WebMCP 已铺到近 3000 个站点：给智能体开的口子，安全团队还没看见
安全厂商 PromptArmor 对 WebMCP 做了一次系统性拆解，其中一个数字值得注意：截至 2026 年 10 月 6 日，登记 WebMCP 工具的站点已有 2959 个。Chrome、Edge 已在 origin trial 中提供支持，Brave 已支持，ChatGPT 内建浏览器（Site tools）与 Cloudflare Browser Run 也接入了；Shopify 更进一步，为全部 Liquid 店铺自动添加工具，并支持结账场景。
它和 MCP 的关键差别
传统 MCP 是「你主动接入的一台服务器」，工具在会话里注册，你有清单可审。WebMCP 不注册工具——工具属于智能体正在访问的那个网页，由页面 JavaScript 提供给智能体调用。智能体不再需要像人一样找按钮、点按钮，而是直接调 update_cart 这类接口。
一句话概括信任边界的变化：MCP 的边界是「你装了什么」，WebMCP 的边界是「用户此刻打开了哪个页面」。
五个具体风险
- 治理真空：供应商或其平台可以直接在前端代码里增删工具，没有 OAuth 应用、没有 MCP server、没有集成申请流程，安全团队无从评审。
- 提示注入：不可信站点可以用工具描述和返回结果引导智能体，甚至不改动肉眼可见的页面内容，就能让它去调用向该站点提交数据的工具。
- Web 应用安全：工具本身就是页面 JS。一个 XSS 缺陷、一个被篡改的第三方脚本，或一个恶意浏览器扩展，就能在用户会话下注册、改写、调用这些工具。
- 声明误标：和传统 MCP 一样，标为「只读」的工具可能实际执行写操作；而 AI 客户端常依据这个声明来决定是否需要人工确认。
- 运行漂移：工具与人类 UI 会逐渐脱节——人按页面上看到的东西提要求，智能体却通过另一个工具做了并非用户本意的操作。
对实际工作的建议
第一，盘点你依赖的 SaaS 是否已暴露 WebMCP 工具，把它纳入第三方风险评估，而不是当成前端小改动。第二，对「写类」工具强制人工确认，不要信任工具自报的 read-only 属性。第三，把网页工具的变更纳入监控——因为它可以静默上线。
参考来源
延伸阅读：估值翻倍到 220 亿美元：ElevenLabs 这份数据说明语音智能体开始真干活了 · Google Docs 原生支持 Markdown：赢的是「给智能体看的那一层」 · 把收件箱清零交给智能体：先给「打标签」，别先给「删除」