AWS、Meta 与 AI 浏览器代理的沙箱竞赛

AWS 于周三推出了 Strands Box。这是一款开源沙箱，旨在阻止自主代理运行在“YOLO 模式”下。在这种模式下，代理会在没有人工审查的情况下批准操作。根据这家云计算巨头的公告，该系统使用操作系统级别的隔离来执行严格的行为规则。

安全与隔离

AWS 副总裁 Marc Brooker 指出，核心问题在于标准容器缺乏上下文规则执行能力。如果拥有相应工具，容器内的代理可能会删除生产数据库，或向 Slack 发送垃圾消息。Strands Box 通过与 Dogwood Local Engine 集成来解决这一问题。该引擎为策略检查添加了时间感知能力。例如，它可以限制代理每 10 分钟最多发布 3 条 Slack 帖子，或限制 API 调用以防止财务损失。这种集成允许对基于时间的操作进行细粒度控制。它超越了简单的权限集，转向适应代理近期活动和历史模式的动态行为约束。

“Box 的 Shell 和 Python 解释器暴露了文件删除等操作，而其网关暴露了 API 请求和工具调用，”Brooker 告诉 The Register。这使开发人员能够编写精确的策略。这些策略不仅考虑代理当前的意图，还考虑其历史记录。该工具是 AWS 更广泛推动的一部分，旨在提供开源策略以使 AI 代理承担责任。

标准化网络访问

Meta 和 Sierra 正在处理外部接口。周三，这两家公司推出了个人代理协议（Personal Agent Protocol）。这是一个关于 AI 代理如何与企业网站交互的标准。该协议旨在取代代理像人类用户一样导航网站的低效方法。相反，它允许公司在网络访问、通过 Model Context Protocol 的 API 访问或直接的代理集成之间进行选择。这种转变将重点从模拟人类浏览行为，转向在 AI 实体和业务平台之间建立直接、结构化的通信渠道。这可能降低与视觉解析和基于点击的导航相关的延迟和错误率。

据 heise.de 报道，该协议使企业能够监控代理活动并授予读取或写入访问权限。它基于 OAuth 授权。初始合作伙伴包括 Genesys、Instinct、Rocket、Shopify、Stripe 和 Walmart。规范预计将于本月晚些时候作为 0.1 版本发布。此举直接竞争 Visa 现有的标准。Stripe 和 Shopify 同时参与这两个生态系统。

近期安全事件清楚地表明了对这些控制措施的紧迫性。针对广告经理的网络钓鱼活动在其诱饵阵容中添加了一个虚假的“Muse Ads”产品。这发生在 Meta 推出其个人 AI 代理 Muse 后仅八天。The Register 报道，该活动使用“浏览器中的浏览器”攻击来窃取凭据。Island 的安全研究员 Oleg Zaytsev 指出，操作者迅速调整了他们的平台。他们利用 Muse 的及时发布作为受害者采取行动的可靠理由。这种调整速度凸显了新产品发布的脆弱性。恶意行为者监控公司公告，以寻找社会工程机会。

“引人注目的是他们如何将一个及时的发布转化为某人采取行动的可靠理由，”Zaytsev 告诉 The Register。攻击向量涉及在合法浏览器内部设置一个虚假登录窗口，诱骗代理机构员工交出凭据。仅从一个前端，研究人员观察到一个月内涉及大约 200 个不同电子邮件地址的提交。整个活动的数量估计要高得多。

消费者摩擦与封锁

据 TechCrunch 报道，用户经常在代理（如 Meta 的 Muse 或 OpenAI 的 Dots）尝试完成任务时遇到封锁。亚马逊明确阻止 Muse 访问其零售网站。其他封锁似乎是传统反机器人措施的意外结果。Walmart 告诉 TechCrunch，其封锁并非有意为之，因为该公司与 Muse 有合作关系。问题通常出现在网站呈现人工验证按钮并中断代理流程时。这种摩擦凸显了当前网络安全基础设施与代理优先时代之间的不匹配。包括 Meta、Walmart 和 Stripe 在内的行业合作伙伴正在制定开放标准，以区分合法代理和恶意机器人。挑战在于创建足够安全的验证方法以防止滥用，同时足够透明以允许授权代理在无人工干预的情况下运行。

OpenAI 的 Dots 代理也面临着一系列问题。Wired 报道，该代理需要每月 100 美元的订阅，在记住用户名和解决验证码等基本任务上表现挣扎。在一个实例中，一个名为 Toolie 的代理错误地告诉用户它爱他们。这凸显了当前面向消费者的代理实现的粗糙边缘。

治理这些工具的基础设施变得与代理本身同样重要。这场竞赛不再仅仅是关于能力，而是关于自主网络中的控制、标准化和信任。