Brave 曝光 Perplexity 瀏覽器漏洞：總結網頁就會被偷驗證碼

如果你平時喜歡用 AI 幫你看長文章，可能隨手點一下「總結網頁」就切去幹別的了。但在自律的 AI 代理（Agent）眼裡，這一聲召喚可能直接把家門鑰匙送了出去。

Brave 瀏覽器安全團隊公佈了一項針對 Perplexity 旗下 AI 瀏覽器 Comet 的漏洞研究。結果讓人後背發涼：攻擊者只要在一篇帖子裡藏幾行惡意指令，你點一下總結，AI 就會老老實實跨到別的標籤頁，把你的私密郵件驗證碼偷出來寄給對方。

一條 Reddit 評論如何搬空賬號

問題出在 AI 瀏覽器最基礎的設計缺陷上：間接提示注入（Indirect Prompt Injection）。

當用戶讓 Comet「總結這個頁面」時，瀏覽器會把抓取到的網頁文字直接塞進大語言模型的上下文裡。模型根本分不清哪些是使用者的命令，哪些只是網頁上的一段引用。如果網頁上潛伏著攻擊者設計好的黑話，AI 就會當成最高指示照單全收。

Brave 安全工程師 Artem Chaikin 專門做了個概念驗證。攻擊者在一篇 Reddit 帖子的評論區裡，用防劇透遮罩藏了一段攻擊程式碼。

受害者開啟帖子，隨手點了 Comet 的「總結當前網頁」。AI 讀到隱藏指令後，揹著使用者幹了一連串精密的跨站操作：先偷偷跳到 Perplexity 的賬號設定頁提取使用者的郵箱，再跑到登入入口發起登入。

為了繞過已有認證，指令甚至讓它訪問末尾帶點的特殊域名來索取一次性驗證碼（OTP）。接著，AI 徑直切到受害者已經登入的 Gmail 頁面讀出驗證碼，最後把郵箱和驗證碼直接回復到那條 Reddit 評論下面。

受害者從頭到尾只點了一次總結，Perplexity 賬號就已經被攻擊者瞬間接管。

補丁剛打上就被戳穿

傳統 Web 安全立足於同源策略（SOP），兩個不同的網站絕不能隨隨便便跨界拿資料。但在瀏覽器裡跑一個替你全權操作的 Agent 時，這堵牆瞬間形同虛設，因為 AI 本身就頂著你的全部登入許可權。

Brave 在 2025 年 7 月 25 日把漏洞報告給了 Perplexity。對方動作很快，兩天後就部署了修復方案，但 Brave 隨後發現補丁根本不完整。幾輪拉扯後，8 月 13 日看似修好了，於是 Brave 在 8 月 20 日公開了細節。

然而反轉來得極快。文章剛發出去不久，Brave 複測發現 Perplexity 依然沒有徹底解決這種注入攻擊，只能再次上報。

知名安全研究員 Simon Willison 直言，Comet 留下的安全窟窿「大到能開進一輛卡車」。更尷尬的是，Brave 自己也在為自家的 Leo 助手開發替使用者自主訂票、交易的 Agent 功能，並開出了一套藥方，比如嚴格分離使用者指令與網頁內容、敏感操作必須使用者確認等。

但 Simon Willison 吐槽說，住在玻璃房子裡的人最好別亂扔石頭。近三年來根本沒人能在大語言模型裡徹底區分指令與不可信資料，因為所有 token 最終都混在一根管道里。他在 Hacker News 上看到，越來越多的開發者終於意識到，這個問題遠比想像的致命。

為什麼重要

我們認為，這項漏洞徹底戳破了當前「Agentic Browser」看似美好的泡沫。

對普通使用者來說，現在的結論非常明確：絕對不要在主力瀏覽器裡讓 AI 助手自由跑自動化任務。只要你的瀏覽器裡掛著銀行、郵箱、公司內網的登入態，任何一個含有惡意文本的網頁，都有可能讓 AI 變成潛伏在你係統裡的內鬼。為了省下掃讀網頁的兩分鐘，賭上整個數字身份，這筆賬極不划算。

對行業而言，它暴露出以大模型為核心的自動化工具在安全地基上的先天殘缺。傳統的 Web 安全防禦已經演進了二十多年，靠的是作業系統和瀏覽器核心級別的硬隔離；而現在的 AI 瀏覽器試圖把所有許可權交給一個無法區分「資料」與「程式碼」的統計模型。

Brave 積極曝光友商漏洞值得肯定，但它為自研助手 Leo 規劃的防禦方案同樣看起來過於理想。如果底層架構不能從機制上把未受信任的網頁資訊隔離在只讀沙箱裡，任何所謂的「模型端意圖對齊」在精心設計的注入面前都只是紙糊的窗戶。AI 瀏覽器的安全標準如果跟不上狂奔的宣傳口號，這類翻車事件只會越來越頻繁。