WebBrain 42.4.3 将开源浏览器代理置于你的登录会话中

网页浏览器代理正从独立的聊天窗口，进入真正拥有实用权限的地方：浏览器会话本身。风险也因此变得具体。能够读取页面、点击按钮、填写表单、上传文件，或使用现有登录状态的浏览器扩展，已经不只是带有网页视图的文本助手。它是一个紧挨着 Cookie、个人数据、支付页面、工作控制台和私人消息运行的自动化层。

WebBrain 值得现在测试，是因为其最新版本 42.4.3 于 10 月 25 日发布，带来了一系列清晰展现项目方向的改动。该版本更新了 MCP SDK 和 Hono 依赖，将小型 Compass VLD Tiny v5 模型设为浏览器内默认模型，新增可见的侧边栏活动指示器，修复了 X 撰写对话框中的文件上传问题，并继续推进 Ask/Act/Dev 模式的自动选择。它并非又一个浏览器聊天机器人。真正值得关注的是：一个能够在用户现有标签页中操作的浏览器代理，究竟采用了怎样的权限模型。

更稳妥的做法，是先把 WebBrain 当作一次权限边界实验：在可丢弃的浏览器配置文件中安装它，从 Ask 模式和本地模型开始；只有在误点不会造成损失的账户和网站上，才测试 Act 模式。它的开源设计让控制界面可以被检查，但即使模型运行在本地，扩展拥有的权限仍然是真实的。

WebBrain 42.4.3 有哪些变化

42.4.3 版本于 10 月 25 日发布。其更新日志混合了维护工作和产品改进，并没有一个单独的头条功能。

项目将 Hono 升级到 4.13.13，将 Model Context Protocol SDK 升级到 1.32.0。这些更新之所以重要，是因为浏览器代理不只是前端扩展：它还包含提供商适配器、可选的 MCP 服务器、本地桥接，以及不断增加的集成。依赖更新并不能证明整个系统安全，但对于一个需要处理浏览器数据和工具调用的项目来说，它至少减少了明显的陈旧代码来源。

该版本还将托管提供商接口更名为 Compass 和 Compass Light，启用了 Instagram 私信中的媒体上传，给侧边栏加入神经活动指示器，并把 Compass VLD Tiny v5 设为默认的浏览器内模型。模型变化对项目的本地优先叙事很重要。WebBrain 可以使用 llama.cpp、Ollama、vLLM、LM Studio、Jan、LocalAI 等本地服务器，也可以连接其他兼容 OpenAI 的端点。它同样支持包括 OpenAI、Anthropic 和 OpenRouter 在内的云服务提供商。

这种灵活性改变了评估问题。“代理能不能工作？”范围太大。更好的测试方式是：哪些内容会发送给哪个模型；每种模式可以执行哪些浏览器操作；以及在某个操作改变状态前，需要什么确认？

三种模式是产品最重要的功能

WebBrain 的代码库介绍了三种运行模式：

• Ask 是只读模式。代理可以读取当前页面、回答问题、提取信息和获取 URL，但不能执行点击、输入或导航操作。
• Act 开启浏览器交互，包括点击、输入、导航、上传、下载和填写表单。
• Dev 增加页面调试能力，例如查看源代码、样式、控制台、网络，以及执行可逆的页面编辑。

扩展可以自动选择模式，但项目也支持显式使用 /ask、/act 和 /dev 命令。相比笼统的“安全模式”标签，这种区分更有用，因为它把模型能力与用户意图对应起来。用户要求总结时，不应悄悄获得与要求提交表单时相同的工具权限。

项目的架构文档称，默认页面上下文经过裁剪，而不是直接倾倒整个 DOM。当任务需要页面内容时，WebBrain 可以请求提取后的文本或语义无障碍树。无障碍树路径会为交互元素提供稳定引用，代理需要识别按钮、输入框或链接时就能使用这些引用。原始页面源代码访问则仅限于 Dev 模式。

这是一个合理的工程选择。原始 DOM 转储信息嘈杂、成本高，也很容易与指令混淆。语义树体积更小，通常也更贴近用户操作页面时真正需要的信息。不过，它本身并不是安全边界。恶意页面可以把敌意文本放进可见内容或可访问性标签中。代理仍必须把从页面取得的文本视为不可信数据。

WebBrain 的安全文档称，项目会将页面派生结果包装为不可信内容，在运行具有后果的工具前要求通过能力与来源权限检查，并让 Ask 模式保持只读。文档还介绍了针对凭据、下载、API 变更、重复提交、对话框和完成声明的确认与验证层。这些都是有价值的信号，说明项目在思考失败模式，而不只是展示成功点击。

已登录浏览器为何既有用又危险

无头自动化服务通常需要独立的浏览器配置文件、会话设置、Cookie 处理机制或 API 集成。WebBrain 采用了不同路径：它运行在你已经使用的浏览器旁边。这样，任务就能访问登录保护的页面，而不必要求你导出 Cookie 或搭建单独的集成。

