Simon Willison ให้ ChatGPT Work เขียนเว็บแฉเครื่องมือของตัวเอง — ได้ทูล 232 ตัวกับ skill 44 ตัวที่ OpenAI ไม่เคยลงเอกสาร รวมถึงคอนเทนเนอร์ที่ต่อเน็ตได้ทั้งอินเทอร์เน็ต

OpenAI เปิดตัว ChatGPT Work เมื่อ 9 ก.ค. 2026 แล้วแก้ไขปรับเปลี่ยนมันเรื่อย ๆ นับแต่นั้น จนกลายเป็นผลิตภัณฑ์ที่ Simon Willison นิยามว่า “สับสนอย่างยิ่งและทรงพลังมาก” เขาเขียนสรุปสิ่งที่ตัวเองหาเจอลงบล็อกเมื่อ 30 ส.ค. 2026 และวันถัดมาก็ทำสิ่งที่ตรงประเด็นกว่านั้น — สั่งให้ ChatGPT Work สร้างเว็บไซต์ที่ลิสต์เครื่องมือทุกตัวของตัวมันเอง ออกมา

ผลลัพธ์คือหน้าอ้างอิงที่ระบุ snapshot วันที่ 31 ส.ค. 2026 ว่ามี ทูล 232 ตัว (tool interfaces) และ skill เต็มฉบับ 44 ตัว — ในบทความเขานับได้ 223 ทูลตอนที่เขียน โดยหกตัวในนั้นเป็น MCP ส่วนตัวของเขาเองที่เสิร์ฟผ่าน datasette-mcp เว็บถูกสั่งให้เติมหน้า skill เข้าไปทีหลัง ตัวเลขบนหน้าเว็บจึงเป็นภาพล่าสุดที่นับได้ ณ วันที่ระบุ

ประเด็นของงานนี้ไม่ใช่ตัวเลข แต่คือ ผู้ใช้ต้องให้ผลิตภัณฑ์เขียนเอกสารของตัวเองถึงจะรู้ว่ามันทำอะไรได้ อย่างที่ Willison สรุปว่า “ถ้าเอกสาร ChatGPT Work มี system prompt กับ tool description อยู่ในนั้น ผมก็ไม่ต้องเขียนโพสต์นี้"

"ChatGPT Work” คือสองผลิตภัณฑ์คนละตัวที่ใช้ชื่อเดียวกัน

จุดสับสนที่ใหญ่ที่สุดถูกแยกไว้ตั้งแต่ต้นบทความ:

• Work Cloud — รันบนคลาวด์ เข้าผ่าน chatgpt.com หรือแอปมือถือ (และผ่านแอปเดสก์ท็อปได้ด้วยเมนู “Where should this chat run?”) นี่คือตัวที่น่าสนใจกว่า
• Work Local — อยู่ในแอปเดสก์ท็อป ตัวที่เมื่อก่อนชื่อ Codex เข้าถึงไฟล์และรันโปรแกรมบนเครื่องคุณโดยตรง Willison บอกตรง ๆ ว่ามัน “เหมือน Codex ที่ถูกทาสีใหม่ให้ดูไม่น่ากลัวสำหรับคนที่ไม่ใช่นักพัฒนา”

ทั้งสองตัวเปิดให้เฉพาะผู้สมัครระดับ $20/เดือนขึ้นไป — ผู้ใช้ฟรีและแพ็ก Go $8/เดือนไม่มีสิทธิ์

คำตอบอย่างเป็นทางการของ OpenAI ว่าควรใช้ Chat หรือ Work เมื่อไร (“ใช้ Chat เมื่อต้องการคำตอบ คำอธิบาย การระดมสมอง หรือร่างสั้น ๆ ใช้ Work เมื่อต้องการให้ทำงานที่มีผลลัพธ์ชัดเจน”) ถูก Willison ตีตกว่าแทบไร้ประโยชน์ เพราะเขาใช้ Chat ทำงานทุกหมวดที่ว่ามานั้นมาหลายปีแล้ว คำถามที่ใช้ได้จริงคือ Work มีฟีเจอร์อะไรที่ Chat ไม่มี

ของจริงที่ Chat ไม่มี: เน็ตไม่จำกัดโดเมน, Chrome เต็มตัว, ไฟล์ระบบที่ไม่หายไปไหน

หลังทดลองอย่างละเอียด เขาสรุปรายการได้เจ็ดข้อ และสามข้อแรกคือของที่เปลี่ยนวิธีทำงานจริง

