Gartner 对 AI 浏览器的建议，不是“谨慎采用”，也不是“先做试点”，而是直接写在标题里：网络安全部门必须暂时封锁 AI 浏览器。对一家通常主张稳步推进的研究机构来说，这样的措辞相当少见。
十个月过去，局面更加复杂。针对浏览器智能体的攻击已经从实验室走进真实事件；与此同时，专为 AI 智能体设计的企业浏览器在 2026 年 10 月 29 日正式发布。而员工并不会等公司政策出台才开始使用。
什么是代理型浏览器？
代理型浏览器是内置 AI 智能体的网页浏览器，可以代替用户阅读网页、点击按钮、填写表单，并跨网站串联多项任务。它和只会回答问题的聊天机器人不同，是在员工已登录的系统里直接行动，拥有与员工相同的访问权限。
常见例子包括 Perplexity 的 Comet 和 OpenAI 的 ChatGPT Atlas。用户只要说一句“对比这三家货代的报价，并更新运输计划表”，智能体就会自己去操作。
问题在于，浏览器正是员工进入客户管理系统、人事系统、网银和共享文件夹的入口。一个能在这些系统中行动的智能体，也同时继承了全部访问权。
Gartner 为什么建议企业封锁 AI 浏览器？
Gartner 在 2025 年 12 月发布建议，指出 AI 浏览器的默认设置偏重用户体验而非安全，会把浏览内容发送到云端 AI 服务，并且容易受到间接提示注入攻击而执行未经授权的操作。它建议企业用现有的网络和终端管控手段，先行封锁安装。
据 CSO Online 和 The Register 报道，Gartner 分析师提出了三项主要担忧：
--- 数据泄露：AI 侧边栏可能把打开的标签页、页面内容和浏览记录发送到云端
--- 失控操作：间接提示注入可能让智能体执行用户从未打算进行的动作
--- 不安全的默认值：出厂设置以便利和自动化为先，而不是企业管控
提示注入如何让浏览器智能体反过来攻击你？
提示注入是把指令藏在智能体会读取的内容里，比如网页、邮件或文档。由于智能体无法可靠地区分数据和指令，它可能会执行这些隐藏指令，例如导出数据或提交表单，而且用的正是员工本人的登录权限。
OpenAI 在 2025 年 12 月已经承认，提示注入可能永远无法从浏览器智能体中彻底消除。此后，证据不断出现：
--- 2026 年 3 月：据云安全联盟（CSA）研究报告，Zenity Labs 披露了名为“PleaseFix”的零点击劫持手法，主要影响 Perplexity Comet
--- 2026 年 6 月：LayerX 的“BioShocking”研究攻破了六款 AI 浏览器及扩展程序，其中包括 OpenAI 的产品，用于窃取登录凭证
到 2026 年底，全面封锁还是正确答案吗？
对于无法管理的消费级 AI 浏览器，封锁仍是正确的默认做法，但已不是唯一选择。专为 AI 智能体设计的企业级浏览器，已经提供按智能体授权、只读模式和审计记录。对大多数企业来说，务实的方向是“圈控”：管不住的就封锁，决定放开的就严格治理。
以 Island 为例，这家公司在九月以 64 亿美元估值完成 4 亿美元融资，并于 10 月 29 日推出面向 AI 智能体的企业浏览器。其公告列出的管控措施，正好说明了“可治理”的标准：
--- 按智能体、按应用授权，并可限定只读不写
--- 在 ERP 等核心系统上强制只读，智能体只能查看，不能修改或删除
--- 由密码库直接填入登录信息，密码不会进入 AI 模型的上下文
--- 审计记录清楚标注每项操作由人还是智能体执行
企业在放开浏览器智能体前，应要求哪些管控？
放开之前应具备五项管控：按应用限定权限、核心系统默认只读、登录凭证与 AI 模型隔离、审计记录区分人和智能体，以及付款、批量导出等高影响操作必须由人确认。五项缺一项，最安全的答案仍然是封锁。
其中，凭证隔离最容易被忽视。智能体使用的密码和密钥，应该像其他机器身份一样严格管理，相关原则可以参考为什么 AI API 密钥就像公司信用卡。
香港企业应如何选择：封锁、圈控还是放开？
香港企业应按数据敏感度和监管风险来决定。凡涉及个人资料或受监管客户数据、而五项管控尚未到位的系统，一律封锁；低风险工作可以在受治理的试点中圈控使用；试点证明管控和成效都可靠之后，再扩大放开。
本地监管环境也支持这种审慎态度。个人资料私隐专员公署 2026 年对 60 家机构进行合规审查后，建议所有开发或使用 AI 的机构建立 AI 战略和治理架构，多家律所的解读也指出代理式 AI 正在兴起。
以一家跨境物流公司为例：让智能体在公开网站上查询航班和港口动态，属于低风险的圈控试点；让同一个智能体进入存有客户身份信息和付款记录的订单系统，则是完全不同的决定，在管控得到验证之前，应归入封锁类别。
企业治理浏览器智能体时最常犯哪些错误？
常见错误包括：以为通用 AI 政策已经覆盖浏览器智能体、只禁止而不检测影子使用、让智能体继承员工的全部权限，以及只衡量使用率而不衡量管控效果。这些做法在纸面上看似合规，实际上让企业暴露在风险之中。
另一个盲点，是把这件事当成纯 IT 决策。智能体可以接触哪些流程，本质上是业务和风险决策，需要运营总监、风险负责人和数据保护负责人共同参与。
管理层在未来 90 天应该做什么？
未来 90 天，管理层应先盘点现有 AI 浏览器的使用情况，发布明确的过渡政策，选定一个具备五项管控的低风险试点流程，并向风险委员会汇报结果。这样，原本无人管理的风险，就变成有明确决策节点的受控实验。
--- 第 1 至 30 天：盘点公司设备上的 AI 浏览器和扩展程序，公布封锁范围
--- 第 31 至 60 天：选定企业级方案和 10 至 20 人的试点小组
--- 第 61 至 90 天：复盘日志、事件和节省的工时，再决定扩大、调整或停止
结语：管好浏览器，因为工作就在那里发生
代理型浏览器把 AI 从“回答问题”推进到“在业务系统里采取行动”。这让它成为员工手中最有价值、也最容易被攻击的工具之一。
封锁可以争取时间，圈控可以积累证据。用好下一个季度建立管控的管理者，才能在业务部门提出需求时，有底气地说“可以”。懂AI，更懂你 UD相伴，AI不冷。
由 UD 企业 AI 及网络安全团队审阅。
强化企业安全 🛡️ 立即行动
UD 是值得信赖的託管安全服务供应商（MSSP）
拥有 20+ 年经验，已为超过 50,000 家企业提供解决方案
涵盖渗透测试、漏洞扫描、SRAA 等全方位网络安全服务，全面保护现代企业。从评估 AI 浏览器风险、测试管控到监测智能体活动，UD 团队手把手带你完成每一步。