AI 自动化真正卡在哪里：浏览器登录、人机验证和权限边界

很多人第一次接触 AI Agent，会很自然地期待一个结果：既然它能读网页、点按钮、写文件、运行命令，那是不是很快就能替我完成所有线上操作？

万象片场这段时间持续测试博客自动发布、内容计划读取、本地预览、Cloudflare 部署和 GitHub 同步之后，我越来越确定一件事：AI 自动化真正难的地方，不是让它点击按钮，而是让它在登录、人机验证和权限边界前做出正确选择。

如果不把这些边界设计清楚，所谓“数字员工”很容易变成一个不稳定的脚本：顺利时看起来很神奇，遇到弹窗、验证码、账号状态变化时就会卡死，甚至做出不该做的动作。

一、自动化不是从“全自动”开始，而是从边界开始

很多自动化失败，是因为一开始目标就设得太大：

帮我自动运营账号
帮我自动发布所有内容
帮我自动登录所有平台
帮我看到任何提示都自己处理

这些说法听起来很省事，但对 Agent 来说太模糊。真正可用的自动化，应该先把任务拆成三类：

1. 低风险、可重复、可验证的动作：读取文件、生成 Markdown、运行构建、检查页面标题；
2. 需要已授权会话的动作：进入后台、发布草稿、读取数据、提交低风险表单；
3. 必须人工确认的动作：验证码、二次验证、付款、删除、改账号资料、扩大权限。

万象片场的博客发布代理之所以适合自动化，是因为它的核心动作大多属于第一类：读取计划、选择未发布主题、写文章、预览、构建、部署、验证。即使部署需要 Cloudflare 权限，也是在本机已有授权和明确项目路径下执行。

这和“让 AI 随便登录任何网站”完全不是一回事。

二、浏览器登录：最好复用已有会话，而不是让 AI 知道密码

浏览器自动化里最常见的第一个卡点，就是登录。

从工程角度看，Agent 确实可以打开网页登录页、定位输入框、填写账号密码、点击登录。但从长期使用角度看，把密码直接交给 Agent 或写进脚本，往往不是好设计。

更稳妥的做法是：

• 用户先在本机浏览器完成登录；
• Agent 复用这个已登录会话；
• 密码、Cookie、Token 不进入文章、日志和提示词；
• 如果会话过期，Agent 停下来报告“需要重新登录”；
• 登录成功后，Agent 只执行授权范围内的运营动作。

这样设计以后，Agent 的角色就不是“破解登录的人”，而是“在你已经授权的办公桌上执行任务的人”。

比如博客发布流程里，Cloudflare Pages 部署依赖本机已经配置好的 Wrangler 或环境认证。Agent 不需要知道 Cloudflare 密码，只需要按 SOP 运行：先 build，再 deploy，再浏览器验证线上页面。这就是数字员工更健康的工作方式。

三、人机验证：不要把 CAPTCHA 当成要绕过的障碍

第二个常见卡点，是人机验证。

验证码、滑块、短信确认、设备确认，本质上不是“页面里一个麻烦的步骤”，而是平台在确认：当前操作者到底是不是账号主人，当前动作是否安全。

所以我给万象片场的 Agent 工作流设了一条原则：遇到人机验证和安全确认，不绕过，不猜测，不强行自动化。

可以自动化的，是验证之前和之后的流程：

打开目标后台
  ↓
检查是否已登录
  ↓
如果正常进入，就继续执行任务
  ↓
如果遇到验证码/二次验证，就停止并报告
  ↓
用户完成验证后，再继续后续低风险动作

这条边界看似降低了自动化程度，其实提高了系统可靠性。因为真正的内容系统不是为了炫耀“无人值守”，而是为了稳定地产出可发布资产。

如果一个 Agent 为了追求全自动而试图处理验证码，它不仅可能失败，还可能触发平台风控，影响账号长期安全。

四、权限边界：数字员工必须知道哪些事不能做

第三个更隐蔽的卡点，是权限边界。

很多操作从技术上看都只是一个按钮，但业务风险完全不同：

• 发布一篇已预览通过的博客文章，风险较低；
• 修改账号昵称、头像、简介，影响品牌识别；
• 删除历史内容，可能不可逆；
• 开通付费服务或投放广告，涉及资金；
• 回复私信和评论，涉及对外沟通；
• 授权新应用，可能扩大数据访问范围。

如果不区分这些动作，Agent 就会把所有按钮都当成“可点击元素”。这非常危险。

所以我更愿意把数字员工设计成有岗位说明书的执行者。以万象片场为例，博客自动发布代理被授权做这些事：

1. 读取内容计划和历史文章；
2. 选择早间槽的 AI 自动化主题；
3. 写入指定博客项目；
4. 本地预览并检查首页、归档、文章页；
5. 构建、部署、线上验证；
6. Git 提交和推送。

但它不应该擅自做这些事：

• 改 Cloudflare 账号安全设置；
• 删除已有文章；
• 修改与任务无关的网站项目；
• 处理验证码和二次验证；
• 在未授权平台公开发布新内容；
• 操作付款、投流、账号资料变更。

边界越清楚，自动化越能长期运行。

五、一个更可靠的 Agent SOP：检查、执行、验证、复盘

如果要把 AI 自动化真正变成可复用系统，我现在会用一个四段式 SOP：

1. 检查

先确认任务上下文，而不是直接执行。

例如博客发布前，要检查：今天是哪个发布槽、计划里哪些主题已发、src/content/posts 里有没有重复标题、Git 工作区是否干净。

2. 执行

只在明确范围内执行动作。

比如创建 Markdown 文件、写 frontmatter、插入正文、启动本地预览、运行 npm run build。每一步都应该对应一个具体产物，而不是笼统地“优化一下”。

3. 验证

验证不能只看命令是否成功，还要看用户最终会看到什么。

对博客来说，至少要检查：

• 首页是否出现新文章；
• 归档页标题和摘要是否正常；
• 文章页排版是否清楚；
• 封面图是否加载成功；
• 线上 URL 是否能打开；
• GitHub 是否同步完成。

4. 复盘

每次任务结束后，都应该留下可读结果：发布了什么、路径在哪里、线上链接是什么、部署和 Git 状态如何。

这也是万象片场做博客资产库的原因：不仅沉淀文章，也沉淀一套可复用的内容生产方法。

六、结论：可控的半自动，胜过失控的全自动

AI 自动化最容易让人兴奋的，是“它好像什么都能点”。但真正能长期带来价值的，不是无限点击，而是可靠交付。

浏览器登录、人机验证和权限边界，恰恰是检验一个 Agent 工作流是否成熟的地方。成熟的数字员工应该知道：什么时候继续执行，什么时候停下来，什么时候把问题交还给人。

对万象片场来说，接下来更重要的不是追求一次性全自动覆盖所有平台，而是把一个个岗位做稳：博客发布代理、素材整理代理、选题研究代理、短内容拆分代理。每个岗位都有清晰输入、输出、权限和验证方式。

当这些小岗位逐步稳定，AI 自动化才会从“演示效果”变成真正可积累的内容生意基础设施。

下一篇我会继续拆解：我的本机 AI 工作台如何把 Mac、Chrome、脚本、Cloudflare 和 GitHub 串成一条日常生产线。