Claude、Cursor、OpenClaw 集体上手机，不摸鱼、不请假、24h 为你打工

7 月 7 日，Anthropic 宣布 Claude Cowork 向网页端和移动端扩展，首批面向 Claude Max 用户开放。新 Cowork 将会话和文件保存在 Claude 账户中，通过远程环境运行——即使用户合上电脑，任务也能继续执行，定时任务不再要求任何设备保持在线。

Anthropic 给出的场景很直接：用户在办公桌前向 Claude 交代任务，离开电脑后在手机上继续查看；遇到需要人类判断的问题，通知推送到手机，用户决策后 Agent 继续。邮件发送、文件交付等最终动作仍需用户审查和批准。手机不再只是 Claude 的另一个聊天窗口，而开始成为管理 Claude 工作的控制台。

1. Claude Cowork：从桌面到远程基础设施

Cowork 最初更像「面向非程序员的 Claude Code」——用户把文件、资料和任务交给 Claude，让它制定计划并持续执行，而非停留于一次问答。2026 年 4 月已在 macOS 和 Windows 桌面端全面上线；此次进入网页与移动端，关键变化不是屏幕变小，而是执行环境从用户电脑迁移到远程基础设施。

Anthropic 表示 Cowork 可跨越文件、日历、邮件、通信工具、网页等完成任务：核对季度支出、整理合同续约风险、根据会议记录和销售数据制作客户材料、清晨自动准备工作简报。对 2026 年 5 月会话的分析显示，超过 90% 的使用场景并非软件开发，业务运营和内容创作合计约占一半——核心用户正从程序员扩展到财务、运营、销售、咨询和内容工作者。

工程师 Felix Rieseberg 兴奋表示「Claude 终于可以在电脑关闭后继续运行」。不过桌面端仍是最完整的入口，本地文件和浏览器访问等能力仍以桌面版本为主；网页和移动端主要解决任务连续运行、跨设备接力与远程审批。

2. Cursor 与 OpenClaw：手机变成「Agent 遥控器」

6 月 30 日，Cursor 推出原生 iOS 应用公开测试版。用户可在手机上选择代码仓库、启动云端 Agent，或远程控制仍在电脑上运行的 Agent。

Cursor 移动端的设计同样不是「在手机上写代码」——Agent 启动后用户可直接退出应用，通过锁屏实时活动和推送通知接收提醒，查看代码差异、运行日志、截图和演示结果，继续下达指令甚至直接合并 PR。云端 Agent 运行在独立虚拟机中，拥有完整开发环境，可安装依赖、运行测试并持续迭代。

同一天 OpenClaw 推出 iOS 和 Android 应用，但走另一条技术路线——手机应用本身不承载完整 Agent，而是一个「伴随节点」。

用户仍需在 macOS、Linux 或 Windows 上运行 OpenClaw Gateway，再将手机配对。手机用于对话、语音控制、查看任务状态、批准操作，并可在授权后调用摄像头、屏幕、位置和通知等设备能力。

三款产品执行模式并不相同：Claude Cowork 和 Cursor 强调云端执行，任务脱离用户电脑继续运行，降低部署门槛；OpenClaw 坚持本地优先，手机负责连接和控制用户自行运行的 Gateway，给予用户更强的数据和基础设施控制权。

社区讨论也由此展开——有用户质疑既然此前已能通过 Telegram 操作 Agent，为何还需独立应用；回答是原生应用更接近控制面板，也可通过 Tailscale 直连私人 Gateway，避免对话交给第三方平台。但移动端并未自动解决可靠性问题：OpenClaw 部分用户反映升级后出现 WhatsApp 连接失效、消息无法回复及工作流中断。这揭示 Agent 产品当前的真实状态——能力已支撑「持续工作」，但稳定性、权限边界和异常恢复仍远未达到传统企业软件水平。

3. 手机成为管理后台后，真正的竞争才刚开始

文章将 Agent 形态演进分为三阶段：第一阶段 AI 是聊天机器人，同步问答；第二阶段 AI 进入工作环境（Claude Code、Cursor 读写代码、编辑文件），但依附本地终端，电脑关机任务即止；第三阶段 Agent 脱离具体设备，迁移到云端 VM、远程沙箱或持续运行的 Gateway，异步执行长时间工作。

移动端正是第三阶段的管理入口。从 Cursor 和 Claude Cowork 的设计可见，手机界面最重要的功能不是长文本输入框，而是任务队列、运行状态、通知、结果预览、批准按钮和继续指令。人与 Agent 的关系由「提问者与回答者」变成「管理者与执行者」。

