W3C 讨论稿提出用 Web 标准约束 AI 智能体

一份新的 W3C 讨论稿勾勒了 Web 标准应如何让 AI 智能体的使用更安全。核心议题包括防范提示注入、可控权限和无障碍。

广告之后继续阅读

据 W3C 称，其背景是智能体从“阅读”向“行动”的转变：AI 系统不再只是获取信息，而是代表用户操作网站。在此过程中，它们可能访问个人数据并在网站之间传递信息。因此，W3C 策略团队呼吁建立明确的安全边界和可靠流程，让用户能够批准后果严重的操作。

负责 W3C 技术战略的 Philippe Le Hegaret 在讨论稿《W3C and the State of the Web in the AI Era》中描述了这些建议。这份于 2026 年 10 月 21 日发布的文本旨在为 W3C 会议 TPAC 上的讨论做准备。它包含策略团队的建议，并非已通过的标准。官方展示定于 10 月 29 日进行。

外来文本遇上广泛权限

一个核心问题是提示注入。智能体会处理它们不应信任的内容，同时又拥有其用户的访问权限。与跨站脚本攻击不同，攻击者不必一定注入可执行代码。普通页面文本、文档或工具响应中的一条指令，就可能足以诱使智能体执行不受欢迎的操作。攻击是否成功，取决于智能体的权限以及它如何处理外来内容。

以下场景可作示例：一个智能体在公共网站上调研，同时拥有对内部文档的访问权限。该网站要求它将机密内容发送到外部服务。同源策略未必能阻止此类攻击，因为智能体可以凭借自己的访问权限在网站之间传递信息，而这些网站本身本无权访问彼此的数据。

因此，策略团队希望推动制定针对智能体、WebMCP 和浏览器内置 AI 功能的统一威胁模型。首先，各工作组应厘清架构和信任边界。为此，他们必须考虑不同的使用形式：当开发者使用浏览器的 AI API 时，所面临的安全问题与一个以用户权限在 Web 中穿行的智能体不同。审查要点还包括伪造的工具以及自行批准自身操作的智能体。

同意需要的不只是一个确认对话框

广告之后继续阅读

在智能体执行后果严重的操作之前，它应征得用户同意。用户应能看出智能体做了什么，尽可能撤销操作，并自行决定由哪个智能体代表自己行事。在支付方面，策略团队提出了具体要求：支出上限、可撤销的授权、明确的凭证以及可追溯的投诉途径。

旅行预订的例子说明了这一区分：让智能体搜索合适的航班，并不自动等于授权它购买付费机票。确认环节必须让具体预订清晰可辨。与此同时，W3C 讨论稿也警告不要出现确认疲劳。如果事无巨细都要批准，人们有朝一日也可能不经检查就确认与安全相关的询问。

因此，拟议中的 Agentic Web 工作组应制定同意模式以及移交人工处理的模式。身份与认证工作组应研究智能体如何在不自身持有访问凭证的情况下证明被委托的权限。可验证凭证和去中心化标识符可能有助于识别智能体并证明其授权。相关的 W3C 工作组应审查现有数据模型是否足以满足这一需要。

无障碍不是智能体指令的通道

另一个冲突涉及网站的语义。智能体已经在利用 HTML 和无障碍信息来理解界面。然而，策略团队警告不要为了迎合智能体的需求而裁剪 ARIA（无障碍富互联网应用），从而损害人类用户的可操作性。它明确建议制定准则，禁止在 aria-label 中放置智能体指令，并防止通过 ARIA 实施提示注入。

对开发者而言，这意味着：按钮的无障碍标签仍应传达其功能。在其中放置给智能体的详细工作指令，会把辅助技术所需的信息与机器指令混在一起。根据讨论稿，自动生成的替代文本也不应完全取代作者的描述或其意图。

现有 HTML 在何处足够、何处需要额外接口，仍是讨论的主题。拟议的工作组应厘清 HTML、ARIA 与 WebMCP 之间的关系。对于各参与方提出的需求，策略团队建议采用两份相互关联的清单：智能体需要什么才能可靠行动，人类需要什么才能保持安全并掌握控制权？发生冲突时，人类需求应优先。

数据保护必须涵盖智能体记忆

智能体可以在网站、会话及其自身存储之间移动数据。这使数据保护问题超出了单次页面访问的范围。因此，隐私工作组应研究如何限制此类数据流、哪些信息会进入模型，以及用户对本地或云端推理拥有何种控制权。

该文件还提出了一个不带智能体记忆的隐身模式。这指的是向标准化工作提出的任务要求，而非已宣布的浏览器功能。它与隐私浏览的区别是根本性的：浏览器可以放弃本地历史数据，而伴随的智能体仍会将内容存入持久存储中。

提示词和工具调用的日志也应纳入数据保护审查。此类记录有助于排查故障，但可能包含机密信息。策略团队希望厘清可以采集哪些数据以及谁有权查看。

开放标准而非封闭的智能体世界

除了直接的用户风险之外，W3C 文件还警告可能出现更强的集中化。优先服务合作方网站、依赖单一模型以及厂商专属工具注册表的智能体，可能削弱可互操作的 Web。因此，拟议的价值准则既反对智能体锁定，也反对取代由人类操作的 Web 的纯 AI 访问路径。

内容提供方也应能够控制其作品的使用方式。策略团队认为，目前尚不存在与以往同搜索引擎交换（抓取内容、换取访客导流）相对应的系统性机制。它希望研究现有关于机器可读的使用保留声明和权利描述的工作如何能够兼顾不同利益。

接下来的步骤主要是将这些要求转化为具体的工作任务。策略团队建议，除其他事项外，为智能体 Web 工作组（Agentic Web Working Group）设立明确的安全、数据保护、身份和委托权限任务。这些要求是否以及如何形成规范，将由 W3C 各小组讨论。

(fo)