2026 年的 AI 浏览器,有一件事做得很好,另一件事还只是有前景。它们读取、总结、对比你打开的多个标签页已经足够好用,可以天天用;它们的 agent 模式也已经能在你登录的网站上填表单、凑购物车、预约时段。但真实任务里,它们只能完成一小部分,速度很慢,而且没有哪家厂商敢说自己解决了 prompt injection,也就是把一个网页变成指挥你的 agent 的指令的那种攻击。
今年这个品类的格局变了。OpenAI 关停了 ChatGPT Atlas 浏览器,把 agent 挪进了 ChatGPT 桌面应用。微软下线了 Edge 里的 Copilot Mode。Google 在 Chrome 里上线了名为 auto browse 的 agent,Perplexity 的 Comet 覆盖了四大主流平台,Anthropic 则让 Claude in Chrome 正式开放,并对它判断为安全的操作自动放行。与此同时,美国一家联邦上诉法院裁定:Comet 在 Amazon 上购物时,访问 Amazon 计算机系统的是购物者本人。
如果你在考虑自己要不要在工作中用,或者要不要让团队用,有两件事最关键:它能完成哪些任务,以及恶意网页能让它做什么。本文基于厂商文档和公开研究把这两点讲清楚,再给你一套设置方法、一个任务检查器、一个浏览器选择器和一条团队规则。
AI 浏览器市场缩水,收拢到了你本来就在用的浏览器里
今年,agent 功能搬进了 Chrome、Edge 和人们本来就在付费使用的聊天应用。ChatGPT Atlas 活了不到一年。它去年在 Mac 上线,从未登陆 Windows,今年被 OpenAI 下线。它的功能分成了三路:一个 Chrome 版 ChatGPT 扩展,可以回答你当前页面的问题;ChatGPT 桌面应用里的内置浏览器,可以登录网站、下载文件;以及运行在 OpenAI 服务器上的云端浏览器,agent 在那里远程完成任务(TechCrunch)。
微软做了类似的决定。它下线了 Edge 里的 Copilot Mode,原先叫 Copilot Actions 的 agent 功能现在改名为 Browse with Copilot,需要 Microsoft 365 Premium 订阅,而且只能在美国的 Edge 桌面版上使用(Microsoft Edge Blog)。Edge 里免费的 Microsoft Copilot 保留了好用的阅读功能,包括基于多个已打开标签页给出答案。
Google Gemini 在 Chrome 里反而扩大了。能总结页面、对比标签页的侧边栏今年先扩展到印度、加拿大和新西兰,随后又推到拉丁美洲、非洲和中东。agent 则是付费增值项。Auto browse 包含在 Google AI Pro(每月 $19.99)或 Google AI Ultra(每月 $99.99 起)中(Google AI plans),目前只支持美国地区的桌面端和 Android。
Perplexity 去年让 Comet 免费,今年又加上了 iOS,所以它现在能在 Windows、Mac、Android 和 iPhone 上运行,并且推出了带管理员控制功能的 Comet Enterprise 版本。Dia 来自 The Browser Company(Atlassian 去年同意收购了这家公司),是一款 Mac 浏览器,围绕你的标签页和工作应用来给出答案。浏览器本身免费,AI 方案每月 $20 或 $100(Dia pricing)。Opera Neon 今年改为免费下载,内置 agent 要订阅每月 $19.90 的方案。Brave Leo 正在测试一个只在独立 profile 中运行的 agent。新玩家也不断出现,比如由 Comet 前工程师打造的 Polar。
Anthropic 的 Claude in Chrome 是扩展而不是浏览器,但干的是同样的活。所有付费 Claude 方案都包含它,正式发布后它默认自动批准操作,由一个分类器对照你的请求检查每一步(Anthropic)。
| 产品 | Agent 功能 | 平台 | 使用 agent 的条件 |
|---|---|---|---|
| Chrome with Gemini | Auto browse | Windows、Mac、Chromebook Plus、Android | Google AI Pro($19.99/月)或 Ultra,仅限美国 |
