如果接触过近年的主流 AI 助手，你可能已经发现，它们的 PC 版本普遍似乎都像是一个带有 AI 专用界面的网页浏览器。

为什么要这样设计呢？一方面，是因为现阶段自带强大 AI 性能的硬件依然十分小众，所以绝大多数的 AI 助手本质上都只是云端服务套了个交互 UI（用户界面）。既然是云端服务，那么做成浏览器，运行 Web 代码，技术上自然就最简单。

另一方面，这也是因为浏览器是如今大多数用户日常工作、学习、生活最常用的 PC 应用之一。大家平时收发邮件、查找资料，以及在 PC 上网购，可能都要通过浏览器来进行。

这也就意味着，当 AI 厂商将 " 读屏幕 " 以及自动执行能力赋予 AI 浏览器后，它们就可以帮用户去写邮件、去总结网页里的文章，甚至是自动在电商平台比价、分析商品优劣。

但这种看似既简单直白、又非常实用的设计，却在客观上导致了许多 "AI 浏览器 " 实际上都变得不那么安全。

首先，AI 浏览器无法区分指令 " 是谁下的 "

正如一些安全专家指出的那样，AI 浏览器无法区分 " 用户请求的内容 " 和 " 它读取的内容 "。近日在拉斯维加斯的一场安全大会上，安全研究机构 Zenity Labs 就展示了仅用一封邮件，就直接让 AI 浏览器 " 替 " 黑客作恶的技术手段。

他们的方法其实非常简单，只需要一封隐藏了提示词的电子邮件就行。这些提示词用透明字体写在邮件里，用户看不到，但 AI 浏览器的读屏或邮件总结功能就会 " 多此一举 " 地读到这句指令，并错误地将其当作用户发出的指令。

接下来，黑客就能在被攻击者 AI 浏览器的帮助下，窃取对方的邮箱账户，使用对方的网购账号购物，甚至是盗窃保存在 AI 浏览器里的所有账号和密码信息。

其次，AI 浏览器为了功能阉割了安全机制

对于那些传统的、不带 AI 功能的浏览器来说，它们过去普遍都有 " 页面隔离 " 的机制，为了防止恶意网页里的代码能够窥探到其他网页的信息。

比如，你同时打开恶意网站和购物网站，传统的浏览器就能保护你，只让同一个网站内的脚本可以互通信息，而不允许来自不同网站的脚本有信息交换。这一策略被称为 " 同源策略 "，可以阻止大部分恶意网站抓取用户的购物记录和个人账号，除非电商平台遭到了破解。

但 AI 浏览器为了能够实现在会话中处理不同来源的内容，往往就不得不抛弃同源策略。在这种情况下，当跨网站的脚本入侵变得可能，AI 浏览器的安全性自然便因此大幅降低了。

AI 浏览器本是过渡产物，但要淘汰也很难

正如我们在本文开头就提到的那样，AI 浏览器本身就是为了照顾不具备本地大模型运行能力的老款 PC，因此它注定是 " 过渡产物 "。

对于当下那些已经具备了一定本地 AI 运行能力的 PC 而言，真正合理的 AI 助手产品形态，实际上已经有不少厂商都做出来了。那就是以本地路由机制为核心，遇到任务优先用本地模型处理，实在无法胜任的情况下，才将脱敏信息 " 转交 " 云端大模型的体系。

不过这种产品其实局限性也比较大，那就是必须要对不同硬件进行深入的针对性优化。正因如此，目前基本上只有 PC 厂商为自家产品做的预装 AI 体系，才会采用这样的设计。对于那些不能实现硬件适配的 AI 公司来说，他们的 AI 助手，至少目前还很难跳出这种不安全的 " 浏览器 " 实现方式。

【本文图片部分来自网络】