1. คอนเทนเนอร์รันโค้ดที่ออกอินเทอร์เน็ตได้ — นี่คือข้อที่เขาตื่นเต้นที่สุดในฐานะแฟน Code Interpreter มาตั้งแต่ปี 2023 ChatGPT Chat ทำไม่ได้ เพราะ proxy จะบล็อกการติดตั้งแพ็กเกจหรือเรียก API ภายนอก ที่ควรอ่านคือการเทียบตรง ๆ กับคู่แข่ง: คอนเทนเนอร์ของ Claude เปิดให้ต่อเน็ตแบบจำกัดมาตั้งแต่เปิดตัวเมื่อ ก.ย. ปีที่แล้ว แต่ allowlist สั้นมาก — ลง PyPI/npm และ clone จาก GitHub ได้ แค่นั้น ส่วน ChatGPT Work ตั้งค่ารายการโดเมนที่อนุญาตได้ แต่ค่าเริ่มต้นดูเหมือนจะเปิดหมด ผลคือคุณสั่งให้มัน clone รีโปจาก GitHub ติดตั้ง dependency แล้วเอาไปคุยกับเว็บอื่นทั้งอินเทอร์เน็ตได้เลย

2. เบราว์เซอร์ Chrome แบบ headless เต็มตัว — เปิดเว็บ กรอกฟอร์ม ถ่ายภาพหน้าจอ และรัน JavaScript บน DOM ได้ ตัวอย่างที่เขาลอง: สั่งว่า “โหลด simonwillison.net แล้วดึงหัวข้อออกมาด้วย JavaScript” แล้วมันรัน await tab.playwright.evaluate(...) ให้จริง จุดที่ออกแบบมาดีคือ ถ้าเว็บต้องล็อกอิน เบราว์เซอร์จะให้ผู้ใช้เข้ามาพิมพ์รหัสผ่านและ 2FA เอง โดยไม่ต้องส่งข้อมูลนั้นผ่านโมเดล

3. ไฟล์ระบบที่คงอยู่และแชร์ข้ามเซสชัน — Chat ได้ไฟล์ระบบใหม่ทุกครั้งที่เปิดแชต แต่ Work ให้โฟลเดอร์ scratch ต่อเซสชัน (เช่น /workspace/scratch/e00a0a017944) ที่ยังอยู่ข้ามการสนทนา Willison บอกว่าตอนนี้เขามี 171 โฟลเดอร์ ใน /workspace/scratch และเท่าที่ดู วอลุม /workspace ถูกเมานต์ให้ทุกเซสชันที่กำลังรันอยู่พร้อมกัน — แก้ไฟล์จากเซสชันหนึ่ง อีกเซสชันเห็นทันที

ที่เหลือคือ: เลือกรุ่นได้เอง (GPT-5.6 Sol/Luna/Terra แต่ละตัวมีระดับ reasoning ตั้งแต่ Light ถึง Ultra ส่วน Chat ให้เลือกได้แค่ Instant/Medium/High/Extra High/Pro), การ publish ChatGPT Sites ที่ deploy จริงบน Cloudflare Workers พร้อม D1 และ R2, การรัน sub-agent แบบขนาน และ scheduled automations เขาเชื่อว่าเซสชัน Work ถูกคิดโควตาจาก Codex allowance ไม่ใช่โควตาของ Chat ซึ่งน่าจะอธิบายว่าทำไมรายการรุ่นถึงต่างกัน

44 skill ที่ไม่มีในเอกสาร และคำถามเรื่อง lethal trifecta

รายการทูลชุดแรกทำให้เขาสงสัย เพราะทูลเดียวที่เกี่ยวกับเบราว์เซอร์คือ web.run ซึ่งมีแค่ค้นหา/เปิด URL/คลิกลิงก์ ไม่เหมือนของที่เขาเพิ่งใช้ควบคุม Chrome จริง ๆ เขาจึงสั่งเซสชันเดิมให้ “เพิ่มสำเนาเต็มของทุก skill ลงเว็บ” แล้วพบว่า ChatGPT Work ใช้ skill อยู่ 44 ตัว

skill ชื่อ control-browser เป็นตัวที่เฉลยกลไก: การคุมเบราว์เซอร์ต้องรันโค้ดผ่าน Node REPL (mcp__node_repl__js) แล้วเรียก agent.browsers.* โดยเอกสารสั่งว่า ต้อง อ่านผลของ await browser.documentation() ให้ครบก่อนเริ่มใช้ — Willison เลยสั่งให้เอาผลของคำสั่งนั้นแปะลงหน้าเว็บด้วยเสียเลย ตัวอื่นที่น่าสนใจได้แก่ documents (สร้าง .docx), imagegen, pdf (อ่านและเรนเดอร์), spreadsheets (.xlsx/.xls/.csv/.tsv) และหมวดใหญ่อย่าง GitHub, Gmail, Google Calendar และ data analytics

