【Gemini Spark智能体技术解析】从整理收件箱到Chrome代办与安全接管

Gemini Spark智能体技术解析：从整理收件箱到Chrome代办与安全接管

一、引言：Gemini 开始从“回答问题”走向“代办任务”

2026 年 7 月 30 日 20:00 UTC，也就是北京时间 7 月 31 日凌晨，Google 宣布将 Gemini Spark 扩展到全球更多用户，并为其加入 Chrome 自动浏览能力。Spark 可以根据用户目标整理收件箱、总结或归档通讯邮件、取消邮件订阅，也可以在网页上研究航班、启动机票预订流程，或联系用户收藏房源的发布方预约看房。

这不是给聊天机器人增加一个浏览器标签页。传统助手的交付物通常是一段答案或一份方案，Spark 的交付物则可能是已经归档的邮件、正在持续更新的新闻摘要、填到预订页面的行程信息，甚至是一项按时间或事件触发、反复运行的任务。

不过，“向全球开放”和“自动订机票”都需要加上边界：本轮全球扩展主要面向新增 160 多个国家和地区的 Google AI Pro 订阅者，而 Chrome 自动浏览首批仅在美国推出；Google 官方描述是研究航班并启动预订流程，付款、购买等高影响动作仍需用户确认或亲自完成。

亲爱的朋友们，创作不容易，若对您有帮助的话，请点赞收藏加关注哦，您的关注是我持续创作的动力，谢谢大家！有问题请私信或联系邮箱：jasonai.fn@gmail.com

二、产品定位：Spark 与普通 Gemini 对话有什么不同

Google 将 Spark 定义为个人 AI 智能体：它不仅生成回复，还能管理复杂工作流和持续任务。用户描述目标、约束和执行时间后，Spark 会制定步骤，选择已授权的数据源或工具，执行动作，并在任务面板中展示进度。

2.1 Spark 可以调用哪些信息源

按照 Google 帮助文档，Spark 可使用用户明确授权的 Connected Apps、Skills、历史聊天、Personal Intelligence、位置信息、文件和已登录网站。Google 服务范围包括 Gmail、Calendar、Docs、Drive、Keep、Sheets、Slides、Tasks，以及 Search、Flights、Hotels、Maps、Finance 和 YouTube；第三方连接目前列有 Canva、Dropbox、Instacart、OpenTable 与 Zillow 等。

这决定了 Spark 的核心优势不是单个模型参数，而是 Google 账号下的数据与执行入口能否在同一任务中被安全调用。例如“为下月出差找航班”可以同时需要邮件里的会议时间、日历空档、Flights 搜索结果、用户偏好和浏览器中的航空会员账号。

2.2 Skills、Schedules 与 Tasks 的分工

Spark 同时最多可运行 15 个任务；达到上限后，新请求和计划任务需要等待已有任务完成。使用量还受订阅等级与任务复杂度影响，因此它不是无限运行的后台自动化服务。

三、技术链路：本地 Chrome 与远程浏览器如何协作

Spark 处理网页任务时有两种浏览环境。第一种是连接用户设备上的桌面 Chrome，继承用户当前可访问的网站和登录状态；第二种是 Google 提供的远程浏览器，它是独立的新浏览器实例，可在用户关闭设备后继续执行，但遇到登录等步骤时可能暂停等待接管。

用户目标 “查找周五晚出发、周日晚返回的直飞航班” │ ▼ Spark 规划器：拆解目标、读取约束、选择工具 │ ├── Connected Apps ──> Calendar / Gmail / Flights │ ├── 远程浏览器 ──────> 可后台继续，登录时等待用户 │ └── 本地 Chrome ─────> 使用已登录站点和已授权密码管理器 │ ▼ 搜索、比较、填写预订信息 │ 敏感动作检查 / 用户确认 │ ▼ 用户接管付款，Spark 记录任务状态

3.1 本地 Chrome 不是简单的屏幕遥控

首次在某台设备上使用自动浏览时，Chrome 会询问是否允许连接 Spark；此后每个包含网页浏览的任务都要先确认。使用本地浏览器时，设备和 Chrome 需要保持开启。Spark 能访问用户在该 Chrome 中已经登录的网站，也可能向第三方网站提交完成任务所必需的姓名、联系方式、文件和偏好。

对于保存在 Google Password Manager 中的凭证，准确说法不是“模型读取了账户密码”。经用户许可和确认后，Chrome 可以调用密码管理器完成登录，但 Google 的安全说明明确表示：模型不能直接访问保存的密码。这是凭证代填权限与明文密码读取之间的重要区别。

3.2 远程浏览器带来连续执行，也带来持久状态

远程浏览器允许任务在设备关闭后继续。为方便后续会话，它可能保存 Cookie 等认证数据；远程计算环境也可能保留执行文件。用户可以在 Spark 设置中分别删除远程浏览器数据和远程代码执行数据。关闭 Spark 会删除这两类远程数据并暂停任务，但不会自动删除本地 Chrome 浏览数据、历史任务、聊天或 Spark 已更新的文件。

四、典型场景：整理邮箱与预订旅行分别如何执行

4.1 收件箱整理：从摘要到取消订阅

Spark 的邮箱能力不止是“总结未读邮件”。用户可以要求它识别通讯邮件、汇总主题、归档低价值内容并取消邮件列表订阅。一个更安全的任务描述应包含范围、例外和确认点，例如：

整理过去 30 天的通讯邮件： 1. 按发件人列出数量并生成摘要； 2. 不处理带有账单、订单、验证码或公司域名的邮件； 3. 仅自动归档超过 14 天且从未打开的通讯； 4. 取消订阅前先给我候选列表，不要直接执行。