| Edge with Copilot | Browse with Copilot | Edge 桌面版 | Microsoft 365 Premium($19.99/月),仅限美国 |
| ChatGPT 桌面应用 | 内置浏览器 + 云端浏览器 | Mac 和 Windows 应用 | ChatGPT 账号(额度因方案而异) |
| Perplexity Comet | Comet Assistant | Windows、Mac、Android、iOS | 免费,有使用限制(Background Assistant 首发于 Max) |
| Claude in Chrome | 扩展形式的 agent | 仅限 Chrome 桌面版 | 任意付费 Claude 方案 |
| Opera Neon | 内置 agent | Windows、Mac | $19.90/月方案(自带 agent 可用免费方案) |
| Dia | 跨标签页回答(未列出网站 agent) | Mac(Windows 版即将推出) | 浏览器免费,AI 功能 $20/月起 |
先看最右边那一列。agent,也就是替你动手的那部分,要花钱、有地区限制,风险也都在这里。而负责阅读的那一半,几乎到处都是免费的。
把任务交给 agent 之后会发生什么
所有 agent 模式的运行循环都一样:看页面,决定下一步,执行,检查页面有什么变化,再来一轮,直到任务完成,或者走到被要求交还给你的那一步。
模型看到的东西和你看到的差不多。微软的 Browse with Copilot 在工作时会截屏,把截图随对话保存最多 30 天,用光标图标标出它正在控制的标签页,你随时可以接管(Microsoft Support)。在 Amazon 一案中,上诉法院采信了 Perplexity 的说法:Comet 的助手运行在用户的设备上,Perplexity 自己的服务器不会直接与 Amazon 通信(Amazon 现在对 iPhone 应用的这一点提出了异议)。
最重要的是“先问你”这一步,而每家厂商划线的位置都不一样。Google 说 Chrome 的 auto browse 会在购买和发社交媒体帖子前暂停。Edge 会在购买、预订、发邮件和删除日历事件前询问,而且它的 agent 完全不能使用已保存的密码、自动填充或钱包数据。Claude in Chrome 以前默认每个操作都要问你,现在由它判断哪些操作是安全的,如果你想每次都弹出确认,得在设置里重新打开手动批准。
agent 模式如今能做好的活
阅读才是这些浏览器真正的价值所在。让侧边栏对比你打开的三个定价页,或者从一篇很长的政策页面里提取退订条款,几秒钟就能拿到答案,在 Chrome 和 Edge 里还不用额外花钱。如果你只需要这些,一个答案引擎可能就够了,我们的 AI 搜索引擎对比里有各种选择。
agent 这一侧适合终点明确的杂活。TechCrunch 报道,Google 的早期测试者用 auto browse 预约、填写繁琐的表单、收集税务文件、向水管工和电工询价,以及提交报销单。Google 在 Android 上的演示包括:根据活动门票上的信息预订停车位,以及修改宠物食品订单。跨网站调研也合适。一个 agent 打开十个供应商页面并填好对比表格,能省下实实在在的时间,而出了错,代价也只是重新核对一遍,而不是退款。
这些任务有三个共同点:任务范围窄,结果容易验证,出错代价低。Polar 说,它的大多数用户只拿它做自动化,日常浏览另用别的浏览器。第一次尝试 agent 的人,这种用法很合理。
agentic 浏览仍然会在哪里失败
在真实网站上的成功率依然很低。ClawBench 是一个由 28 位作者的研究团队做的基准测试,在 144 个真实平台上跑了 153 个日常任务,比如购买、预约、求职申请,并用一个拦截层阻止任何操作真正提交。八个前沿模型里表现最好的 Claude Sonnet 4.6 只完成了其中的 33.3%(ClawBench)。这些任务要求把很多细致的表单字段都填对。
