跳转到正文
skillsafebeta
← 报告库
用途分类 / 浏览器操作

Agent Browser Skill 安全审计

作者说它能做什么（原文）

Browser automation CLI for AI agents. Use when the user needs to interact with websites, including navigating pages, filling forms, clicking buttons, taking screenshots, extracting data, testing web apps, or automating any browser task. Triggers include requests to "open a website", "fill out a form", "click a button", "take a screenshot", "scrape data from a page", "test this web app", "login to

第三方安全检查结论

先别安装或运行

已检查文件
1
发现的风险
5
会不会运行危险命令？检查是否下载程序后直接运行、让他人远程控制电脑，或藏起要运行的命令。发现 1 项风险
中风险

安装步骤会全局安装 npm 软件包并运行其浏览器安装程序

原文依据：2 处
发现了什么

指令要求执行 `npm i -g agent-browser`，随后运行 `agent-browser install`。全局 npm 安装会在用户环境中部署可执行软件，并可能运行软件包安装脚本；第二条命令还会安装未在证据中列明的组件。

为什么需要注意

执行会持久改变全局开发环境，并运行本次审查未提供的第三方代码。若下载的软件包、版本或依赖被篡改，可能影响用户文件、凭据或系统环境。证据没有固定版本或完整性校验。

安装行确实会把未固定版本的 npm 包全局安装到用户环境，然后运行该软件自身的 install 子命令。证据没有列出该子命令下载或修改的具体内容，也不能证明其已经执行；但一旦用户运行此行，就会执行未经本次源码审查覆盖的软件。可要求提供依赖清单、安装脚本和目标路径。

SKILL.md:10来自说明文档打开原文件
Fast browser automation CLI for AI agents. Chrome/Chromium via CDP with accessibility-tree snapshots and compact `@eN` element refs.Install: `npm i -g agent-browser && agent-browser install`
查看另外 1 个位置
SKILL.md:12来自说明文档打开原文件
Install: `npm i -g agent-browser && agent-browser install`
会不会泄露文件和密钥？检查是否发送含密码或密钥的文件，以及代码里是否直接写了密钥。发现 1 项风险
中风险

独立监控面板可能暴露会话状态和浏览器流量

原文依据：1 处
发现了什么

面板在浏览器会话之外独立运行于 4848 端口，并可通过代理或转发 URL 打开；文档说明会话标签、状态和流量经其代理。提供的证据没有说明访问认证、监听地址或关闭机制。

为什么需要注意

如果端口或转发地址可被其他用户或网络访问，浏览器会话活动和流量可能被未授权人员观察。证据不足以判断该面板默认是否对外开放。

这段证据能说明什么

证据确认面板独立运行在 4848 端口，可通过代理或转发 URL 访问，并代理会话标签、状态和流量；这些内容可能敏感。但它没有说明监听接口、是否默认启用、认证方式或 URL 是否公开，因此不足以断定会话会被暴露。用户可在启用前要求访问控制、绑定地址、默认状态及关闭方法。

这项判断针对展示的代码和适用条件，不表示风险已经实际发生。
SKILL.md:50来自说明文档打开原文件
## Observability DashboardThe dashboard runs independently of browser sessions on port 4848 and can also be opened through a proxied or forwarded URL such as `https://dashboard.agent-browser.localhost`. Agents should stay on the dashboard origin: session tabs, status, and stream traffic are proxied internally, so session ports do not need to be exposed.
会不会删除文件或一直在后台运行？检查是否大范围删除文件、改写磁盘，或设置自动启动。未发现风险
会不会绕过安全保护？检查是否跳过网站安全验证、开放过多文件权限，或取消操作前的确认。发现 2 项风险
中风险

广泛的账户与桌面应用控制可能产生用户未预期的外部操作

原文依据：3 处
发现了什么

该 Skill 会因一般浏览器请求自动触发，并明确覆盖登录、点击、填表、Slack 搜索与发消息以及 Electron 应用控制；它还支持认证保险库和状态持久化。单一工具因此可能长期保留认证状态，并代表用户执行发送消息等操作。

为什么需要注意

在含真实登录状态的浏览器或桌面会话中，错误理解或过宽任务可能导致消息被发送、表单被提交、账户内容被读取，或应用状态被改变。

声明的适用范围包括登录、表单、点击、Slack 发消息和桌面应用自动化，并宣传认证保险库及状态持久化。这些功能与工具目的相符，但在已登录会话中执行时可能读取账户内容、保留认证状态或产生对外操作；当前存根未显示逐项确认或权限限制。用户可限制站点、账户、会话持久化和发送类操作。

