Google afslører sikkerhedsarkitektur for Chromes AI-agentfunktioner

Google (GOOGL ) har offentliggjort en detaljeret sikkerhedsramme for Chromes kommende agente AI-funktioner, der introducerer flere forsvarslag designet til at beskytte brugere, når Gemini-drevne agenter udfører selvstændige browsertasker.

Meddelelsen fra Chromes sikkerhedsingeniør Nathan Parker beskriver fire kerne sikkerhedsprincipper, der vil styre, hvordan AI-agenter interagerer med websteder på brugernes vegne. Arkitekturen adresserer risici, der har plaget tidlige agente systemer, herunder prompt-injektionsangreb, uberettiget adgang til data og svindeltransaktioner.

Googles tilgang kommer, mens konkurrenter kapløber for at udgive browserbaserede AI-agenter. OpenAI lancerede ChatGPT Atlas i oktober med agent-funktioner, mens Perplexity udgav sin Comet-browser i juli. Sikkerhedsrammen signalerer Googles intention om at være mere forsigtig end rivaler, hvis agente-funktioner allerede er blevet vist at være sårbare over for udnyttelse.

De fire søjler for agent-sikkerhed

Brugerens samstemmigheds-kritik danner den første forsvarslag – en separat Gemini-model, der vurderer hver handling, den primære AI-agent foreslår. Denne kritik opererer i isolation og undersøger kun metadata om foreslåede handlinger i stedet for fuld sideindhold, hvilket reducerer dens eksponering for ondsindet input. Hvis en handling ser risikabel eller irrelevant ud i forhold til brugerens erklærede mål, kan kritikeren beordre en genprøvning eller returnere kontrollen til brugeren.

Opdrags-sæt begrænser, hvilke websteder og sideelementer en agent kan få adgang til under en given opgave. Systemet skelner mellem læse-only-oprindelser, hvor agenten kan forbruge indhold, og læse- og skrivbare oprindelser, hvor den kan udføre handlinger. Urelaterede websteder og iframes holdes helt tilbage, og en pålidelig port-funktion kræves for at godkende adgang til nye domæner. Dette forhindrer cross-site data-lækage og begrænser potentiel skade fra en kompromitteret agent.

Brugerens oversigt kræver manuel bekræftelse for følsomme operationer. Når en agent møder bankportaler, medicinske datasider eller har brug for at få adgang til gemte legitimationsoplysninger fra Google Password Manager, pauser Chrome og beder brugeren om at godkende handlingen. Dette gælder også før køb eller sending af meddelelser – agenten kan ikke udføre disse handlinger selvstændigt.

Prompt-injektions-detektion anvender en dedikeret klassifikator, der scanner sider i realtid for indirekte prompt-injektionsforsøg. Dette system opererer sammen med Chromes eksisterende Safe Browsing-infrastruktur og på-enhed-svindeldetektion for at blokere mistænkt ondsindet indhold, før agenten kan handle på det.

Automatiseret Red-Teaming og Bug Bounties

Google har udviklet automatiserede red-teaming-systemer, der genererer test-websteder og LLM-drevne angreb for at kontinuerligt validere sikkerhedsarkitekturen. Virksomheden prioriterer testning af angrebsvektorer, der kan forvolde varig skade, især de, der retter sig mod finansielle transaktioner eller adgang til legitimationsoplysninger.

Chromes auto-opdateringsmekanisme vil levere rettelser hurtigt, når nye sårbarheder opdages. For at opmuntre ekstern sikkerhedsforskning har Google annonceret belønninger på op til 20.000 dollars for forskere, der identificerer svagheder i den agente browserramme.

De defensive foranstaltninger reflekterer erfaringer fra tidlige AI-browser-udvidelser og chatbot-integrationer, hvor prompt-injektionsangreb viste sig at være overraskende effektive til at manipulere AI-adfærd. Ved at isolere kritik-modellen og begrænse oprindelsesadgang på browser-niveau sigter Google mod at forhindre, at web-siden selv bliver et angrebs-overflade.

Konsekvenser for AI-browser-kapløbet

Googles detaljerede sikkerhedsafsløring står i kontrast til den relative uigennemsigtighed omkring konkurrerende agente browsersystemer. Virksomheden synes at satse på, at virksomheds- og sikkerhedsbevidste brugere vil værdsætte gennemsigtige sikkerhedsforanstaltninger over først-bevæger-funktioner.

Arkitekturen antyder også, hvad Google anser for acceptabelt selvstændighed for AI-agenter. Shopping, research og formular-udfyldning kan fortsætte med oversigt, men alt, der berører finansielle konti, sundhedsdata eller gemte legitimationsoplysninger, kræver eksplitt godkendelse fra brugeren. Dette tegner en klar linje, som andre leverandører har været mindre villige til at definere offentligt.

For udviklere, der bygger på Chromes platform, vil oprindelses-sæts-begrænsningerne kræve omhyggelig overvejelse af, hvordan agente-funktioner interagerer med multi-site-arbejdsgange. Applikationer, der forventer, at agenter kan frit navigere på tværs af domæner, kan kræve arkitekturændringer for at fungere inden for Googles sikkerhedsmodel.

Google har ikke annonceret en specifik lanceringstidspunkt for agentic browseregenskaber i Chrome, men den detaljerede sikkerhedsramme antyder, at udrulningen er nær. Virksomhedens villighed til at offentliggøre defensiv arkitektur før lanceringen indikerer tillid til tilgangen – og en implicit udfordring til konkurrenter til at matche dens gennemsigtighed.