ส่วนที่เขาทิ้งเป็นคำถามเปิดคือความปลอดภัย โมเดล lethal trifecta ของเขาเตือนถึงระบบเอเจนต์ที่มีสามอย่างพร้อมกัน — เข้าถึงข้อมูลส่วนตัวได้, สัมผัสเนื้อหาที่ไม่น่าเชื่อถือ, และมีช่องทางส่งข้อมูลออก ChatGPT Work มีครบทั้งสาม และเขาบอกตรง ๆ ว่าอยากได้ยินจาก OpenAI มากกว่านี้ว่าป้องกัน prompt injection อย่างไร โดยเดาว่าคำตอบคงเป็นกลไก auto-review เดียวกับที่ Codex ใช้

มุมมอง AI Curator

สองข่าวที่เราลงวันนี้บังเอิญเป็นด้านหัวและก้อยของเหรียญเดียวกัน ฝั่งหนึ่งคือนักวิจัยพิสูจน์ว่า classifier ของ Claude Code ไม่ใช่กำแพงความปลอดภัย อีกฝั่งคือ ChatGPT Work ที่ให้คอนเทนเนอร์ต่อเน็ตได้ทั้งอินเทอร์เน็ตโดยดีฟอลต์ พร้อม Chrome เต็มตัวและไฟล์ระบบที่แชร์ข้ามเซสชัน — แล้วไม่มีเอกสารสาธารณะบอกว่าทูล 232 ตัวนั้นมีอะไรบ้าง สำหรับทีมที่ต้องตอบคำถาม compliance ในไทย นี่คือปัญหาที่จับต้องได้: คุณไม่สามารถอนุมัติเครื่องมือที่คุณอ่านรายการความสามารถของมันไม่ได้

จุดที่ผมคิดว่าสำคัญที่สุดคือ /workspace ที่ถูกเมานต์ร่วมกันข้ามเซสชันที่รันอยู่พร้อมกัน ในทางปฏิบัติแปลว่าไฟล์จากงานหนึ่ง (ที่อาจเป็นข้อมูลลูกค้า) อยู่ในระยะที่อีกเซสชันหนึ่ง (ที่กำลังอ่านเว็บภายนอกอยู่) เอื้อมถึงได้ — ซึ่งประกอบเป็น lethal trifecta ครบสูตรพอดี ทีมที่รับงานลูกค้าหลายรายบนบัญชีเดียวควรถือว่านี่เป็นความเสี่ยงที่ต้องออกแบบรอบ ๆ ไม่ใช่รายละเอียดปลีกย่อย

อีกเรื่องที่ควรพูดคือแบบแผนที่กำลังกลายเป็นเรื่องปกติ — การเอาโมเดลมาเป็นเครื่องมือ reverse engineering ตัวมันเอง วิธีของ Willison ไม่ได้เจาะระบบอะไรเลย เขาแค่พิมพ์ว่า “สร้างเว็บที่ลิสต์ทูลทุกตัวของเธอ จัดหมวด อธิบายว่าแต่ละตัวทำอะไร คัดลอกอาร์กิวเมนต์และคำอธิบายให้ตรงที่สุด” แล้วผลิตภัณฑ์ก็เขียนเอกสารที่ผู้ผลิตเลือกจะไม่เผยแพร่ออกมาเอง — และ deploy ขึ้นเว็บด้วยฟีเจอร์ ChatGPT Sites ของตัวเองอีกที ตราบใดที่ผู้ผลิตยังซ่อน system prompt กับ tool description ไว้ ชุมชนก็จะได้เอกสารแบบนี้อยู่ดี เพียงแต่มันจะไม่มีการรับประกันความถูกต้อง ไม่มีเวอร์ชัน และเปลี่ยนใต้เท้าเราได้ทุกเมื่อ ซึ่งแย่กว่าการที่ผู้ผลิตลงเอกสารเองตั้งแต่แรกสำหรับทุกฝ่าย

สุดท้าย สังเกตความไม่สมมาตรที่ Willison ชี้ไว้เงียบ ๆ: Anthropic เลือก allowlist โดเมนสั้น ๆ ส่วน OpenAI เลือกเปิดหมดเป็นค่าเริ่มต้นแล้วให้ตั้งค่าจำกัดทีหลัง สองทางเลือกนี้ให้ประสบการณ์นักพัฒนาต่างกันคนละโลก และคนที่จะเจอผลของมันก่อนไม่ใช่วิศวกร แต่คือคนตอบแบบสอบถาม vendor risk assessment

แหล่งข่าว

• Understanding ChatGPT Work — Simon Willison’s Weblog, 30 ส.ค. 2026
• ChatGPT Work Tool and Skill Reference (snapshot 31 ส.ค. 2026)
• The lethal trifecta for AI agents — Simon Willison, 16 มิ.ย. 2025
• กระทู้ Hacker News ของบทความ (31 ส.ค. 2026)