2025年10月25日，TechCrunch发布的文章详述了AI浏览器代理（AI agent）如何在“替人浏览、执行任务”的能力下，放大了传统浏览器的安全盲点。与传统以人为驱动的浏览不同，这类代理能自动点击链接、填写表单、上传/下载文件、调用API并保存页面内容。文章列举了多个容易被利用的细节。
首先，代理在执行任务时通常需要访问页面DOM、读取响应并操作表单。这就带来了“凭证与会话数据误读”的风险：如果代理默认携带现有cookie或会话令牌，它可能在不经用户逐项确认的情况下，将敏感cookie、OAuth重定向令牌或CSRF令牌暴露给第三方域名或嵌入资源。TechCrunch指出，自动化脚本对同源策略与细粒度权限的依赖远低于人工操作，一旦脚本遵循恶意页面的“任意导航”提示，后果严重。
其次，页面可以通过“提示注入”（prompt injection）诱导代理执行未经授权的动作。文章描述了攻击者将诱导性指令伪装成页面内容、隐藏在HTML注释、图像alt文本或iframe中，借此改变代理的行为逻辑。对于依赖文本提示来决定下一步操作的模型来说，视觉与文本混合式的隐蔽指令尤其难以检测。
第三，文件上传与下载功能为数据外泄提供了路径。TechCrunch指出，代理在完成任务时可能会自动抓取本地文件或将抓取到的数据发往外部服务，尤其在企业环境中，敏感文档、API密钥或内部链接可能在无人核验的情况下被传输到攻击者控制的端点。
文章还强调了插件与第三方整合带来的链式风险。像Perplexity、OpenAI等公司为增强能力接入外部工具或API，但这些第三方服务一旦被攻击或设计不当，就会成为整个代理体系的薄弱环节。TechCrunch引述安全研究者的话称，当前很多实现依赖“信任堆栈”，缺乏端到端的权限最小化与行为可审计性。
面对这些问题，TechCrunch列举了若干缓解措施：一是强制逐步授权与操作确认，每次敏感动作都要求显式同意；二是对代理行为实施源约束与请求签名，确保动作只能由特定域或受限上下文触发；三是将代理置于更严格的沙箱环境，限制网络访问与文件系统权限；四是记录行为可追溯的审计日志与请求溯源，便于事后分析和责任判定。
文章最后提醒，尽管AI浏览器代理能显著提升单人效率，带来写摘要、执行采购搜索或整理资料等便捷体验，但在2025年10月25日这一节点，企业与个人都应当将安全防护置于优先位置。快速部署新功能的同时，也需要为代理设定更严的默认权限、可视化的决策路径以及更完善的异常检测机制，否则自动化带来的便利可能很快被攻击者利用为规模化窃取与篡改的工具。