智能体浏览器在操作真实账户前，必须先解决权限设计

摘要

智能体浏览器最初看起来像一个效率功能：阅读网页、比较商品、整理资料、填写表单。但一旦它进入真实登录会话并能替用户点击按钮，风险就完全不同。浏览器不再只是显示页面，而是成为带有代理权限的操作环境。

核心问题是网页内容可能包含对人类不明显、但对模型有影响的隐藏指令。如果智能体同时拥有邮箱、购物、企业后台或云服务权限，一段恶意内容就可能被解释成真实动作。

这类产品的关键不是能不能自动化，而是能不能限制自动化。权限范围、人工确认、会话隔离、敏感操作阻断和操作日志，会决定用户是否敢把账户交给它。

正文

传统浏览器把判断权交给用户。用户看到域名、表单、按钮和上下文，然后决定是否继续。智能体浏览器改变了这个结构。模型在用户和网页之间读内容、理解任务并执行步骤。

这带来真实价值。它可以做资料搜集、流程整理、采购比较和跨工具操作。但在恶意网页面前，它也可能把页面中的攻击内容当成指令。Prompt Injection 在浏览器中尤其危险，因为模型输出可能连接到真实账户动作。

第一道防线是最小权限。比较商品的智能体不应该访问企业后台。整理日程的智能体不应该下载私人文件。填写公开表单的智能体不应该自动完成付款。权限必须跟任务绑定，而不是跟浏览器会话默认绑定。

第二道防线是人工确认。敏感动作前，界面应该清楚说明网站、账户、数据、费用和不可逆结果。用户确认的不是一个抽象弹窗，而是一个具体后果。

第三道防线是审计。系统需要记录访问页面、解释到的指令、建议动作、确认人和最终结果。没有日志，事故发生后无法判断是页面攻击、模型误判、用户误操作还是产品设计问题。

智能体浏览器会继续发展，因为它能减少真实摩擦。但越接近真实账户，它越需要像安全系统一样设计。会停下来的智能体，才是可以被信任的智能体。