在让电脑操作智能体在你的屏幕上点击和输入之前，先给它一个独立的空间，而不是你平时用的那个。简单起点是用一个什么都没保存的浏览器账户配置文件，随着风险上升，再升级到单独的操作系统账户、虚拟机，或者厂商托管的沙盒。
阅读完整回答
只让它登录这一个任务真正需要的账号，任何购买、发消息或删除操作都要经过你本人确认，留意页面和邮件中藏着的指令，会话结束后再逐条核对它到底做了什么。
发布于
要点总结
- 电脑操作智能体把你的屏幕看成图像，通过和你自己一样的鼠标键盘输入来操作，所以它只能接触到你给它的那个空间里看得见、登录了的东西。
- 交任务之前先给智能体一个独立空间：干净的浏览器配置文件、单独的操作系统账户、虚拟机，或厂商托管的沙盒，按隔离程度由低到高排列。
- 只让智能体登录这一项任务真正需要的账号。密码管理器和网银登录要彻底排除在这个空间之外，不只是退出登录，而是从来就没保存在那里。
- 网页和邮件里可能藏着针对智能体而不是针对你的指令。Anthropic把这叫做提示注入（prompt injection），并表示自家的安全分类器并不能替代把敏感账号放在它接触不到的地方。
- 任何不可撤销的操作，比如购买、发出的消息、删除的文件或接受的条款，都要你本人先确认，完成后再逐一核对智能体做了什么。
复制即用
今天就能用的提示词
会话开始前先定好规矩
在做任何其他事情之前，先确认你理解以下限制：不要输入任何密码，不要进行购买，不要给任何人发消息，也不要在没有先停下来问我的情况下删除或覆盖文件。如果遇到登录页面、支付页面或确认对话框，请停下来描述你看到的内容，再继续操作。
在任何新的电脑操作会话中，把这段作为你的第一条消息粘贴进去，在描述真正的任务之前先发出。
让它在行动前先说明一句
做这个任务时，每次行动之前，先用一句简短的话告诉我你准备点击或输入什么、为什么，然后再执行。如果下一步会离开这个网站、登录某个账号或提交表单，请先描述清楚，等我说“可以”再执行。
速度会变慢，但能把一连串无声的点击变成你真正能跟上、能随时打断的过程。
请它列出目前能接触到的全部内容
在开始真正的任务之前，先截一张图，告诉我你现在具体能看到什么：哪些浏览器标签页是打开的，哪些账号看起来已经登录，屏幕上能看到哪些应用程序。我想确认这跟我打算给你的访问权限一致。
在新的配置文件、账号或虚拟机刚搭好时先跑一次，检查设置是否真的隔离出了你预期的那个范围。
会话结束时要一份通俗的总结
任务已经完成。请给我一份完整、通俗的清单，按你操作的顺序列出这次会话中访问过的每个页面、接触过的每个账号、输入过内容的每个字段，以及点击过的每个按钮或链接。不要概括或跳过步骤，哪怕是很小的步骤。
在关闭会话或信任结果之前，拿这份清单跟你原本的预期对照一下。
让它在遇到登录墙或支付页面的第一时间停下
在这个任务进行过程中，如果遇到任何要求输入用户名密码、信用卡号、一次性验证码的页面，或者任何提示即将完成购买或提交付款的界面，请立刻停下，不要在那个页面上做任何操作，并准确描述你看到的内容，让我决定怎么处理。
如果你不确定任务会遇到什么情况，这是单条最有用的常设指令。
完整指南
点按任意部分即可展开。
关于本指南
一种新型AI工具现在可以接管你的鼠标和键盘：它查看屏幕截图，决定下一步该点击或输入什么，然后执行，跟你自己操作的方式一样。Anthropic的Claude通过一个叫做“电脑操作”（computer use）的功能可以做到这一点，OpenAI、微软和谷歌也分别为ChatGPT、Microsoft 365 Copilot和Gemini推出了各自的版本。这本身并不危险，关键在于你让它在什么地方运行，以及运行时它能接触到什么。这篇指南会讲一遍能让电脑操作智能体真正好用、又不至于把你整个数字生活都交出去的习惯。
