文章提到AI浏览器打破「同源策略」导致风险。这项策略是浏览器最核心的安全机制：它规定只有协议、域名、端口完全一致的页面才能互相访问DOM和JavaScript对象，从而隔离不同网站的数据，防止恶意代码跨站窃取Cookie或登录态。AI浏览器为跨网页整合内容，必须获取全局访问权限，实质上绕过了这道隔离墙，让攻击者有机会通过一个恶意网页操控AI代理窃取其他标签页的敏感信息。

就在华盛顿大学发出警告的同时，Google Chrome悄然删除了关于「本地AI模型绝不向服务器发送数据」的明确承诺。隐私倡导者发现，此前Chrome强调Gemini Nano在设备端处理数据，但更新后的说明仅保留模糊表述。尽管Google回应称技术方案未变，但这一改动意味着当网站通过Prompt API调用本地模型时，输入输出数据的后续处理遵循网站自身的隐私政策，而非Google的承诺。这暴露了AI浏览器「端侧计算」与「数据流向」之间的灰色地带。

文章提到的「提示注入」已被OWASP列为LLM应用的头号安全威胁。攻击者在网页中嵌入隐藏指令，诱导AI代理执行泄露密码、发送邮件等恶意操作。Perplexity新推出的BrowseSafe检测率达91%，但仍有近10%的攻击能绕过；OpenAI承认该问题「尚未解决」，正通过强化学习自动化红队测试持续修补。行业共识是：提示注入的残余风险将长期存在，目前没有浏览器代理能完全免疫，用户需对AI代理的高权限操作保持警惕。

当AI代理同时持有用户的Gmail登录态和「发邮件」的能力，它与恶意脚本之间的差距仅剩一次成功的提示注入。这引出一个根本问题：AI浏览器的权限模型能否像传统操作系统一样实现「最小权限原则」？当前的方案——在提示词里写「不准操作银行」——根本不是安全约束。真正的工程挑战在于设计五级权限分层，把「能做什么」框死，比如让AI代理只能读取但不能修改，或对敏感操作强行插入人工确认环节。