GitHub Copilot 浏览器工具 GA 后有哪些权限边界

如果你看到 GitHub Copilot 浏览器工具已经 GA，最容易产生的误解是“代理既然能点击网页，就能替我使用浏览器里的所有权限”。实际边界要细得多：它可以打开页面、导航、点击、输入、悬停、拖拽、处理对话框，也能读取页面内容、查看控制台错误并运行脚本；但你已打开的标签页默认不会被读取，代理自己打开的标签页使用隔离会话，摄像头、麦克风、位置、通知和剪贴板读取也不会自动获批。

官方地址：https://github.blog/changelog/2026-07-01-browser-tools-for-github-copilot-in-vs-code-are-generally-available/

我会把这次 GA 理解成“浏览器操作能力正式可用”，而不是“权限模型放开了”。判断能不能交给 Copilot，应该先看页面是否已明确共享，再看站点敏感权限和组织网络策略，最后保留工作区信任与人工批准这道门。

• 可操作的网页动作，与可读取的标签页范围是两件事。
• 敏感权限仍由站点级明确批准控制，代理不能替用户点击批准。
• 企业管理员可以用开关、域名规则、工作区信任和审批提示继续收窄范围。

先看见了什么：能操作网页不等于能看见所有标签页

排查这类权限疑问时，我会先把“动作能力”和“数据来源”拆开。GA 公告列出的动作包括打开页面、导航、点击、输入、悬停、拖拽和处理对话框；代理还可以读取页面内容、捕获控制台错误、截图，必要时运行脚本。这说明它具备完成一段网页操作的手段，但没有说明它会自动接管用户当前的浏览器环境。

公告给出的关键限制是：用户自己打开的标签页默认是私有的，代理只有在用户选择 Share with Agent 后才能读取或交互，而且这种访问可以随时撤销。这个动作更像“把一个明确的工作对象交给代理”，不是把整个浏览历史和登录态开放出去。

因此，出现“代理找不到我刚打开的页面”时，第一步不是反复重试，而是确认该标签页是否被显式共享；如果是代理自己打开的页面，则应按全新会话理解，不要假设它继承了日常浏览器的 Cookie 或本地存储。

再看会话边界：共享页和代理页是两种状态

我把页面范围画成两个互不默认打通的区域：一侧是用户选中后共享的标签页，另一侧是代理自行打开的隔离标签页。公告还说明，并行运行的多个代理会彼此保持标签页私有。这样设计的好处是，某个代理的网页操作不会自然扩散到你的日常浏览环境，也不会因为另一个代理打开了页面就共享会话状态。

最后核对敏感权限和企业控制项

如果流程需要摄像头、麦克风、位置、通知或读取剪贴板，不能因为网页已经能点击就顺推为“权限也可用”。公告明确说这些能力不会自动获批，并且每一项都需要用户针对站点显式批准，代理也不能代替用户批准。默认允许的只是低风险动作，例如经过清理的剪贴板写入。

企业环境还要再过一层管理规则：管理员可以用 workbench.browser.enableChatTools 控制浏览器工具开关；已有的 chat.agent.allowedNetworkDomains、chat.agent.deniedNetworkDomains 和 chat.agent.networkFilter 可以限制代理及集成浏览器能访问的站点，拒绝列表优先，两个域名列表支持通配符。工作区信任和审批提示仍然有效。

# 上线前按最小权限排查浏览器代理的四个问题
# 1. 页面是否由用户明确 Share with Agent
# 2. 是否误把代理隔离会话当成日常浏览器登录态
# 3. 站点是否需要摄像头、麦克风、位置、通知或剪贴板读取
# 4. 组织是否通过 enableChatTools、域名允许/拒绝列表和工作区信任收窄范围

这段清单的作用不是替代组织策略，而是帮助定位“为什么同一个动作在个人环境可用、在企业环境被拦住”。先分清是浏览器工具未启用、网络域名被拒绝、工作区未信任，还是站点权限等待人工批准，处理路径就不会混在一起。

我的采用判断：把高风险动作留在确认点

对我来说，浏览器工具适合把重复的页面导航、表单填充、只读查询和控制台排查交给代理；涉及账号切换、敏感数据、外部提交、支付、发布和不可逆操作时，应该保留人工确认。共享标签页只共享当前需要的页面，代理自行打开的页面则按隔离环境重新登录和授权。

1. 先确认页面范围：只共享完成当前任务所需的标签页。
2. 再确认站点权限：遇到敏感权限时停下来，让用户自己判断是否批准。
3. 最后确认组织规则：检查浏览器工具开关、域名过滤、工作区信任和审批提示。
4. 完成后撤销不再需要的页面共享，避免把一次性上下文变成长期权限。

这样看，GA 的价值是让网页操作成为 Copilot 的正式工作面，而不是消除权限边界。把动作、会话、站点权限和企业控制分层处理，既能用上自动化，也能保留必要的可控性。

常见问题

代理能直接读取我已经登录的网页吗？

不能默认这样理解。用户自己打开的标签页默认私有，需要明确选择 Share with Agent 后才允许代理访问；代理自行打开的标签页则是隔离的新会话。

浏览器工具 GA 后会自动获得摄像头或麦克风权限吗？

不会。公告明确这些敏感权限需要针对站点逐项获得用户批准，代理不能代替用户完成批准。

为什么企业里能操作页面，仍然访问不了某个域名？

可能是组织的浏览器工具开关、网络过滤或拒绝域名列表生效，也可能是工作区信任或审批提示阻止了动作。应先按这几层分别定位，而不是把问题归因于页面操作能力。