接着是速度和判断力。一位同时用过 Atlas 和 Comet 的 TechCrunch 评测者说它们只带来了一点点效率提升,大部分时间都花在看着 agent 在网站上慢吞吞地点来点去。Wired 对 Chrome auto browse 的测试更不客气。要求它订两张靠过道、且不在乐池区的交响乐座位,它找到了两张 $185 的座位,确实靠过道、也不在乐池区,但却分在不同排。让它查营地,它跑了 15 分钟,只查了一个,然后叫评测者自己去查其余的。
登录和付款是刻意设置的停止点。Chrome 在使用你的 Password Manager 之前会先询问,Edge for Business 会在密码和银行卡字段强制暂停,所以你仍然得守在键盘前。Chrome 还限制了每天可用的 auto browse 操作次数,而 Google 没有公布具体数字。
有些网站根本不想要 agent。The Register 报道,eBay 修改了用户协议,禁止未经人工审核下的订单。Amazon 屏蔽 Meta 的 Muse agent 时,用户会看到一个弹窗,说未经授权的 AI agent 继续访问违反其使用条款(下文会再讲 Amazon)。更长远的解决办法是给 agent 开一扇正规的门。Cloudflare 允许 agent 给自己的请求签名,让网站能识别它们;而 Chrome 正在试用的 WebMCP 标准草案,则让网站可以直接向 agent 开放自己的表单和功能。Expedia、Booking.com、Shopify、Etsy、Instacart 和 Target 都参与了 Chrome 的早期试验。
在这些措施普及之前,遇到改版或屏蔽 agent 的网站,就别指望它不出错。如果你需要在固定的一批网站上做可靠的自动化,用 Browser & Web Automation 榜单里的脚本化工具,或者 Browser Use 这类开源框架,往往更合适;我们的 AI agent 与自动化工具对比讲了这里的取舍。
没人解决得了的问题:prompt injection
agent 要读网页才能干活,而语言模型无法可靠地区分“正在读的文字”和“正在执行的指令”。所以任何能把文字放到你的 agent 面前的人,都可以试着向它下命令:网页作者、商品评论、论坛留言,或者你收件箱里的一封邮件。
最下面一行才是严重之处。agent 在你已登录的会话里工作,所以被劫持的 agent 会以你的身份在你的邮箱、银行或公司应用里行动。Brave 的研究人员让 Comet 照做了藏在截图里的指令,那些指令是黄色背景上淡淡的浅蓝色文字;他们还证明另一款 AI 浏览器 Fellou 只要访问页面,就会把页面文本发给模型,让页面上可见的指令覆盖用户的请求。Brave 把间接 prompt injection 称为“整个 AI 浏览器品类面临的系统性挑战”(Brave)。
其他团队也有同样的发现。Trail of Bits 在 Comet 发布前对其做了审计,做出了四个可用的攻击,其中一个伪装成假的 CAPTCHA,目标全都是把用户的 Gmail 复制到攻击者的服务器上。OpenAI 描述过一次攻击:邮件里的隐藏文字让它的 agent 发出了一封辞职信,而不是起草一封外出自动回复。
厂商说他们的防御有效,Anthropic 也公布了自家测试的前后对比数据。
这些是 Anthropic 用自己挑选的攻击做的测试。在所有防护措施全开的情况下,它报告称在三个最新模型上没有出现成功的攻击,第四个模型上是 0.3%,但它仍然把 prompt injection 称为“不断变化的目标”。独立研究的结果看起来更糟,不过它们测试的是另一些开源 agent。来自 NTU、ST Engineering、IBM Research 和 UIUC 的研究人员,对运行 GPT-5 和 Gemini 模型的 Browser Use 与 NanoBrowser 发起了 3,168 次攻击尝试。间接注入的成功率在 41.67% 到 68.16% 之间,他们测试的所有配置都没能完全避免失败(CSO Online)。Lasso Security 用 Base32 编码这样简单的手法,就在 36% 的尝试中绕过了 Perplexity 的开源注入检测器 BrowseSafe。
做这些 agent 的公司对天花板也很坦率。OpenAI 写道,prompt injection 和诈骗、社会工程一样,“不太可能被彻底‘解决’”,英国国家网络安全中心也说过它可能永远无法被完全缓解(TechCrunch)。Gartner 去年走得更远,告诉客户 CISO 在可预见的未来必须封禁所有 AI 浏览器。
