2025年12月08日 — 咨询巨头 Gartner 在一份面向企业安全负责人的报告中给出了强烈、明确的建议：将内置生成式代理或自动化动作的“AI 浏览器”在可预见的未来全面封禁。
报告指出，这类浏览器能够代表用户在网页上“点击、填写表单、下载文件、运行脚本并与第三方服务交互”。这意味着攻击者或恶意模型只需通过对话式指令，就可能把复杂的浏览器操作自动化并规模化执行，从而绕过传统以人为核验为中心的安全控制。
Gartner 的分析强调两类关键风险。其一是“懒惰用户”风险：员工可能把强制性的合规或信息安全培训、敏感操作交给代理去完成，导致企业无法证明人的参与或认证流程被有效执行。其二是攻击者能力被放大的风险：自动化代理可用于进行定向钓鱼、凭证抓取、会话劫持甚至把社交工程扩展为多步骤的自动化攻击链。
报告举例说明，AI 浏览器的自动化动作可以无缝执行包括下载附件、触发后端 API 调用和修改网页表单在内的步骤；在没有充分隔离和数据防泄露（DLP）策略的情况下，这些动作可能把企业资产、敏感文本或凭证暴露给外部模型或第三方服务。Gartner 强调，生成式模型未必总能正确识别敏感数据或遵守保密边界，幻觉（hallucination）和错误执行可能在自动化场景下放大成实体风险。
与此同时，分析师在题为“Analysts worry lazy users could have agents complete mandatory infosec training, and attackers could do far nastier things”的配套评论中指出，攻击者不仅能让代理完成合法操作，还能诱导代理执行“比人工更隐蔽、更快”的恶意步骤，例如链式权限提升、在多个站点间自动搬运敏感信息或持续化的密码重试攻击。
Gartner 因此建议企业采取保守策略：把带有生成式代理能力的浏览器和扩展视为高度风险的资产，在企业网络和端点上禁止或严格隔离其运行。企业应优先采用经过审查的受控环境（如隔离的虚拟机或加固的浏览器实例）、加强 DLP 策略、阻断未经授权的外部模型调用，并在身份认证与会话管理方面施行更严格的多因素与最小权限策略。
报告还提醒安全团队关注供应链风险：如果代理依赖第三方模型或插件，攻击者可能通过模型投毒、恶意扩展或服务端后门将危险功能注入自动化流程，从而在用户不知情的情况下放大攻击面。
这份建议意在给企业长远的防御思路——在技术成熟前不要把关键业务流程交给能够自动在互联网上执行动作的代理。Gartner 的立场直接挑战了“把生产力交给AI”这一潮流，认为在没有可验证的执行证据和牢固隔离措施之前，放任这类技术在企业环境中自由流动代价太高。
对于希望试用此类功能的团队，报告建议先在严格控制的沙箱环境中做评估，明确代理可访问的数据范围、审计日志的可信度、以及在异常或被滥用时的快速阻断机制。
无论是信息安全负责人还是产品团队，Gartner 的建议都发出清晰信号：在 2025 年 12 月 08 日发布的立场中，AI 浏览器并非简单的生产力工具，而是一类需要被当作潜在攻击面来管理的新技术。