# A54: Избыточные полномочия агентов с управлением браузером и компьютером (Over-permissive browser/computer-use agents)

> Агент, управляющий браузером или рабочим столом, умеет нажимать, вводить текст, скачивать файлы и переходить по страницам. Если его права шире задачи, содержимое веб-страницы может превратиться в распоряжения, исполняемые от имени сотрудника.

- Канонический HTML: [/threats/a54-over-permissive-browser-computer-use-agents](https://ai-first.tech/threats/a54-over-permissive-browser-computer-use-agents)
- Язык: русский
- Редакционный принцип: защитный контекст без вредоносных полезных нагрузок и инструкций обхода.

## Домен

Безопасность AI-агентов

## Как проявляется риск

Агент работает в сеансе, где пользователь уже вошёл в корпоративные сервисы. При просмотре сайта он читает скрытый текст и принимает его за указания. Дальше действия выполняются в авторизованном сеансе: заполняются формы, меняются настройки, скачиваются файлы. Граница доверия нарушается там, где недоверенная страница получает влияние на исполнителя с полномочиями человека.

## Влияние на бизнес

- **Безопасность.** Возможна компрометация учётных записей и дальнейшее продвижение по облачным сервисам организации.
- **Данные.** Сведения из открытых в сеансе систем могут быть переданы наружу.
- **Финансы.** Агент способен совершить нежелательную покупку или изменить условия в сервисе.
- **Операции.** Несогласованные изменения в рабочих системах приходится выявлять и откатывать вручную.

## Где риск наиболее вероятен

- Агенты, заполняющие формы и порталы за сотрудника
- Автоматизация закупок и бронирований
- Сбор сведений с внешних сайтов
- Агенты с доступом к рабочему столу

## Кому и что решать

- **ИТ-директор.** Выдавать агентам отдельную изолированную среду и ограниченный перечень сайтов вместо рабочего сеанса сотрудника.
- **Директор по кибербезопасности.** Обеспечить подтверждение человеком действий с последствиями и журнал всех действий агента.
- **Владелец бизнес-процесса.** Определить, какие операции агент вправе выполнять сам, а какие только готовить к утверждению.

## Признаки для службы мониторинга

- Нажатия и отправка форм, не связанные с поставленной задачей
- Переходы на сайты за пределами задачи
- Неожиданные загрузки файлов
- Появление запросов на ввод учётных данных в ходе работы агента
- Действия в сервисах, которые в задаче не упоминались

## Меры защиты

- **Перечень разрешённых операций агента** (организационная). Закрепить для каждого сценария, что агент делает самостоятельно и что требует утверждения.
- **Изолированный браузер** (техническая). Запускать агента в изолированной среде, отделённой от рабочей станции и данных пользователя.
- **Разрешённые домены** (техническая). Ограничить навигацию перечнем сайтов, необходимых для задачи.
- **Режим только для чтения** (техническая). По умолчанию давать агенту просмотр без права изменений и включать запись только по необходимости.
- **Изоляция сеансов** (техническая). Не использовать общий авторизованный сеанс: агент получает отдельные учётные данные с минимальными правами.
- **Подтверждение и журнал действий** (мониторинг). Требовать подтверждения действий с последствиями и записывать шаги агента для разбора.

## Вопросы команде и поставщику

- В чьём сеансе и с какими правами работают наши агенты?
- Какие действия агент может выполнить без подтверждения человека?
- Ограничен ли перечень сайтов, доступных агенту?
- Сможем ли мы восстановить последовательность действий агента?

## Показатели контроля

- Доля агентов, работающих в изолированной среде
- Доля действий с последствиями, выполненных с подтверждением
- Число переходов за пределы разрешённых доменов

## Первые 30 дней

- Составить перечень агентов с управлением браузером или рабочим столом и их прав
- Перевести их в режим только для чтения там, где запись не нужна
- Включить подтверждение для платежей, изменений настроек и загрузок

## Классы решений

- Защита браузерных агентов
- Шлюз AI
- Изоляция конечных точек

## Сопоставления

- OWASP: LLM06
- MITRE: ATLAS: Agent Tool Misuse
- NIST: NIST AI RMF: Manage

## Первоисточники

- [CISA / NSA: Careful Adoption of Agentic AI Services](https://www.cisa.gov/news-events/news/cisa-us-and-international-partners-release-guide-secure-adoption-agentic-ai) — Контроли для agentic AI.
- [arXiv: AI Agents and Indirect Prompt Injections: Public Competition](https://arxiv.org/abs/2603.15714) — Публичная competition по red teaming AI agents.

## Ограничение

Карточка описывает признаки и меры защиты. Она не является эксплуатационной инструкцией и не заменяет модель угроз конкретной организации.