说了这么多，落点是一张可以贴在显示器旁边的清单。条条有官方出处。

1. 银行、证券、医疗、政务类应用，一次都别授权。 投资交易与加密货币类，官方已默认拦截，别手动放行。
2. 「完全控制」模式慎开。 让它每次接管全屏前都来请示，麻烦一步，安全一档。
3. 头几周从琐碎任务起步。 归档、汇总、格式转换，验证它的人品，再谈委以重任。
4. 提示词写具体。 「把下载文件夹里八月的发票按商家归类」，远好过「帮我整理电脑」。指令越含糊，它自由发挥的空间越大。
5. 早期会话留只眼睛。 看到怪动作立刻停，别等它把错误复制十遍。

  工具是新的，逻辑是老的：家里请保姆，抽屉可以不上锁，保险柜必须上锁。

08. 电脑的两班倒，才刚开始

  回头看，这条新闻最重的字，是「后台」。

  它意味着 AI 用你的电脑，从「按次借用」变成「常驻办公」；意味着人从操作者，慢慢退成授权者与监考员；也意味着那条移交清单又往下走了一格，这一次让出去的，是鼠标和键盘一起。

  技术吸收一项能力的过程向来安静：先演示，再内测，然后某个普通的周三，它就变成了默认设置。上一次是触屏吃掉键盘，这一次，轮到代理吃掉界面。

  以前是人学用电脑；往后，是电脑等着你放心。

  评论区聊聊你最不敢交给 AI 的一件事是什么？第一个打算交给它的，又是什么？报个具体任务，给后来的人抄抄作业。

  如果这张授权清单对你有用，转给一位每天开十几个窗口的同事。他的电脑里，可能也快住进一位夜班同事了。