过去一年，首席信息安全官（CISO）在关注智能体浏览兴起的同时，既感到好奇，也心存担忧。与传统浏览器不同，智能体浏览器不只是加载网页，还会在网页上执行操作。它们可以读取内容、点击链接、总结文档、提取数据、填写表单，甚至代表用户购物。简而言之，这类浏览器会“代您浏览网页”，并自主执行发送电子邮件、创建日历事件甚至购物等任务。
“智能体浏览器将感知（读取和理解）与执行（采取行动）融为一体：在人看来不具备执行能力的内容，可能会成为AI智能体可执行的指令。”
随着F5 Distributed Cloud Bot Defense对实际应用中的流量模式进行分类，安全负责人不断提出一个问题：智能体浏览与传统浏览有何不同？是否会带来更多滥用行为和风险？
根据公开记录的独立智能体浏览器研究，答案似乎是肯定的：智能体浏览会带来新的滥用途径和更高风险，因为这些工具会将第一方和第三方内容解读为直接指令。这意味着它们可能遭到劫持，利用用户的现有凭据执行恶意操作。
智能体浏览如何改变威胁模型
传统浏览器负责呈现内容，并依靠人来决定是否采取行动。智能体浏览器在设计上将感知（读取和理解）与执行（采取行动）相结合。这种组合改变了信任边界：在人看来不具备操作性的内容，可能会成为AI智能体可执行的指令。研究人员已证实，攻击者可以将指令隐藏在URL、HTML、注释甚至屏幕截图中。当智能体读取这些内容时，相关指令可能会在已通过身份验证的会话中执行。
这正是区分智能体流量与人类流量至关重要的原因。智能体会话往往呈现非人类行为模式（机器速度的解析、自主表单交互、非线性导航），因此机器人缓解系统能够检测这些会话并采取差异化处理。随着生态系统的安全防护不断加强，这是一项必不可少的控制措施。
针对智能体行为的攻击示例
以下是智能体浏览器带来的一些安全和隐私风险。
CometJacking是一种提示词注入方法。恶意URL会暗中将原本提供帮助的浏览器助手变成数据窃取工具，并将单个URL用作数据外泄指令。该链接包含隐藏命令，指示智能体收集数据（例如电子邮件和日历条目）、对数据进行混淆处理（例如使用Base64编码），并将其外泄至攻击者控制的端点。由于智能体本身已拥有合法访问权限，因此无需窃取凭据。
网页中嵌入的隐藏指令是另一项安全风险。当用户要求浏览器“总结此网页”时，浏览器可能会将内容发送给其LLM，却无法可靠地区分可能包含嵌入式指令的不可信网页内容与用户命令。因此，攻击者可通过不可见或隐藏文本实施间接提示注入，访问电子邮件地址和一次性密码，并跨标签页执行未经授权的操作。
当浏览器的屏幕截图光学字符识别（OCR）功能捕获到人眼不可见、但机器可读的隐藏文本时，就会引发隐写术屏幕截图攻击。这些“幽灵指令”经OCR提取后会被解释为命令，从而绕过传统的浏览器保护机制（例如同源策略），导致未经授权的访问和数据窃取。链接到第三方图像的网站可能正遭受主动攻击，但其提供的内容看起来并无任何差异。
这些针对智能体行为的攻击示例表明，智能体浏览存在系统性而非孤立的问题，其根源在于自身架构：除非设置严格的边界，否则将内容通道与命令通道相结合，容易引发提示词注入和指令劫持。许多AI原生浏览器仍未经过充分的实战检验，由此产生的安全隐患可能波及任何集成的应用程序或连接器。
关键结论是什么？传统浏览不会将内容视为命令，而智能体浏览会。近期研究表明，攻击者可以利用这一差异。
降低智能体浏览风险的实践建议
鉴于针对智能体浏览器的漏洞利用已得到证实，且其他智能体工具中也可能存在类似风险，首席信息安全官（CISO）应针对智能体浏览制定明确的策略和控制框架。
