浏览器 brave 团队近日曝光了一种新型安全风险——基于 ai 浏览器的间接提示注入攻击（indirect prompt injection）**，并展示了该漏洞在 perplexity comet 浏览器中的实际利用场景。
研究显示，攻击者可将恶意指令嵌入网页内容中，例如隐藏在 Reddit 的评论里、PDF 文件内或不可见文本中。当用户使用像 Comet 这样的 AI 浏览器插件进行“页面摘要”等操作时，插件可能错误地将这些嵌入指令识别为用户发出的合法命令。由此，攻击者可操控插件读取用户的电子邮件、截取一次性验证码（OTP），甚至实现对账户的远程操控。
此类攻击能够规避传统的网页安全防护机制，如同源策略（Same-Origin Policy）和跨域资源共享策略（CORS）。其危险性极高，原因在于 AI 浏览器插件通常具备与用户相同的网页访问权限，因此银行、邮箱、云存储等高敏感服务均可能成为攻击目标。
Brave 强调，仅靠大模型的训练对齐无法彻底解决该问题，必须从系统架构层面构建更强的安全机制。建议采取以下措施：
- 明确划分用户输入与网页内容，防止网页中的指令被误执行；
- 引入安全校验与用户确认流程，限制 AI 自主执行敏感操作；
- 遵循最小权限原则，杜绝 AI 插件在后台无节制地访问敏感信息。
业内专家指出，这一安全事件暴露了“Agentic 浏览器”在设计理念上的深层隐患，预示着未来 AI 浏览器的发展必须在智能化功能与用户安全之间重新建立平衡。