厂商的做法是层层叠加防御。Google 运行了第二个模型 User Alignment Critic,它只能看到每个计划操作的描述,看不到原始页面,并且可以否决与你的目标不符的操作。Chrome 还会针对某个任务限制 agent 可以读取或输入的网站,并在进入银行或医疗类网站前先询问(Google)。微软会屏蔽高风险网站,并让 agent 碰不到已保存的密码和支付信息。Anthropic 会扫描页面内容中的攻击,并对照你的请求检查每个操作,Brave 则把自己的 agent 隔离在单独的 profile 里。没人敢承诺零风险。
Amazon 诉 Perplexity:agent 的点击该由谁负责
围绕 agentic 购物的法律之争发生在 Amazon 和 Perplexity 之间,而且还没结束。目前进展如下。
Amazon 去年提起诉讼,称 Comet 未经许可访问客户账户,并且在 Amazon 试图封堵它之后,伪装成普通的 Chrome 浏览器。一名地方法官今年早些时候支持了 Amazon,禁止 Comet 访问受密码保护的 Amazon 账户。第九巡回法院随后撤销了该命令。法院认为,在相关法律下,agent 是“工具,而不是人”,所以访问 Amazon 的是指挥它的购物者,Amazon 依据的反黑客法律,它不太可能胜诉(Technology & Marketing Law Blog)。上诉法院后来拒绝重审此案。
Amazon 此后提交了修改后的诉状,指控 Comet 的 iPhone 应用把客户的 Amazon 会话 cookie 复制到了 Perplexity 的云服务器,因此“没有任何用户设备接触 Amazon 的服务器”,而 Perplexity 告诉上诉法院的说法正好相反。诉状还引用了 Perplexity 律师的一封信,信中说“出于善意”,Perplexity 已暂时停用 Comet for iOS 中 Amazon.com 上的助手功能(The Next Web)。这些都是 Amazon 的指控。Perplexity 则把这场争议描述为:购物者是否有自由在自己被允许访问的网站上使用自己选择的软件。
对用户来说,这个裁决是双刃剑。它把你视为访问网站的一方,这意味着网站的条款仍然约束你,法院也指出 Amazon 可以对自己的客户执行其条款。这份意见也仅限于本案事实,并不给 agent 开一张通用的通行证。如果你的目标是 agentic 购物,我们的 AI 购物助手榜单上有不少工具是供商店自己部署的,这样就绕开了这个问题。
今天就能用上的安全设置
这些并不意味着你该回避 AI 浏览器。而是说,在第一个任务开始之前,你就应该像安全团队那样把它设置好。
- 给 agent 单独一个浏览器 profile。Brave 已经内置了这一点。在 Chrome、Edge 或 Comet 里,建一个单独的 profile,只放 agent 需要的登录,把你的银行、主邮箱和密码管理器都挡在外面。
- 从未登录状态开始。OpenAI 对自家 agent 的建议是尽量使用未登录模式。只有任务需要时才登录。
- 保持批准开启。在 Claude in Chrome 里,除了读取之外的操作都重新打开手动批准,点击每次确认前都要读清楚。
- 任务要写得窄。OpenAI 警告过,不要让 agent “需要什么操作就做什么”。要写明网站、目标,以及它在哪里停下。
- 让它远离资金、由收件箱触发的操作和管理后台。Anthropic 在试点发布时告诉测试者,避开涉及财务、法律、医疗或其他敏感信息的网站。
- 前几次运行要全程盯着,然后清理。Edge 会把 agent 的截图随对话保存最多 30 天,所以做完私密任务后要删除这段历史。
简短版本一张卡片就够了。
右边那一列列出的是几次运行顺利之后,人们爱走的捷径。上面提到的已公开攻击,全都依赖一个登录了值得窃取的账号的 agent,所以 profile 这条规则起的作用最大。
针对具体任务,请用下面的检查器。它会问六个问题,只要有一个高风险的回答,这一步就该留在你手里。
