2025 年 10 月,一款名为 Comet 的 AI 浏览器面向全球免费开放,首日即被安全研究团队发现存在高危提示词注入路径——同一个月内,围绕"AI 浏览器是否准备好进入企业 IT 治理体系"的争论从极客圈被推到了 IT 负责人桌面。本文聚焦两件事:一是 Comet 在企业部署场景下被频繁提到的 MDM 策略面与遥测体系,二是当前 AI 浏览器走向企业级时普遍遭遇的治理工程难题。一、Comet
2025 年 10 月,一款名为 Comet 的 AI 浏览器面向全球免费开放,首日即被安全研究团队发现存在高危提示词注入路径——同一个月内,围绕"AI 浏览器是否准备好进入企业 IT 治理体系"的争论从极客圈被推到了 IT 负责人桌面。本文聚焦两件事:一是 Comet 在企业部署场景下被频繁提到的 MDM 策略面与遥测体系,二是当前 AI 浏览器走向企业级时普遍遭遇的治理工程难题。
一、Comet 凭什么被视作"AI 浏览器进入企业 IT 治理工程"的样本
Comet 由搜索公司 Perplexity 在 2025 年 7 月首次向订阅用户推出,10 月 3 日正式面向 Windows 与 macOS 全量开放下载,Linux 版本暂未提供。内核基于 Chromium,保留 Chrome 扩展生态,从界面布局、书签/密码导入逻辑、广告拦截开关到默认搜索引擎,基本沿用普通浏览器的语义,这让习惯了 Chrome 与 Edge 的企业员工几乎不需要重新培训。
差异化落在地址栏旁那颗"Assistant 按钮",以及新标签页上嵌的搜索助手:用户既可以像普通浏览器一样输入 URL,也可以直接给浏览器一个自然语言指令,例如"找出某电商网站当前可用的折扣码,自动应用并把结果导出成 PDF"。Agent 在用户视线之外完成浏览、加购、参数填写、跨页跳转,最后把产物回写到本地——这是过去任何一款浏览器都没有原生提供的"代为操作"能力。
但也正是这颗 Agent 按钮,把它推到了企业 IT 治理的台面上:浏览器从"被动展示内容"变成了"主动在内部系统、邮件、ERP、CRM 中执行事务",一旦被恶意指令劫持,损失边界不再是一封邮件,而是企业核心系统的可写状态。
二、企业部署侧重点:MDM 策略面与遥测体系
过去十年,企业浏览器治理的两大支柱是 Chrome Enterprise 的策略层(MDM 集中下发策略、限制扩展、屏蔽网址、控制证书)和企业级遥测(汇总崩溃、CPU、内存、用户行为回放)。Comet 要进入企业,必须把这两条线同时接上,否则不会进入金融、医疗、政府等强监管行业的采购清单。
从已公开的产品页面与渠道沟通看,围绕企业部署,Comet 把策略面收敛到如下几个维度,数量级别大致在 500+ 条策略项:
- 数据驻留与传输合规:可指定 Agent 调用外部模型时的区域路由、数据是否落盘本地、是否允许跨区域转发;
- 扩展与脚本控制:是否允许用户从 Chrome Web Store 自由安装扩展,Agent 自身运行需要的权限是否可被策略覆盖;
- 身份与会话:SSO 接入(SAML / OIDC)、SCIM 自动开户与会话时长、与企业 IdP 的会话失效联动;
- 关键操作二次确认:涉及表单提交、付款、转账、删除文档的 Agent 行为,是否必须弹出人工确认窗口;
- 审计与回放:Agent 操作的每一步(访问页面、点击元素、填入字段)是否形成可回放的事件流,用于事后取证。
与之配套的遥测体系则把以下四类信号汇聚到企业 SIEM:Agent 任务起止时间、Token 消耗、工具调用栈摘要、被策略拒绝或人工中止的事件。这套遥测与 Chrome Enterprise 的遥测差异点在于,后者只关心浏览器本身的状态(版本、崩溃、扩展),前者关心的是 Agent 在浏览器里"做了什么"——治理的对象从"客户端"扩展到了"客户端内的智能体"。
三、安全研究发现的 CometJacking,正好戳中治理盲区
Comet 全量开放的同一天,安全研究人员披露了一种针对 Comet 的提示词注入路径,被命名为 CometJacking。攻击者只需要一个普通链接,即可让 Comet 的 Agent 把用户邮箱中的内容外传到攻击者控制的接收端。原理并不复杂:Agent 在解析用户当前浏览的页面时,如果页面中存在被精心编排的隐藏指令,Agent 会把这些指令误读为来自用户的下一条任务,从而执行越权操作。
这一类攻击并不是 Comet 独有。同月,另一组安全研究人员对 ChatGPT Atlas、Comet 等多款 AI 浏览器做了横向评估,发现"侧边栏伪造"——即让侧边栏助手把伪造的系统级提示当成用户提示执行——在多款产品中都可以稳定复现。换句话说,当浏览器开始代表用户执行事务时,过去针对网页的 XSS、CSRF 攻击面被重新打开了,且这次的攻击目标从"页面"升级到了"Agent"。
