OpenWorker: Đồng nghiệp AI mã nguồn mở của Andrew Ng - không chỉ trò chuyện, mà bàn giao thành phẩm

Kiến trúc: Một ngăn xếp bốn lớp chạy hoàn toàn trên máy local

OpenWorker chạy hoàn toàn trên máy của người dùng, không cần máy chủ suy luận (inference server) trên đám mây. Kiến trúc của nó gồm bốn lớp riêng biệt :

• Desktop Shell: Một cửa sổ native Tauri 2 (mã bundle com.openworker.desktop) bao bọc giao diện React 18. Lớp này cũng giám sát tiến trình máy chủ Python.
• Máy chủ tác tử cục bộ (Local Agent Server): Được xây dựng trên Python 3.10+ sử dụng FastAPI với Uvicorn, máy chủ này liên kết với 127.0.0.1:8765 trên máy local. Nó có giới hạn mặc định là 12 vòng lặp mô hình-công cụ cho mỗi tác vụ.
• Lớp năng lực & kết nối (Capability & Connector Layer): Cung cấp một bộ công cụ cục bộ để tương tác với hệ thống tệp tin, git, tìm kiếm dựa trên ripgrep, shell, và danh sách việc cần làm. Lớp này cũng bao gồm các tích hợp được lưu trữ (hosted integrations) và hỗ trợ Giao thức Ngữ cảnh Mô hình (MCP).
• Bộ định tuyến mô hình (Model Router): Giao diện mô hình cốt lõi được xây dựng dựa trên aisuite, thư viện LLM không phụ thuộc vào nhà cung cấp do chính Andrew Ng phát triển. Điều này cho phép OpenWorker cung cấp một giao diện thống nhất cho các nhà cung cấp mô hình native, tương thích OpenAI, đại lý (reseller) và mô hình cục bộ . Kho mã nguồn chứa 119 tệp Python (~32.400 dòng) trong thư mục coworker/, 149 tệp TypeScript/TSX trong thư mục surfaces/gui/, và 78 mô-đun kiểm thử backend .

Các mô hình được hỗ trợ: 30 mô hình được tuyển chọn, mang key riêng đến

OpenWorker không khóa người dùng vào một nhà cung cấp duy nhất. Nó hỗ trợ 30 mô hình đã được tuyển chọn trên nhiều danh mục, tất cả đều yêu cầu người dùng tự mang khóa API của mình (BYOK) . Các mô hình được hỗ trợ bao gồm:

• Các nhà cung cấp native: OpenAI GPT-5.6 Sol, Terra, Luna, GPT-5.5; Anthropic Claude Fable 5, Opus 4.8, Sonnet 4.6, Haiku 4.5; Google Gemini 3.6 Flash, 3.1 Pro, 2.5 Pro, 2.5 Flash.
• Các nhà cung cấp tương thích OpenAI: GLM-5.2, DeepSeek V4, Kimi K2.6, MiniMax M2.5, Qwen3 Max, Grok 4.3, Mistral Large.
• Mô hình mã nguồn mở được lưu trữ (Hosted Open-Weight Models): Có sẵn thông qua các đối tác như Together AI và Fireworks.
• Mô hình chạy hoàn toàn cục bộ: Có thể truy cập thông qua Ollama, không yêu cầu khóa API.

Hệ thống cấp quyền và an toàn

Một trong những tính năng chính của OpenWorker là cách tiếp cận vấn đề an toàn. Mỗi lệnh gọi công cụ mà tác tử thực hiện được phân loại vào một trong bốn cấp độ rủi ro :

1. read — xem dữ liệu cục bộ (không có tác dụng phụ)
2. write_local — tạo hoặc sửa đổi tệp tin trên máy (giới hạn trong đường dẫn)
3. exec — chạy các lệnh shell
4. external — gửi dữ liệu ra ngoài máy (ví dụ: đến Slack, email, hoặc lịch)

Các cấp độ này sau đó được kiểm soát thông qua năm chế độ cấp quyền :

1. discuss — chỉ thảo luận (chỉ đọc)
2. plan — chỉ lập kế hoạch (chỉ đọc)
3. interactive (mặc định) — yêu cầu người dùng xác nhận trước khi thực hiện ghi, lệnh và các hành động bên ngoài
4. auto — cho phép mọi thứ nhưng vẫn giới hạn trong đường dẫn
5. custom — tự động phê duyệt một bộ công cụ do người dùng chỉ định

Phòng vệ tấn công Prompt Injection

Để bảo vệ khỏi các cuộc tấn công prompt injection, OpenWorker bao gồm một "ops persona" được tích hợp sẵn, hướng dẫn mô hình coi nội dung từ các công cụ, nhật ký, tệp tin và tin nhắn đến là dữ liệu không đáng tin cậy (untrusted data) chứ không phải là chỉ dẫn (instructions). Biện pháp phòng vệ này được viết trực tiếp vào tệp cấu hình persona được phân phối kèm .

Thiết kế ưu tiên quyền riêng tư

OpenWorker được thiết kế với các nguyên tắc bảo mật mạnh mẽ :

• Các lệnh gọi mô hình được định tuyến trực tiếp từ máy người dùng đến nhà cung cấp đã chọn — không có máy chủ chuyển tiếp trung gian nào cả.
• Các cuộc hội thoại, mã thông báo kết nối (connector tokens) và khóa API vẫn ở lại máy local. Kho lưu trữ bí mật (secret store) được thiết kế sao cho các bí mật không bao giờ đi vào ngữ cảnh của mô hình, lời nhắc (prompts) hoặc dấu vết (traces).
• Thành phần đám mây tùy chọn duy nhất là một môi giới OAuth (sử dụng Auth0 Authorization Code với PKCE) để bắt tay kết nối một cú nhấp chuột. Các mã thông báo kết nối được trao trực tiếp cho máy và không bao giờ được lưu trữ trên đám mây.
• Ứng dụng hoạt động hoàn toàn ngoại tuyến khi khóa API và thông tin xác thực được dán thủ công.

Hỗ trợ nền tảng và trạng thái hiện tại

OpenWorker hiện chạy trên Mac, hỗ trợ Windows đang được "sắp ra mắt" . Dự án đang trong giai đoạn thử nghiệm beta mở và được mô tả là hoàn toàn có thể sử dụng được, với khả năng tự cập nhật .

Sự kết thúc của mô hình chatbot?

OpenWorker được định vị rõ ràng là một sự chuyển đổi khỏi mô hình chatbot. Thay vì đưa ra lời nhắc cho một cuộc trò chuyện, người dùng chỉ định một kết quả đầu ra (outcome) mong muốn (ví dụ: "hộp thư đến đã được phân loại," "tài liệu đã được trau chuốt," "trả lời Slack với số liệu quý 3," "mục lịch đã được cập nhật"). Sau đó, tác tử sẽ chia nhỏ mục tiêu đó thành các bước, làm việc trên các tệp cục bộ và các ứng dụng được kết nối, đồng thời tạm dừng để chờ con người phê duyệt trước khi thực hiện các hành động quan trọng . Nó hỗ trợ hơn 25 tích hợp cộng với MCP, bao gồm các công cụ như Telegram, GitHub, Slack, Jira, Notion, Linear, HubSpot, Outlook, Gmail và Google Calendar .