Wprowadzenie do problemu / definicja
Agenci AI coraz częściej nie ograniczają się do analizy treści czy generowania odpowiedzi, lecz wykonują działania bezpośrednio w przeglądarce internetowej. To istotnie zmienia model ryzyka, ponieważ takie systemy mogą poruszać się po zalogowanych sesjach użytkownika, odczytywać dane, klikać elementy interfejsu, wypełniać formularze i inicjować operacje w aplikacjach webowych.
Z perspektywy bezpieczeństwa oznacza to, że przeglądarka staje się środowiskiem operacyjnym dla AI działającej z uprawnieniami człowieka. Granica między aktywnością użytkownika a automatyzacją zaczyna się zacierać, co komplikuje nadzór, audyt i egzekwowanie polityk bezpieczeństwa.
W skrócie
Obecnie agenci AI funkcjonują w przeglądarce w trzech głównych modelach. Pierwszy opiera się na zdalnym sterowaniu przeglądarką za pomocą interfejsów debugowania. Drugi wykorzystuje rozszerzenia przeglądarki oraz natywne funkcje agentowe wbudowane w nowoczesne przeglądarki. Trzeci zakłada, że same witryny udostępniają agentom ustrukturyzowane narzędzia do wykonywania określonych akcji.
- Model 1: zdalne sterowanie przez interfejsy debugowania
- Model 2: rozszerzenia i przeglądarki agentowe
- Model 3: narzędzia udostępniane agentom bezpośrednio przez witryny
Wspólną cechą wszystkich tych podejść jest działanie w kontekście aktywnej, uwierzytelnionej sesji użytkownika. To właśnie ten element sprawia, że tradycyjne mechanizmy wykrywania nadużyć mogą być niewystarczające.
Kontekst / historia
Automatyzacja przeglądarek nie jest nowym zjawiskiem. Od lat organizacje i deweloperzy korzystają z narzędzi umożliwiających testowanie aplikacji, inspekcję stron czy symulowanie interakcji użytkownika. Różnica polega na tym, że współczesne systemy AI dodają do klasycznej automatyzacji warstwę decyzyjną.
Zamiast wykonywać wyłącznie zaprogramowane wcześniej kroki, agent może interpretować treść strony, reagować na zmieniający się kontekst i realizować wieloetapowe zadania. Taki model dobrze wpisuje się w cyfryzację pracy wiedzochłonnej, gdzie przeglądarka pozostaje głównym interfejsem dostępu do usług SaaS, systemów firmowych, paneli administracyjnych i danych biznesowych.
W efekcie założenie, że każde kliknięcie w aplikacji webowej pochodzi bezpośrednio od człowieka, staje się coraz mniej aktualne. Dla zespołów bezpieczeństwa oznacza to potrzebę zmiany sposobu myślenia o sesji użytkownika i o zaufaniu do działań wykonywanych z legalnie uwierzytelnionego środowiska.
Analiza techniczna
Pierwszy model działania dotyczy zdalnego sterowania przeglądarką za pomocą interfejsów debugowania, takich jak mechanizmy znane z ekosystemu Chromium. Dzięki nim zewnętrzna aplikacja może kontrolować otwarte karty, nawigować po stronach, odczytywać zawartość, analizować ruch sieciowy i wykonywać interakcje w imieniu użytkownika. Jeśli taka przeglądarka działa w ramach aktywnej sesji firmowej, agent może przejąć dostęp do już uwierzytelnionych aplikacji.
Drugi model opiera się na rozszerzeniach oraz przeglądarkach z natywnymi funkcjami AI. Rozszerzenia mogą posiadać bardzo szerokie uprawnienia, obejmujące dostęp do kart, uruchamianie skryptów czy kontrolę interfejsu. Umożliwia to realizację złożonych sekwencji działań, ale jednocześnie zwiększa powierzchnię ataku. Dodatkowym wyzwaniem jest ograniczona widoczność takich komponentów w środowisku firmowym.
W tym scenariuszu szczególnie groźne są dwa zjawiska. Po pierwsze, agent może wykonywać działania z tożsamością użytkownika, a system docelowy zapisze je jako legalne operacje autoryzowanej osoby. Po drugie, agent wykorzystuje treść jako dane wejściowe do podejmowania decyzji, co otwiera drogę do prompt injection, czyli manipulowania zachowaniem AI za pomocą złośliwych instrukcji osadzonych w stronie, wiadomości lub dokumencie.
Trzeci model polega na tym, że witryny internetowe udostępniają agentom ustrukturyzowane narzędzia do wykonywania określonych akcji. Zamiast analizować interfejs i symulować kliknięcia, agent może wywoływać konkretne funkcje, takie jak pobranie informacji, utworzenie zgłoszenia czy realizacja procesu biznesowego. Rozwiązanie to może poprawiać niezawodność automatyzacji, ale jednocześnie tworzy nową warstwę zaufania między agentem a serwisem.
