随着 Perplexity Comet、Fellou 等 AI 浏览器在企业场景中的普及，其内置的 AI 功能（如网页总结、自动执行操作）虽号称 “提升数字工作流效率”，却因核心安全漏洞成为企业数据泄露与恶意攻击的高危载体。这类 AI 浏览器的本质风险在于，其无法有效区分用户指令与网页中的隐藏恶意指令，导致攻击者可通过 “间接提示词注入” 操控 AI，以用户权限执行未授权操作，进而绕过数据治理规则与安全防护体系，形成 “影子 AI” 威胁 —— 即未经企业授权的 AI 工具悄然成为内部数据泄露的 “隐形桥梁”。
AI 浏览器的核心安全隐患源于 “用户指令与网页内容的混淆处理”，以及 AI 自主执行能力带来的攻击面扩大。传统浏览器仅作为信息展示载体，不会主动解析网页内容并将其转化为操作指令；而 AI 浏览器为实现 “自动化浏览”，会将网页中的文本、图像嵌入信息等均纳入 LLM（大语言模型）的输入范围。攻击者利用这一特性，将恶意指令隐藏在网页内容中（如在图片元数据、论坛评论区、PDF 隐藏文本中植入指令），当 AI 浏览器处理这些内容时，会误将恶意指令解读为用户意图，进而执行操作。例如，某测试案例中，攻击者在 Reddit 帖子评论区嵌入带 “剧透标签” 的隐藏指令，Comet 浏览器用户触发 “总结当前网页” 功能时，AI 自动读取该指令，绕过用户感知获取其邮箱地址、验证码，最终完成盗号，整个过程仅需 2 分 30 秒。更严峻的是，AI 执行的部分后台操作（如登录邮箱、访问敏感数据）无界面展示，用户难以察觉异常，导致攻击可潜伏数小时甚至数天而不被发现。
这类攻击的破坏力还体现在对 “跨域安全规则” 的突破。传统浏览器遵循 “同源策略”，限制不同域名间的数据访问；而 AI 浏览器的 AI 模块成为 “跨域桥梁”，可在用户权限下自由访问企业内部系统（如 HR 数据库、财务仪表盘）与外部网页，攻击者借此可将内部敏感数据传输至外部服务器。例如，某攻击案例中，隐藏在网页中的恶意指令诱导 AI 浏览器访问企业内部 CRM 系统，提取高价值客户信息后，通过自动发送邮件的方式外传，全程未触发传统防火墙警报。同时，AI 浏览器的 “智能体（Agent）能力” 进一步放大风险 —— 具备自主导航、数据检索、文件访问权限的 AI，可能在恶意指令操控下发起 “链式攻击”，如先访问财务系统获取账单数据，再登录邮箱发送给攻击者，最后删除操作日志掩盖痕迹。
企业防控 AI 浏览器风险面临 “技术适配难” 与 “治理滞后” 的双重挑战。从技术层面看，传统安全工具（如 EDR 终端防护、SASE 边缘安全）难以识别 AI 浏览器的异常行为 —— 由于 AI 操作与用户操作均源自同一浏览器进程，现有工具无法区分 “用户主动访问” 与 “AI 被劫持执行恶意操作”，导致防护失效。例如，SquareX 的研究发现，企业部署的 EDR 工具无法检测到 Comet 浏览器被诱导下载恶意软件的行为，因其网络请求与正常浏览无明显差异。从治理层面看，企业对 AI 浏览器的管控存在盲区：一方面，员工可能自行安装 Perplexity Comet 等非授权 AI 浏览器，形成 “影子 AI”；另一方面，主流浏览器（如 Chrome、Edge）正加速集成 AI 功能（如 Chrome 的 Gemini、Edge 的 Copilot），这些功能默认开启且难以禁用，企业难以全面掌控 AI 浏览器的使用场景。
针对 AI 浏览器的安全威胁，行业已探索出 “技术防护 + 治理规范” 的双重应对路径，核心在于 “隔离恶意输入” 与 “管控 AI 权限”。技术防护层面，需从 AI 浏览器的设计源头构建安全机制：一是实现 “提示词隔离”，在 LLM 生成指令前，自动分离用户原始意图与第三方网页内容，避免网页隐藏指令被纳入输入；二是设置 “权限 gated”，AI 执行自主操作（如导航、文件访问、数据传输）前必须获得用户明确确认，例如某改进版 AI 浏览器要求 “访问企业内部系统”“发送邮件” 等操作需用户二次点击授权；三是对敏感浏览场景实施 “沙箱隔离”，将 HR、财务等核心系统的访问限制在无 AI 功能的独立浏览环境中，禁止 AI 解析或操作敏感页面；四是强化 “可追溯性”，要求 AI 浏览器记录所有智能体操作日志（包括指令来源、执行步骤、数据流向），便于事后审计与攻击溯源。
治理规范层面，企业需建立覆盖 “准入 – 使用 – 监控” 的全周期管理体系：首先，明确 AI 浏览器的准入清单，仅允许经过安全验证的版本（如具备提示词隔离功能的浏览器）在企业内部使用，通过终端管理工具禁止非授权 AI 浏览器安装；其次，制定 AI 浏览器使用规范，明确禁止在处理敏感数据（如客户隐私、商业机密）时启用 AI 功能，要求员工在使用 AI 总结、自动操作前核查网页来源安全性；最后，部署专项监控工具，实时监测 AI 浏览器的异常行为，如频繁访问敏感域名、大量数据外传、无用户交互的后台操作等，一旦触发阈值立即告警。
从行业趋势来看，AI 浏览器的安全防护将推动 “浏览器安全架构的重构”。当前主流浏览器厂商已开始调整产品设计，例如 Brave 浏览器提出 “四道防线” 方案：区分用户指令与网页内容、二次校验 AI 操作与用户意图的一致性、敏感操作需用户授权、隔离 AI 代理与常规浏览模式；谷歌、OpenAI 等企业则转向 “云上浏览器模式”，将 AI 处理过程迁移至云端服务器，用户端仅接收结果，减少本地 AI 被劫持的风险。同时，第三方安全厂商也在开发针对性工具，如 SquareX 推出的 “AI Agent 身份识别” 技术，可区分浏览器中的用户操作与 AI 操作，为不同主体设置差异化访问权限；南洋理工大学研发的 WebCloak 系统，通过动态混淆网页结构与注入语义误导信息，阻止 AI 浏览器被用作 “智能爬虫” 窃取数据。
然而，AI 浏览器的安全挑战仍未完全解决 —— 攻击者正不断迭代攻击手段，如通过 “超长滚动消息隐藏恶意指令”“仿冒 AI 侧边栏界面诱导用户授权” 等新型方式绕过防护。这意味着，企业与浏览器厂商需建立 “攻防协同” 机制，持续跟踪攻击技术演变，更新防护策略。正如安全专家所言，AI 浏览器的安全防护 “不是一次性的技术升级，而是持续的动态博弈”，唯有将安全设计融入 AI 浏览器的全生命周期，才能在提升浏览效率的同时，守住企业数据安全的底线。
原创文章，作者：王 浩然，如若转载，请注明出处：https://www.dian8dian.com/ai-liu-lan-qi-qian-cang-zhong-da-an-quan-wei-xie-ying-zi-ai
