2026 年 10 月 27 日，Mozilla 在桌面端 Firefox 的 Smart Window 测试版里塞进了两项免费新功能：跨标签页智能填表（Smart Form Fill）和网页监控（Tasks）。这项更新随 Firefox 150 面向美加英文版推出，法国市场则排到了 Firefox 155。和每月收费 $19.99 起的 Google Chrome Auto Browse、$20 起的 Perplexity Comet 相比，Firefox 走了一条极其克制的免费半自动路线。但翻开底层文档和 Bugzilla 记录就会发现，你以为的本地隐私辅助，后台其实锁死了 Google Gemini 3.1 Flash Lite 和阿里 Qwen 的云端强制路由。
先用最快的速度把这两项更新的用法和硬边界拆清楚：
- 跨标签页填表（Smart Form Fill）：点击包含至少 4 个文本框的网页表单，可勾选已打开的标签页（如个人简历或 LinkedIn 页面）提取文本建议。仅支持文本框，下拉菜单和 PDF 还在开发中；必须人工审核，Firefox 绝不自动点击提交。
- 网页监控（Tasks）.在 Smart Window 聊天框输入
/watch即可盯住促销或招聘更新。最多同时跑 15 个活跃任务、每个任务最多盯 5 个页面，仅在浏览器打开时按天或按周检查；连续 60 天无变化自动暂停，90 天彻底停止。 - 横向竞品位置.Firefox 全免费但只做半自动辅助；Chrome Auto Browse 捆绑在 $19.99/月的 Google AI Pro 或 $99.99/月起的 AI Ultra 中；Perplexity Comet 浏览器虽免费，但 Browser Agent 额度得掏 $20/月（Pro）或 $200/月（Max）。
| 浏览器 AI 方案 | 核心定价 | 自动化边界 | 底层模型归属 |
|---|---|---|---|
| Firefox Smart Window | 免费测试 | 仅填表不提交、仅开窗时监控 | 聊天可选，填表锁死 Gemini、监控锁死 Qwen |
| Chrome Auto Browse | $19.99 - $99.99/月 | 深度全自动跨页执行 | Google Gemini 原生绑定 |
| Perplexity Comet | $20 - $200/月 | 额度制 Browser Agent 自动操作 | Perplexity 路由多模型 |
选了自定义模型，为什么数据还是发给了 Google 和阿里
这起更新最反常识的地方不在前端交互，而在后台的模型路由。
Mozilla 在宣传 Smart Window 时，给极客留了一扇看似体面的窗：在常规聊天界面里，用户可以在 Google Cloud 的 Gemini 3.1 Flash Lite、阿里云或 Google Cloud 托管的 Qwen3-235B、Mistral AI 的 Mistral Small 4 之间自由切换，甚至还能配置自定义模型端点（BYOM）。
但这个选择器是个障眼法。一旦你触发专项工具，后台就会执行硬编码分工：跨标签页填表强制调用 Google 的 Gemini 3.1 Flash Lite，网页监控强制调用阿里的 Qwen。哪怕你在设置里千挑万选切到了 Mistral，或者接上了自己折腾的私有端点，只要一点填表，你勾选的标签页内容照样打包发往 Google。
更让人捏把汗的是 Mozilla 内部工程文档的混乱。翻看官方支持页面，除了最新的 Gemini 3.1 Flash Lite 和 Qwen3-235B，页面里居然还残留着写有 Gemini 2.5 和 gpt-oss-120B 的旧表格。一家以透明和严谨立身的开源组织，在决定用户数据发往哪家云厂商的核心路由上，连文档和代码都没对齐。
- 提醒.如果你冲着自带模型（BYOM）的隐私保护去用 Smart Window，请记住自定义设置管不住填表和监控，这两项功能的数据依然会直通 Google 和阿里。