对企业 IT 而言,CometJacking 这类漏洞意味着两件事:
- MDM 策略面必须新增"敏感操作前必须人工确认"这一类硬约束,不能只做浏览器级别的网址拦截;
- 遥测必须能识别"Agent 是否正在被外部页面指令劫持"这一异常模式,而不是只记录 Agent 自身调用了哪些工具。
四、CEO 的那番话,把"遥测"的另一面摆到了台面上
在 Comet 全量开放的同一档播客中,公司 CEO 公开表示,之所以自建浏览器,一个重要原因是希望拿到用户在自家应用之外的行为数据,从而构建更精准的用户画像,以便后续在信息流中投放更相关的广告。原话大意是:"工作相关的查询并不能帮我们建立足够准确的档案;而你在买什么、去哪些酒店、去哪些餐厅、把时间花在哪类网站上,告诉我们的信息要多得多。"
这段表态没有违反任何已声明的隐私条款——用户在使用浏览器时,数据归平台所有,这在所有互联网服务里都是默认安排。但它把"AI 浏览器"与"传统浏览器"的本质差异点放在了桌面治理桌上:
- 传统浏览器的遥测关心的是客户端健康度,目的是排查崩溃与性能问题;
- AI 浏览器的遥测在产品层面天然覆盖"用户在做什么、关心什么、想做什么",这与广告归因高度同源。
对企业 IT 来说,这一区分直接决定 MDM 策略该如何配置"遥测开关":如果只关掉崩溃上报、保留了 Agent 行为回放,等于把内部系统操作数据以"产品改进"的合法名义外送。真正合规的关法应该是分两层——客户端遥测可关可留,Agent 在企业内网操作内网系统时的行为数据必须留,且只能流向企业自建的 SIEM,不能流向厂商云端。
五、AI 浏览器落地企业 IT,绕不开的四道治理工程题
把视野拉远,Comet 不是第一个进入企业候选名单的 AI 浏览器,也不是最后一个。Chrome Enterprise、Edge for Business、Arc/Dia、Opera Neon、ChatGPT Atlas、Claude in Chrome 都在排队进入这条赛道。无论最终哪家跑出来,企业 IT 在落地时都要回答四个共性问题:
1. 谁对 Agent 的操作负责?
传统浏览器里,所有操作都来自员工本人,出错责任清晰。AI 浏览器里,Agent 是"按指令执行",但执行链路上混入了外部页面、模型自身的判断、工具调用的副作用。事故出现时,法务、合规、业务三方都会问同一个问题:这是员工意图、模型失误,还是页面注入?目前没有统一的归责标准,只能靠事前策略与事后回放共同界定。
2. 关键操作是否必须人工二次确认?
凡是涉及金额、删除、对外发送、合同变更的 Agent 操作,默认必须弹出确认窗口,且二次确认必须由操作发起人本人完成,不允许 Agent 自循环。这条策略应作为 MDM 的硬性要求,而不是可选项。CometJacking 之所以能造成实质损害,正是因为侧边栏助手在用户毫无察觉的情况下完成了"读邮箱—拼接收端—发送"的全流程。
3. 遥测数据流向谁?
厂商的合规承诺写在白皮书中,但数据落到具体机房后,法务关心的是合同条款,安全关心的是跨境流动。落地方案通常是双 SIEM 架构:客户端健康度数据走厂商云,Agent 操作事件走企业自建 SIEM,中间用策略层保证 Agent 不能绕过 SIEM 直接与厂商通信。
4. 模型可换性。
把 AI 浏览器锁定在单一厂商的模型上,在战略层面风险过高。企业 IT 通常要求 Agent 调度层支持多模型路由,关键场景可以指定企业自建或私有部署的模型,以满足数据不出域的硬约束。这一点也是评估"AI 浏览器是否真正具备企业级能力"的隐形指标——只支持自家模型的产品,本质仍是面向 C 端的消费级工具。
六、对企业落地的几条具体建议
- 把 AI 浏览器纳入现有 MDM 体系之前,先用 500+ 策略项中与本企业强相关的 30-50 条做灰度试点,不要一次性下发全部策略。
- Agent 操作事件必须接入企业自建 SIEM,并把"Agent 操作内网系统"作为独立的高优先级事件类型,不能与普通浏览器访问事件混在一起。
- 关键操作的二次确认策略应在试点第一周就启用,而不是等产品稳定后再补——CometJacking 类的攻击利用的恰恰是产品早期治理缝隙。
- 遥测开关要分层:客户端健康度数据可保留(用于排障),Agent 在企业内网的操作行为只留企业 SIEM 一份,关闭厂商端的同源采集。
- 模型调度层要求支持外部模型路由,无论厂商当前是否提供,都应在采购合同中明确保留这一接口,以备未来切换或私有化部署。
结语
AI 浏览器从面向极客的玩具,到进入企业 IT 治理工程,中间需要补齐的不只是功能,而是一整套围绕 MDM 策略、遥测流向、关键操作确认、模型可替换性的工程化能力。Comet 在 2025 年 10 月的这次开放,把过去半年的争论一次性摊到了所有 IT 负责人的桌面上——一款浏览器想要进入企业,仅凭"懂你"远远不够,还得让治理工程"看得清、控得住、撤得回"。