ИИ-браузер: что умеет агент и как безопасно дать ему доступ

Обычный ассистент предлагает инструкцию, а браузерный агент способен сам открыть сайт и нажать кнопку. Это экономит время на повторяемой работе, но превращает текст страницы, письмо или документ в потенциальный источник управляющих инструкций. Поэтому оценивать нужно не красоту ответа, а доступ, наблюдаемость и последствия каждого действия.

Чем ИИ-браузер отличается от помощника

Помощник объясняет следующий шаг, браузерный агент наблюдает интерфейс и действует: открывает вкладки, извлекает данные, вводит значения и отправляет запросы.

Что сделать. Разделите функции на чтение, подготовку черновика и необратимое действие; не называйте их одинаковой автоматизацией.

Как проверить. Пользователь должен видеть, какой шаг агент выполнил сам, а какой только предложил.

Типичная ошибка. Не выдавайте возможность нажать кнопку за понимание бизнес-контекста.

Основные определения и границы вынесены в материал ИИ-агент для бизнеса; здесь достаточно применить их к текущему шагу.

Выберите подходящие задачи

Лучше всего автоматизируются повторяемые процессы с понятным началом, структурированным результатом и обратимыми промежуточными шагами.

Что сделать. Начните со сбора открытых данных, сверки статусов, подготовки формы или черновика без отправки.

Как проверить. Сравните время, полноту и число ручных исправлений с обычным процессом.

Типичная ошибка. Не начинайте пилот с платежей, кадровых решений или удаления данных.

Перед настройкой этого этапа полезно свериться со статьёй Автоматизация маркетинга.

Постройте границы сессии

Авторизованный браузер содержит cookie, историю, сохранённые формы и доступ сразу к нескольким системам.

Что сделать. Создайте отдельный профиль или контейнер, оставьте только нужные сайты и запретите доступ к личной почте и хранилищам.

Как проверить. После задачи проверьте активные сессии, загрузки и оставленные черновики.

Типичная ошибка. Не запускайте агента в повседневном профиле владельца компании с открытыми вкладками.

Выдайте минимальные права

Агенту нужен не статус администратора, а конкретная возможность выполнить ограниченную операцию.

Что сделать. Создайте отдельную учётную запись, роль только для чтения там, где запись не нужна, и короткоживущие токены. Разделите обязательный минимум и улучшения.

Как проверить. Проверяйте перечень разрешений перед пилотом и после изменения сценария.

Типичная ошибка. Не добавляйте права заранее «на будущее»: они увеличивают последствия чужой инструкции и ошибки модели.

Защититесь от косвенных инструкций

Страница или файл может содержать текст, который просит агента игнорировать задачу, раскрыть данные или перейти на другой адрес. Для человека он иногда скрыт, но модель его обрабатывает.

Что сделать. Считайте внешнее содержимое недоверенным, отделяйте его от системных правил и запрещайте ему расширять цель либо права.

Как проверить. Добавьте тестовые страницы с явной и скрытой prompt injection и наблюдайте фактические действия.

Типичная ошибка. Не предполагайте, что хороший системный промпт полностью устраняет этот класс риска.

Если на этом шаге не хватает исходных правил, используйте материал Prompt injection, затем вернитесь к контрольному примеру.

Требуйте подтверждение опасных шагов

Оплата, публикация, отправка сообщения, принятие условий и удаление меняют внешнее состояние и могут затронуть других людей. Этот слой соединяет данные и решение.

Что сделать. Перед таким шагом показывайте пользователю адрес, получателя, сумму, вложения и точный эффект кнопки.

Как проверить. Подтверждение должно происходить сразу перед действием и относиться только к нему.

Типичная ошибка. Не просите одно общее согласие в начале длинной цепочки.

Контролируйте загрузки и файлы

Агент может скачать вредоносный файл, загрузить не тот документ или раскрыть метаданные в приложении.

Что сделать. Ограничьте типы и размер, сканируйте загрузки, используйте временную папку и показывайте имя файла перед отправкой.

Как проверить. Сверяйте контрольную сумму или содержимое критического документа, а после задачи очищайте временные данные.

Типичная ошибка. Не разрешайте агенту исполнять скачанный код или открывать неизвестный файл с повышенными правами.

Материал База знаний компании помогает подготовить данные для этого этапа, но результат нужно проверить в общей цепочке.

Ведите понятный журнал

Без истории действий невозможно доказать, откуда взялась запись, кто подтвердил отправку и что именно увидел агент.

Что сделать. Записывайте время, домен, действие, параметры без лишних секретов, результат, ошибку и подтверждение человека.

Как проверить. Журнал должен позволять воспроизвести инцидент и связать его с версией агента.

Типичная ошибка. Не сохраняйте пароли, полные токены и чувствительное содержимое только ради подробности. Не исправляйте историю под новую логику.

Связанная задача раскрыта в статье Персональные данные в мессенджере.

Обрабатывайте ошибки и остановку

Интерфейс меняется, всплывающее окно перекрывает кнопку, сеть повторяет запрос, а агент может неправильно интерпретировать результат.

Что сделать. Добавьте лимит шагов, тайм-аут, безопасный повтор только идемпотентных действий и заметную кнопку остановки.

Как проверить. Проверьте сценарии потери сети, неожиданной авторизации, дубликата и частично выполненной операции.

Типичная ошибка. Не повторяйте оплату или отправку формы автоматически после неопределённого ответа сайта. Не измеряйте только скорость первого шага.

