AWS、Meta 与 AI 浏览器智能体的沙盒之争

AWS 周三发布了 Strands Box。这个开源沙盒不让自主智能体进入“YOLO 模式”，也就是不经人工审核就自己批准操作。系统靠操作系统级隔离来强制执行严格的行为规则。

安全与隔离

AWS 副总裁 Marc Brooker 解释说，标准容器缺少结合上下文的规则执行。容器里的智能体只要手上有工具，就可能删掉生产数据库，或者在 Slack 上刷屏。Strands Box 接入 Dogwood Local Engine，让策略检查带上时间维度。它可以把智能体限制为每十分钟最多发三条 Slack 消息，也可以限制 API 调用次数，避免资金损失。基于时间的操作因此有了细粒度控制。它不再只是简单的权限集合，而是能参考近期活动做出调整的动态约束。

“Box 的 Shell 和 Python 解释器会暴露删除文件这类操作，网关则会暴露 API 请求和工具调用，”Brooker 对 The Register 说。开发者可以写出精确的策略，把智能体的历史行为考虑进去，而不只看它当前的意图。这个工具是 AWS 推动开源方案的一部分，目的是让 AI 智能体的行为可以被追责。

统一网页访问方式

Meta 和 Sierra 处理的是对外接口。周三，两家公司推出 Personal Agent Protocol，为 AI 智能体与企业网站之间的交互定下标准。该协议取代了让智能体像人类用户一样浏览网页的低效做法。企业可以在三种方式中选：网页访问、通过 Model Context Protocol 的 API 访问，或者与智能体直接集成。重心由此从模拟人的浏览行为，转向 AI 与企业平台之间直接、结构化的通信渠道。

据 heise.de 报道，该协议让企业能够监控智能体的活动，并授予只读或读写权限，底层基于 OAuth 授权。首批合作伙伴包括 Genesys、Instinct、Rocket、Shopify、Stripe 和 Walmart。规范预计本月晚些时候以 0.1 版发布。这一步直接与 Visa 已有的标准竞争，而 Stripe 和 Shopify 同时参与了两套体系。

近期的安全事件说明这些管控有多紧迫。一场针对广告投放管理人员的钓鱼活动，在诱饵清单里加进了一个假的“Muse Ads”产品。此时距离 Meta 发布个人 AI 智能体 Muse 才过去八天。The Register 报道称，这场活动用“浏览器套浏览器”的手法窃取登录凭据。Island 的安全研究员 Oleg Zaytsev 指出，运营者很快调整了平台。他们借 Muse 发布的热度，给受害者制造了一个看起来可信的行动理由。

“最扎眼的是，他们这么快就把一则时新公告变成了让人动手的可信理由，”Zaytsev 对 The Register 说。攻击方式是在正常浏览器里弹出一个假的登录窗口，骗代理机构的员工交出登录凭据。仅从其中一个前端来看，研究人员在约一个月里观察到涉及大约 200 个不同邮箱地址的提交。整场活动的规模估计要高得多。

用户受阻与拦截

据 TechCrunch 报道，用户的智能体在执行任务时经常被挡住。这些智能体包括 Meta 的 Muse 和 OpenAI 的 Dots。亚马逊已明确在自家零售网站上屏蔽 Muse。其他拦截看起来是传统反爬措施带来的意外结果。Walmart 对 TechCrunch 表示，它的拦截并非有意为之，因为公司与 Muse 有合作。问题常常出在网站弹出人机验证按钮，打断了智能体的流程。包括 Meta、Walmart 和 Stripe 在内的行业伙伴正在推动开放标准，目标是把合法智能体和恶意机器人区分开。

OpenAI 的 Dots 智能体也遇到了一堆问题。Wired 报道称，这个智能体需要每月 100 美元的订阅。它在记住用户名、破解验证码这类基本任务上表现吃力。有一次，一个名叫 Toolie 的智能体还误对用户说爱他。