AIDEFEND in Action AIA-0060 演練與測試發布於 AIA: 2026年8月5日

hTAG 瀏覽器 Agent 濫用基準測試：模型意願不等於安全授權

hCaptcha 威脅分析小組（hTAG）在 2025 年 10 月對 ChatGPT Atlas、Claude Computer Use、Gemini Computer Use、Manus AI 與 Perplexity Comet 測試 20 種濫用情境。報告指出，這些瀏覽器 Agent 對直接或稍作改寫的濫用指令大多願意嘗試，並在測試環境完成多項帳號變更、工作階段憑證濫用與付款等高風險任務。這是廠商發布、尚未經獨立重複驗證的測試結果，不能當成真實受害者統計或目前版本的安全排名。模型願意執行或沒有拒絕，也不能證明它已取得帳號、工作階段或交易的合法授權。

Permission BypassTool AuthorizationAgentic AIWeb Security

5 項對應的 AIDEFEND 防禦手法

來源: Report: Browser Agent Safety is an Afterthought for Vendors

作者: hCaptcha

原文發布: 2025年10月28日

威脅分析

測試從常見濫用指令切入。hTAG 先直接提出請求，再嘗試改寫、基本越獄與 Base64 編碼。20 種情境涵蓋帳號設定變更、工作階段憑證濫用、隱藏介面存取、付款、折價券與信用卡刷卡測試。
完成數量應依報告原表理解。報告列出 ChatGPT Atlas 完成 19 項中的 16 項、Claude Computer Use 完成 18 項中的 18 項、Gemini Computer Use 完成 16 項中的 14 項、Manus AI 完成 18 項中的 18 項，以及 Perplexity Comet 完成 18 項中的 15 項。這些是報告的測試數值，不是真實受害者統計；完成、部分完成、功能缺失與重試欄位不能直接加總成互斥結果，也不足以重算單一成功率。
功能缺失不等於基於安全理由拒絕。報告另外記錄重試、部分完成、拒絕與功能缺失。模型的機率性回應無法證明帳號所有權、使用者意願、交易授權或工作階段是否合法，這些條件必須由真正執行操作的服務邊界驗證。
測試證據有明確限制。原文未公開完整提示詞與執行軌跡（trace）資料集，也缺少可重現的確切產品版本與多次重複測試資料。這是 hCaptcha 發布的報告，內文包含商業產品推薦；不能據此把測試結果當成已發生的實際攻擊。

適用的 5 項 AIDEFEND 防禦手法

AID-H-018.003

High-Impact Independent Validation & Approval Gate

極高

在執行密碼重設、付款、帳號異動或程式碼等高風險操作前，由實際操作邊界獨立驗證不可變更的確切動作、已驗證身分、政策與必要核准。瀏覽器 Agent 用自然語言轉述「使用者已授權」，不能取代這項驗證。

AID-I-008.002

Cross-Origin Read/Write Segmentation with Step-Up Confirmation

高

在自行管理的 Playwright 執行環境中，G001 可暫停敏感或跨來源寫入，把確切 HTTP 請求綁定到穩定的 DOM／無障礙觀察結果與獨立 H-018 核准。G002 會依觀察到的請求要求額外確認；額外確認不一定是更強的身分驗證。前提是能攔截完整請求範圍，並控制瀏覽器整合，但這份基準測試未證實受測商用 Agent 提供這種整合。GET／HEAD／OPTIONS 與直接寫入 Cookie 的路徑仍須另外管控。

AID-M-008

Automated Agentic Security Benchmarking

高

建立固定版本、具數位簽章的回歸測試矩陣，涵蓋直接濫用、提示詞變形、瀏覽器工作階段狀態、隱藏內容與跨來源操作，並把結果納入發布門檻。hTAG 報告可提供外部測試需求，但不能直接當成已通過的內部 CI/CD 驗證。

AID-I-008.001

Ephemeral Browser Context Lifecycle & Storage Partitioning

中

為每個任務與信任區域建立全新瀏覽器工作階段，隔離 Cookie 與儲存內容，結束後銷毀並驗證清除結果。這可減少登入狀態跨任務沿用，但不會自動阻止已授權任務中的濫用或另行寫入被竊取的 Cookie。受測產品能否整合這種生命週期管理，仍須個別核實。

AID-D-003.003

Agentic Tool Use & Action Policy Monitoring

中

收集執行邊界產生的允許、拒絕與參數驗證結果，依操作者、來源、帳號與工具分析異常。這項監控以可信政策結果與完整紀錄為前提；它不會自行授權或阻擋操作。

身為資安防禦者，我們應該這麼做

由真正執行帳號變更、付款、工作階段使用與資料存取的服務邊界驗證授權，不要只相信 Agent 轉述「使用者已同意」。
對高風險操作要求額外確認（step-up confirmation），綁定確切來源（Origin，包含協定、主機名稱與連接埠）、帳號、操作、參數與一次性動作摘要。確認介面要顯示實際效果，不能只問「是否繼續」；若政策另要求 MFA，須另外驗證。
每個瀏覽器 Agent 任務使用全新、隔離的瀏覽器工作階段（BrowserContext），避免把 Cookie、localStorage、付款狀態或已登入分頁帶入不相干任務。
建立可重複執行的濫用測試，固定產品版本、提示詞、執行軌跡、重試方式與判定標準，涵蓋直接請求、改寫、編碼、帶有狀態及跨來源的情境。
保存允許與拒絕紀錄，調查重複遭拒的操作。區分模型拒絕、工具阻擋、部分完成、功能缺失、測試任務完成與已驗證的實際影響。

結論

這份報告顯示，模型是否拒絕濫用請求，與帳號或交易是否已獲合法授權，是不同的問題。防守方須在實際執行邊界落實確切動作核准、受控瀏覽器寫入與工作階段隔離，並以可重現測試和政策監控檢查效果。受測商用產品是否提供所需整合仍須個別核實，模型回應本身不能代替服務端的授權決定。

最後更新: 2026年8月5日