- 实施访问和策略控制。这包括限制使用智能体浏览器，或仅在满足特定条件时允许使用。务必在边缘、Web应用防火墙（WAF）和应用层为AI驱动的浏览器设置明确的允许和拒绝列表。由于智能体客户端能够自主执行操作和处理指令，应将其视为风险较高的客户端。此外，敏感操作应要求升级身份验证。对于数据导出、个人资料或凭据变更、支付事件和管理操作，应触发多重身份验证（MFA）或重新授权，以便在智能体于已通过身份验证的会话中遭到劫持时限制损害。
- 检测和监控。 利用Distributed Cloud Bot Defense，通过行为和信号指标区分人工会话与智能体会话，从而检测并分类智能体流量。对智能体会话应用自适应策略。此外，持续监控行为异常，识别速度过快或一致性过高、超出人类正常行为的操作序列。结合风险评分，触发质询或限制临时会话。
- 实施应用级加固。务必验证所有会更改状态的请求，并强制执行服务器端检查（切勿仅依赖客户端信号）。这有助于降低隐藏指令攻击的成功率，此类攻击会诱骗智能体执行有害操作。对敏感端点实施速率限制，以限制身份验证尝试和金融操作，并限制导出及下载端点，从而遏制机器速度的自动化滥用。
- 尽量减少每个视图暴露的敏感数据。设计页面时，应避免智能体通过单次请求抓取大量敏感数据。此外，应盘点AI工具和智能体浏览器，并维护端点和应用映射，记录已安装的AI工具及其可访问的系统。将此项工作纳入攻击面管理。
- 针对智能体威胁采用红队策略。在进攻性安全计划中添加针对间接提示词注入、隐写载荷、恶意URL参数和跨标签页数据提取的测试用例。这有助于发现智能体浏览特有的控制缺口。探索F5 AI Red Team ，识别攻击面并部署以AI模型和应用漏洞为目标的智能体。
智能体浏览需要采用新的防御策略
由于智能体浏览会产生独特的行为模式，例如非人类操作时序、自主导航，以及反复执行摘要或提取操作，Distributed Cloud Bot Defense可以识别这些会话，并根据风险采取适当的应对措施，包括加强身份验证、实施速率限制、降低功能级别或直接阻止。随着智能体生态系统不断发展，以及浏览器厂商对内容隔离的理解不断深入，这种可见性至关重要。
上述针对智能体浏览器的漏洞利用手段，包括武器化URL、隐藏在页面中的指令，以及通过隐写术嵌入截图的提示词，表明智能体浏览会带来传统Web安全机制并非为之设计的风险。在智能体模型中，看似无害的内容可能转化为可执行指令，而经过身份验证的会话可能使AI智能体成为强大的内部威胁。
在智能体浏览器能够在内容与命令之间建立严格边界之前，首席信息安全官（CISO）应默认将此类客户端视为高风险，实施明确的策略，并依靠F5的高级机器人防御功能检测和管理智能体流量。在这个新时代，可见性和策略执行缺一不可。
立即评估风险敞口，预约智能体风险评估，与我们的安全团队深入沟通。
关于作者
相关博客文章
三家企业如何借助AI驱动的WAF改进虚拟补丁和运行时安全
了解三家F5客户如何利用AI驱动的WAF加快虚拟补丁部署、将误报减少50%以上，并更有信心地启用阻断模式。
F5 BIG-IP v21.0增强S3工作流的AI数据交付与摄取能力
使用F5 BIG-IP 21.0版优化S3工作流：通过低接触式配置，为AI数据交付、对象存储和RAG管道提供可扩展的安全解决方案。
Everest Group报告：生成式AI行业应用的当前趋势与未来前景
我们很高兴能为全球知名研究机构Everest Group发布的一份重要新报告作出积极贡献。该报告题为《生成式AI应用：审视横向职能中的实际应用与未来展望》，深入分析了各行业对生成式AI（GenAI）的应用情况。报告指出，IT［……］