agentic browser 是什麼？讓 AI 替你操作網頁

2025 年 7 月 9 日，Perplexity 發布 Comet。9 月 4 日，Atlassian 用 6.1 億美元現金買下做 Dia 瀏覽器的 The Browser Company。9 月 18 日，Google 把 Gemini 直接放進 Chrome。10 月 21 日，OpenAI 推出 ChatGPT Atlas。

瀏覽器這個快三十年沒什麼大新聞的產品，三個多月內連上四次頭條。上一次瀏覽器被這樣搶，還是 Chrome 挑戰 IE 的年代。

這批新瀏覽器賣的能力長這樣：你開著三個購物分頁，跟瀏覽器說「幫我把這三支耳機的規格和價格整理成表格，挑最便宜的加進購物車」——它真的會讀完三個分頁、列出表格，然後自己去點「加入購物車」。

這類產品有個統稱：agentic browser（代理型瀏覽器）。

Agentic browser（代理型瀏覽器）是把 AI agent 能力當成核心互動方式的瀏覽器。它能讀懂你正在看的網頁內容、跨分頁蒐集與比較資訊，並且代替你操作網頁——填表單、訂餐廳、比價下單。傳統瀏覽器把網頁「顯示」給你看，操作由你自己來；agentic browser 在這之上多了一個會替你動手的 AI 代理人。

一個好記的比喻：傳統瀏覽器是你自己開的車，agentic browser 是內建代駕的車。你說目的地，它握方向盤。這個比喻講到安全那段還會用到——因為這位代駕有個毛病：路邊任何人喊話，它都可能照做。

2025 下半年的連環發布

時間	事件	現況
2025 年 6 月	The Browser Company 的 Dia 進入 beta（邀請制）	2025 年 9 月被 Atlassian 以 6.1 億美元收購，轉攻企業瀏覽器
2025 年 7 月 9 日	Perplexity 發布 Comet，最初限每月 200 美元的 Max 訂閱者	2025 年 10 月 2 日起全球免費開放，後續推出 Android、iOS 版
2025 年 9 月 18 日	Google 把 Gemini in Chrome 開放給美國桌面用戶	上線時以側欄助理為主，代理式操作（點擊、輸入）陸續推出
2025 年 10 月 21 日	OpenAI 發布 ChatGPT Atlas，macOS 全球上線	agent mode 供 Plus、Pro、Business 用戶預覽；Windows 與行動版後續跟進

為什麼是這個時間點？兩個條件在 2025 年同時到位。模型端，tool calling 和多模態讓 LLM 有能力看懂網頁結構、輸出操作指令。商業端，瀏覽器是入口——你在哪裡打下第一個字，決定了搜尋、廣告、購物的錢流向哪裡。OpenAI 做 Atlas，對準的正是 Google 靠 Chrome 加 Search 建立的入口地位（這條戰線的完整拆解見2026 AI 入口戰）。

跟「裝了 AI 側欄的瀏覽器」差在哪

Chrome、Edge 這幾年也塞了不少 AI 功能，容易混為一談。差別可以用「動不動手」來切：

• AI 側欄：摘要頁面、回答問題、改寫文字。AI 只讀，不動手。Gemini in Chrome 在 2025 年 9 月上線時大致在這一層。
• Agent mode（代理模式）：AI 接管滑鼠鍵盤，實際點擊、捲動、輸入、送出。Atlas 的 agent mode 和 Comet 的助理屬於這一層，也是「agentic」這個字真正的門檻。

技術上，agent mode 的骨架就是 AI agent 那一套：模型透過 tool calling 拿到「點擊」「輸入」「讀取頁面」這些工具，跑觀察、決策、操作的迴圈。開發者圈同期也長出對應的開源與企業工具，例如讓 agent 直接控制 Chrome 的 Browser Harness，以及 AWS 給企業 agent 用的 AgentCore Browser。同一股趨勢，一邊包成消費產品，一邊拆成開發元件。

