浏览器 Agent、AI 浏览器与 AI 工作区：边界与选型

浏览器 Agent、AI 浏览器和 AI 工作区正在互相借用功能：浏览器可以加入 Agent 动作，工作区可以内置浏览器，Agent 也可以在两者中运行。因此，产品名称不是可靠的购买指南。

真正稳定的区别是系统边界：任务在哪里运行、能看到哪些上下文、使用什么身份，以及执行失败后怎样处理。浏览器任务能力请看浏览器 Agent 能做什么，完整威胁控制请看浏览器 Agent 安全指南。

**信息核对截至 2026 年 10 月 13 日。**浏览器功能会按套餐、账号、地区、设备和管理员策略分批开放。文中的一手官方页面只能作为当前起点，最终仍要以你自己的账号界面和政策配置为准。

一张表看懂三类产品

三者不是成熟度阶梯。AI 工作区不必然更强，AI 浏览器也不必然更安全。应选择能够容纳任务的最小边界。

三个现行产品说明了为什么类别会重叠

同一个产品完全可能同时落入表中的两类。当前官方文档至少展示了三种差异很大的运行方式：

因此，“支持浏览器 Agent”这个勾选项本身几乎不能证明什么。真正要记录的是运行位置、标签页与 Profile 范围、登录方式、后台行为、确认政策，以及目标账号当前是否可用。

1. 浏览器 Agent：在浏览器中委托动作

浏览器 Agent 使用网页界面或浏览器专用工具导航、提取信息、填写内容并连续执行多步任务。它可能运行在你当前已登录的浏览器、应用内置浏览器，或独立云端浏览器中。

执行位置会改变选型。当前会话中的 Agent 可能继承标签页与账号；云端浏览器通常拥有独立 Cookie 和登录。OpenAI 当前的云端浏览器文档明确说明了独立会话、网站访问授权、高影响动作确认、人工接管，以及网站可能阻止自动化。这些应成为核验问题，而不是对所有产品的默认假设。

适合： 重复网页操作、登录态门户、跨站收集和表单准备，且网页就是主要工作面。

不必选： 只做页面摘要、固定 API 搬运，或需要广泛本地文件与桌面应用上下文的任务。

2. AI 浏览器：让浏览过程本身具备上下文

AI 浏览器把助手嵌入浏览环境，优势是跨页面与标签页的连续性：询问当前页面、比较来源、整理研究，或无需复制到另一个聊天窗口就调用动作。

重点不是它是否自称 Agent，而是上下文能否跨标签页、窗口、配置文件和会话；隐私窗口是否排除；历史或页面内容是否用于个性化；动作模式与只读助手是否拥有不同权限。

适合： 阅读、比较、研究和笔记占主要比例的浏览器中心工作。

不必选： 偶尔摘要、跨桌面流程，或必须脱离浏览器持续运行的后台任务。

设为默认浏览器前，应测试配置文件隔离、扩展兼容、密码管理、组织策略、同步、移动端与导出。平台支持变化很快，应查厂商当前下载与支持页面，而不是沿用旧测评表。

3. AI 工作区：协调更完整的工作成果

AI 工作区以项目、任务或桌面环境为边界，可能组合本地或上传文件、网页研究、连接服务、终端、文档和持久指令。它的工作单位通常是交付物或持续项目，而不是一个标签页。

任务跨越多个表面时，价值最明显：审阅源文件、补充调研、生成成果，并把证据和修订保存在同一上下文中。但范围扩大也增加治理问题。要确认哪些文件被明确共享、工具在本地还是远程运行、哪些连接账号可访问、什么会持久保存，以及其他设备能否恢复任务。

如果本地文件或设备工具是关键因素，还应单独比较 本地优先与云端 Agent 工作区 的取舍。“工作区”这个名字本身并不能说明执行或存储发生在哪里。

适合： 从研究到交付的工作、多文件项目，或需要多种工具和持久项目上下文的任务。

不必选： 单站点击，或更适合用确定性工作流表达的集成。

“上下文”不是一个功能

“了解你的上下文”至少可能指五层：

1. 当前页面或选中文本；
2. 其他打开的标签页；
3. 浏览历史或保存的记忆；
4. 文件和项目指令；
5. 邮箱、网盘、日历等连接服务。

逐层记录访问是自动发生、每次请求，还是管理员配置；同时记录数据在哪里处理、保留多久、谁能取回，以及如何撤销。上下文越丰富越方便，但错误调用或恶意指令造成的影响也越大。

