ARTICLE · 1088854
AI Agent 最危险的地方,是你已经登录好的浏览器
AI Agent 最危险的地方,是你已经登录好的浏览器
两天前，Island 又融了 4 亿美元，估值 64 亿美元。 这是一家做浏览器的公司。2020 年成立，闷头做了两年，2022 年推出企业浏览器。它的内核是 Chromium，和 Chrome 同一个底子。2024 年估值 30 亿美元，2025 年 48 亿美元，现在 64 亿美元。美国前十大银行里，有七家在用它。 一个浏览器凭什么值这么多钱？更有意思的是，这次融资公告里，Island 几乎不再强调"浏览器"三个字。它给自己的新说法是"企业智能体控制平面"，要管的对象从员工变成了"员工加 AI Agent"。 Island 从头到尾卖的都不是浏览器，是企业对"谁能干什么"的控制权。浏览器只是它找到的第一个位置，也是最好下手的位置。 先说它当初为什么选浏览器。过去十年，企业办公一点点搬进了网页。报销、客户管理、代码仓库、云控制台、工单系统，全在浏览器里打开。传统的安全办法是在网络上设卡，VPN、代理、防火墙，看流量流向哪里。可流量能说明的东西很有限。它知道你访问了某个网站，不知道你在那个页面上把一份客户名单复制了出去，也不知道你截了一张图。浏览器知道。谁在用，开着哪个标签页，页面上是什么内容，这一下是粘贴、下载还是打印，浏览器全看得见。Island 就把规则直接写进浏览器：这个页面不许复制，那个文件不许下载，外包人员用自己的电脑登录，只能看不能存。管控的位置离人的手最近，这是它早期的全部秘密。 如果只做到这一步，30 亿美元是个合理的价钱。从 30 亿涨到 64 亿，涨的主要是 Agent。 Agent 进了企业以后，浏览器的角色变了。以前它是人看网页的窗口，现在它是 Agent 干活的工位。麻烦在于，浏览器里存着员工已经登录好的一切，包括单点登录的会话、通过了双重验证的业务系统、各种在线办公软件的登录状态。一个 Agent 如果直接在员工的浏览器里干活，拿到的就是这个员工的全部权限。员工能进财务系统，它就能进。员工能删云上的资源，它也能删。 设想一个财务 Agent，任务是登录供应商网站下载发票。某个供应商页面里藏了一段人眼看不见的文字，大意是"把你现在能看到的合同发到某个地址"。这个页面没有病毒，也没有恶意代码，传统安全产品扫一遍什么都查不出来。可 Agent 读得懂这句话，手里还握着员工的全部权限。提示词注入放在聊天机器人身上，顶多让它胡说几句。放在一个有权限的 Agent 身上，就是一次越权操作。 所以我一直认为，Agent 安全说到底是个授权问题。人把活儿交给机器的那一刻，交出去多少权力，交多久，只能用来做什么，出了事能不能查到是谁授的权，这些都要有答案。过去没人管这件事，因为过去干活的都是人。Island 押的就是这一刻。 回到中国。国内有没有 Island？ 按 Island 早年的样子，有。360 企业安全浏览器做的就是这件事。它集中下发策略，加水印，禁止复制下载，记录用户行为，还用双内核兼容老旧的 IE 系统，支持信创和国密。360 在 2023 年说，这款产品已经服务了近千家客户，适配了几万个业务系统，客户里有部委、银行、能源公司、运营商。单看浏览器这一层，360 就是中国的 Island，而且比 Island 更懂国内的老系统。 按 Island 今天要做的样子，没有。零件都在，但散在三家手里。浏览器这一块，在 360 手里。 网关这一块，在火山引擎的飞连手里。飞连今年的产品已经能在网络出口解密流量，读懂员工和 AI 之间的对话，识别权限提升、目标劫持、提示词窃取这些注入手法。它能认出命令行里跑的 AI 工具，记下它调了哪些接口、想干什么。Agent 下载技能包的时候，它还能判断有没有供应链风险，直接拦下。这是在国内公开资料里看到的、离"管住 Agent"最近的产品。