有网友指出，Cowork 宣传中「即使电脑关闭，任务仍会继续运行」点出了根本变化：AI 正从需要全程监督的助手，变成可无人值守独立工作的代理。真正的难点已从「Agent 有没有能力完成任务」转向「当它遇到信息不足、指令模糊或需权衡而用户又不在线时，应如何判断、是否继续、在哪个节点停下等待人工介入」。一旦不再需要全程盯着，过去根本不会启动的任务也会被排进队列——任务范围双向膨胀。

Cowork 测试功能正面向 Claude Max 用户（每月 200 美元）陆续开放，双倍使用额度延长至 8 月 5 日。网友形容：工作会一路跟着你走，但最终决定仍由你做；笔记本电脑可以一直合着。

Reddit 上也有更直接的质疑。PineappleLemur 认为，若系统不能始终按任务要求行动，使用本身是否风险过高——与其让结果不确定的 Agent 直接执行，为何不先用它开发能稳定运行的工具？EveyVendetta 则认为风险在承受范围内，前提是保留备份、不把一切交给 Agent 自动处理；关键是通过钩子实现确定性控制，用规则限定需主观判断的场景，迫使 Agent 按既定方式运行——他把这种模式比作雇用一名「思考过程可被读取」的员工，所有不涉及代码的决策必须经用户批准。

4. 模型之外的一整套基础设施

模型能力仍然重要，但决定产品能否真正进入日常工作的，是模型之外的一整套基础设施：

• 持久运行能力：Agent 必须在用户离线后保持任务状态，并能在网络中断、工具报错或上下文变化后恢复。
• 权限与审批机制：发送邮件、修改文件、合并代码、支付账单等不可逆操作，需区分哪些步骤可自动完成、哪些必须等待人工确认。
• 可观察性：用户需知道 Agent 读取了哪些资料、调用了哪些工具、做了什么修改、为何停在某个步骤，否则「数字员工」只会变成无法审计的黑箱。
• 成本可预测性：始终在线的 Agent 让基于 Token 的计费难以预测，企业需要固定套餐、预算限制和分级定价。
• 安全边界：Agent 获得更多权限（邮箱、日历、云盘、代码仓库、浏览器、支付），能力与风险同时增长。针对 OpenClaw 的真实环境安全研究发现，攻击者污染 Agent 的能力配置、身份信息或长期知识时，攻击成功率显著上升——长期记忆、工具权限和身份凭证本身都可能成为攻击目标。

手机上的 Agent 不是传统聊天机器人的升级版，而是可以随时打开的管理后台。Claude Cowork、Cursor 和 OpenClaw 集体进入移动端，意味着 Agent 产品正跨过分水岭——手机不再是人和 AI 聊天的地方，它正在变成人类管理一群 AI 员工的控制台。

---

My Take

这篇 InfoQ 文章本质上讲的是 Agent 产品的「控制平面迁移」：从本地终端的同步交互，转向云端/远程的异步执行 + 移动端审批。对前端/工程化视角而言，几个点值得深入思考：

1. 移动端 UI 范式转变——当核心交互从「长文本输入」变成「任务队列 + 状态机 + 批准按钮」，这几乎是一套全新的前端架构问题：实时状态同步（WebSocket/SSE）、任务队列的乐观更新与回滚、离线优先的通知系统。React 工程师会感到熟悉——这和 webrtc/协作编辑器的状态管理高度同构。

2. 可观察性即产品——文章把「黑箱 vs 可审计」列为关键基础设施。这意味着 Agent 产品需要内建结构化的执行日志、工具调用 trace、决策点回放。这不是可选的 DX 功能，而是合规与信任的硬性要求。谁先做出好的 Agent observability 面板，谁就拿到企业市场入场券。

3. 成本模型的根本冲突——Token 计费 vs 始终在线的 Agent 是结构性矛盾。当 Agent 一次任务跑几小时、跨多个工具调用，Token 成本对用户是黑箱。文章点到为止，但这其实是 agent 平台能否商业化的核心问题——需要的是类似云函数的「执行时长 + 资源」计费，而非纯 Token。

4. 安全边界被低估——OpenClaw 的研究显示「长期记忆和工具权限本身就是攻击面」，这比 prompt injection 更危险。当 Agent 持有邮箱、支付、代码仓库的长期凭证，一次配置污染就可能导致横向渗透。目前行业对这个风险的工程化防护还远不到位。

批判地说，文章对三家产品的技术差异分析偏浅——Cowork 的远程沙箱 vs Cursor 的云端 VM vs OpenClaw 的本地 Gateway，这三种执行模型在隔离性、成本、延迟、数据主权上的 trade-off 值得更深入的对比。另外，文章引用的 Reddit 讨论虽然提供了用户视角，但整体叙事偏「行业综述」，缺少对 Anthropic 把 Cowork 定价 200 美元/月的商业逻辑分析——这个价格点暗示 Anthropic 把 Cowork 当作生产力工具而非开发者工具定价，与其「90% 非编程使用」的数据互为印证，是一个值得展开的战略信号。