Кои AI агенти могат да извършват действия в браузърите на вашите служители днес? Ако даден агент започне да сърфира тази сутрин, бихте ли разбрали, че това не е служителят? Повечето екипи по сигурност все още не могат да отговорят на тези въпроси. Това не се дължи на липса на усилия, а е показател за това колко бързо изкуственият интелект премина от отговаряне на въпроси към предприемане на действия.
Днес AI агентите оперират с браузъри вътре в автентикирани приложения и достигат дотам по различни начини: интерфейси за дебъгване, разширения, агентни браузъри и нововъзникващи стандарти като WebMCP. Всеки от тези подходи променя това, до което агентът има достъп, как се приписват неговите действия и дали съществуващите механизми за контрол могат да ги засичат.
1. Отдалечено дебъгване: Приложения, контролиращи браузъра
Един от начините, по които AI агентите управляват браузъри, всъщност изобщо не е нов. Това е протоколът Chrome DevTools Protocol (CDP).
CDP бе разработен, за да помогне на разработчиците да инспектират, дебъгват и автоматизират браузъри, базирани на Chromium. Той предоставя програмен достъп до навигацията, съдържанието на страниците, мрежовата активност и потребителските взаимодействия. Инструменти като Playwright и Puppeteer го използват от години. AI агентите прилагат същия подход за навигация в уебсайтове, извличане на информация, попълване на формуляри и взаимодействие с уеб приложения.
Ключовата разлика: не е задължително автоматизацията да произхожда от вътрешността на браузъра. Външно приложение може да се свърже с браузър с активирано дебъгване и да управлява неговите раздели. Ако в този браузър има активни автентикирани сесии, автоматизацията може да се възползва от този достъп.
За повечето инструменти за сигурност браузър, стартиран с активирано дебъгване и вписан в корпоративни приложения, изглежда точно като всяка друга легитимна автентикирана браузърна сесия.
Въпросът, който трябва да се зададе: Кои приложения могат да стартират или да се свързват с браузъри с възможност за дебъгване? Разрешават ли вашите политики това и до кои корпоративни сесии имат достъп тези приложения?
2. AI разширения и агентни браузъри
Вторият подход поставя агента директно вътре в браузъра.
Разширения като Claude в Chrome могат да четат страници, да превключват раздели, да кликат върху бутони и да изпълняват многостъпкови работни процеси. Това изисква широки права, включително скриптиране, достъп до раздели и API за дебъгер. Тези разрешения осигуряват функционалността, но същевременно разширяват обхвата на това, до което разширението има достъп.
Агентните браузъри като Perplexity Comet и ChatGPT Desktop отиват още по-далеч, като вграждат изкуствения интелект директно в потребителското изживяване при сърфиране. Тези възможности не се управляват непременно от разрешенията за разширения, поради което съществуващите контроли за разширения може да не са приложими.
Без пълен инвентар на браузърите във вашата инфраструктура може да не знаете кои агенти работят. Открояват се два основни риска.
Агентите действат от името на потребителската самоличност. Когато даден агент изтегля документ или променя настройка във вътрешно приложение, приложението вижда автентикиран потребител, правещ оторизирана заявка.
Без допълнителна телеметрия нито приложението, нито неговите одитни логове биха могли да отличат действията на агента от тези на служителя.
Агентите третират съдържанието като входни данни. Браузърът визуализира страница, за да бъде интерпретирана от човек. Агентът чете тази страница и решава какво да предприеме по-нататък. Това въвежда рискове от инжектиране на команди (prompt injection), при които инструкции, вградени в уебсайтове, документи или имейли, се опитват да пренасочат поведението му.
Резултатът е софтуер, интерпретиращ ненадеждно съдържание, докато оперира с доверени права за достъп.
Въпросът, който трябва да се зададе: Кои AI разширения и агентни браузъри работят във вашата инфраструктура, какъв достъп имат и можете ли да различите техните действия от тези на служител?
Вашият пакет за сигурност вижда вписването, а не агента
След като AI агентът се озове в автентикиран раздел, инструментите за защита на крайни точки и мрежа губят видимост върху това, което той чете и извършва.
Keep Aware следи активността на изкуствения интелект в браузъра и налага политики за защита на данните, преди чувствителната информация да напусне раздела.
3. WebMCP: Уебсайтове, предоставящи инструменти директно на агенти
Третият подход променя начина, по който уебсайтовете взаимодействат с агентите.
WebMCP е нововъзникващ уеб стандарт, разработван чрез W3C Web Machine Learning Community Group с принос от Google и Microsoft. Вместо да интерпретират страници и да симулират кликвания, агентите могат да извикват структурирани инструменти, предоставени директно от уебсайтовете.
Например, вместо да навигира в портал за поддръжка и да попълва формуляри, агентът би могъл да извика инструмент за създаване на тикет. Chrome представи ранен предварителен преглед през 2026 г., а спецификацията продължава да се развива.
Това обаче поражда нов проблем с доверието. Уебсайтовете вече не просто представят съдържание – те дефинират действията, които агентите могат да предприемат.
Имената на инструментите, описанията и входните схеми определят какво извиква даден агент. Тези дефиниции идват от уебсайта и не бива да се третират като доверени инструкции. Компрометиран или злонамерен сайт би могъл да използва подвеждащи описания или функционалности, за да повлияе на поведението на агента.
Всеки инструмент оперира в контекста на сигурността на съответния уебсайт, но агентите, работещи на няколко сайта едновременно, могат да прехвърлят информация между тях. Опасението не е само какво прави даден инструмент, но и какви данни предоставя агентът при извикването му.
Въпросът, който трябва да се зададе: Какви корпоративни данни могат да предават агентите на инструментите на уебсайтовете, къде отиват тези данни и можете ли да контролирате кои инструменти използват те?
Какво означава това за сигурността на браузъра
Ето защо сигурността на браузъра вече не може да предполага, че зад всяко кликване стои човек. Контролите на ниво крайна точка, мрежа и приложения все още са важни, но те бяха създадени да следят процеси, трафик и вписвания, а не какво чете, решава и извършва даден агент в автентикиран раздел. Това е съществуващата празнина в сигурността.
Целта не е да се спре използването на AI агенти от служителите – те неизбежно ще се превърнат в стандартна част от работния процес. Целта е да се гарантира, че контролите, които очаквате в браузъра, продължават да действат и тогава, когато той се управлява от агент.