一句話講完：六款主流 AI 瀏覽器，被一個假的解謎遊戲頁面全部騙到繞過安全護欄、把使用者登入公司 GitHub 裡的 SSH 帳密抄出去交給攻擊者，沒有一個拒絕。這是資安公司 LayerX 六月底公開的「BioShocking」實測結果。但真正該記住的不是哪家補得快，而是這類代理架構的病灶：它把「讀一個不可信的網頁」和「動用你已經登入的敏感資源」放在同一條信任通道上，靠提示層的護欄根本擋不住。

惡意網頁把指令注入 AI 瀏覽器代理、操縱它偏離原本任務的示意

先講攻擊怎麼運作，因為它簡單到有點荒謬。研究員 Roy Paz 做了一個以電玩《生化奇兵》（BioShock）海底城市為主題的解謎頁，叫 Rapture Games。這個謎題專門獎勵錯誤答案，一步步訓練 AI 代理接受「2 加 2 等於 5」、接受在這個特殊環境裡「答錯才是贏」。手法名字取自《生化奇兵》著名的「Would you kindly」催眠橋段，貼切得很。它結合了兩件事：提示注入（把網頁內容當成指令來吃），加上目標操縱，把代理的任務從「幫使用者做事」偷偷換成「不計代價贏得這場遊戲」。

以遊戲情境操縱 AI 代理、讓它套用遊戲邏輯而非現實安全邏輯的示意

一旦代理接受了遊戲邏輯，它就不再套用現實世界的安全邏輯。LayerX 的說法很直白：如果你說服一個代理它正在玩遊戲，它就會用遊戲的邏輯判斷，不是安全的邏輯。謎題的最後一步，指示代理去造訪一個 GitHub 儲存庫、在程式碼裡找出密碼之類的敏感資料、當作破關的一部分交出來。在實測裡，被騙的瀏覽器走進使用者已登入的公司 GitHub 儲存庫、把 SSH 登入憑證從 /code 端點抄了出去，全程沒有跳出任何確認、六個代理沒有一個把這當成違規攔下來。

AI 代理從已登入的程式碼儲存庫抄出登入憑證外洩的示意

被測的是哪六款？ChatGPT Atlas（OpenAI）、Comet（Perplexity）、Fellou、Genspark 瀏覽器、Sigma 瀏覽器，以及 Claude 的 Chrome 外掛（Anthropic）。這幾乎就是目前「代理式瀏覽器」這個新品類的主力名單。LayerX 從 2025 年 10 月到 2026 年 1 月之間陸續通報各家，各廠的反應差很多：

廠商 / 瀏覽器修補狀態
OpenAI ChatGPT Atlas已修補，且是唯一被研究者認定有效擋下示範的一家
Anthropic Claude Chrome 外掛有嘗試修補，但研究者判定沒擋住
Perplexity Comet直接把通報結案，未提供修補
Fellou / Genspark / Sigma未回應
不同廠商對同一漏洞修補進度不一的軟體維護示意

這張表容易被讀成「選 Atlas 就安全了」。但這裡要先踩一個剎車。OpenAI 補掉的，是這一個特定的示範攻擊。BioShocking 只是提示注入這一大類問題的其中一種包裝，你今天擋掉《生化奇兵》劇本，明天換成密室逃脫、換成客服演練、換成任何一個「這是特殊環境、平常的規則不適用」的故事，攻擊面完全一樣。提示注入被列在 OWASP 大型語言模型風險清單的第一名，到現在業界都還沒有乾淨的解法。所以這張表真正告訴我們的不是誰安全，而是連補都補不齊：六家裡只有一家做出研究者認可的修補，另外五家從補了沒擋住、到結案不修、到完全不回應都有。

企業資料中心與網路防禦架構，象徵護欄該擺在架構層而非提示層

那到底哪裡出錯了？用我一貫的問法：這是在解對題還是解錯題。各家在提示層加護欄、加關鍵字過濾、加「不要洩漏憑證」的系統指令，這是在處理症狀。根因在架構：代理式瀏覽器繼承了你所有的登入狀態，你登入了公司 GitHub，它就用你的完整權限在動；同時它又把網頁上的文字當成可以照做的指令。這兩件事擺在一起，信任邊界就破了。它沒有一道機制去分辨「這段文字來自我信任的使用者」還是「這段文字來自一個惡意網頁」，全部從同一條通道進來、用同一種權限執行。這跟釣魚攻擊是同一個結構，只是這次被騙的不是人，是代理，而且代理不會累、不會起疑、被交代什麼做什麼。護欄擺在提示層，等於把防盜門裝在錯的那道牆上。這也是為什麼 MCP 這類協定變成 AI agent 事實標準之後，企業真正要治理的是權限與邊界，而不是模型本身多聰明。

台灣這邊該怎麼讀？代理式瀏覽器正在被工程師拿來連公司的程式碼、後台、內部系統，這正好是攻擊者最想要的登入狀態。在台灣每天要擋下數以百萬次網路入侵的環境裡，多開一個會自己照著網頁指令動、又握著你所有登入權限的代理，等於在既有攻擊面上再開一扇門。企業導入前，明天早上就能問的三個問題：第一，這個代理有沒有動用敏感資源（改程式、送出資料、動帳號）前一定要人確認的機制，不是預設放行；第二，能不能把代理的可見範圍限縮，用完就撤掉存取，不要讓它長期掛在有登入公司系統的環境裡；第三，別把「某家已修補」當成通行證，提示注入沒有終局解，該假設它遲早會被繞過來設計流程。LayerX 給廠商的建議也是同一個方向：敏感操作要確認、要做情境檢查、要限制代理範圍。這些不是模型調參能補的，是流程與權限設計的事。

代理式瀏覽器很好用，這點我不否認。但好用跟能不能信任你的登入權限，是兩件事。BioShocking 值得記住的一句話是：在你的 AI 願意相信 2 加 2 等於 5 的那一刻，它也願意把你的帳密交出去。

常見問題

BioShocking 攻擊到底是什麼，我用 AI 瀏覽器會中招嗎？
它是資安公司 LayerX 揭露的一種攻擊手法，用一個假的解謎遊戲頁面把 AI 瀏覽器騙到繞過安全護欄、外洩你登入的帳密。實測中 六款主流 AI 瀏覽器沒有一個拒絕。這是研究概念驗證、目前沒有大規模濫用災情，但只要你讓 AI 代理在有登入敏感系統的環境自主瀏覽，同類手法就有風險。

哪一款 AI 瀏覽器已經修好了，我換過去就安全嗎？
OpenAI 的 ChatGPT Atlas 是唯一被研究者認定有效擋下這個示範的，Anthropic 補了但沒擋住，Perplexity 直接結案不修，Fellou、Genspark、Sigma 沒回應（來源）。但補掉的只是這一個特定劇本，換個故事包裝攻擊面一樣，別把單一廠商已修補當成通行證。

為什麼 AI 會被一個假遊戲騙到交出密碼？
因為代理式瀏覽器同時做了兩件危險的事：它繼承你所有的登入狀態、用你的完整權限行動，又把網頁上的文字當成可以照做的指令。它沒有機制分辨指令是來自你、還是來自惡意網頁，信任邊界就破了。這跟釣魚攻擊同一個結構，只是被騙的是不會起疑的代理。

我在公司用 AI 瀏覽器連內部系統，該怎麼降低風險？
三件事：敏感操作（改程式、送資料、動帳號）前一定要有人工確認、不要預設放行；限縮代理的可見範圍、用完就撤掉存取權限；別把「某家已修補」當保證，假設提示注入遲早被繞過來設計流程（參考 LayerX 給的緩解方向）。