分开比较权限与执行位置

候选表应至少分成四行权限：

• 读取： 页面、标签页、文件、消息和记录。
• 草稿： 只生成拟议文本、表单值、编辑或动作，不提交。
• 可逆写入： 能够可靠撤销或恢复的更改。
• 高影响写入： 发送、发布、购买、删除、授予权限或接受条款。

再标出执行发生在当前浏览器、厂商云端浏览器、本地桌面运行时，还是厂商工作区。一个产品可能同时使用多个位置。位置会影响凭证、网络访问、设备关闭后能否继续、日志覆盖和事故响应。

可观测与恢复决定委托是否可用

漂亮的最终答案不能证明运行过程安全。逐项核验：

• 来源、工具调用、审批与状态变化的时间线；
• 每个动作使用的身份和账号；
• 暂停、停止与人工接管；
• 不会重复提交或写入的重试机制；
• 中断后的保存状态或检查点；
• 可导出的证据和故障诊断；
• 回滚或明确的人工恢复路径。

无法重建发生过什么时，只允许只读或草稿用途。

风险跟随权限，而不是类别名称

三类产品都可能接触不受信任的网页内容。网页可能包含试图改变 Agent 行为的指令，连接文件和消息也可能携带类似内容。应把数据与指令分开，限制域名和工具，采用最小权限，并让高影响动作经过知情审批。

这不是某一家厂商已经彻底解决的假想风险。OpenAI 2026 年的安全说明把提示注入称为持续演变的问题，并主张即使误导成功也要限制其后果，而不能只靠输入过滤（OpenAI：让 AI Agent 抵抗提示注入）。产品自身的防护仍需配合窄权限边界和操作者可见的审批步骤。

本文不重复完整威胁模型。对选型而言，结论是：上下文边界越大、写入权限越高，所需控制和日志就越强。

可复现的品类试点

不要比较厂商演示。让每类候选执行同一份任务合同：

根据三个指定公开来源和一个提供的文件，生成带引用的比较；按模板起草后续消息，但不得发送；若来源要求新登录或与文件冲突，立即停止。

运行四类案例：正常输入、缺字段或无法访问页面、来源冲突，以及包含无关诱导指令的网页。

评分项包括任务完成、引用正确、越权动作、审批信息质量、中断恢复、主动审阅时间、总耗时和总用量成本。行为有随机性时重复运行。记录产品版本、账号套餐、操作系统、执行位置、权限和测试日期，保证别人能够复现。

按任务边界选型

• 工作主要是在网站上执行动作，浏览器权限已经足够：选 浏览器 Agent。
• 主要价值来自跨标签页阅读与推理，并愿意迁移浏览环境：选 AI 浏览器。
• 文件、研究、工具和交付物要保留在同一项目上下文：选 AI 工作区。
• 触发与转换确定：改用 API 或工作流自动化。
• 结果高度依赖判断，或错误难以逆转：使用没有动作权限的助手。

以后可能组合多个类别，但不要一开始就假定需要“全家桶”。先试点最小边界；只有证据证明它确实覆盖不了另一类任务，才增加第二个产品。

决定前的九个问题

1. 执行在哪里发生，使用哪个会话或身份？
2. 哪些上下文自动可见、需要请求或完全不可用？
3. 读取、草稿、可逆写入与高影响写入能否分开？
4. 哪些动作需要审批，审批界面展示什么？
5. 能否暂停、恢复、重试，并避免重复副作用？
6. 来源、工具调用、错误和状态变化能否导出？
7. 设备离线或浏览器关闭后会发生什么？
8. 配置、项目、数据与历史能否导出或删除？
9. 计入审阅时间后，代表性试点是否优于人工基线？

每个答案旁边还应写明测试日期。今天没看到的浏览器功能可能仍在分批开放；厂商公告里出现的控制，也可能尚未对你的地区、套餐、Profile 或托管租户启用。

最合适的类别，是能够容纳真实任务，同时提供所需上下文、权限、证据与恢复能力的最小边界。