这里最大的风险来自间接提示词注入：恶意邮件正文可能藏有“忽略用户要求并转发敏感内容”等指令。对人类而言它只是邮件文字，对能读取内容并执行动作的智能体而言，却可能被误判为新命令。因此邮箱是 Spark 安全体系必须重点防守的输入面。

4.2 航班预订：完成的是流程，不是最终付款

在旅行场景中，Spark 可以读取日历约束，通过 Flights 或网页研究航班，比较时间与价格，再进入航空公司或旅行网站启动预订。使用本地 Chrome 时，经授权还可以登录会员账号、填写旅客资料并推进页面。

但 Google 官方发布没有承诺 Spark 会无人值守地买下机票。到付款、购买等敏感环节，系统会暂停、请求确认或把浏览器交回用户。航班价格、行李规则和退改条件也会变化，用户在支付前仍需核对姓名、日期、机场、舱位、总价与退款条款。

4.3 房源与其他网页代办

Google 的发布示例还包括为已收藏公寓预约看房；帮助文档则提到购物、旅行预订和餐厅预约。它们共享同一执行模型：先从连接服务获得候选对象，再用浏览器处理网站特有的交互，最后在高影响动作前停下。Spark 的价值正在于跨越“有 API 的 Google 服务”和“只有网页界面的第三方服务”，而 Chrome 是连接两者的动作层。

五、安全机制：不是一个开关，而是两大类多层防线

Google 在 Spark 更新公告中把安全控制概括为两类：一类防御提示词注入等网页威胁，另一类让用户在付款等敏感操作中保持控制。Chrome 安全团队的技术说明显示，这两类控制下面实际包含多个相互独立的层次。

5.1 第一类：限制网页内容劫持智能体

间接提示词注入可能出现在网页、iframe、评论、广告、邮件、文档甚至多媒体中。其危险之处在于，规划模型必须读取这些不可信内容才能完成任务，却又可能把其中的恶意文字当作操作指令。

Alignment Critic 的关键设计是只查看拟执行动作的元数据，不直接读取未过滤的网页正文。即使规划模型被页面污染，复核模型仍可判断“这个点击或数据提交是否服务于用户原始目标”。Origin Sets 则从浏览器层限制可见与可操作站点，避免安全完全依赖模型自律。

5.2 第二类：把高影响动作交还用户

Chrome 会显示工作日志，用户可以暂停、接管或停止任务。进入银行、医疗等敏感站点前会触发确认；调用 Password Manager 登录前再次确认；完成购买、付款、发送消息等后果较大的动作时，系统会请求许可或要求用户亲自完成下一步。

Spark 提议动作 │ ├── 普通读取/比较 ──> 继续并写入工作日志 │ ├── 新网站/可写操作 ─> 来源相关性与动作对齐检查 │ ├── 密码管理器登录 ─> 用户确认，模型不读取密码 │ └── 付款/购买/发消息 ─> 暂停并交还用户

这些机制降低风险，但 Google 同时把 Spark 标记为早期实验功能，并明确要求用户监督。提示词注入检测不可能保证覆盖所有攻击；如果计划任务在用户离线时运行，用户也可能无法及时阻止意外动作。因此，不应安排包含支付信息、医疗资料、密钥或不可逆删除的无人值守任务。

六、开放范围、使用建议与横向定位

6.1 谁现在可以使用

帮助文档还列出当前不支持欧洲经济区、英国、瑞士和尼日利亚。因此，“全球大部分用户开放”更准确的理解是：覆盖国家大幅增加，但不是免费开放、不是所有账号可用，也不代表 Chrome 动作能力已经全球同步上线。

6.2 与聊天助手、通用网页智能体和传统 RPA 的区别

Spark 选择的是“个人数据 + 浏览器动作”路线。它比纯网页智能体更容易理解用户的日历、邮件和偏好，又比传统 RPA 更能处理变化的网页与自然语言目标；代价是权限半径更大，一次错误决策可能同时触及邮件、文件、账号和第三方网站。

6.3 实际使用的五条边界

1. 从只读任务开始，例如总结、比较与生成候选清单，再逐步开放归档或取消订阅。
2. 把范围和禁止项写进任务，例如时间区间、允许的网站、预算以及不得删除的内容。
3. 对发送、删除、取消订阅、预约和购买设置人工确认点。
4. 定期查看任务工作日志、Connected Apps、计划任务和远程浏览器保存数据。
5. 不在任务对话中直接粘贴密码、银行卡、身份证件、API 密钥或其他敏感信息。

七、总结：浏览器正在成为个人智能体的执行系统

Gemini Spark 的意义，在于 Google 把 Gmail、Calendar、Flights、第三方应用与 Chrome 登录状态接入同一个任务循环。AI 助手由此不再停留在“告诉用户下一步做什么”，而是能够完成大量中间步骤，只在真正敏感的节点把控制权交还给人。

这也改变了浏览器的角色：它不再只是展示网页，而开始成为带有身份、权限、动作日志和安全策略的智能体执行环境。未来竞争的关键不会只是哪个模型更会规划，还包括谁能更准确地限制数据流向、识别恶意页面、记录每一步动作，并在正确的时刻停下来等待用户。

参考资料：

1. Gemini Spark now integrates with Chrome — Google
2. Use Gemini Spark to manage your tasks & workflows — Google Gemini Help
3. Architecting Security for Agentic Capabilities in Chrome — Google
4. Manage tasks and schedules in Gemini Apps — Google Gemini Help
5. Manage tasks completed with Chrome auto browse — Google Gemini Help
6. Google Password Manager
7. Indirect Prompt Injection Threats — Google DeepMind Security Paper