В чём суть риска
Агент, управляющий браузером или рабочим столом, умеет нажимать, вводить текст, скачивать файлы и переходить по страницам. Если его права шире задачи, содержимое веб-страницы может превратиться в распоряжения, исполняемые от имени сотрудника.
Агент работает в сеансе, где пользователь уже вошёл в корпоративные сервисы. При просмотре сайта он читает скрытый текст и принимает его за указания. Дальше действия выполняются в авторизованном сеансе: заполняются формы, меняются настройки, скачиваются файлы. Граница доверия нарушается там, где недоверенная страница получает влияние на исполнителя с полномочиями человека.
Чем риск оборачивается для компании
Возможна компрометация учётных записей и дальнейшее продвижение по облачным сервисам организации.
Сведения из открытых в сеансе систем могут быть переданы наружу.
Агент способен совершить нежелательную покупку или изменить условия в сервисе.
Несогласованные изменения в рабочих системах приходится выявлять и откатывать вручную.
Где риск наиболее вероятен
Кому и что решать
Выдавать агентам отдельную изолированную среду и ограниченный перечень сайтов вместо рабочего сеанса сотрудника.
Обеспечить подтверждение человеком действий с последствиями и журнал всех действий агента.
Определить, какие операции агент вправе выполнять сам, а какие только готовить к утверждению.
Что стоит наблюдать
Признаки сами по себе не доказывают инцидент. Их полезно сопоставлять с учётной записью, версией модели, решением политики, источником контекста и результатом вызова инструмента.
Какие меры создают границу
Меры работают в связке и не перекладывают ответственность на модель: важны границы полномочий, владелец, телеметрия и процедура безопасного отказа.
Перечень разрешённых операций агента
Закрепить для каждого сценария, что агент делает самостоятельно и что требует утверждения.
Изолированный браузер
Запускать агента в изолированной среде, отделённой от рабочей станции и данных пользователя.
Разрешённые домены
Ограничить навигацию перечнем сайтов, необходимых для задачи.
Режим только для чтения
По умолчанию давать агенту просмотр без права изменений и включать запись только по необходимости.
Изоляция сеансов
Не использовать общий авторизованный сеанс: агент получает отдельные учётные данные с минимальными правами.
Подтверждение и журнал действий
Требовать подтверждения действий с последствиями и записывать шаги агента для разбора.
Вопросы, показатели и первые шаги
Вопросы команде и поставщику
- В чьём сеансе и с какими правами работают наши агенты?
- Какие действия агент может выполнить без подтверждения человека?
- Ограничен ли перечень сайтов, доступных агенту?
- Сможем ли мы восстановить последовательность действий агента?
Показатели контроля
- Доля агентов, работающих в изолированной среде
- Доля действий с последствиями, выполненных с подтверждением
- Число переходов за пределы разрешённых доменов
Первые 30 дней
- Составить перечень агентов с управлением браузером или рабочим столом и их прав
- Перевести их в режим только для чтения там, где запись не нужна
- Включить подтверждение для платежей, изменений настроек и загрузок
Как проверить в пилотном проекте
Проверить, что использование инструментов агентом ограничено целью, полномочиями и подтверждением человека для чувствительных действий.
Каждый инструмент имеет отдельную учётную запись, список разрешений и ограниченные полномочия.
Чувствительное действие останавливается до явного согласования по политике.
Журнал аудита связывает намерение, вызов инструмента, решение и результат.
Какие классы решений рассматривать
Ниже — редакционные профили поставщиков, связанные с доменом угрозы. Это не рейтинг и не подтверждение применимости: заявленные функции следует проверить в вашем пилоте по указанным критериям.
INFERA AI Security portfolio
InfEra Security · AI Security / DevSecOps
INFERA AI.SafeCode · INFERA AI.FirewallSTRAZH AI Control
STRAZH · Corporate AI Security
Shadow AI Audit & Control · LLM Firewall
AIGATE / DevScore / AIPitch
Aitalon · AI Gateway
AIGATE · DevScoreИсточники и проверка
Сначала — объяснение для русскоязычной команды. Затем — первоисточники, по которым можно проверить границы, методологию и применимость в конкретной архитектуре.