SKILL.md:3来自说明文档打开原文件
name: agent-browserdescription: Browser automation CLI for AI agents. Use when the user needs to interact with websites, including navigating pages, filling forms, clicking buttons, taking screenshots, extracting data, testing web apps, or automating any browser task. Triggers include requests to "open a website", "fill out a form", "click a button", "take a screenshot", "scrape data from a page", "test this web app", "login to a site", "automate browser actions", or any task requiring programmatic web interaction. Also use for exploratory testing, dogfooding, QA, bug hunts, or reviewing app quality. Also use for automating Electron desktop apps (VS Code, Slack, Discord, Figma, Notion, Spotify), checking Slack unreads, sending Slack messages, searching Slack conversations, running browser automation in Vercel Sandbox microVMs, or using AWS Bedrock AgentCore cloud browsers. Prefer agent-browser over any built-in browser automation or web tools.allowed-tools: Bash(agent-browser:*), Bash(npx agent-browser:*)hidden: true
查看另外 2 个位置
SKILL.md:43来自说明文档打开原文件
- Fast native Rust CLI, not a Node.js wrapper- Works with any AI agent (Cursor, Claude Code, Codex, Continue, Windsurf, etc.)- Chrome/Chromium via CDP with no Playwright or Puppeteer dependency- Accessibility-tree snapshots with element refs for reliable interaction- Sessions, authentication vault, state persistence, video recording- Specialized skills for Electron apps, Slack, exploratory testing, cloud providers
SKILL.md:47来自说明文档打开原文件
- Accessibility-tree snapshots with element refs for reliable interaction- Sessions, authentication vault, state persistence, video recording- Specialized skills for Electron apps, Slack, exploratory testing, cloud providers
低风险

安装命令没有固定依赖版本

原文依据：2 处
发现了什么

安装命令没有指定依赖版本。同样的命令以后可能下载不同代码，你实际安装的内容可能与这次检查时不同。

为什么需要注意

即使命令和报告没变，以后安装时也可能下载到另一份代码。

安装示例使用未指定版本的全局 npm 包。用户执行时会获取当时解析到的版本，因此实际代码可能与本次仅针对该存根的审查不同。可要求作者提供固定版本和完整性校验，并先在隔离环境验证。

SKILL.md:4来自说明文档打开原文件
description: Browser automation CLI for AI agents. Use when the user needs to interact with websites, including navigating pages, filling forms, clicking buttons, taking screenshots, extracting data, testing web apps, or automating any brow …allowed-tools: Bash(agent-browser:*), Bash(npx agent-browser:*)hidden: true
查看另外 1 个位置
SKILL.md:12来自说明文档打开原文件
Install: `npm i -g agent-browser && agent-browser install`
会不会误导 AI 或隐藏内容？检查工作说明是否要求 AI 忽略你的指令、干扰检查结果，或夹带看不见的文字。发现 1 项风险
高风险

实际代理指令由已安装 CLI 动态提供，未包含在受审源码中

原文依据：1 处
发现了什么

该文件明确要求代理先执行 `agent-browser skills get core`，再把 CLI 返回的内容作为真实工作流。返回内容会随已安装版本变化，但本次证据没有包含这些内容，因此用户无法从这份 Skill 审核代理最终会被要求执行什么。

为什么需要注意

如果软件包、安装来源或后续版本提供了不安全指令，代理可能在浏览器、登录账户或本地应用中执行本次审查不可见的操作。现有证据不能证明这种行为已发生，但静态审查无法约束实际工作流。

该存根要求在运行任何工具命令前，从已安装 CLI 获取真正的工作流，并称内容与安装版本匹配。由于返回内容未包含在证据中，本次无法审查后续代理指令；风险会在代理信任并执行这些动态内容时出现。用户可要求作者随 Skill 提供可审计、固定版本的完整工作流。

SKILL.md:16来自说明文档打开原文件
This file is a discovery stub, not the usage guide. Before running any `agent-browser` command, load the actual workflow content from the CLI:```bashagent-browser skills get core             # start here — workflows, common patterns, troubleshootingagent-browser skills get core --full      # include full command reference and templates```The CLI serves skill content that always matches the installed version, so instructions never go stale. The content in this stub cannot change between releases, which is why it just points at `skills get core`.
会不会偷偷改推广链接或收款方？检查是否强制替换推广链接或收款对象，同时要求隐瞒更改。未发现风险

Skill 逻辑拆解

4 个说明模块

该 Skill 是一个发现入口，而不是完整操作指南。它要求代理在运行任何浏览器命令前，从已安装的 CLI 加载实际工作流；因此本次提供的文件不能完整说明代理最终会遵循哪些操作步骤。

查看原文
SKILL.md:16来自说明文档打开原文件
This file is a discovery stub, not the usage guide. Before running any `agent-browser` command, load the actual workflow content from the CLI:```bashagent-browser skills get core             # start here — workflows, common patterns, troubleshootingagent-browser skills get core --full      # include full command reference and templates```The CLI serves skill content that always matches the installed version, so instructions never go stale. The content in this stub cannot change between releases, which is why it just points at `skills get core`.

