Google Раскрывает Безопасностную Архитектуру для Функций AI-Агентов Chrome

Google опубликовал подробную безопасностную основу для будущих агентских функций AI в Chrome, представив несколько защитных слоев, предназначенных для защиты пользователей, когда агенты, работающие на Gemini, выполняют автономные задачи браузинга.

Объявление от инженера безопасности Chrome Нейтана Паркера очерчивает четыре основных безопасностных столпа, которые будут регулировать, как AI-агенты взаимодействуют с веб-сайтами от имени пользователей. Архитектура решает риски, которые мучили ранние агентские системы, включая атаки инъекции подсказок, несанкционированный доступ к данным и мошеннические транзакции.

Подход Google появляется в то время, когда конкуренты спешат выпустить браузерные AI-агенты. OpenAI запустил ChatGPT Atlas в октябре с возможностями агентского режима, в то время как Perplexity выпустил свой браузер Comet в июле. Безопасностная основа сигнализирует о том, что Google намерен действовать более осторожно, чем его конкуренты, чьи агентские функции исследователи уже показали уязвимыми для эксплуатации.

Четыре Столпа Безопасности Агентов

Критик Согласованности Пользователя образует первый защитный слой – отдельную модель Gemini, которая проверяет каждое действие, предложенное основным AI-агентом. Этот критик работает в изоляции и анализирует только метаданные о предложенных действиях, а не полное содержание страницы, снижая его уязвимость к злонамеренным входным данным. Если действие кажется рискованным или не имеет отношения к заявленной цели пользователя, критик может заказать повторную попытку или вернуть контроль пользователю.

Наборы Происхождения ограничивают, какие веб-сайты и элементы страницы агент может получить доступ во время выполнения любой задачи. Система различает между только-чтением происхождений, где агент может потреблять контент, и читаемо-писаемыми происхождениями, где он может выполнять действия. Не связанные веб-сайты и фреймы полностью исключены, а для доступа к новым доменам требуется доверенная функция шлюза. Это предотвращает утечку данных между сайтами и ограничивает потенциальный ущерб от скомпрометированного агента.

Контроль Пользователя требует ручного подтверждения для чувствительных операций. Когда агент встречает порталы банков, веб-сайты медицинских данных или нуждается в доступе к сохраненным учетным данным из Google Password Manager, Chrome приостанавливается и запрашивает у пользователя подтверждение действия. То же самое применяется перед совершением покупок или отправкой сообщений – агент не может выполнить эти действия автономно.

Обнаружение Внедрения Подсказок использует специальный классификатор, сканирующий страницы в реальном времени на предмет косвенных попыток внедрения подсказок. Эта система работает вместе с существующей инфраструктурой Safe Browsing Chrome и обнаружением мошенничества на устройстве, чтобы блокировать подозрительный вредоносный контент до того, как агент сможет на него отреагировать.

Автоматическое Красное Тестирование и Программы Поиска Уязвимостей

Google разработал автоматические системы красного тестирования, которые генерируют тестовые сайты и атаки, управляемые LLM, для постоянной проверки безопасности архитектуры. Компания отдает приоритет тестированию векторов атак, которые могут нанести долгосрочный вред, особенно тех, которые нацелены на финансовые транзакции или кражу учетных данных.

Механизм автоматического обновления Chrome будет быстро доставлять исправления, как только будут обнаружены новые уязвимости. Чтобы поощрить внешние исследования безопасности, Google объявил о выплатах в размере до 20 000 долларов исследователям, которые выявляют слабости в агентской основе браузинга.

Защитные меры отражают уроки, извлеченные из ранних браузерных расширений AI и интеграций чат-ботов, где атаки инъекции подсказок оказались удивительно эффективными в манипулировании поведением AI. Изолируя модель критика и ограничивая доступ к происхождению на уровне браузера, Google стремится предотвратить превращение веб-страницы в поверхность атаки.

Последствия для Гонки AI-Браузеров

Подробное раскрытие безопасности Google контрастирует с относительной непрозрачностью, окружающей конкурирующие агентские системы браузеров. Компания, кажется, делает ставку на то, что корпоративные и осведомленные о безопасности пользователи будут ценить прозрачные меры безопасности больше, чем функции первых движений.

Архитектура также предполагает, что Google считает допустимой автономию для AI-агентов. Шоппинг, исследования и заполнение форм могут продолжаться с контролем, но все, что касается финансовых счетов, данных о здоровье или сохраненных учетных данных, требует явного человеческого подтверждения. Это проводит четкую границу, которую другие поставщики были менее готовы публично определить.

Для разработчиков, строящих на платформе Chrome, ограничения наборов происхождения потребуют тщательного рассмотрения того, как агентские функции взаимодействуют с рабочими процессами на нескольких сайтах. Приложения, которые ожидают, что агенты будут свободно перемещаться между доменами, могут потребовать архитектурных изменений, чтобы работать в пределах модели безопасности Google.

Google не объявил конкретную дату запуска агентских функций браузинга в Chrome, но подробная безопасностная основа предполагает, что развертывание приближается. Готовность компании опубликовать защитную архитектуру до запуска указывает на уверенность в подходе – и неявный вызов конкурентам соответствовать ее прозрачности.