Bradon Rogers：企业浏览器正在重做 AI 安全｜完整 ASR 精读版

图集导读

1. 封面：企业浏览器正在从「上网工具」变成 AI 安全控制面。
2. 嘉宾背景：Bradon Rogers 代表的是 Island 的客户侧技术与安全视角。
3. 浏览器角色变化：传统浏览器为消费设计，企业现在把工作、应用、数据和 AI 都放在里面。4
4. Prompt injection：隐藏指令会让 agent 误把网页内容当成人类命令。1
5. AI Protect：Island 的官方产品页称，其目标是跨浏览器、桌面、扩展和网络看见并控制 AI 使用。5
6. 影子 AI：Rogers 在访谈中提到，浏览器商店里已经有 18,000+ 个被归类为 AI 的扩展。1
7. Vibe coding 之后：员工自己做出来的临时 app，也要继承身份、安全和策略边界。Island 官方产品页把 AI Publish 描述为把用户构建的 AI app 发布成具备企业要求的应用。5
8. 收束：未来企业不是单一 AI，而是多模型、多入口、多策略环境；关键是有统一控制层。1

按节目顺序整理

1. 风险不是「AI 会不会回答」，而是「AI 在哪里替人操作」

2. AI 的采用由消费者速度驱动，企业却背着监管责任

3. Island 的出发点：浏览器本来不是为企业工作设计的

4. AI Protect 的核心不是单点封堵，而是本地策略执行

5. Prompt injection 的企业版本：网页藏指令，agent 代人执行

6. 影子 AI 的规模已经不是「几个工具」

7. AI Publish：vibe coding 做出应用之后，企业化才刚开始

8. 自动化要像工作流，不要像失控的代理

9. 多模型未来：企业不会只有一个 AI 入口

10. 为什么网络层不够：你需要看屏幕，而不是还原包

11. 操作化：不要让安全例外变成新的负担

本期金句

• 「Agent 就像我离开座位后留下的空椅子，但它还在代表我做事。」1
• 「AI 优先，不等于对终端用户的一切都说不。」1
• 「这些东西很有前景，不代表你可以放弃最基本的安全要求。」1
• 「Block page 不是 AI strategy。」1
• 「企业会成为 multi-provider organization，有时它们已经是了，只是自己还不知道。」1
• 「如果我能看见用户正在做什么，就能理解他们应该拥有哪些工作流。」1