大多数调研和对比类的活会得到绿色或黄色。凡是涉及付款、发送,或者在登录工作账号时读取你收件箱的任务,都会是红色,这是有意为之:让 agent 去收集和起草,最后一下点击由你自己来点。
哪款浏览器适合你,以及团队规则
对个人来说,选择基本取决于你已经在为什么付费。如果你只想要答案,就别为 agent 付费,因为 Chrome 里的 Gemini 和 Edge 里的 Copilot 在免费档就能总结页面、对比标签页。如果你想要 agent,Google AI Pro 和 Microsoft 365 Premium 都是每月 $19.99,而且各自把 agent 放进了你多半已经在用的浏览器里。想不订阅就试试 agent,可以用 Comet,前提是给它单独的 profile。下面的决策树涵盖了常见情况。
其中有一个选项需要提醒一句。Claude in Chrome 的自动批准对调研很方便,但凡是靠近资金或邮件的场景,它都不该是默认设置。
对团队来说,规则比市场简单:任何地方都允许阅读,agent 操作只在受管理的版本里运行,而且只在你批准的网站上。管控手段是有的。对受管理的 Workspace 用户,Chrome 的 auto browse 默认关闭,管理员可以通过允许或阻止特定 URL 的策略来开启(Chrome Enterprise Help)。Edge for Business 有一个通过 Microsoft 365 Copilot 授权的有限预览,IT 可以选择 Copilot 可以操作的网站,Purview 数据规则仍然生效。EEA 不提供该功能。Comet Enterprise 可以把助手锁定为只读或限定在已批准的域名,Claude 的 Enterprise 方案则让管理员把 Claude in Chrome 限制在已批准的域名内。
最后一条是 Gartner 建议的一个更窄的版本,大多数团队都能接受。每当厂商更改默认设置,就要复查白名单,2026 年里这意味着每隔几个月一次。想看团队在工作中运行 agent 的经验,请看 AI agents in production,Top 250 AI Agents 榜单则追踪更广泛的领域。
常见问题
ChatGPT Atlas 还能用吗?
不能。OpenAI 今年关停了 Atlas,距离它在 Mac 上线不到一年。如果你以前用过,现在 agent 位于 Mac 和 Windows 版 ChatGPT 桌面应用里,Chrome 里的页面提问则由一个 ChatGPT 扩展负责。
Perplexity Comet 免费吗?
免费,但有使用限制。Perplexity 去年让 Comet 免费下载,现在它能在 Windows、Mac、Android 和 iOS 上运行。Background Assistant 可以在你做别的事时同时运行多个任务,它首发于最高档的 Max 方案。
AI 浏览器能不经我同意就买东西吗?
主流的都设计成先问你。Chrome 和 Edge 会在购买前暂停,Edge 的 agent 完全不能使用已保存的支付信息。Claude in Chrome 会自动批准其分类器判断为安全的操作,不会询问,所以如果你想在每一步前都有提示,就把手动批准打开。
让 AI agent 替我在 Amazon 上购物合法吗?
第九巡回法院认为,Amazon 在针对 Perplexity 的联邦和加州反黑客指控上不太可能胜诉,因为访问网站的是指挥 agent 的用户。但这并不能凌驾于 Amazon 的使用条款之上,Amazon 称这些条款禁止未经授权的 agent,而且诉讼仍未结束。如果网站条款禁止 agent,那么使用 agent 的合同风险要由你来承担。
我的公司应该封禁 AI 浏览器吗?
在公司设备上封禁未受管理的那些。然后允许受管理的版本(Workspace 策略下的 Chrome、Edge for Business、Comet Enterprise 或 Claude 的 Enterprise 方案)用于阅读,并逐个网站批准 agent 操作。
AI 浏览器能看到我的密码吗?
厂商说模型看不到。Google 称其模型接触不到 Password Manager 或已保存的银行卡数据,微软的 Browse with Copilot 也无法访问已保存的密码、自动填充或钱包数据。但 agent 仍然在你已登录的会话里行动,这就是为什么独立 profile 比你的密码存在哪里更重要。