2024→2026 曲线，如实解读。

公开的基准如果读得仔细，会讲出一个真实的故事。OSWorld 是跑在 Ubuntu/Windows/macOS 虚拟机里的桌面任务基准，2024 年年底完成率约 15%。到 2026 年年初，排行榜榜首已达 72.5%。WebArena 是一套受控的 Web 任务集，比 OSWorld 更容易——因为它用的是稳定的自托管应用，而不是活的公开网页——Claude Mythos Preview 一线达到 68.7%。这些就是人们在说"拐点已到"时引用的数字。

但这条曲线经得起更仔细的读法。中位任务的成绩爬得最猛；90 分位任务——那些带反自动化、带动态布局、跑到一半要重认证的乱糟糟长尾——涨幅要小得多。WebArena 明显比 OSWorld 容易，因为它的 DOM 不会在两次运行之间漂移。两者都明显比真实企业门户容易：那里的会话长度按小时计、弹窗在无法预测的时刻冒出、一个坏点击就可能把客户扣两次款。至于 WebVoyager，如今已经在 98% 以上，最好按"已饱和"处理——它意味着这条基准做完了，而不是浏览器智能体做完了。

如实解读：对窄而形状好的流程，模型已经不再是瓶颈。2026 年的中位数团队仍在琢磨的是外壳——包在模型外面的代码、提示词、恢复策略——以及如何塑造一条流程，让外壳有得救。browser-agent-failure-modes 深入解析是本章立足的分类学；上一章 计算机操作 介绍了底层循环。

上线的窄流程。

2026 年的生产级计算机操作智能体不会以"通用 Web 助手"上线。它以三种形状上线：

目标已知的表单填写。智能体落到某个特定 SaaS 的特定页面，用某条特定记录里的字段填写特定的表单域并提交。所有关键变量——URL、字段布局、成功判据——都在跑之前就已知。这是内部运维团队最先推上线的形状：把新供应商引入采购系统、走一份重复的合规表单、支持通话结束后更新客户档案。

DOM 稳定的、限定于某个 SaaS 的流程。面稍大一点——某个 SaaS 应用内 3 到 8 步，且该应用向你这个租户发布同一版本已经数月、每一屏都在你的评测集里见过。browser-agents 剧本收拢了这种形状的当代最佳实践：钉住租户、缓存登录、把每一屏视为外壳可独立重试的微任务。

面向内部仪表盘的截图式 QA。智能体的活儿不是改状态——是看一张仪表盘，抽取几个数值报回来。整项任务就是感知；没有点击可错。可靠率能爬到 90 多，因为失败面就那一屏。

2026 年不上线的：通用的"帮我订个航班"、开放网络上 DOM 每次会话都在变的研究类任务、以及任何没有人工确认闸的不可逆资金操作。如果你的第一个概念验证正好是这几类之一，你在曲线的错误一侧——挑一条窄流程，把它做到 95% 再谈扩面。

基准漏掉的六种失败模式。

基准度量的是准备好的任务上的完成率。生产里有些失败模式，准备好的任务复现不出来。browser-agent-failure-modes 深入解析逐一详解；这里给出 Field Guide 的速览版。

两次截图之间的 DOM 漂移。模型基于其推理的那张截图，到点击落下时已经过去了 400 毫秒。一张懒加载的卡片重渲染了、一个模态出现了、"保存"按钮下移了 40 像素。点击落在空处，或更糟——落在错的元素上。

截图歧义。目标在画布外，或者是密集网格里三个近似按钮之一，或者是一个视觉上薄的悬浮层背后的那个。模型自信地选，选错。

登录状态过期。第 0 分钟会话有效，第 9 分钟过期了。下一击落到一个模型认不出来的登录表单上，要么把任务提示词打进用户名字段，要么开始游荡。

模态弹窗打断。Cookie 横幅、"我们更新了条款"启动屏、浏览器权限提示、或者 SaaS 自家的"快速导览"模态在跑到一半时冒出来。之后每一击都落在模态上，而不是应用上。

限流断崖。按租户的上限在内部 API 上很常见，在多数 SaaS UI 上是隐蔽的。一分钟内第十次截图触发软封禁；第十一次返回验证码。外壳里没有任何东西知道这条崖在哪儿。

不可逆操作。智能体点了删除。没有撤销。记录没了。这不是一次罕见失败——这是任务形状层面的失败：任何带破坏性动作的流程都需要一层外壳，对破坏性点击的处理方式不同于安全点击。