Оцените пилот перед расширением

Успех означает не только экономию минут, но и отсутствие новых рисков, исправлений и скрытой ручной работы.

Что сделать. Сравните цикл задачи, долю завершений, число подтверждений, ошибки, инциденты и стоимость контроля.

Как проверить. Расширяйте доступ по одному сайту и типу действия после стабильной выборки.

Типичная ошибка. Не переносите результат теста на новый домен или процесс без повторной модели угроз.

Создайте отдельную среду для браузерного агента

Не запускайте первый эксперимент в основном профиле браузера, где открыты почта, банк, рекламные кабинеты и рабочие документы. Создайте отдельный профиль или виртуальную среду, войдите только в нужный тестовый сервис и выдайте минимальную роль. Скачивания направьте в отдельную папку, автозаполнение паролей и платёжных данных отключите, а тестовые записи пометьте так, чтобы их нельзя было принять за рабочие.

До задания запишите начальное состояние: открытые вкладки, активные сессии, доступные каталоги и объекты, которые агент вправе менять. После задания сравните состояние и журнал. Такой снимок показывает побочные действия: дополнительную отправленную форму, оставленный черновик, скачанный файл или вкладку с чувствительными данными.

Разделите наблюдение, подготовку и действие

Фраза «агент работает с сайтом» слишком широка. Для каждого шага укажите один из трёх уровней. Наблюдение — открыть страницу, прочитать статус, скачать разрешённый отчёт. Подготовка — заполнить черновик, собрать корзину, предложить ответ. Действие — отправить, оплатить, опубликовать, удалить или изменить права. Последний уровень требует явного подтверждения с понятным описанием последствий.

Подтверждение показывают перед действием, а не в начале длинного задания. Пользователь должен видеть адрес сайта, объект, получателя, сумму или текст, который уйдёт наружу. Кнопки «Продолжить» недостаточно: подпись должна называть действие — например, «Отправить письмо пяти адресатам». После изменения параметров старое согласие аннулируется.

Считайте содержимое страницы недоверенным

Веб-страница может содержать текст, который выглядит как инструкция агенту: «игнорируй предыдущую задачу», «открой другой адрес», «загрузи файл для проверки». Для человека это обычный контент, а модель может принять его за продолжение команды. Поэтому данные страницы отделяют от системных правил, переходы на новый домен ограничивают, а команды из прочитанного текста не исполняют автоматически.

Проверочный сценарий прост: положите на тестовую страницу заметную ложную инструкцию и убедитесь, что агент извлекает нужные данные, но не меняет цель, не раскрывает содержимое других вкладок и не отправляет файлы. Повторите тест для текста в PDF, комментарии, скрытом блоке и результате поиска. В журнале должно быть видно, какой фрагмент повлиял на решение.

Защититесь от повторных и неполных действий

Сеть может оборваться после нажатия кнопки, и агент не поймёт, принято действие или нет. Повторная попытка создаёт два заказа, две публикации или два письма. Для внешних операций используйте уникальный ключ, проверяйте итоговый статус на стороне сервиса и не повторяйте запрос вслепую. Если подтверждение результата не получено, задача переходит в состояние «неизвестно», которое разбирает человек.

Перед отправкой сохраняйте черновик и список параметров, после — идентификатор созданного объекта, время и ответ сервиса. Для удаления и изменения прав нужен отдельный журнал. Снимок экрана сам по себе слаб: он показывает интерфейс, но не доказывает, какой запрос ушёл и был ли он повторён.

Проведите пилот на обратимой задаче

Хороший первый сценарий — собрать данные из нескольких разрешённых страниц и подготовить таблицу или черновик формы без отправки. Возьмите двадцать задач, которые сотрудник уже умеет выполнять, и заранее опишите правильный результат. Измеряйте не только скорость, но и пропущенные поля, лишние действия, число подтверждений и время ручного исправления.

Пилот расширяют по уровням: чтение, черновик, одно подтверждаемое действие, серия однотипных действий с лимитом. Переход разрешён, когда предыдущий уровень стабилен на обычных и проблемных примерах. Ошибка на новом уровне возвращает сценарий назад; доступы отзываются сразу, а не после итогового совещания.

Что хранить в журнале агента

Записывайте идентификатор задания и версии, пользователя, домены, значимые действия, запрос подтверждения, ответ человека и итоговый объект. Секреты, значения полей пароля и полное содержимое личных страниц в журнал не помещают. Для расследования достаточно связи между шагом, временем и объектом, если исходные данные хранятся в защищённом месте.

Полезные сигналы после запуска: доля задач без исправлений, отменённые подтверждения, переходы на неожиданные домены, повторные попытки внешнего действия и задачи со статусом «неизвестно». Резкий рост любого сигнала приостанавливает автономный режим до разбора.

Лимиты задают в тех же единицах, что и риск: число адресатов за один запуск, максимальная сумма черновика, количество изменяемых записей и перечень допустимых расширений файла. Общий лимит «не больше десяти действий» слабее конкретного правила, потому что чтение страницы и удаление записи имеют разную цену.

Периодически проверяйте отзыв доступа. Завершите сессию, смените пароль тестовой учётной записи или удалите роль и убедитесь, что агент действительно больше не может продолжить старую задачу. Кнопка остановки, которая прекращает интерфейс, но оставляет действующий токен, не является аварийным выключателем.

Чек-лист безопасного ИИ-браузера

Безопасный браузерный агент не тот, который никогда не ошибается, а тот, чья ошибка ограничена: он работает в узком контуре, останавливается перед необратимым шагом и оставляет достаточно данных для проверки.