给电脑操作智能体独立空间的四种方式
| 方式 | 设置成本 | 能让智能体远离什么 | 适合作为首选的场景 |
|---|---|---|---|
| 单独的浏览器配置文件 | 几分钟：大多数浏览器都能新建一个没有收藏夹、扩展或保存登录信息的配置文件。 | 你主配置文件里的其他浏览器标签页、保存的密码和浏览历史。 | 低风险的快速网页任务，比如查资料或填一张公开表单。 |
| 单独的操作系统用户账户 | 十到二十分钟，用来创建账户并重新安装任务所需的应用。 | 你的个人文件、已安装的应用，以及保存在操作系统层面（而不只是某个浏览器里）的账号。 | 需要用到真正的桌面应用、不只是浏览器，但可以共用同一台物理电脑的任务。 |
| 虚拟机 | 第一次搭建可能需要花上一个小时：在虚拟化工具里安装一个客户操作系统。 | 你整台主机操作系统、文件和硬件；智能体只能看到客户系统内部的东西。 | 会重复进行或时间较长的会话，或者任何你想随时清空重来的任务。 |
| 厂商为你托管的沙盒 | 几分钟，如果产品提供这个选项：你用的是厂商运行的基础设施，不是你自己的设备。 | 你的整台设备；智能体的会话完全不会接触到你电脑上的文件或硬件。 | 不想自己搭建本地隔离的任何人，前提是工具提供这个选项。 |
基础知识电脑操作智能体到底能看见什么、能做什么
抛开品牌名称，不管是Claude、ChatGPT、Copilot还是Gemini的电脑操作智能体，运作方式都是同一个基本循环：看屏幕，决定一个动作，执行它，再看一次。
它看到的是你屏幕的一张图片，不是你的文件
Anthropic自己为Claude电脑操作功能写的文档说，模型接收的是整个显示器的截图，并带有缩放功能来读取小字。它看到的是那一瞬间屏幕上显示的内容，不是你的硬盘或文件系统本身。
它通过和你一样的鼠标键盘来操作
智能体请求的动作是点击、滚动或输入文字，跟一个人操作电脑用的输入方式一样。它没有另外一条更强大的通道可走，只能做你用手也能做到的事，只是更快，而且不会觉得无聊。
它只能接触到周围环境给它的东西
Anthropic明确说，运行这个工具的应用程序，而不是模型本身，控制着动作发生的环境。你指向的那个浏览器、桌面或沙盒，就是它在这次会话中能接触到的全部世界。
除非那个空间里本来就有，它不会知道密码
一个智能体看不到、也猜不出没有保存或输入到它所在空间里的凭证。这正是为什么你给它的那个空间，而不是模型的意图，才是真正决定风险大小的关键。
核心规则给智能体一个独立空间，不是你自己的空间
比任何设置都更能防止损失的一个习惯，就是让智能体运行在一个接触不到你日常账号、文件或历史记录的地方，因为这些东西从一开始就没放进去。下面是四种做法，从最简单到最隔离。
单独的浏览器配置文件
在浏览器里新建第二个配置文件，什么都不导入：不保存密码、不装扩展、不留历史。只需要几分钟，是单次低风险任务的合适底线，比如查一下资料或填一张公开表单。
单独的操作系统用户账户
同一台电脑上的第二个用户账户有自己的桌面、自己安装的应用和自己的文件，在系统层面而不只是某个浏览器里与你的主账户分开。适合需要用到真正应用程序、不只是浏览器标签页的任务。
虚拟机
虚拟机在你的电脑里运行一台完整的独立电脑。在Mac上，苹果的Virtualization框架可以启动一个完整的macOS客户系统，并显示在屏幕上一个普通窗口里；苹果自己的开发者文档描述了如何创建一个虚拟机视图，让你像坐在客户系统自己的键盘前一样操作它。智能体在那个客户系统里做的任何事都碰不到你真正的文件，而且你可以把整个客户系统删掉重新开始。
