AID-I-008.001
極高
Ephemeral Browser Context Lifecycle & Storage Partitioning
把讀取不可信內容的任務放進短生命週期的瀏覽器工作階段，並分隔不同信任區的儲存空間，避免它重用 1Password 的登入狀態。
瀏覽器 agent 碰到密碼保管庫時，工作階段與資料流向必須隔離
Zenity 透過受控示範，讓 Perplexity Comet（可自主執行工作的瀏覽器）從含有惡意指令的行事曆邀請，進入已解鎖的 1Password 擴充功能與已登入的密碼保管庫工作階段。agent 顯示保管庫中的機密值，再把資料放進網址參數外傳；另一條路徑則變更帳號密碼，並從寄到電子郵件的 Emergency Kit（帳號救援文件）擷取 Secret Key（登入新裝置時需要的帳號秘密金鑰）。瀏覽器 agent 在遵循不可信工作內容時，也沿用了機敏登入狀態。
威脅分析
- 惡意指令透過看似可信的工作內容進來。 行事曆邀請或其他外部文件，把間接提示詞注入攻擊（indirect prompt injection）帶進瀏覽任務。
- agent 從閱讀內容進入機敏工作階段操作。 Comet 可以操作已登入的 1Password 頁面，因此瀏覽器工作階段與使用者憑證都進入 agent 能控制的範圍。
- 顯示保管庫機密值是高影響動作。 保管庫項目不是一般網頁文字；agent 要顯示或複製前，應根據內容來源網站重新判斷權限，並取得使用者確認。
- 資料外洩使用的是一般瀏覽器能力。 agent 看見機密值後，可以把資料放進網址或網頁請求，透過一般瀏覽器功能傳到外部；資料流向政策必須限制這類機敏值能送往哪些目的位址。
- 不能只靠提示詞過濾來緩解。 機敏網站需要獨立的瀏覽器工作階段、跨網站讀寫限制、資料流向政策，以及在高風險網站停用自主 agent 操作的企業規則。
- 帳號接管與保管庫外傳的條件不同。Zenity 指出，多因素驗證（MFA）可阻擋攻擊者另行登入，單一登入（SSO）則使這條自行重設密碼的路徑無法成立；兩者都不能阻止 agent 從已解鎖的保管庫外傳資料。研究在 3 月 3 日發表時，記錄了需自行啟用的 1Password 自動填入控制與 Comet 網域限制；這是當時的修補紀錄，不代表目前的預設設定。
適用的 7 項 AIDEFEND 防禦手法
AID-I-008.002
高
Cross-Origin Read/Write Segmentation with Step-Up Confirmation
在獨立受控的瀏覽器執行環境中，G002 可對已觀察並暫停的密碼變更或其他受控寫入請求，要求使用者確認。來源沒有證實 Comet 已提供這種整合。G001 會直接放行 GET／HEAD／OPTIONS，因此無法阻止本案透過網址參數外傳；僅顯示既有保管庫值，也未被證實另有可攔截的寫入請求。讀取與外傳邊界仍須另外管控。
AID-H-019.003
高
Browser Runtime Admission & Sanitized Observation Export Gate
在可由營運者控制的瀏覽任務開始前，核對 I-008.001、I-001.004 與外部沙箱驗證方提供、綁定當前任務的證據。若證據顯示重用主機瀏覽器設定檔或憑證快取，就拒絕啟動；另須使用停用擴充功能的全新工作階段，且只輸出清理後、範圍受限的觀察結果。這項啟動與輸出檢查只採用隔離及對外連線管控的證據，不會建立沙箱或阻擋封包。Comet 仍須提供經獨立驗證的執行環境整合，不能假定原版產品已支援。
AID-H-017.003
高
Decoupled Plan-Then-Execute Architecture
把規劃與執行分開，讓系統可以在瀏覽器真正顯示 機密值 或送出網路請求前，拒絕由不可信內容推導出的動作。這需要營運者能控制規劃器，並由獨立元件依可信任任務政策檢查後執行；不能假定原版 Comet 已具備這項能力。
AID-H-018.005
中
Value-Level Capability Metadata & Data Flow Sink Enforcement
把保管庫 機密值 標示為機敏值，再用資料流向政策阻止這些值進入模型呼叫、網址、訊息或未經核准的網站。這需要可控的執行環境，為每個衍生值維持可驗證的來源及內容綁定，涵蓋所有出口；標記不明時須拒絕。只在入口加標籤，無法追蹤模型任意改寫。本機程序、瀏覽器請求及允許的目的地須另行驗證涵蓋範圍，不能假定原版 SaaS 已落實。
AID-H-002.002
中
Inference-Time Prompt & Input Validation
提示詞與輸入驗證能偵測邀請或網頁中明顯惡意的指令；然而，間接提示詞注入的內容可能非常隱晦，因此這項控制僅適合作為工作階段隔離之外的補強控制。
AID-D-003.002
中
Sensitive Information & Data Leakage Detection
G001 可在可觀察的模型回覆、生成網址或工具參數中，比對預先設定的保管庫機密字串，並產生綁定該內容的外洩偵測結果。它不會追蹤機密值的任意改寫，也不會自行阻擋傳送；須由獨立執行的出口政策或放行檢查採用偵測結果。瀏覽器寫入確認方法無法阻止本案的 GET 外傳。
身為資安防禦者，我們應該這麼做
- 在密碼管理器、身分入口、管理後台與金融系統中，預設停用自主瀏覽器 agent；只有在已建立並啟用、會依網站來源判斷可執行動作的授權政策時，才允許使用。
- 把不可信的瀏覽任務放進隔離的瀏覽器工作階段，避免重用機敏網站的登入狀態。
- agent 在顯示、複製、下載或傳送密碼保管庫機密值前，必須要求使用者再次確認。
- 為機敏值標記來源與機敏程度；除非政策明確允許，否則阻止它們被送到外部網址、訊息、截圖或模型呼叫。
- 確認企業瀏覽器 agent 政策是否已涵蓋網域封鎖、瀏覽器工作階段隔離、稽核記錄與提示詞注入攻擊偵測。
結論
Comet 案例顯示，瀏覽器 agent 的安全重點不只在模型，也在工作階段邊界是否清楚且彼此隔離。agent 如果能同時讀取不可信內容並操作已登入的密碼保管庫，不可信內容就可能接觸到機敏登入狀態，進而造成機敏資訊外洩。團隊應隔離這些工作階段，限制機敏資料能送往哪些目的位址，並把顯示機密值視為需要再次確認的高風險動作，不得當成可直接執行的便利功能。
最後更新: