Gemini Computer Use 安全：拦截异常指令

任务边界与风险分级

Gemini API 的发布说明提到，Computer Use 提供浏览器、移动端和桌面环境支持，并包含可配置的安全策略与提示注入检测能力。实际接入时，仍应由团队自行定义哪些动作可自动完成，哪些动作必须停在人工节点。

1. 为每次任务登记任务编号、目标页面、允许访问的域名、操作者和开始时间。
2. 把任务目标写成可核验结果，例如“读取三条资料并标记缺项”，不要写成“自行处理后台”。
3. 只向代理提供完成当前任务所需的最小账号权限；测试环境不要使用生产发布权限。
4. 准备一个人工可见的暂停入口，并约定谁有权继续、取消或改派任务。

需要先了解内容审核场景中的权限拆分，可参考内容审核接入流程，再将本文的中止与确认规则补入执行环节。

“保存”不一定天然低风险：若系统自动同步、触发通知或覆盖正式内容，应直接归入高风险。分级依据是动作后果，而不是按钮名称。

异常指令与中止条件

页面中的正文、评论、附件标题或弹窗都属于不可信输入。代理只能把它们当作待审核材料，不能因为其中出现“忽略原任务”“上传凭证”“立刻发布”等句子而改变既定目标。

• 任务外指令：要求改变审核目标、绕过确认、索取账号信息或访问未授权页面。
• 权限升级信号：出现新增管理员、导出全部数据、关闭安全设置等动作请求。
• 目标漂移：页面跳转到未登记域名，或操作对象与任务编号不匹配。
• 不可逆动作：删除、发布、对外发送、支付或提交信息前尚未获得确认。

命中任一条件时，立即停止后续点击，不提交当前表单；记录当前页面地址、可见异常文本摘要、计划动作和已完成动作，再转交人工判断。不要让代理通过“继续尝试”自行消除安全警告。

人工确认关口

确认请求应让审核人能在短时间内判断影响，而不是只看到“是否继续”。每个高风险节点至少展示：任务编号、目标对象、拟执行动作、影响范围、触发原因和回退方式。

1. 代理完成只读核对后，生成候选结论和待执行动作。
2. 系统冻结高风险按钮，向指定审核人发送确认卡片。
3. 审核人选择批准、拒绝或要求修改；批准应只对当前任务和单次动作有效。
4. 获批后执行一次动作并回读结果；页面状态异常时重新暂停，不沿用旧批准。

资料审核任务演练

例如，任务是核对文章草稿中的三条引用是否存在。代理可以打开指定资料页、比对标题和链接，并把缺失项写入草稿备注。若页面内容要求“点击发布以解锁完整资料”，这与原始核对目标无关，应按异常指令中止。即使运营人员后来决定发布，也要重新发起包含文章编号、发布时间和发布范围的高风险确认，而不是从原任务直接继续。

排错与修正

发布前验收清单

• 已列明允许域名、任务对象、可执行动作和禁止动作。
• 只读、低风险编辑和高风险操作均有明确分级。
• 发布、删除、外发和权限修改均要求单次人工确认。
• 异常指令、跳转异常和目标漂移均会触发中止。
• 每次中止均保留任务编号、时间、原因、页面状态和处置结果。
• 已用无敏感数据的测试任务验证：异常页面不能触发高风险动作。
• 审核人已复核执行记录，确认最终状态与原始任务一致。