厂商为你运行的沙盒
有些智能体产品会把你的会话放在公司托管的基础设施上运行，完全不在你自己的设备上，而不是放在你自己的机器上运行。某个工具是否以这种方式运作，还是在你自己电脑上本地运行，因产品而异，而且会随时间变化，所以要查那个工具当下自己的文档，而不是凭假设判断。
账号只让它登录这一项任务需要的账号
无论你选哪种空间，都要把它当成一张全新的桌子，而不是你平时用的那张。只登录这个任务真正需要的一两个账号，其他全部保持退出状态。如果任务是在某个预约网站上订一个时间段，那个网站就是唯一需要会话的东西；你的邮箱、银行和工作工具，不会因为放在手边方便就该出现在同一个空间里。
密码管理器和任何网银访问要彻底排除在这个空间之外，不只是退出登录，而是从一开始就没保存在那里。Anthropic为Claude电脑操作功能写的安全指引明确说了这一点，提醒不要让模型接触到账号登录信息这类敏感数据，目的正是防止信息被窃取。无论你用的是哪家厂商的智能体，道理都一样：从来没放进它能接触范围内的凭证，它就泄露不了、也用不着。
一旦智能体需要登录任何东西，这一点就变得更加重要。Anthropic自己的提示指引指出，在需要登录的应用程序里使用电脑操作功能，会增加提示注入攻击带来坏结果的风险，并建议在交出任何登录凭证之前，先了解如何降低这种风险。为真正需要的那一项服务单独开一个受限、可随时丢弃的账号，相比这个风险，只是个很小的麻烦。
提示注入留意智能体读取的内容里藏着的指令
电脑操作智能体读取的不只是你给的指令。它还会读取它沿途打开的页面、文档和邮件里的一切内容，其中一些内容可能带着自己的指令，针对的是智能体而不是你。这叫做提示注入（prompt injection）：藏在网页或邮件里的一句话，试图把智能体引向你从未要求过的事，比如访问另一个网站、泄露信息，或重复执行一个你不想要的操作。
Anthropic为Claude电脑操作功能写的文档说得很直白：在某些情况下，Claude会遵循内容里找到的指令，即便这些指令跟你自己的指示相冲突，并举例说网页上或图片里的指令会压过你的要求。Anthropic还说，它会运行自动分类器来扫描电脑操作工具返回的内容，比如截图，以标记可能的注入尝试，但同样直白地指出，即便有这些分类器在运行，把智能体隔离在敏感数据和操作之外的防范措施依然重要。
这最后一点，不管用的是哪家厂商的版本，都值得记住，不只是Claude。自动化安全检查是第二层防线，不能替代第一层：把智能体挡在你的敏感账号之外，这样即便注入尝试真的得手，等它进来之后也基本没什么可干的。
人工确认对无法挽回的事，让自己留在决策环节里
智能体在浏览或点击时做的大多数事情都容易撤销，或者即便出错也没什么大不了。有一小类操作不是这样，这类操作值得一条常设规则：智能体先提出来，你确认，然后它才执行。
购买和付款
Anthropic为电脑操作功能写的安全指引特别提到，涉及完成金融交易的任务要请人确认。把这个当作底线，而不是某家厂商特有的要求：没有哪个智能体应该在你先点头之前完成一笔购买。
代表你发消息
一封邮件、一条聊天消息，或提交给另一个人的表单，一离开草稿阶段就成了单向操作。每次发出前都要检查确切的文字内容，而不只是第一次检查。
删除或覆盖文件
在这整份清单里，删除或覆盖可能是最难撤销的一项。如果任务可能涉及一个已有的文件，让智能体先说明是哪个文件、会做什么改动，再动手，而不是事后再说。
接受条款、Cookie或任何形式的同意