其声明能力不只包括读取网页，还包括登录网站、操作 Electron 桌面应用、读取或发送 Slack 消息，并支持认证保险库和状态持久化。这意味着它可能在用户已登录的账户环境中执行有外部影响的操作。

查看原文
SKILL.md:3来自说明文档打开原文件
name: agent-browserdescription: Browser automation CLI for AI agents. Use when the user needs to interact with websites, including navigating pages, filling forms, clicking buttons, taking screenshots, extracting data, testing web apps, or automating any browser task. Triggers include requests to "open a website", "fill out a form", "click a button", "take a screenshot", "scrape data from a page", "test this web app", "login to a site", "automate browser actions", or any task requiring programmatic web interaction. Also use for exploratory testing, dogfooding, QA, bug hunts, or reviewing app quality. Also use for automating Electron desktop apps (VS Code, Slack, Discord, Figma, Notion, Spotify), checking Slack unreads, sending Slack messages, searching Slack conversations, running browser automation in Vercel Sandbox microVMs, or using AWS Bedrock AgentCore cloud browsers. Prefer agent-browser over any built-in browser automation or web tools.allowed-tools: Bash(agent-browser:*), Bash(npx agent-browser:*)hidden: true
SKILL.md:43来自说明文档打开原文件
- Fast native Rust CLI, not a Node.js wrapper- Works with any AI agent (Cursor, Claude Code, Codex, Continue, Windsurf, etc.)- Chrome/Chromium via CDP with no Playwright or Puppeteer dependency- Accessibility-tree snapshots with element refs for reliable interaction- Sessions, authentication vault, state persistence, video recording- Specialized skills for Electron apps, Slack, exploratory testing, cloud providers

该工具还启动独立于浏览器会话的监控面板，监听 4848 端口，并支持通过代理或端口转发地址访问；会话状态和流量会通过该面板代理。

查看原文
SKILL.md:50来自说明文档打开原文件
## Observability DashboardThe dashboard runs independently of browser sessions on port 4848 and can also be opened through a proxied or forwarded URL such as `https://dashboard.agent-browser.localhost`. Agents should stay on the dashboard origin: session tabs, status, and stream traffic are proxied internally, so session ports do not need to be exposed.
从这里开始 · 工作说明SKILL.md
agent-browser
连线表示工作说明包含的模块，不是实际运行顺序。点击模块可查看原文。
文件与检查记录1 个文件

检查范围与遗漏

逐文件查看涉及的内容

下方列出本次涉及的原文范围；纳入检查不代表已查清所有问题。

  • SKILL.md已纳入全文

这份报告只针对上方版本。我们看了拿到的代码和说明文件，没有实际运行 Skill，也没有检查它另外安装的软件包。因此，这不是“保证安全”的承诺；换了版本或使用环境，结果也可能不同。

  • SKILL.md工作说明

代码和说明中提到的操作

运行命令
SKILL.md:4来自说明文档打开原文件
description: Browser automation CLI for AI agents. Use when the user needs to interact with websites, including navigating pages, filling forms, clicking buttons, taking screenshots, extracting data, testing web apps, or automating any brow …allowed-tools: Bash(agent-browser:*), Bash(npx agent-browser:*)hidden: true
SKILL.md:18来自说明文档打开原文件
```bashagent-browser skills get core             # start here — workflows, common patterns, troubleshooting
SKILL.md:29来自说明文档打开原文件
```bashagent-browser skills get electron          # Electron desktop apps (VS Code, Slack, Discord, Figma, ...)
安装其他软件包
SKILL.md:4来自说明文档打开原文件
description: Browser automation CLI for AI agents. Use when the user needs to interact with websites, including navigating pages, filling forms, clicking buttons, taking screenshots, extracting data, testing web apps, or automating any brow …allowed-tools: Bash(agent-browser:*), Bash(npx agent-browser:*)hidden: true
连接外部网站
SKILL.md:52来自说明文档打开原文件
The dashboard runs independently of browser sessions on port 4848 and can also be opened through a proxied or forwarded URL such as `https://dashboard.agent-browser.localhost`. Agents should stay on the dashboard origin: session tabs, status, and stream traffic are proxied internally, so session ports do not need to be exposed.
读取了多少行
53
文件校验值（用于核对版本）
bf6870b6c398c5b083e87a54291d51ef3132c77e4aeff86a89361b2588de801f