外壳层修法。

好消息是：每一种失败模式的修法都住在外壳里，不在模型里。2026 年有纪律的团队会把这六项全部实现，并当作不可选的基础设施。

DOM 锚点哈希。每次点击之前，外壳对目标元素周围的一小块区域做哈希，与模型推理时那张截图上的哈希做比对。若哈希已漂移，本次点击被拒并重新截图。仅此一项就抓住了绝大多数陈旧截图导致的误点。

# Harness anchor check before executing a click
def safe_click(page, target, expected_anchor_hash):
    region = page.crop_around(target, radius=40)
    current_hash = perceptual_hash(region)
    if hamming(current_hash, expected_anchor_hash) > 6:
        return Refused("anchor drift", take_screenshot=True)
    page.click(target)
    return Executed()

截图前视口自动滚动。如果模型请求的目标在画布外，外壳先把它滚进视图再执行点击。模型可以指向自己还没看到的元素，让外壳承担"把它变得可见"的负担。

会话刷新检查点。每 N 步或每 M 分钟——哪个先到——外壳去 ping 一个已知的"我登录了吗？"端点，没登录就重认证。会话过期变成外壳的例行处理，而不是模型跑到一半要推理的困惑。

"先驱散模态"策略。每次点击之前，外壳跑一个小分类器扫过截图，找已知形状的模态（Cookie 横幅、浏览器提示、SaaS 导览悬浮层）。若有，先驱散，模型请求的点击才落下。

带租户意识的退避。外壳按每租户预算跟踪每分钟请求数，主动睡眠。检测到软封禁（验证码屏、网络面板里的 429），本次运行被挂起并告警，而不是硬刚过去。

可撤销 vs 不可逆的动作分类。模型提出的每个动作在执行前先分类：可逆（填字段、导航）、可逆但有成本（发邮件）、不可逆（删除、购买、提交付款）。不可逆动作走 人工确认闸，而不是模型自己的判断。

一次被救回来的运行看起来像下面这条轨迹——外壳抓住了漂移、驱散了模态、跑完了任务，而模型自始至终没意识到自己曾晃过。

step 04  screenshot#4   target=btn.save     anchor_hash=a91c
step 05  safe_click(btn.save)  anchor_drift=8  REFUSED
step 06  screenshot#5   modal_classifier=cookie_banner
step 07  dismiss_modal(cookie_banner)          OK
step 08  screenshot#6   target=btn.save       anchor_hash=a91c
step 09  safe_click(btn.save)  anchor_drift=1  EXECUTED
step 10  session_check  status=200            OK
step 11  screenshot#7   toast="Saved"         VERIFIED
step 12  action_class(next=btn.delete)        IRREVERSIBLE
step 13  gate=human_confirm                    PENDING
step 14  gate=human_confirm  decision=approve  EXECUTED
step 15  done                                  SUCCESS

何时应当拒绝使用计算机操作。

不是每条流程都归计算机操作管。三条拒绝准则省下的时间，比任何外壳修法都多。

同一权限层已存在 API。如果这个 SaaS 提供了你的凭据能打的 API，就用它。API 更快、更便宜，也不会被模态弹窗打败。computer-use-and-gui-agents 剧本说得明白：GUI 操作是最后手段，不是默认。唯一例外是 API 的限流或功能面比 UI 还差——很罕见，值得在你承诺之前先跟厂商确认。

流程是高风险不可逆。资金移动、批量删除、大规模发出面向客户的通信。即便有确认闸，"模型选了错的记录去让你确认"这条失败链，比人工替代方案还糟。这些从第一天起就走 显式人工评审；即使计算机操作智能体要出现在这条流程里，也是数据收集助手，而不是执行方。

目标 UI 会在会话之间变化。反自动化、暴露给你这个租户的 A/B 实验、或者 SaaS 正在设计体系之间迁移的中间态。外壳修法能起作用，前提是 DOM 足够稳定，锚点哈希和模态分类器还能保持有意义。当 UI 本身在翻新时，外壳补不上，评测集会在你脚下腐化。等目标稳定下来，或者跟厂商谈一条稳定通道。

贯穿全章的主线：2026 年生产级的计算机操作，不是押在某个模型上。它押在一层外壳和一条作用域上。两者都做对，中位数的窄流程就能上线。有一个做错，"演示到生产"的分界就会挪回它原来的位置。