Anthropic在自己的指引里把这一类和金融交易归为一组，把需要明确同意的任务（比如接受Cookie或同意服务条款）明确列为应该等人确认的那类决策。
复盘会话结束时，看看它到底做了什么
把一次电脑操作会话结束后的检查，当成审视一个新人第一天工作的方式来对待：看实际发生了什么，不只是看最终结果是否看起来没问题。让智能体按顺序列出它访问过的每个页面、接触过的每个账号、输入过内容的每个字段，再拿这份清单跟你预期任务该覆盖的范围对照一下。
Anthropic为Claude写的文档指出，多个操作可以归并成一个“批次”，在一轮里完成一整段多步骤流程，并特别建议，如果你的应用要求人类确认有后果的操作，这个检查需要在批次里每一步执行之前进行，而不是只在最后检查一次。这条建议落到任何直接使用这类工具的人身上，道理是一样的：别等一长串操作彻底跑完才开始留意。
养成快速复盘的习惯，还能顺带发现跟安全无关的普通失误：填错了框、漏了一步、页面没按智能体以为的方式加载。事后读一遍发生了什么，成本很低。等消息已经发出或表单已经提交之后才发现错误，代价就不低了。
设置第一次正式使用前的简短清单
从能合理完成任务的最小空间开始。在公开网站上做一次快速查询，用不上虚拟机，一个全新的浏览器配置文件就足够。把更重的方案（专用操作系统账户或完整虚拟机）留给会重复做的任务、涉及多个网站的任务，或任何你还不太放心的事。
交出任务之前，把它写得窄一点。“在这家航空公司的网站上找出最便宜的三趟航班并列给我”，这是一个几乎没什么风险的任务。“订一趟看起来不错的航班”则一步到位地把决策和付款都交出去了，这恰恰是该放在人工确认规则后面、而不是写进指令本身里的那类任务。
就算在隔离空间里，也要仔细盯着最初几次会话。隔离限制的是一次失误能造成多大的损失，它不会告诉你智能体是不是把任务做好了。等你看过它处理几次都符合预期之后，对这项特定、范围窄的任务可以放松一点注意力，但对还没试过的新任务不行。
最后，假设你今天用的设置以后还需要再检查一次。厂商会改变智能体能做的事、存在哪些设置、默认值是什么，往往一个功能上线几个月内就会变。在你依赖智能体做比最初测试的事更大的任务之前，重新看一下自己的设置，也看一下那家厂商当下的文档。
如实的局限隔离能防住什么，又防不住什么
干净的浏览器配置文件、单独的账户或虚拟机，都能限制一次失误的破坏范围。它们都不会让智能体的判断力变好，也都不会阻止一个很有迷惑性的诈骗页面浪费一个隔离会话一小时的时间，即便它进去之后碰不到任何重要的东西。隔离管的是智能体能碰到什么，不是它会不会正确理解当下的情形。
它也不能替代实际去看输出结果。一个运行在虚拟机里的智能体，照样可能在表单里填错信息，看错一个令人困惑的页面，或者用技术上正确、但不是你想要的方式完成任务。这篇指南前面说的复盘习惯，不管智能体是运行在最隔离的设置里还是最不隔离的设置里，都同样重要。
最后，这里说的任何做法都不是设好就能一直不管的一次性工作。Anthropic、OpenAI、微软和谷歌都还在积极开发各自的电脑操作和智能体浏览功能，这意味着摆在你面前的具体设置、默认值和防护措施，可能在一次会话到下一次会话之间就发生变化。把这篇指南当成在这些变化中依然有用的习惯，至于眼前这个功能具体叫什么名字、有哪些设置，去查厂商当下自己的文档。
常见问题
电脑操作智能体到底能在我的屏幕上看到什么？
Anthropic为Claude电脑操作功能写的文档说，模型接收的是整个显示器的截图，并带有缩放功能来清楚读取小字。它看到的是那一瞬间屏幕上显示的内容，不是你的文件系统或硬盘本身，而且只能看到周围应用程序指向的那个浏览器、桌面或沙盒里的东西。
给智能体一个独立空间，最简单的办法是什么？
用一个什么都没导入的单独浏览器配置文件：不保存密码、不装扩展、不留浏览历史。在大多数浏览器里只要几分钟就能设好，对于一次低风险任务（比如快速查一下资料或填一张公开表单）已经够用。
我需要虚拟机吗，还是浏览器配置文件就够了？
这取决于任务。对局限在网页上的快速、低风险任务，浏览器配置文件就够了。对于会重复做的任务、需要真正桌面应用而不只是浏览器的任务，或者任何你想随时清空重来的任务，就该用单独的操作系统账户或虚拟机。在Mac上，苹果的Virtualization框架正好可以在一个普通窗口里运行一个完整的macOS客户系统来满足这个需求。
什么是提示注入，它对电脑操作智能体为什么重要？
提示注入是藏在网页、文档或邮件里的一条指令，试图引导AI智能体（而不是你）去做你没要求的事。Anthropic自己为Claude电脑操作功能写的文档警告说，即便这类指令跟你的指示相冲突，Claude也可能遵循它们，并说针对这一点的安全分类器是第二层防线，不能替代把智能体从一开始就挡在敏感账号之外。
我应该让智能体登录我的邮箱或银行账户吗？
日常使用应该把这个当成绝对不行。Anthropic为Claude电脑操作功能写的安全指引明确提醒，不要让模型接触账号登录信息这类敏感数据，目的是防止信息被窃取，并指出让智能体登录任何东西都会特别提高提示注入带来的风险。换成一个任务真正需要的那一项服务的受限账号来用。
我怎么知道智能体是不是要做一件无法撤销的事？
任务开始前先定一条常设规则：在任何购买、任何发给别人的消息、任何文件删除或覆盖，或任何要求接受条款或Cookie的页面之前，智能体必须先停下来说明情况。Anthropic自己为Claude电脑操作功能写的指引明确指出，金融交易和明确同意正是应该等人确认的那类情况。
Claude的电脑操作功能和ChatGPT的智能体、Copilot的操作功能，或Gemini的智能体功能是一回事吗？
它们大致都遵循同一个循环：看屏幕，决定一个动作，执行它，再看一次。Anthropic的Claude、OpenAI的ChatGPT、微软的Copilot和谷歌的Gemini都各自推出了自己的版本，但具体设置、默认值和防护措施因产品而异，而且经常变化。这篇指南里讲的习惯（隔离、限制账号、人工确认、事后复盘）适用于所有这些产品；具体某个功能叫什么名字，去查各家厂商当下自己的文档。
会话结束后，我该怎么复盘智能体做了什么？
直接问它：让它按执行顺序列出访问过的每个页面、接触过的每个账号、输入过内容的每个字段，而不只是概括最终结果。Anthropic为Claude写的文档指出，多个操作可以在一轮里合并成一个批次一起执行，所以有意义的复盘要检查过程中的每一步，不只是最后那个画面。
云端沙盒比在自己电脑上运行智能体更安全吗？
厂商托管的沙盒让会话完全不碰你的设备，这就去掉了一整类针对你自己文件和硬件的风险。某个产品是否提供这个选项、怎么配置，因产品而异，而且会随时间变化，所以这篇指南不对任何一家厂商的沙盒做具体断言；去查那个产品当下的文档。无论哪种方式，限制账号、人工确认和事后复盘这些习惯依然适用。
Nightschool AI和Anthropic、OpenAI、微软、谷歌或苹果有关联吗？
没有。Nightschool AI是独立的，不隶属于Anthropic、OpenAI、微软、谷歌或苹果，也没有获得它们的认可。Claude、ChatGPT、Copilot、Gemini以及Virtualization框架都是各自公司的产品，这里提到它们只是为了准确描述它们是什么，并准确引用它们各自发布的文档。