跟 computer use 的分工

另一個容易搞混的詞是 computer use（電腦操作能力）——Anthropic、OpenAI 都提供的底層能力，讓模型看螢幕截圖、移動滑鼠、敲鍵盤，操作整台電腦。

兩者的關係是包裝層次。Computer use 是給開發者的 API，理論上能操作任何軟體；agentic browser 是包好的消費級產品，把操作範圍圈在瀏覽器裡，附上介面、帳號整合和安全欄杆。你可以把 agentic browser 理解成「computer use 的瀏覽器限定版，包成一般人能用的樣子」。範圍收窄有實際好處：網頁的 DOM 結構比任意軟體的畫面好解析得多，操作成功率和權限控制都比較做得起來。

安全帳：網頁內容就是不受信輸入

回到代駕比喻的後半段。這位代駕最大的問題：它分不清你的指令和路人的喊話。

LLM 沒有辦法從結構上區分「使用者要它做的事」和「網頁內容裡寫的字」。攻擊者在網頁裡藏一段指令——白底白字、HTML 註解、甚至圖片裡人眼看不見的文字——agent 讀頁面時就可能把它當成指令執行。這叫 prompt injection（提示注入），而 agentic browser 是它的完美載體：你登入著 Gmail、銀行、公司系統，agent 拿你的完整權限在動。

這已經被實際示範過。Brave 的安全團隊在 2025 年 8 月 20 日公開展示：在網頁藏隱形指令，Comet 的使用者只要按「摘要這個頁面」，agent 就可能照攻擊者的指示去信箱撈一次性密碼。安全研究者 Simon Willison 在 2025 年 6 月把這類風險歸納為「lethal trifecta（致命三要素）」：「存取私有資料、暴露於不受信內容、能對外通訊」——三個條件同時成立，攻擊者就有完整的資料外洩路徑。agentic browser 天生三個全中。

OpenAI 自己也承認這件事沒有乾淨解法。2025 年 12 月，OpenAI 表示 prompt injection 可能永遠無法被完全「解決」，只能持續壓低風險。各家目前的緩解手段：敏感操作（付款、送出表單）要人工確認、登入狀態下限制 agent 權限、隔離瀏覽階段。這些是欄杆，防不了所有摔法。

現在該不該用：三條判斷準則

市占先講清楚。OpenAI 和 Perplexity 都沒公布官方使用人數，第三方估計從數百萬到近兩千萬 MAU 都有、彼此差距很大，只能當方向參考。比較確定的是 StatCounter 2026 年的瀏覽器市占前十名裡，還沒有任何一家 AI 瀏覽器，Chrome 仍握著約 65%。「瀏覽器大戰」的敘事很熱，實際的使用者遷移還在很早期。

如果你想試，三條準則：

1. 低風險任務先上。整理分頁、比價、研究彙整——這些只讀不寫的任務，agentic browser 現在就好用。
2. 登入中的敏感帳號別給 agent 碰。銀行、公司信箱、管理後台開著的時候，不要啟動 agent mode。lethal trifecta 的第一要素是私有資料存取，這一項你可以自己拔掉。
3. 公司環境先等治理工具。企業需要的審計、權限控管還在早期。Atlassian 買 Dia 押的就是企業瀏覽器這條線，2026 年下半年值得追蹤。

帶走一句話：agentic browser 把「AI 替你用網頁」從 demo 變成了上架產品，但它的安全模型還在追趕它的能力。能力你今天就能試，信任要再等一陣子。

資料來源：OpenAI、Perplexity、Brave Security Team、Simon Willison、TechCrunch、CNBC、Fortune、HUMAN Security、StatCounter

矽基前沿 · 大百科線（編輯：廖玄同），《agentic browser 是什麼？讓 AI 替你操作網頁》，矽基前沿 [Si]gnals，2026-07-05。https://signals.tw/articles/what-is-agentic-browser/