我先查一下相关经验记录，同时联网抓取这条新闻的多信源信息。
初步找到几条线索，我再并行抓取更贴近这条标题的最新报道。
已找到原始报道（虎嗅转载 “字母 AI”）。我再核一下 Dot、Grok Bot、Meta Muse 这几家的一手信息。
核心事实基本齐了，我再补两家权威媒体对 Dot 取码和 Muse 留存数据的独立报道，避免只用单一信源。
11 月 8 日，OpenAI 产品团队成员 James Sun 在社交平台确认，个人 Agent 产品 dot 现在可以直接读取用户已连接邮箱里的登录验证码，替用户完成登录。用户可以选 “只允许这一次”，也可以选以后自动填写。这不是孤立动作：Grok Bot 早就能读 Gmail、Outlook 里的登录码，还能拥有专属邮箱；Meta 的 Muse 则通过 1Password 代填用户名、密码和动态验证码，Agent 自己看不到密码。三家走的是同一条路 —— 不去硬碰 “你是不是人” 那道验证码，而是绕到验证码背后，用 “本人账号里的凭证” 证明 “这件事是账号主人授权的”。所以 “验证码拦不住个人 Agent 了” 这句话成立，但它真正拦不住的，是登录这道门，靠认图本身已经不够。
边界也得说清楚。dot 这次只覆盖 “发到已连接邮箱的登录验证码”，遇到复杂图形、文字题或短信验证，AI 仍可能需要用户接管，也不保证能在所有网站自行完成新账号注册。它解决的是任务链最后一公里，不是所有验证码。
一、这次改的不是 “识图”，是 “登录”
过去两年，行业一直在拼 “Agent 能不能看懂九宫格”。现在真正的变化发生在验证码之后：
| 变化点 | 过去 | 现在 |
|---|---|---|
| 验证码怎么过 | Agent 自己识图、点选 | 去用户邮箱取码，或让密码管理器代填 |
| 谁在证明身份 | Agent 假装是人 | 用户本人授权，账号凭证说话 |
| 用户控制点 | 基本没有 | 单次授权、持续授权、按条目批准、可撤回 |
OpenAI 的官方帮助文档写得很清楚，dot 的云端浏览器有独立登录会话，你在自己电脑上登录，不会让 dot 自动登录；遇到网站验证，要么完成登录请求，要么由你接管浏览器亲自登录再交还控制权。这说明厂商的思路不是 “训练一个更会点验证码的模型”，而是把 “人来授权” 这个环节做得更顺。
二、验证码早就守不住了，只是守不住的方式不一样
不同类型验证码，对 AI 的抵抗力差得很远：
| 验证码类型 | 通用 Agent 表现 | 关键数据 |
|---|---|---|
| 图形点选（reCAPTCHA v2、hCaptcha） | 已基本失守 | 有研究测得 AI 识别准确率超 95%，人类平均只有 50%–86% |
| 连续交互（滑块、旋转、拼图） | 时好时坏 | GPT-6 Astra 通关了 48 关的《我不是机器人》；Anthropic 的 Mythos 5 却在同类关卡上卡了数小时 |
| 行为评分（reCAPTCHA v3、Turnstile 全栈） | 仍然较难 | 第三方解题服务对 reCAPTCHA v3 平均成功率仅约 23% |
| 邮箱、短信一次性验证码 | 对 Agent 最 “友好” | 只要拿到邮箱权限，读码就是文本处理 |
这里有个容易被忽略的反差：AI 能在 48 关验证码游戏里拿到 “人类认证”，却也会被一道 hCaptcha 拖住几个小时 ——Anthropic 披露的安全测试记录里，模型近 95% 的推理篇幅花在反复尝试验证码上。所以 “AI 什么验证码都能过” 是夸大，“验证码还挡得住 AI” 也是过期判断。真实情况是：图形题在退守，行为评分还在撑，而 “账号本人授权” 这条路径，正在被产品化。
一篇系统评估 LLM 浏览器 Agent 的论文给出的结论更直接：第三方解题服务对交互式验证码几乎百发百中，但通用 Agent 在默认配置下大多过不了，除非额外接专用模块；而行为评分型验证，靠的是浏览器环境是否 “像真人长期在用”，不是靠答题能力。
三、三家厂商走的是同一条路
| 产品 | 做法 | 用户可控点 | 已知短板 |
|---|---|---|---|
