Google 的智能体不再驾驶一个由 Google 运行的浏览器，改去驾驶你正登录着的那一个，而且能取用你保存的密码——官方的安全说法是：遇到付款这类敏感操作时会把控制权交还给你。可付款恰恰是那台机器上唯一带着拒付窗口、背后还站着一个反欺诈部门的动作。真正无法挽回的那些——邮箱被读、数据被拷走、找回地址被改掉——全在那条线的无人值守一侧；而它们落到那一侧，是一个设计决定，不是一次疏忽。
变的是什么
Gemini Spark 的 Chrome 自动浏览于 2026 年 8 月 3 日起在美国向 Google AI Pro 与 AI Ultra 订阅者推送，此前于七月底发布。能力本身并不新；新的是它所在的位置。
| 项目 | 之前 | 现在 |
|---|---|---|
| 浏览发生在哪里 | 一个由 Google 托管的远程浏览器 | 你日常在用的桌面版 Chrome |
| 在目标站点上的身份 | 你显式登录过的那些 | 你本人——通过你正生效的登录会话 |
| 可取用的凭据 | 默认没有 | Chrome 保存的密码，经你许可 |
| 人工闸门 | 会话级 | 付款等敏感操作时交还控制权 |
| 可用范围 | — | 先美国，AI Pro 与 AI Ultra 档，其他地区随后 |
请诚实地看待这笔交换，因为它是真实的。远程浏览器是个更差的产品：它看不见你已经订了一半的那张机票，用不了你已登录的那个账号，凡事都要你再登录一遍。搬进本地配置文件，一步就把这些摩擦全消掉了；用户的感受会是"这东西终于能用了"。也正因为如此，才值得把它的代价说精确。
闸门恰好设在了可撤销的那个动作上
给付款设闸符合直觉，这个赛道上每个产品也都这么做。但细看之下，这也是最安全的一条划线位置——安全的意思是：它保护的，是本来就已经受保护的那一类动作。
一笔刷错的卡令人难堪，但通常能挽回：有争议处理流程、有时限窗口、有一个负着合规义务的对手方，往往还早就设了消费限额。再看看同一个配置文件里、只隔着一次点击的那些动作：
- 读取。一个邮箱、一个文档库、一套 CRM。没有什么可撤销，没有通知，而对攻击者来说，这本来就是整件事的目的。
- 把数据往外拷。粘进一个表单、上传一个文件、发出一条消息。一旦落到别处就收不回来了，而"智能体在做这件事"看上去和"用户在做这件事"一模一样。
- 改掉账号的找回地址。这是互联网上杠杆最高的一次写入，因为它把一次会话换成了永久访问权。许多站点在放行之前会再次要求输入密码——而那恰恰是一个保存好的密码库消掉的那道保护。
- 授予第三方 OAuth 权限。事后可以撤销，但这中间被取走的数据不能；而那个授权确认页，对一个"在读页面"的东西来说，不过是又一个页面。
这些都不是什么异域攻击。它们是一个浏览智能体在正当工作过程中不断执行的普通动作——正因如此，才不可能给它们逐个设闸而不毁掉产品。闸门之所以设在付款上，是因为付款是唯一一类"确认弹窗既有意义、又稀少到人能忍受"的动作。
这是一个环境权限问题，而且并不新鲜
之所以不能靠多加几道闸门来修好这道闸门，是因为那份权限压根就不附着在动作上。一份浏览器配置文件，是最纯粹形态的环境权限：调用时什么都不用传递，因为 cookie 罐替你出示了。问这个智能体被允许做什么，你会得到一张功能清单。问它够得着什么，诚实的答案是"你碰巧登录着的那批站点"——而这份清单从来没人列举过，包括你自己。
这让处在这个位置上的任何智能体都成了教科书式的混淆代理：它持有你的权限，它从读到的页面里接受指令，而它没有任何有原则的办法，把一项任务与嵌在商品列表、评论、PDF 或邮件页脚里的一句建议区分开。这个失败不需要模型被攻陷、被越狱，或者在任何事情上判断错了。它只需要模型乐于助人，而那正是它被造出来的目的。
还有一项更安静的代价，只在出事之后才现形：归因。当智能体通过你的会话行事，对面每一条服务器日志、每一份审计轨迹、每一个反欺诈模型，记下的都是"你做的"。没有哪个字段写着"这是一个智能体干的"。你没法据此筛选，你的银行也没法，而万一你需要证明某件事不是你做的，证据只在你自己的机器上，别处没有。一个有自己身份的智能体——正是智能体身份所主张的那种安排——不只是更安全，它还是唯一一种能留下一份日后有人推理得动的记录的版本。
"防护提示词注入"是一个概率，而刚刚改变的是那个乘数
Google 说这项功能包含针对提示词注入的防护，这个说法该按字面接受：这些防御是真实的、在变好，而 Chrome 团队手上能拿来构建它们的信号，比几乎任何人都多。它们不可能做到的，是完备。注入不是一个有补丁可打的缺陷类别；它是"把不可信文本喂给一个分不开数据与指令的系统"的必然后果——这是用大白话讲提示词注入里的论证，也是为什么2026 年的防御是一套分层缓解的叙事，而不是一次修复。