对 AI builder 和投资人的启发

逐句全文翻译

1. Craig：你能谈谈 AI 浏览器和自主 agent 正在形成的风险吗？这些工具常常由消费者或用户设计，却正在被整合进企业。
2. Bradon：很多生成式工具并不是在企业内部开发的。agent 在应用上运行时，应用里可能埋着隐藏指令，agent 会把这些指令误认为是人类给它的命令。
3. Bradon：agent 本质上就是我从这个座位上站起来，你看到一把空椅子，但 agent 正在代表我做事。
4. Bradon：我们希望策略能够被建立起来，让 agent 在既定策略范围内运行，不多也不少，不管你使用的是哪个 AI 提供商，都能让它达到企业可用状态。
5. Bradon：自动化让团队能够追踪、度量并理解用户在企业应用里构建和运行的即时 agent。
6. Craig：欢迎来到 Eye on AI。请先介绍一下你自己，以及 Island 在做什么。
7. Bradon：我是 Bradon Rogers，Island 的首席客户官。我负责所有以技术和工程为中心、又直接触达客户的现场工作。
8. Bradon：我做网络安全很多年了，也经历过企业软件和云技术的变化。今天我们关注的是，AI 和 agent 如何在企业里安全落地。
9. Craig：AI 创新速度非常快。你怎么看这种变化进入企业后的局面？
10. Bradon：我很兴奋。生成式 AI、prompt、agent workflow 都让人看到巨大效率。但今天很多工具首先是消费级驱动，它们追逐的是全球数十亿用户。
11. Bradon：当你是一家大型金融服务机构，或大型医疗服务机构，就会担心这些消费级工具进入自己的企业环境。
12. Bradon：企业当然想让员工使用 AI，但也不能放弃监管要求、数据要求和基本安全要求。
13. Bradon：这给网络安全团队一个少见机会，让他们成为真正的业务赋能者。我们可以把 AI 编入用户工作流，而且安全地做。
14. Bradon：AI 是来帮助未来的，不是来毁掉未来的。关键是让用户得到能力，同时让企业保持控制。
15. Craig：员工似乎已经把这些工具当成工作里的捷径了。
16. Bradon：是的，很多人把它看成 cheat code。你可以用 prompt 做很多原本很难的事，也可以用 vibe coding 工具做应用。
17. Bradon：但这些工具再有前景，也不意味着企业可以丢掉自己的底线。金融、医疗和其他行业有监管绑定，不能因为工具好用就不管数据流向。
18. Craig：Island 最初为什么选择浏览器作为切入点？
19. Bradon：AI 出现前，我们就看到一个事实：企业用户的大部分工作都在浏览器里发生。
20. Bradon：但浏览器的原始演化不是为了企业应用交付，而是为了消费信息、购物、广告和网页浏览。
21. Bradon：我们问自己，如果能释放浏览器的潜力，把它变成应用交付平台，会怎样？
22. Bradon：这意味着策略、本地控制、数据保护、上下文和威胁防护都要住在用户体验本身里。
23. Bradon：用户已经知道怎么用浏览器，所以不需要重新培训。我们把企业要求放到他们已经熟悉的地方。
24. Craig：AI 时代，这套浏览器方法怎么延伸？
25. Bradon：如果员工要访问个人 Gemini 或其他个人 AI，可以让他访问，但不要让企业数据越过边界进入个人租户。
26. Bradon：企业可以把用户重定向到企业批准的 Copilot 或其他 AI 工具，也可以在用户继续使用个人工具时保护企业数据边界。
27. Bradon：AI Protect 的核心是可见性和策略。谁在用什么 AI，数据怎么流动，哪些应用、扩展和桌面客户端在参与，都要看见。
28. Bradon：传统安全常靠云端代理或网络闸口，但它很难理解具体租户、页面上下文和用户工作流，最后经常只能一刀切阻断。
29. Bradon：我们的路径不同。策略可以在 Island 浏览器里执行，也可以在 Chrome 或 Edge 里的 Island 扩展执行，还可以在本地 Island Desktop 执行。
30. Bradon：厚客户端也会发 web 请求，很多 Electron 应用其实像伪装的浏览器。Island Desktop 可以观察这些调用，也可以处理 MCP 流入流出。
31. Craig：具体风险有哪些？
32. Bradon：第一是 prompt injection。应用里埋着隐藏指令，agent 读取后误以为那是人类命令，然后执行。
33. Bradon：第二是数据外流。员工把企业数据复制到个人 AI 应用里，企业就失去了对数据的托管权。
34. Bradon：第三是影子 AI。浏览器商店里已经有 18,000+ 个被分类为 AI 的扩展，这些东西可能已经在你的环境里运行，而你甚至不知道。
35. Bradon：在 agentic 世界里，风险不只是数据本身，也包括 agent 代表用户自动做的动作。它可能以为自己在做正确的事，却误做了不该做的事。
36. Bradon：所以我们要给 agent 建立护栏，就像给最终用户建立护栏一样。agent 不是脱离用户存在的，它来自用户的指令。
37. Craig：这些护栏在底层怎么工作？
38. Bradon：任何你能部署 Island 策略的地方，策略都可以发挥作用：浏览器、扩展、Island Desktop。
39. Bradon：如果 agent 看到某个指令，试图把数据从企业边界带到个人区域，策略会阻止它。它会撞上和人类用户一样的护栏。
40. Bradon：有些情况下，agent 的护栏甚至可以比人类更严格。你可以只允许它自动化一件事，不让它越过这个任务范围。
41. Bradon：策略本地执行，这一点很重要。它在浏览器本地，在消费级浏览器扩展里，也在主机上的 Island Desktop 里。
42. Bradon：当 agent 试图触碰浏览器外的厚客户端、文件系统或 MCP 资源时，Island Desktop 也能对它执行策略。