隐私卫士的文字游戏与 Bugzilla 上的信任裂缝
过去二十年，浏览器大战讲的是渲染引擎与广告拦截；到了 Agent 时代，战场变成了谁能合法合理地接管你的上下文。
Mozilla 很清楚自己的基本盘是谁。为了安抚隐私极客，官方把边界划得很细：Firefox 传统的自动填充数据（保存在本地的姓名、地址、密码、信用卡号）依然锁在设备本地，绝不发给大模型；Smart Window 也是默认关闭的 opt-in（主动开启）模式，且所有发往第三方大模型的请求都会先经由 Mozilla 服务器中转，抹掉用户的真实 IP。
这套防御看着严密，但在 Hacker News 等技术社区眼里，纯属偷换概念。
原因在于 Smart Window 引入了 Memories（记忆）机制。官方声称 Memories 存储在本地，但要生成这些记忆，系统却可能先把你的浏览历史和聊天记录发往 Mozilla 服务器处理，算完再存回本地。加上智能填表要把整个标签页文本打包上云，所谓本地隐私，早在数据离开网卡的那一刻就破功了。
抹掉 IP 只是蒙住了大模型的眼，却没能管住它读取标签页的手。
如果说云端转发还是明面上的妥协，那 Bugzilla 漏洞追踪系统里曝光的三起争议，则直接撕开了 AI 浏览器在安全架构上的底裤：
- Bugzilla 2048279（防注入妥协）：为了防范网页里的恶意提示词注入（Prompt Injection），Mozilla 采用类似污点追踪（taint-style）的机制，通过批量抓取页面来阻止单个恶意页面下达指令。
- Bugzilla 2041674（信任边界争议）：安全研究人员发现，即便会话已被标记为受污染（tainted），系统依然可能抓取私有标签页的元数据，并塞进发往大模型的后续请求里。面对数据外泄的质疑，Mozilla 的官方回应令人瞠目——他们表示模型提供商是受信任的，因此这属于预期行为（expected behavior）。
- Bugzilla 2039488（跨会话串台）：
run_search功能曾因为没有做好会话隔离，直接错误调用了其他 Smart Window 会话里的最新用户消息。Mozilla 仅将其定性为功能正确性缺陷，而非安全漏洞。
这三张工单放在一起，比任何行业报告都更能说明独立浏览器的尴尬。
在 PC 互联网早期的浏览器大战里，网景（Netscape）败给微软 IE，输在操作系统级的捆绑；后来 Firefox 能够从 IE 手里抢回江山，靠的是把控制权和隐私防线交还给用户。那时候的安全哲学很简单：除了用户自己的硬盘，外面的云端皆不可信。
但到了 AI Agent 时代，《史记》里那句“天下熙熙，皆为利来”换了一副算力面孔重演。训练和推理大模型太贵了，Mozilla 既拿不出像 Google 和 Perplexity 那样向用户每月收 $20 的底气，又没有自建千亿参数云端集群的财力。要维持免费体验，就只能把特定任务切包给性价比最高的云端小模型——填表找 Gemini 3.1 Flash Lite，盯网页找 Qwen。
一旦在商业和算力上依赖了外部巨头，安全架构就得跟着低头。在传统的网络安全模型里，不可信网页诱导浏览器读取私有标签页并发往外部服务器，这是妥妥的数据越权泄露；但在 Mozilla 今天的字典里，因为接收数据的 Google Cloud 和阿里云签署了不用于训练的商业协议，它们就被划进了“受信任边界”。
这种架构妥协和二十年前网景的溃败不完全一样——Firefox 并没有放弃开源阵地，甚至还用“不自动提交表单”守住了最后一步操作权。但它暴露出的现实极其残酷：当浏览器从渲染代码的沙箱变成理解内容的智能体，纯本地的隐私神话就已经破产了。
接下来最值得盯紧的变量有两个：一是等 Firefox 155 推进到法国等欧盟市场时，监管机构会不会买账这套“本地存储但云端推导”的隐私说辞；二是 Mozilla 到底什么时候才敢放开限制，让用户的自定义模型端点真正接管填表和网页监控。在这两件事落地之前，那个曾经替你挡住巨头的火狐狸，其实已经在后台替你跟巨头握了手。