| OpenAI dot | 读取已连接邮箱里的登录验证码 | 单次授权或持续授权 | 只覆盖邮箱验证码；图形、短信需接管；不保证注册 |
| Grok Bot | 读取 Gmail、Outlook 登录码，或用专属邮箱收信注册 | 连接哪些邮箱 | 实测不稳定：有服务只发登录按钮、拿不到链接；有账号注册后半小时被停用 |
| Meta Muse | 通过 1Password 代填用户名、密码、动态码 | 每次弹窗批准，按会话、按条目，30 天过期 | 需本机装 1Password 客户端；不支持通行密钥与共享保险库 |
再往上一层，是 “身份” 本身在被重写。Cloudflare 已在 2025 年支持签名 Agent，用 HTTP Message Signatures 让 Agent 用密码学方式自证身份，首批验证名单包括 ChatGPT Agent、Browserbase 等；网站可以按 “是谁在访问” 决定放行、限速还是用 HTTP 402 收费。这条路的意义是：以后网站不必再问 “你是不是人”，而是问 “你是哪个被授权的 Agent”。
四、真正难的不是技术，是授权边界
读验证码在技术上已经不是最难的部分，难的是尺度。
- 邮箱等于万能钥匙。 验证码邮件、账单、工作邮件、密码重置链接都在同一个收件箱。把邮箱交给 Agent，等于把这些一起交出去。
- “始终允许” 的粒度不够。 更新发出后就有用户追问：能不能只对某个网站、某个账号长期放行，而不是一次放开所有登录。James Sun 的回复是 “团队正在做”。
- 平台风控会反手。 自动化访问大多写在网站条款的禁止项里。Muse 上线 12 天就被亚马逊挡在门外；国内豆包手机曾被 155 款应用拒绝接入。
- 授权被滥用比 “过验证码” 更危险。 2026 年 4–5 月，攻击者只是用对话诱导 Meta 的 AI 客服改绑邮箱，就接管了 20,225 个 Instagram 账号。能力越大，授权检查越不能省。
- 体验留不住人。 Sensor Tower 数据显示 Muse 次日留存约 73%，第 14 天掉到 22.5%–23%；Similarweb 测到用户每天只用 7.5 分钟，而 ChatGPT 是 23 分钟。不同机构口径略有差异，但方向一致：尝鲜之后，能不能持续完成任务才是关键。
五、普通人现在能做的六件事
- 先给 “仅本次”。 跑通一次再考虑持续授权，别一上来就全放开。
- 给 Agent 单独邮箱。 主邮箱里有合同、发票、私人往来，不适合当验证码中转站。
- 优先用密码管理器代填。 让密码和动态码走加密通道，比把密码贴进对话框安全得多。
- 一周看一次操作记录。 多数产品都有 Activity View，异常登录和越权操作能早发现。
- 敏感账号不接。 银行、政务、主邮箱、公司后台，先留在自己手里。
- 看清网站条款。 多数平台禁止自动化访问，Agent 代操作可能触发封号，后果由账号主人承担。
六、写在最后
验证码从来不是一道技术题，而是一道信任题。当 AI 能识别图片、能模仿鼠标轨迹、能连续操作四十分钟不出错，靠 “出题” 来区分人机就注定越来越吃力。厂商现在的解法是把问题换掉：不再让 Agent 证明自己像人，而是让账号主人证明 “我允许它替我做这件事”。这一步跨过去，个人 Agent 才算真正能独立跑完一整件事；但同一把钥匙，也把邮箱、密码和账号安全绑在了一起。技术已经把门推开了一条缝，接下来决定走多远的，是授权设计，而不是模型能力。
【相关 FAQ】
问题 1：个人 Agent 现在真的能自己过验证码了吗？
回答 1：只能过一部分。发到邮箱的一次性验证码，dot、Grok Bot 这类个人 Agent 已经能自己读取并填写；图形点选、滑块旋转、行为评分型验证码，个人 Agent 的成功率差别很大，遇到复杂题型仍然要人来接管。
问题 2：为什么验证码拦不住个人 Agent，却还能拦住批量脚本？
回答 2：因为个人 Agent 手里有 “你本人的东西”—— 你的邮箱、你的密码库、你的浏览器登录态；批量脚本没有这些，只能硬碰验证码本身。验证码拦不住个人 Agent，本质上是授权凭证在起作用，不是识别能力在起作用。