所以，读一项防御的诚实方式，是把它读成一个残余发生率；而 8 月 3 日改变的不是这个发生率，是一次成功值多少钱。同一个页面、同一句注入进去的指令，打在一个干净远程浏览器里的智能体身上，攻击者买到的是一次匿名会话。打在你配置文件里的智能体身上，买到的是那个 cookie 罐认证过的一切。把注入成功率砍掉一半，是一个季度的好活儿；而把收益乘上"你整个已登录的人生"那么大，只需要一次产品发布。
更广的生态正在这根轴上朝相反方向走，这才让这次发布变得有意思，而不只是有风险。把浏览器变成用完即弃的论证是：每个任务一份全新上下文，意味着任务之间什么都不会带过去。而一个跑在你日常配置文件里的消费级智能体，是相反那一注的极大化版本：一切都带过去，永远带，而且是有意为之——因为方便正是从那里来的。
该怎么办
如果你在用它
给它一份配置文件，而不是你的那份。Chrome 的配置文件是免费的，切换只要一次点击：新建一份专用于智能体跑腿，只登录这些跑腿事项需要的那两三个服务，把邮箱、银行和密码库留在外面。这只花几分钟，却把一个无边界的可达集合，换成了一份你自己写下来的清单。然后，凡是你不会交给一个临时工的东西，就让密码管理器彻底不参与其中：自动填充正是那个把"会读页面"变成"能在任何地方完成认证"的机制。
如果你在管一支设备队伍
在有人靠"装上它"做决定之前，先用政策把这件事定下来。要紧的问题是：哪些 Chrome 配置文件可以跑智能体、企业 SSO 会话能不能从其中一个够到，以及事后你的日志会怎么写——而第三个问题当下的答案是"写着那是用户本人"，这正是该被摆上桌的那部分。企业数据经由员工自己会话里的一个智能体流出，并不是一个新的管控问题，但它恰恰是围绕数据外泄风险建起来的出网与 DLP 工具大多看不见的那一类，因为那些流量看上去就是一个已登录的人在用浏览器做寻常的事。
如果你在造一个
把这次发布当作一份"用户从此会期待什么"的规格说明，并据此给安全工作定价。具体来说：按任务签发凭据而不是继承一个会话，见面向智能体的最小权限凭据；给"智能体可以把读到的东西发往何处"加一份允许清单，见出网控制；把读的身份和写的身份分开；并且按"能不能撤回"而不是按货币符号来设闸门。如果你的确认清单上只有"付款"，那你设闸的恰好是那个本来就有保险的动作。
这次发布底下那条经得起时间的原则：确认闸门保护的是有人列举过的那些动作，而环境权限恰恰就是没人列举过的那份权限。当一个智能体搬进一个人类已经栖居的环境，可达集合会无声地变大，而闸门清单不会——所以真正有用的安全问题从来不是"它做之前会问我什么"，而是"这个环境里有什么，是它根本不需要开口问的"。在授予权限之前，先在纸上回答这个问题；因为授予之后，答案就变成被发现的，而不是被设计的了。
常见问题
这比早就存在的那些浏览器智能体更糟吗？
不是种类上更糟——是触及范围更大。基于扩展的和桌面端的智能体在用户配置文件里跑已经有一阵了，而它们每一个都继承着同样的环境权限。这次不同的是分发：它推送给桌面端使用率最高那个浏览器的消费级订阅者，从而把一场小众的安全讨论，变成了非常多人的默认配置。
Google 会看到我的密码吗？
官方给出的设计是：智能体经你许可、用你保存的凭据代你登录，而不是把它们导出去。这个区分对机密性有意义，对本文的论证则完全没有意义：无论智能体是持有那个密码，还是仅仅把它花出去，它能行使的权限是一样的，一个被说服的智能体能拿它做的事也是一样的。
我能不能直接对敏感站点说不？
按站点关闭是有帮助的，也值得去设。但它对这个问题来说形状不对：它要求你事先预测出危险集合，而整套环境权限论证质疑的正是这个前提。换一份独立配置文件，是把这个集合框住而不是列举它，而且还更省脑子。
更好的注入防御最终不会让它变安全吗？
会更安全，但残余不会归零——这个领域里每一层防御都是降低发生率，而不是消除。正确的应对不是等那个发生率，而是把"一次成功值多少钱"缩小；而后者是你这一侧就能做的决定，今天就能做。
我怎么分辨某件事是智能体做的还是我做的？
到今天为止，多半分辨不了；而这正是这套设计里最少被讨论的部分。经由你的会话所做的动作，在每一份要紧的日志里都与你自己做的无从区分。如果这个性质对你的用途不可接受——受监管的流程、共享账号，或者任何你日后可能要为之背书的事——那这个智能体就需要自己的身份和自己的凭据，而不是在你这里借一个座位。
延伸阅读
本站相关：
- 环境权限 —— 这次发布所改变的那件事的一般形态。
- 用大白话讲提示词注入 —— 为什么防御是一个发生率，而不是一次修复。
- 面向智能体的最小权限凭据 —— 指名权限那条替代路线。
- 浏览器智能体 —— 怎么搭那个读页面并动手的循环。
- Kitesurf 让浏览器用完即扔 —— 同一个月里下的相反那一注。