Kluczowy problem pozostaje jednak ten sam: agent działa w kontekście sesji przeglądarkowej, korzystając z istniejących tokenów, cookies i uprawnień. Tradycyjne zabezpieczenia na poziomie sieci, endpointu czy samego logowania nie zawsze pokazują, jakie informacje agent odczytał, jaką decyzję podjął i dlaczego uruchomił kolejną akcję.
Konsekwencje / ryzyko
Najpoważniejszą konsekwencją jest zacieranie granicy między aktywnością człowieka a aktywnością automatyzacji. W logach aplikacyjnych i systemach audytowych działania agenta mogą wyglądać jak standardowe czynności uwierzytelnionego pracownika, co utrudnia wykrywanie incydentów oraz analizę powłamaniową.
Drugim istotnym ryzykiem jest eksfiltracja danych. Agent mający dostęp do wielu kart, aplikacji i dokumentów może agregować informacje z różnych źródeł i przesyłać je dalej w ramach realizowanego zadania. Nawet jeśli pojedyncze operacje mieszczą się w zakresie uprawnień użytkownika, ich suma może prowadzić do naruszenia poufności danych lub polityk zgodności.
Trzecia kategoria zagrożeń dotyczy manipulacji treścią. Jeśli agent interpretuje zawartość stron i dokumentów jako wskazówki do działania, atakujący może próbować wpływać na jego decyzje poprzez odpowiednio przygotowane komunikaty, ukryte polecenia lub mylące opisy narzędzi. W takim modelu niezaufana treść zyskuje możliwość oddziaływania na system dysponujący zaufanymi uprawnieniami.
- utrudniona atrybucja działań w logach i audytach
- większe ryzyko eksfiltracji danych z wielu źródeł jednocześnie
- podatność na prompt injection i manipulację decyzjami agenta
- ograniczona widoczność rozszerzeń i funkcji AI w środowisku firmowym
- niedopasowanie istniejących polityk bezpieczeństwa do nowego modelu pracy
Rekomendacje
Organizacje powinny rozpocząć od pełnej inwentaryzacji środowiska przeglądarek. Należy ustalić, jakie przeglądarki, rozszerzenia i funkcje AI są używane na stacjach roboczych oraz jakie uprawnienia posiadają. Szczególną uwagę warto poświęcić dodatkom z szerokim dostępem do kart, skryptów i funkcji sterowania.
Kolejnym krokiem jest ograniczenie możliwości uruchamiania przeglądarek w trybach debugowania oraz kontrola aplikacji, które mogą łączyć się z takimi instancjami. W środowiskach korporacyjnych warto wdrożyć polityki blokujące nieautoryzowaną automatyzację lub przynajmniej monitorować jej użycie.
Niezbędna jest także rozbudowa telemetrii na poziomie przeglądarki i aplikacji webowych. Celem powinno być lepsze odróżnianie działań wykonywanych ręcznie od tych inicjowanych przez agenta. W praktyce może to oznaczać dodatkowe mechanizmy audytowe, korelację zdarzeń, analizę nietypowych sekwencji działań oraz monitorowanie transferu danych w obrębie sesji.
W obszarze ochrony danych warto wdrożyć reguły ograniczające przekazywanie informacji wrażliwych do narzędzi AI i do funkcji wywoływanych z poziomu stron internetowych. Dotyczy to zarówno klasycznych mechanizmów DLP, jak i polityk uwzględniających prompt injection, kopiowanie treści, przesyłanie dokumentów oraz interakcje z usługami zewnętrznymi.
Na koniec organizacje powinny zaktualizować modelowanie zagrożeń i scenariusze testów bezpieczeństwa. Należy uwzględnić przypadki, w których agent działa w zalogowanej sesji, interpretuje niezaufaną treść i wykonuje operacje między wieloma systemami biznesowymi.
Podsumowanie
Agenci AI działający w przeglądarce są już realnym elementem współczesnego krajobrazu technologicznego. Mogą funkcjonować poprzez zdalne interfejsy sterowania, rozszerzenia i przeglądarki agentowe, a także przez nowe modele integracji, w których same witryny wystawiają narzędzia do działania.
Dla cyberbezpieczeństwa oznacza to konieczność przesunięcia uwagi z samego uwierzytelnienia i ruchu sieciowego na to, co dzieje się wewnątrz aktywnej sesji przeglądarkowej. Największym wyzwaniem staje się odzyskanie widoczności, kontroli i rozliczalności w świecie, w którym nie każde kliknięcie wykonuje człowiek.
Źródła
- 3 Ways AI Agents Already Operate in Your Browser — https://www.bleepingcomputer.com/news/security/3-ways-ai-agents-already-operate-in-your-browser/
- Chrome DevTools Protocol — https://chromedevtools.github.io/devtools-protocol/
- Puppeteer Documentation — https://pptr.dev/
- Playwright Documentation — https://playwright.dev/
- W3C Web Machine Learning Community Group — https://www.w3.org/community/webmachinelearning/