人工智能代理与浏览器的集成正在改变我们使用网络的方式。在Chrome浏览器中，这些基于Gemini技术的代理不再仅仅是显示网页：它们可以搜索信息、填写表格或为我们完成购买流程，这为更加自动化的浏览打开了大门，但也带来了新的安全风险，这在数据保护和网络安全监管严格的欧洲尤为令人担忧。
谷歌决定预先应对这些风险，专门加强Chrome浏览器对注入攻击的防御。该公司深知，如果代理程序拥有过大的自由度且防护不足，一旦落入攻击者手中，便可能成为极其危险的工具，执行用户从未授权的操作。因此，浏览器安全团队针对这些代理程序设计了专属架构，扩展了源隔离等经典原则，并将其应用于所谓的“代理网络”这一全新环境。
Chrome 中的代理：强大功能和新的安全风险
通过集成 Gemini，Chrome 开始引入能够代表用户规划和执行一系列操作的智能代理。例如，它们可以从各种网站收集数据、进行分析、填写表单，甚至发起购买流程，而无需用户在每个步骤进行干预。这项技术飞跃有望为西班牙乃至整个欧洲的个人用户和企业带来便利和效率的提升。
问题在于，如果这些代理没有得到妥善保护，攻击的重点就会从用户转移到人工智能模型本身。攻击不再仅仅是展示恶意网站或误导性广告，而是操纵代理看到的内容，使其做出损害用户利益的决定，例如授权付款、泄露机密数据或访问不想要的网站。
考虑到这种情况，谷歌选择了一种特殊的安全架构，该架构扩展了传统浏览器已有的安全措施。它应用了站点隔离和严格权限控制等原则，但其前提是人工智能模型充当用户和网站之间的中介——而这在以往的传统威胁模型中是无法实现的。
这种方法在个人数据和数字服务监管严格的市场（例如欧洲）尤为重要。尽管谷歌尚未详细说明针对欧盟的具体措施，但这些防御措施旨在降低数据泄露和未经授权行为的风险，这与欧盟监管机构的要求非常契合。
间接注射：药物的新弱点
在这种新形势下，最令人担忧的威胁是所谓的间接注入。与通常旨在直接欺骗用户的传统攻击不同，间接注入的目标是控制智能体的AI模型。攻击者试图注入恶意指令或内容，而模型会将其解读为合法指令并最终执行。
这类攻击的棘手之处在于，恶意指令可以隐藏在看似无害的内容中。页面上的用户评论、广告、通过第三方 iframe 嵌入的文本，甚至是故意编写的旨在影响模型决策的代码片段，都可以成为改变智能体行为的渠道。
如果此类攻击得逞，后果可能十分严重：受控代理人可能在缺乏充分监督的情况下发起金融交易、泄露敏感数据，或执行用户未明确授权的操作。对于西班牙或其他欧洲国家的用户而言，这可能会影响其财务安全和数据保护法规的遵守情况。
为了最大限度地降低这些风险，Chrome 团队选择了纵深防御策略。他们没有仅仅依赖单一过滤器，而是将确定性控制（基于权限和技术策略的明确规则）与同样基于人工智能的概率检测模型相结合，力求在代理接受可疑行为或内容之前识别出它们。
这样一来，攻击者操纵代理的成本和复杂度都大大增加。仅仅在网页中插入恶意文本是不够的：这些内容必须经过多层审查，其中一些基于严格的浏览器规则，另一些则基于评估所提议的操作是否符合用户及其上下文逻辑的模型。
用户一致性评价器：第二个模型，用于监控第一个模型
其中最引人注目的新功能之一是用户对齐准则。本质上，它是一个独立的模型，同样基于 Gemini 技术，其任务是在浏览器实际执行操作之前审查代理想要执行的操作。
这个批评家就像一个内部监督员：每当代理提出一个操作（例如，提交表单、访问新网站或与页面上的敏感元素交互）时，批评家都会评估该操作是否符合用户的期望以及他们正在执行的任务。