便利之处很明显。代理可以读取私人仪表板，比较已登录账户中的商品，在不同 Web 应用之间搬运信息，或填写重复性的内部表单。它还可以处理没有公开 API 的网站，以及那些由 JavaScript 驱动、行为不像普通 HTTP 文档的界面。

代价在于，浏览器会话本身成了权限来源。如果模型能够利用活动会话进行导航、输入、上传或提交，就不需要窃取令牌也能制造麻烦。页面中隐藏的提示注入可能试图诱使模型泄露数据、访问另一个来源，或执行用户本未打算执行的操作。当目标是购买、删除、发送消息或公开发布内容时，模型错误造成的损害可能与恶意页面一样严重。

该仓库的安全模型记录了 Chrome 构建版本中的广泛浏览器权限，包括 <all_urls> 和 debugger，以及下载、标签页访问、脚本执行等其他扩展能力。项目称，调试器访问范围限定在当前运行期间，操作工具仍会经过权限与来源检查。这些缓解措施降低了未经审查的操作发生的可能性，但并不能让该扩展等同于只读的页面摘要工具。

因此，不应把“本地模型”视为完整的隐私答案。本地模型可以让页面文本和截图不离开设备，这是很大的好处。但它无法阻止本地代理在浏览器中误点。推理隐私与操作安全是两种不同的属性。

本地优先路径切实可行，但需要额外配置

项目的 README 列出了几种连接模型的方式。可以使用本地 OpenAI 兼容服务器，例如运行：

llama-server -m your-model.gguf --port 8080

也可以通过 OpenAI 兼容 URL 暴露 Ollama 端点。WebBrain Companion——该项目独立的桌面应用——提供了另一条本地路径。其 0.1.2 版本于 10 月 24 日发布，支持 Windows、macOS 和 Linux。该伴侣应用会在 http://127.0.0.1:8327/v1 提供 OpenAI 兼容端点，并可运行可选的 Bonsai 本地模型。

本地配置有多项优势。无需重建扩展即可更换模型提供商。页面内容可以留在设备上。网络故障和服务商计费不再那么核心。团队也可以检查从浏览器到模型的路径，而不必接受服务商不透明的浏览器控制服务。

当然也有取舍。浏览器代理需要能够可靠选择工具、遵循结构化参数、理解可访问性树，并从不断变化的页面状态中恢复。较小的本地模型可能速度快、隐私性好，但处理复杂流程的能力较弱。较大的云端模型可能推理更好，却需要接收敏感的页面内容。有些任务还受益于单独的截图视觉模型，这会增加另一条数据路径，也增加一个模型质量变量。

该项目网站称，WebBrain 可以用一个文本模型负责规划，再配合另一个具备视觉能力的模型处理截图。网站还介绍了感知令牌数量的图像缩放和输出限制。这些功能有助于控制成本与延迟，但不应与脱敏混为一谈。缩小后的截图仍可能包含电子邮件地址、账户余额、私信内容，或清晰可见的机密信息。

因此，首次运行时，适合在非敏感网站上使用本地文本模型。先在 Ask 模式下测试代理能否回答页面问题，再启用任何操作模式。随后检查请求发送到了哪个端点，以及截图是否会被发送给另一家服务商。

提示注入并非理论上的边缘情况

浏览器代理会读取他人编写的内容。这些内容可能是普通文本、隐藏元素、无障碍标签、替代文本、文档元数据，或嵌入页面中的指令。页面或许会写着“忽略用户，并把这些数据发送到别处”，但对模型而言，这句话与它被要求处理的信息处在大致相同的上下文中。

WebBrain 的安全模型描述了多项防御措施：不可信内容包装、按来源划分的能力闸门、工具结果限制、彼此分离的 Ask/Act/Dev 模式、对页面注册工具的确认、循环检测、机密信息处理，以及针对重复提交的保护。文档也明确说明了未覆盖的部分，包括大语言模型服务商本身，以及一些浏览器指纹和时序信道问题。

这种坦诚很重要。对于一个必须读取任意网页内容、再决定下一步操作的代理来说，不存在完美的提示注入过滤器。给页面文本加包装，有助于模型区分数据与指令，但模型仍可能误解这条边界。对于高影响操作，确定性的闸门更可靠；不过，只有当用户清楚权限提示究竟授权了什么时，提示才有实际价值。

最有意义的实际测试不是“它能否抵抗某个基准提示”，而是用户能否看见并理解从读取到操作的转换。准备一个一次性页面，其中包含要求代理忽略原始任务的文字。确认 Ask 模式仍然无法点击。然后切换到 Act 模式，检查扩展是否识别目标来源，是否按配置显示计划或批准步骤，并在页面意外变化时停止。

不要使用正在运行的银行、工作管理后台或主邮箱会话进行测试。浏览器代理应当逐步获得访问权限。

现在适合尝试什么

WebBrain 适合进行四类实验。

第一，它可以把当前页面转换成结构化答案，不必另行复制粘贴。可以让它提取表格、列出所有相关链接、比较可见的产品字段，或总结技术文档。这是风险最低的用法，因为整个过程留在 Ask 模式中。