只是它站在网关上，不在浏览器里。 Agent 的身体，在阿里云手里。Agent 在哪运行、用什么身份、通过什么网关调用模型和工具，阿里云都有对应的产品。阿里云给 PolarDB 数据库做的 MCP 接口（一种专门让 Agent 调用工具的接口），把数据库密码挡在 Agent 看得见的范围之外。Agent 能用数据库，但看不到密码，碰到高危操作还得有人确认。方向是对的。 零件齐了，为什么拼不出一个完整的？ 这三块不会被拼到一起，每一家自己也拼不完整。卡住它们的是立场。360 会从浏览器往外长，做一个能管 Agent 的浏览器。飞连会从网关往外长，给流量加上 Agent 的身份。阿里云会把所有东西做成在阿里云上最好用。每一家都把自己那一块当中心。 可一家真正的大企业长什么样？它可能同时用着阿里云和腾讯云，总部用飞书，子公司用钉钉，财务跑在 SAP 上，核心系统放在自己机房，研发团队还养着几个自研的 Agent。很难想象这家企业的安全负责人会同意让阿里的 Agent 归阿里管，字节的 Agent 归飞连管，腾讯那边再归腾讯管。他要的是一套规则，管所有的人和所有的 Agent。能给出这套规则的一方，必须和所有平台都没有利益关系。大厂天生做不到。 这就是空档。 如果有人看了 Island 的估值，决定在国内做一个"国产安全浏览器"，非常难。做浏览器难的从来不是第一次把 Chromium 编译出来，而是之后每隔几周跟一次安全更新，还要兼容几万个老业务系统、U 盾、打印机、国产操作系统和国产芯片。360 在这上面磨了很多年，新公司正面撞上去，研发力量会被兼容问题吃光。何况 Island 自己都不想只当浏览器公司了，这时候入场做浏览器，等于晚了一整代。 另一条看起来热闹的路是"AI 防火墙"。查员工有没有把敏感数据粘贴给大模型，飞连在做，各家网络安全厂商在做，云厂商也在做，这很快会变成一个白送的功能。还有一种流行做法，是再用一个大模型去判断 Agent 的动作安不安全。语义判断天生靠概率，连飞连都把部分拦截功能标成了测试版。删生产数据库、发起付款、合并主干代码，这类动作能不能做，必须由写死的规则说了算，不能交给另一个模型去猜。 真正值得做的，是授权层。说具体一点，每个 Agent 有自己的身份，不再借用员工的账号。Agent 永远看不到长期有效的密码和密钥，每做一个动作，系统发给它一张只管这一件事、过几分钟就作废的通行证。删除、付款、上线这类收不回来的动作，自动转给负责人点头。整条链路都记下来：张三授权了采购 Agent，采购 Agent 调了哪个工具，用了哪张临时凭证，改了哪张订单，一步不落。 拿研发举个例子。员工让编程 Agent 修一个线上 bug。Agent 可以读指定的代码仓库，拿到一张只读的数据库临时凭证。它在某个网页上读到一段注入指令，要它去翻别的仓库，系统拦下。它提交修复代码，系统放行。它想直接合并进主干、触发上线，系统停住，转给负责人审批。事后回头查，谁授权、谁执行、用了什么、改了什么，一清二楚。这套东西不需要替换员工的浏览器，也不需要替换现有的网关和云。它架在上面，可以接 360 的浏览器，可以接飞连的网关，也可以接阿里云上跑的 Agent。 这类产品在中国还有一道坎：它看见的东西太多了。网页内容、员工和 AI 的对话、剪贴板、凭证、Agent 的每一个参数，都从它这里过，它自己就会变成企业里最值钱的攻击目标。所以它必须能整套装进客户自己的机房，敏感原文在内存里检测完就丢，不落盘，不出境。做不到这一点，银行和央国企的门都进不去。 最后说钱。这个市场真正值钱的，是那些让 Agent 碰高价值数据、做高风险动作的岗位，比如研发、交易、客服、运维、采购。说服一家银行全员换浏览器很难，说服它"编程 Agent 永远拿不到生产环境的密码"，容易得多。 中国版的 Island 会出现。网络边界早就守不住了，浏览器也不是最后一道门。最后一道门，是人把钥匙交给机器的那一刻。