Google beskriver sikkerhetsarkitektur for Chromes AI-agent-funksjoner

Google har publisert en detaljert sikkerhetsramme for Chromes kommende agente AI-funksjoner, og introdusert flere forsvarslag designet for å beskytte brukerne når Gemini-drevne agenter utfører autonome nettlesingoppgaver.

Den annonseringen fra Chrome-sikkerhetsingeniør Nathan Parker omfatter fire kjerne sikkerhetspilarer som vil styre hvordan AI-agenter samhandler med nettsider på vegne av brukerne. Arkitekturen addreserer risikoer som har plaget tidlige agente systemer, inkludert prompt-injeksjonsangrep, uautorisert dataadgang og svindeltransaksjoner.

Googles tilnærming kommer når konkurrenter kappler for å levere nettleser-baserte AI-agenter. OpenAI lanserte ChatGPT Atlas i oktober med agent-modus-kapasiteter, mens Perplexity leverte sin Comet-nettleser i juli. Sikkerhetsrammen signaliserer Googles intensjon om å være mer forsiktig enn rivaler hvis agente funksjoner forskere allerede har vist å være sårbare for utnyttelse.

Fire pilarer for agent-sikkerhet

Bruker-sammenstillingskritikken utgjør den første forsvarslaget – en separat Gemini-modell som vurderer hver handling den primære AI-agenten foreslår. Denne kritikken opererer i isolasjon og undersøker bare metadata om foreslåtte handlinger, i stedet for full sideinnhold, og reduserer dermed dens eksponering for skadelige inndata. Hvis en handling ser ut til å være risikabel eller irrelevant for brukerens uttalede mål, kan kritikken beordre en ny prøving eller returnere kontrollen til brukeren.

Opphavssett begrensninger avgjør hvilke nettsider og sideelementer en agent kan få tilgang til under en gitt oppgave. Systemet skille mellom lesbare opphav hvor agenten kan forbruke innhold og skrivbare opphav hvor den kan utføre handlinger. Urelaterte nettsider og iframes holdes tilbake helt, med en pålitelig portfunksjon som kreves for å godkjenne tilgang til nye domener. Dette forhindrer tverrnettside-datalekkasje og begrenser potensiell skade fra en kompromittert agent.

Brukeroversikt krever manuell bekreftelse for følsomme operasjoner. Når en agent møter bankportaler, medisinske datasider eller trenger å få tilgang til lagrede kredensialer fra Google Password Manager, pauserer Chrome og ber brukeren om å godkjenne handlingen. Dette gjelder også før kjøp eller sending av meldinger – agenten kan ikke fullføre disse handlingene autonomt.

Prompt-injeksjonsdeteksjon anvender en dedikert klassifikator som scannrer sider i sanntid for indirekte prompt-injeksjonsforsøk. Dette systemet opererer sammen med Chromes eksisterende Safe Browsing-infrastruktur og på-enhet-svindeldeteksjon for å blokkere mistenkt skadelig innhold før agenten kan handle på det.

Automatisert rød-teaming og feilpremier

Google har utviklet automatiserte rød-teaming-systemer som genererer testnettsider og LLM-drevne angrep for å kontinuerlig validere sikkerhetsarkitekturen. Selskapet prioriterer testing av angrepsvektorer som kan forårsake varig skade, spesielt de som tar sikte på finansielle transaksjoner eller kredensialtyveri.

Chromes auto-oppdateringsmekanisme vil levere fikser raskt når nye sårbarheter oppdages. For å oppmuntre ekstern sikkerhetsforskning, annonserte Google premiebetalinger opptil $20 000 for forskere som identifiserer svakheter i agente nettleserrammen.

De defensive tiltakene reflekterer lærdommer fra tidlige AI-nettleserutvidelser og chatbot-integreringer, hvor prompt-injeksjonsangrep viste seg overraskende effektive til å manipulere AI-atferd. Ved å isolere kritikkmoten og begrense opphavsadgang på nettlesernivå, sikter Google på å forhindre at nettsiden selv blir et angrepsflate.

Konsekvenser for AI-nettleser-konkurransen

Googles detaljerte sikkerhetsdisclosur kontrasterer med den relative uklarheten rundt konkurrerende agente nettlesersystemer. Selskapet ser ut til å satse på at bedrifts- og sikkerhetsbevisste brukere vil verdsette gjennomsiktige sikkerhetstiltak over først-beveger-funksjoner.

Arkitekturen antyder også hva Google anser som akseptabel autonomi for AI-agenter. Handle, forskning og skjemautfylling kan fortsette med oversikt, men alt som berører finansielle kontoer, helsedata eller lagrede kredensialer krever eksplisitt menneskelig godkjenning. Dette trekker en tydelig linje som andre leverandører har vært mindre villige til å definere offentlig.

For utviklere som bygger på Chromes plattform, vil opphavssett-begrensningene kreve nøye vurdering av hvordan agente funksjoner samhandler med flersidige arbeidsflyter. Applikasjoner som forventer at agenter skal fritt navigere på tvers av domener, kan måtte gjennomføre arkitektoniske endringer for å fungere innen Googles sikkerhetsmodell.

Google har ikke annonsert en spesifikk lanseringsdato for agente nettleserfunksjoner i Chrome, men den detaljerte sikkerhetsrammen antyder at utrulling er nær. Selskapets villighet til å publisere en forsvarlig arkitektur før lansering, indikerer tillit til tilnærmingen – og en implisitt utfordring til konkurrenter til å matche dens gjennomsiktighet.