浏览器 Agent 真正危险的动作，往往不是删库，也不是付款，而是那种看起来“只是点一下”的权限弹窗。定位、通知、剪贴板、摄像头一旦被误点允许，后续所有页面判断都会被这次长期授权带偏。⚠️

很多团队把权限弹窗当成普通按钮处理：页面能继续就点 Allow，流程被挡住就继续点。问题在于，权限弹窗不是一次性确认，而是把当前站点写进浏览器权限状态。一次误点，后面十几轮动作都可能基于错误前提展开。🔍

[外链图片转存中…(img-JGkgZ4wx-1780013578750)]

问题不是按钮，而是权限状态

真正让 Agent 失控的，不是模型认不出“允许”两个字，而是它没有把权限看成带生命周期的状态。站点一旦被授予通知或剪贴板权限，后续页面会出现完全不同的 DOM、缓存和交互分支。🧭

如果自动化链路没有先读取当前 Permission State，模型就会把“当前页面能否继续”误当成唯一目标。结果是本该暂缓的弹窗，被当作推进任务的快捷键；本该人工确认的授权，被当作通用默认动作。🧨

[外链图片转存中…(img-q9dsYmqK-1780013578757)]

一套更稳的 Permission State 流程

可复现的做法是把权限动作拆成“读取状态、延后决策、显式提交”三段，而不是看到弹窗就点。✅

先读取站点当前权限，再决定是否继续，是整个链路的分水岭。对于通知、定位、剪贴板读写这类高频权限，建议默认把prompt状态视为“尚未获准执行”，而不是“等待点击继续”。📌

constpermissions=['notifications','geolocation','clipboard-read'];constsnapshot={};for(constnameofpermissions){try{conststatus=awaitnavigator.permissions.query({name});snapshot[name]=status.state;}catch{snapshot[name]='unsupported';}}constshouldDefer=Object.values(snapshot).some((state)=>state==='prompt');

这段代码的价值不在于“能查权限”，而在于给 Agent 一个可落库的快照：当前是不是首次授权、是不是旧授权、是不是浏览器根本不支持。没有这层快照，后面的动作日志几乎无法复盘。🧾

[外链图片转存中…(img-mwPwpK9r-1780013578759)]

Prompt Deferral 为什么比“谨慎点允许”更有效

很多人以为只要把提示词写得更保守，模型就会少点几次 Allow。实际上，真正有效的是把“授权”从主任务里拆出去，变成单独的确认事务。🛡️

Prompt Deferral 的核心不是拒绝权限，而是在prompt状态下暂停主流程，把页面、站点、权限种类和业务意图一起落成一条待确认记录。这样做有两个好处：一是避免模型把页面继续误当成授权理由；二是让后续授权具备审计上下文。📎

笔者认为，未来 3 到 6 个月里，桌面 Agent 的工程分水岭不再是“能不能看懂页面”，而是“能不能把授权、支付、删除这类不可逆动作从生成链路里拆出来”。权限弹窗只是最早暴露这个问题的入口。📈

如果团队还在依赖“看到弹窗先点掉”的脚本习惯，系统迟早会在通知、定位或摄像头权限上吃一次大亏。更稳的路线，是把 Permission State 变成显式上下文，把 Prompt Deferral 变成默认策略，再把最终 Allow 留给独立确认。🤝