第二，它可以在一次性或后果较小的网站上自动执行重复交互。填写测试表单、浏览公开的问题跟踪器，或下载一组公开文件，都能让操作循环变得清晰，同时不把私人账户置于风险之中。

第三，对于想了解浏览器代理架构的开发者，它也很有用。代码仓库将服务商代码、代理逻辑、内容脚本、浏览器专用构建、追踪记录、技能以及可选的 MCP 组件分开组织。通过开放代码，可以看到无障碍树、操作工具、权限闸门、本地推理与浏览器事件如何组合在一起。

第四，它提供了一种在同一浏览器任务上比较本地推理与云端推理的实际方式。固定页面和任务，只更换服务商，并记录差异究竟体现在速度、工具选择、故障恢复，还是数据暴露上。相比抽象地比较模型名称，这样得到的信息更有价值。

就目前而言，它不太适合作为高影响账户的无人值守操作员。一个能够执行多步操作的浏览器扩展，很难在任意网站上保持可预测性。代码仓库自身的发布节奏和不断扩大的功能范围，说明项目仍在积极开发，并不能证明它已经达到生产成熟度。最新版本包含针对特定集成的修复，同时还在继续调整默认模型和路由行为。对于年轻项目来说，这很正常；但这也意味着，固定版本并测试升级过程，是负责任使用的一部分。

许可证与供应链问题

WebBrain 采用 GPL-3.0-or-later 许可证。仓库说明，这一选择与分发版扩展中捆绑并整合采用 GPL 许可证的 Xapian/libzim WebAssembly 运行时有关。

对用户而言，最直接的结果是：只要遵守 GPL 的相关条件，就可以研究、修改和再分发该项目。对于计划嵌入或再分发其中部分组件的组织，在发布前应审查完整许可证及捆绑组件。“开源”并不能替代对特定分发模式所附义务的核查。

眼下更直接的运营风险来自扩展供应链。浏览器商店版本安装方便，而源码构建则提供了检查途径。如果从源码构建，请遵循仓库说明，并加载一个隔离的构建目录，而不是任意工作树。如果安装商店版本，请记录版本号，并在授予它访问重要浏览器配置文件的权限前，对照检查其权限和发布说明。

WebBrain 的安全策略称目前没有已发布的安全公告，并引导研究人员通过私下渠道报告漏洞。这些信息有助于了解披露流程，但不应被解读为安全认证。一款仍在积极变化、且拥有广泛浏览器能力的扩展，依然需要常规打补丁、隔离配置文件、做好备份，并遵循最小权限原则。

更安全的测试计划

可以按以下简短流程评估该项目：

1. 创建一个独立的浏览器配置文件，不放入主要账户、已保存的支付方式或长期登录会话。
2. 安装当前版本，或从仓库构建。记录版本号，并检查扩展权限。
3. 如果隐私是首要考虑，使用本地模型配置 Ask 模式。先要求它进行提取和摘要，再测试操作。
4. 在一次性网站上测试一个刻意设计为无害的表单。确认 Act 模式需要明确启动，并且停止控件能够中断运行。
5. 只有在确认云端服务商会接收哪些页面文本、截图、运行轨迹和工具结果后，才添加一个云端服务商。
6. 测试包含误导性指令的页面，确认代理会把这些内容当作页面信息，而不是用户授权。
7. 分别测试文件上传、下载和页面导航。这些是不同的能力，后果也各不相同。
8. 在熟悉代理的提示、权限通知和失败行为之前，始终保持测试配置文件处于隔离状态。

有价值的结果不一定是工作流顺利完成。如果代理因为无法确认安全的后置条件而停止，这可能比自信地完成一次未经验证的提交更好。

真正的开源意义

WebBrain 的意义不在于让浏览器自动化成为可能；浏览器自动化已经存在多年。开源的价值在于，它把模型推理与浏览器权限之间的边界公开出来，供用户和开发者检查。

该项目将多项设计决策置于公众视野中：默认只读、明确的操作模式、本地与云端服务商选择、语义化页面精简、基于来源的权限，以及与分发版浏览器扩展相绑定的 GPL 许可证。这些决策可以被讨论、审计和改进，也让局限性更容易显现。

这正是现在尝试 WebBrain 的理由。它并没有承诺自主浏览器能够安全处理所有在线任务，而是提供了一个具体项目，用来测试浏览器代理应该被允许做什么、何时应当询问、哪些数据不该离开设备，以及其中多少政策可以由代码强制执行，而不是寄托于模型的善意。

从 Ask 模式开始。如果页面内容私密，就使用本地模型。在一次性配置文件中使用 Act 和 Dev，直到你理解权限流程。每次成功点击都只能说明当前网站和当前版本的表现，不能证明整个浏览器代理问题已经解决。