问题 3：把邮箱交给个人 Agent 取验证码，风险主要在哪？
回答 3：邮箱里不只有验证码，还有账单、工作邮件和密码重置链接。个人 Agent 拿到邮箱权限，就能接触这些内容；如果再开了 “始终允许”，等于长期把登录入口交出去。比较稳的做法是给 Agent 单独邮箱，并且先只授权单次。
问题 4：个人 Agent 代填验证码，会不会导致账号被封？
回答 4：有可能。多数网站的服务条款禁止自动化访问，平台风控也会识别异常登录环境。已有案例是 Agent 注册的账号不到半小时被停用，也有电商平台直接封禁 Agent 访问。用个人 Agent 登录前，最好先确认该平台是否允许。
问题 5：普通用户该怎么给个人 Agent 划权限边界？
回答 5：三条线就够了 —— 第一，验证码和登录只给 “单次授权”，稳定后再考虑长期；第二，密码交给密码管理器代填，不要直接给模型；第三，银行、政务、主邮箱这类账号不接个人 Agent。再配合定期查看操作记录，边界基本可控。
【参考资料】
[2026-11-09]（验证码拦不住个人 Agent 了）虎嗅网（转载自微信公众号 “字母 AI”）
[2026-11-08]（ChatGPT dots can now enter sign-in codes sent to a connected inbox）VQV.me（转述 X 平台 @WesRoth 帖文）
[2026-11-06]（dot 入门指南）OpenAI Help Center
[2026-11-04]（Connect 1Password to Muse, by Meta）1Password Support
[2026-11-01]（Is Meta's Muse Usage Falling After the Initial Buzz: What The Data Shows）OfficeChai
[2026-10-29]（Muse app breakdown: what it means for brands）Similarweb
[2026-10-24]（让 AI 替你花钱，Muse 带火的这波风潮能刮多久？）界面新闻
[2026-10-22]（1Password Will Let Muse, Dots And Grok Bot Sign In To Sites For You Without Getting Your Credentials）Engadget
[2026-09-29]（Introducing dots）OpenAI
[2026-09-14]（Anthropic reveló la falla de sus agentes de IA rebeldes: cayeron frente a las pruebas CAPTCHA）El Destape
[2026-09-08]（刚刚，GPT-6 Astra “鲨死了” 所有验证码）36 氪
[2026-09-08]（Introducing Muse: The World's First Personal AI Agent Built for Everyone）Meta
[2026-07-21]（Can ChatGPT Solve CAPTCHAs & reCAPTCHAs in 2026?）Unanswered
[2026-07-01]（Broken Gates: Re-evaluating Web Bot Defenses in the Age of LLM Agents）arXiv（预印本，编号 2607.18659）
[2026-06-13]（Meta AI Support Bot Authentication Bypass）Cloud Security Alliance
[2026-05-28]（AI 不断突破验证，人类如何 “自证为人”）新华网（转载科技日报）
【免责声明】
本文基于公开报道与研究整理，产品功能、覆盖范围与地区限制以厂商官方页面为准；部分数据来自第三方研究机构与媒体转述，统计口径可能存在差异，请以原始来源为准。文中内容仅作信息解读，不构成任何使用或授权建议；向个人 Agent 开放账号、邮箱及密码权限前，请自行评估风险，并遵守各平台服务条款与当地法律法规。