Brave 曝光 Perplexity 浏览器漏洞：总结网页就会被偷验证码

如果你平时喜欢用 AI 帮你看长文章，可能随手点一下「总结网页」就切去干别的了。但在自律的 AI 代理（Agent）眼里，这一声召唤可能直接把家门钥匙送了出去。

Brave 浏览器安全团队公布了一项针对 Perplexity 旗下 AI 浏览器 Comet 的漏洞研究。结果让人后背发凉：攻击者只要在一篇帖子里藏几行恶意指令，你点一下总结，AI 就会老老实实跨到别的标签页，把你的私密邮件验证码偷出来寄给对方。

一条 Reddit 评论如何搬空账号

问题出在 AI 浏览器最基础的设计缺陷上：间接提示注入（Indirect Prompt Injection）。

当用户让 Comet「总结这个页面」时，浏览器会把抓取到的网页文字直接塞进大语言模型的上下文里。模型根本分不清哪些是用户的命令，哪些只是网页上的一段引用。如果网页上潜伏着攻击者设计好的黑话，AI 就会当成最高指示照单全收。

Brave 安全工程师 Artem Chaikin 专门做了个概念验证。攻击者在一篇 Reddit 帖子的评论区里，用防剧透遮罩藏了一段攻击代码。

受害者打开帖子，随手点了 Comet 的「总结当前网页」。AI 读到隐藏指令后，背着用户干了一连串精密的跨站操作：先偷偷跳到 Perplexity 的账号设置页提取用户的邮箱，再跑到登录入口发起登录。

为了绕过已有认证，指令甚至让它访问末尾带点的特殊域名来索取一次性验证码（OTP）。接着，AI 径直切到受害者已经登录的 Gmail 页面读出验证码，最后把邮箱和验证码直接回复到那条 Reddit 评论下面。

受害者从头到尾只点了一次总结，Perplexity 账号就已经被攻击者瞬间接管。

补丁刚打上就被戳穿

传统 Web 安全立足于同源策略（SOP），两个不同的网站绝不能随随便便跨界拿数据。但在浏览器里跑一个替你全权操作的 Agent 时，这堵墙瞬间形同虚设，因为 AI 本身就顶着你的全部登录权限。

Brave 在 2025 年 7 月 25 日把漏洞报告给了 Perplexity。对方动作很快，两天后就部署了修复方案，但 Brave 随后发现补丁根本不完整。几轮拉扯后，8 月 13 日看似修好了，于是 Brave 在 8 月 20 日公开了细节。

然而反转来得极快。文章刚发出去不久，Brave 复测发现 Perplexity 依然没有彻底解决这种注入攻击，只能再次上报。

知名安全研究员 Simon Willison 直言，Comet 留下的安全窟窿「大到能开进一辆卡车」。更尴尬的是，Brave 自己也在为自家的 Leo 助手开发替用户自主订票、交易的 Agent 功能，并开出了一套药方，比如严格分离用户指令与网页内容、敏感操作必须用户确认等。

但 Simon Willison 吐槽说，住在玻璃房子里的人最好别乱扔石头。近三年来根本没人能在大语言模型里彻底区分指令与不可信数据，因为所有 token 最终都混在一根管道里。他在 Hacker News 上看到，越来越多的开发者终于意识到，这个问题远比想象的致命。

为什么重要

我们认为，这项漏洞彻底戳破了当前「Agentic Browser」看似美好的泡沫。

对普通用户来说，现在的结论非常明确：绝对不要在主力浏览器里让 AI 助手自由跑自动化任务。只要你的浏览器里挂着银行、邮箱、公司内网的登录态，任何一个含有恶意文本的网页，都有可能让 AI 变成潜伏在你系统里的内鬼。为了省下扫读网页的两分钟，赌上整个数字身份，这笔账极不划算。

对行业而言，它暴露出以大模型为核心的自动化工具在安全地基上的先天残缺。传统的 Web 安全防御已经演进了二十多年，靠的是操作系统和浏览器内核级别的硬隔离；而现在的 AI 浏览器试图把所有权限交给一个无法区分「数据」与「代码」的统计模型。

Brave 积极曝光友商漏洞值得肯定，但它为自研助手 Leo 规划的防御方案同样看起来过于理想。如果底层架构不能从机制上把未受信任的网页信息隔离在只读沙箱里，任何所谓的「模型端意图对齐」在精心设计的注入面前都只是纸糊的窗户。AI 浏览器的安全标准如果跟不上狂奔的宣传口号，这类翻车事件只会越来越频繁。