43. Bradon：进入 MCP 流程和从 MCP 流程出来的内容，都应该被治理，至少应该被审计和记录，形成虚拟纸 trail。
44. Craig：企业怎么配置这些东西？
45. Bradon：组织会提前建立策略。很多 Island 客户已经多年在大规模部署数据保护策略。AI 进来之后，不是重建一套，而是把 AI 能力滑入既有策略。
46. Bradon：用户侧体验很轻。下载 Island，登录组织的单点登录，浏览器就会从云端拿到组织策略、应用权限和自动化资源。
47. Bradon：对最终用户来说，这几乎就是自助开通。你只需要会下载应用，会登录 Okta 或 Entra ID 这类身份系统，然后就能工作。
48. Craig：你提到 AI Publish。它是什么？
49. Bradon：vibe coding 工具让业务人员也能快速做应用。但这些应用如果进入企业，就需要身份、安全、策略和边界。
50. Bradon：AI Publish 的思路是，让这些由 AI 编出来的 app 能被发布成企业应用，继承现有安全策略，而不是漂在企业之外。
51. Bradon：这样，bottom-up 创造力不会变成影子 IT，而是进入可治理的企业环境。
52. Craig：自动化和 agent workflow 会怎样演进？
53. Bradon：我们不希望 agent 到处乱跑。更好的方式是把常见工作流做成可预测的路径，让 agent 处理页面变化、按钮改名、上下文变化这些脆弱点。
54. Bradon：例如一个呼叫中心有 3,000 名员工，每人每天重复 10 个流程，每个流程做 30 到 40 次。如果把 5 分钟缩到 30 秒或 10 秒，价值非常大。
55. Bradon：但后台还要衡量这些工作流是否真的节省时间，是否可靠，是否只在该做的任务范围里运行。
56. Craig：Island 会学习用户工作流并建议更高效的 workflow 吗？
57. Bradon：整个 AI 世界都在学习用户画像和工作流。有些消费级提供商的目标是定向广告。我们要把这种能力用于赋能员工，而不是广告。
58. Bradon：我们也要尊重隐私。不同地区、不同应用、不同用户群体的审计和匿名化策略应该由上下文决定，不是永远收集同样多的数据。
59. Craig：未来这些能力会由 AI 平台自己内置，还是会变成 Island 这样的 API 层？
60. Bradon：企业会成为多供应商组织，而且很多企业已经是了，只是自己还不知道。
61. Bradon：法律团队会想用适合法律的 AI，医疗团队会想用医疗模型，开发者可能倾向 Claude，其他团队还有自己的模型和供应商。
62. Bradon：这些供应商各有前门、各有设置、各有策略。如果每个入口都单独管，企业会重新回到 Wild West。
63. Bradon：我们想让组织用一套 Island 策略，原生集成到这些供应商。用户访问不同 AI 时，仍然通过一套界面、一套资源、一套体验。
64. Bradon：未来不是一个 AI，而是 15 个、20 个不同角度进入组织的 AI。企业需要统一的策略深度，而不是有的地方很强、有的地方很弱。
65. Craig：传统网络安全栈在这里为什么不够？
66. Bradon：如果你只在网络路径上，就像犯罪现场调查一样，只能捡证据再拼出发生了什么。更好的方式是有摄像机直接看见发生了什么。
67. Bradon：AI 工作流不是 packet conversation。你需要知道用户在屏幕上做什么，应用是什么，数据边界在哪里，agent 正在代表谁行动。
68. Bradon：所以我们不只是事后取证，而是观察 presentation layer。看见用户做什么，才能理解他们需要什么工作流、哪些内部资源会被调用。
69. Craig：Island 自己也是客户零号吗？
70. Bradon：我们做演示时会展示 Island 使用 Island。昨天宣布的很多能力，其实过去一年已经在构建，并且已有客户在生产环境大规模使用。
71. Craig：200 人公司和 2,000 人公司使用起来有什么不同？
72. Bradon：技术使用方式差异不大，差异主要在规模和复杂度。大型跨国组织的问题更广，但小型银行同样可能背负严格监管责任。
73. Bradon：如果能减少 VDI 成本、减少复杂访问架构，同时保持合规，价值会很明显。小组织也需要同样的企业级边界。
74. Craig：用户或管理员会怎样接收提示和洞察？
75. Bradon：Island 可以和最终用户沟通，比如在屏幕上提示「请改用这种方式」。也可以把洞察给隐私、数据保护、安全等不同专业团队。
76. Bradon：不同团队看到自己需要的视角。隐私团队看隐私，数据保护团队看数据保护，安全团队看安全，这样专业能力会落到合适位置。
77. Craig：需要有人一直管理这些策略吗？
78. Bradon：任何技术都需要有人运营，但我们想尽量减少行政负担，让人按组织自然工作流处理。
79. Bradon：传统安全里，用户开工单，管理员再去另一个系统手工建例外。几年后堆了无数例外，没人知道它们为什么存在。
80. Bradon：在 Island 里，用户撞到策略墙，可以直接在浏览器里请求例外。请求进入工单系统，走审批，最后自动写入策略引擎。
81. Bradon：例外还可以有期限，比如给研究团队三周访问某个非标准 AI 资源，到期自动过期，并提醒用户重新申请。
82. Bradon：我们希望操作方式轻量，不再让过去那种手工规则和例外管理吓到所有人。
83. Bradon：DLP 过去像一台运营洗衣机，大家不停调规则。我们用 application boundary 这种构造来降低复杂度。
84. Bradon：企业应用在一个虚拟边界里。用户可以在边界内按策略移动数据，但不能把数据带到个人 Gmail 标签页。
85. Bradon：因为浏览器理解哪些标签页和应用属于哪个边界，所以不需要不停调微观规则。
86. Bradon：我们要把这件事操作化，让每个人都更轻松，同时在正确时间使用 AI，并引入新的策略构造。
87. Craig：明白。