如果审核系统检测到异常情况，它可以阻止操作、要求进一步确认或应用更严格的规则。其理念是，仅仅由主模型“决定”执行某项操作是不够的；还需要第二个自动化评估系统在必要时起到制衡作用，尤其是在那些可能产生最大影响的步骤中。
这种方法符合行业趋势，即在复杂的AI系统中引入监督和协调机制。在欧洲，针对人工智能的具体法规正在制定中，这类保障措施对于确保带有智能体的浏览器符合预期标准，并获得监管机构和用户的认可至关重要。
此外，谷歌指出，这种评论工具存在针对不同浏览阶段的变体。例如，在加载新网站或处理特定数据之前，该评论工具的改进版本会检查拟执行的操作是否合理，以及是否会泄露私人信息，从而降低意外泄露的风险。
代理源集：它可以读取哪些内容以及它可以执行哪些操作。
该策略的另一个关键要素是所谓的“代理源集”。这是Chrome多年来一直使用的同源和站点隔离策略的演进，但应用于需要与多个网站交互才能完成任务的AI代理。
实际上，当用户向浏览器代理请求复杂操作时——例如，比较多家欧洲在线商店的价格并完成预订——Chrome 浏览器并不会允许其随意访问互联网上的任何资源。相反，它会在架构上定义一个有限的网站集合，供浏览器代理根据用户的请求或明确授权进行访问。
这些数据集主要分为两大类。一类是只读数据源，智能体可以从中获取内容——例如阅读文本、分析价格、查看评论——但无法执行任何操作。另一类是读写数据源，智能体除了可以查看信息外，还可以进行交互：点击、输入文本或提交表单。
这样，浏览器就能确保代理程序无法访问与当前任务无关的网站内容。与用户操作无关的 iframe 或嵌入式元素甚至不会被模型获取，从而显著降低跨站泄露或通过辅助内容进行间接注入的风险。
一个重要的方面是，决定哪些来源包含在这些集合中的功能运行在不受信任的网络内容的影响范围之外。换句话说，恶意网站无法直接影响代理可以访问的网站列表。此外，代理本身也无法独立扩展此列表：对这些集合的任何更改都必须由浏览器的安全逻辑处理。
导航、URL以及用户在关键决策中的作用
这种控制不仅限于代理可以交互的网站；它还会影响代理建议的导航路径和生成的 URL。如果模型建议访问一个不在允许范围内的来源，Chrome 不会自动执行。在开始加载页面之前，对齐准则的一个变体会分析该导航对于当前任务是否合理，或者是否试图引导代理访问安全性较低的环境。
此外，浏览器还会进行额外的确定性检查，以防止模型生成的 URL 包含私人信息或敏感标识符。在可能的情况下，浏览器会限制使用知名的公共域名，从而降低个人数据泄露的风险，并减少创建泄露过多信息的链接的可能性。
尽管自动化程度很高，Chrome 仍然在关键时刻将用户置于重要地位。所有代理操作都会反映在可见的工作日志中，因此用户可以监控系统运行情况，暂停任务，或者在发现异常时完全取消任务。
在某些特别敏感的操作中，浏览器始终需要用户明确确认。这包括访问银行或医疗保健网站、通过 Google 密码管理器登录，或完成在线支付和购物等步骤。在这些情况下，系统会暂停并明确请求权限，从而作为防止系统错误或社交工程攻击的最后一道防线，防止用户在不知情的情况下被迫执行操作。
这套完整的控制框架、监控模型和用户积极参与机制，充分展现了谷歌为适应人工智能代理将在未来扮演主导角色而做出的努力。通过用户对齐标准、代理源集以及对间接注入的限制等措施，该浏览器旨在提供更高程度的自动化，同时又不牺牲控制或安全性——这种平衡对于西班牙和欧洲其他地区数百万依赖 Chrome 的用户和组织而言尤为重要。
