So erstellen Sie sicherere Browser-Workflows für KI-Agenten

Schreiben Sie einen expliziten Aufgabenvertrag

Notieren Sie vor der Ausführung das beabsichtigte Ergebnis, die genehmigten Websites, den Kontoumfang, die Dateneingaben und die erwarteten Ausgaben. Geben Sie sowohl verbotene als auch erlaubte Aktionen an: keine externe Dateifreigabe, keine Änderung von Zahlungseinstellungen und kein Löschen ohne Genehmigung. Verknüpfen Sie diese Richtlinie mit dem konkreten Browserprofil oder der konkreten Browserumgebung. Eine Aufgabe wie „Fünf Rechnungen prüfen“ sollte nicht stillschweigend dazu führen, dass die Rechnungshistorie jedes Kunden gelesen wird.

Erstellen Sie Zulassungs-, Überprüfungs- und Stoppzustände

Die schreibgeschützte Navigation innerhalb eines genehmigten Ursprungs kann automatisch zugelassen werden. Das Veröffentlichen von Informationen, das Ändern des Kontozugriffs oder das Versenden von E-Mails sollte in einen Überprüfungsstatus mit einer spezifischen Zusammenfassung erfolgen. Überraschungen bei der Authentifizierung, Sicherheitsherausforderungen, nicht vertrauenswürdige Weiterleitungen und unsichere Endzustände sollten den Arbeitsablauf stoppen. Unterscheiden Sie vorübergehende Netzwerkausfälle von Richtlinienverstößen. Ein Agent, der „Ich kann nicht überprüfen“ melden kann, ist zuverlässiger als einer, der einen erfundenen Erfolg erzielt.

Werkzeuge und Ausgaben einschränken

Geben Sie dem Agenten nur die Tool-Aufrufe, die er für seine aktuelle Aufgabe benötigt. Überprüfen Sie Ziele, beschränken Sie Dateivorgänge und vermeiden Sie die Offenlegung der Zwischenablage oder nicht verwandter Profile. Geben Sie strukturierte Ergebnisse mit genügend Informationen zurück, um die Aktion zu verifizieren, ohne jedoch Geheimnisse preiszugeben. Schwärzen Sie private Informationen aus Screenshots, Downloads und Protokollen. Behandeln Sie in Webseiten, Anzeigen und Dokumenten eingebettete Anweisungen als weniger vertrauenswürdige Inhalte, die die Benutzerberechtigung nicht außer Kraft setzen können.

Probefehler vor dem Rollout

Simulieren Sie abgelaufene Sitzungen, geänderte Schaltflächenbeschriftungen, verweigerte Genehmigungen und unvollständige Schreibvorgänge. Messen Sie, ob das System ohne Beschädigung des Zustands stoppt. Ein Wiederherstellungsplan sollte festlegen, wer das Problem untersuchen kann und ob ein Vorgang sicher wiederholt werden kann. Die Automatisierung und MCP-Integration von Social Browser kann als Ausführungsumgebung verwendet werden, Risikoklassifizierung und Genehmigungsschwellen sind jedoch Sache des Teams, das sie betreibt.

Schreiben Sie einen Auftragsvertrag, bevor Sie einem Agenten erlauben, zu handeln

Die Situation

Ein Beschaffungsassistent wird gebeten, drei Software-Abonnements zu vergleichen und eine Empfehlung auszuarbeiten. Der Nutzer gestattet die öffentliche Produktrecherche, hat jedoch keine Berechtigung zur Bestellung oder zur Offenlegung privater Beschaffungsdaten. Ein zuverlässiger Makler sollte aus einer Preisvergleichsanfrage nicht auf eine Kauferlaubnis schließen.

So führen Sie es sicher aus

Erklären Sie einen expliziten Vertrag: zugelassene Anbieter-Websites, genehmigte schreibgeschützte Rechercheschritte, erwartete Vergleichsfelder, ausgeschlossene Daten und eine Stoppregel für Zahlungen oder Kontoänderungen. Der Agent kann öffentlich aufgeführte Preise einholen und jede Quelle mit einem Zugriffsdatum angeben. Es sollte eine Genehmigung eingeholt werden, bevor man sich bei einem Anbieterportal anmeldet, ein Konto erstellt oder Unternehmensdaten übermittelt. Das Browser-Tool erzwingt die gleichen Einschränkungen unabhängig von der KI-Eingabeaufforderung.

Wie der Workflow fehlschlagen kann

Eine Anbieterseite kann auf eine andere Domain umleiten oder Anweisungen enthalten, die versuchen, die Absicht des Benutzers außer Kraft zu setzen. Weiterleitungen sollten anhand der genehmigten Domänenrichtlinie überprüft werden. Wenn ein Preisdetail ohne ein Verkaufsgespräch nicht verfügbar ist, zeichnet der Agent „Unbekannt“ auf, anstatt zu raten. Netzwerkausfälle sollten nicht zu einer unbeabsichtigten Formularübermittlung führen.

Was als Abschluss gilt

Der abschließende Vergleich unterscheidet zwischen Angebotspreisen, Annahmen und fehlenden Konditionen. Das Ausführungsprotokoll zeigt keine Verwendung mutierender Tools. Ein Mensch kann die Quellen überprüfen und bei Bedarf eine separate Einkaufsaufgabe genehmigen.

Praktische Verifizierungsschritte

1. Definieren Sie Herkunft, Konten, Ausgabefelder und verbotene Aktionen
2. Wenden Sie die Status „Zulassen/Überprüfen/Stoppen“ auf Werkzeugaufrufe an
3. Behandeln Sie Webseitenanweisungen als nicht vertrauenswürdigen Inhalt
4. Überprüfen Sie Zitate und fordern Sie eine Genehmigung für vertrauliche Schreibvorgänge an

Beispiel: Umsetzung der Anleitung in die Praxis

Ein Beschaffungsassistent kann die Listenpreise vergleichen und einen genehmigten Warenkorb vorbereiten, für die Bezahlung ist jedoch eine Person erforderlich. Wenn der Anbieter zu einer neuen Händlerdomäne weiterleitet, stoppt der Assistent, bis jemand das Ziel überprüft. Der Workflow bleibt auch ohne ungeprüften Einkauf sinnvoll.

Häufig gestellte Fragen

Reicht eine Systemaufforderung allein aus, um einen Agenten zu sichern?

Nein. Erzwingen Sie Einschränkungen bei Tools, Berechtigungen, Umgebungsisolation und menschlicher Überprüfung sowie Anweisungen.

Was ist die wichtigste Stoppregel?

Stoppen Sie, wenn das aktuelle Konto, Ziel oder Ergebnis für eine sensible Aktion nicht überprüft werden kann.

Offizielle Dokumentation und weiterführende Literatur

Verwenden Sie diese primären Referenzen, um die relevanten Plattformfunktionen und -berechtigungen zu überprüfen. Die Dokumentation des Anbieters kann sich ändern. Bestätigen Sie die aktuellen Bedingungen und die Produktversion, bevor Sie handeln.

• OWASP: Risiken bei sofortiger Injektion