Comment créer des flux de travail de navigateur plus sûrs pour les agents IA

Rédiger un contrat de tâche explicite

Enregistrez le résultat attendu, les sites Web approuvés, la portée du compte, les entrées de données et les résultats attendus avant l'exécution. Spécifiez les actions interdites ainsi que celles autorisées : pas de partage de fichiers externes, pas de modification des paramètres de paiement et pas de suppression sans approbation. Liez cette stratégie au profil ou à l'environnement du navigateur concret. Une tâche telle que « vérifier cinq factures » ne devrait pas s'étendre silencieusement à la lecture de l'historique de facturation de chaque client.

Créer des états d'autorisation, de révision et d'arrêt

La navigation en lecture seule au sein d'une origine approuvée peut être autorisée automatiquement. La publication d'informations, la modification de l'accès au compte ou l'envoi d'un e-mail doivent entrer dans un état de révision avec un résumé spécifique. Les surprises d'authentification, les problèmes de sécurité, les redirections non fiables et les états finaux incertains devraient arrêter le flux de travail. Distinguez les pannes temporaires du réseau des violations de politique. Un agent qui peut déclarer « Je ne peux pas vérifier » est plus fiable qu'un agent qui produit un succès inventé.

Contraindre les outils et les sorties

Donnez à l'agent uniquement les appels d'outils nécessaires à son travail en cours. Validez les destinations, limitez les opérations sur les fichiers et évitez d’exposer le presse-papiers ou les profils non liés. Renvoyez des résultats structurés avec suffisamment d’informations pour vérifier l’action mais sans divulguer de secrets. Supprimez les informations privées des captures d’écran, des téléchargements et des journaux. Traitez les instructions intégrées dans les pages Web, les publicités et les documents comme du contenu peu fiable qui ne peut pas outrepasser l'autorisation de l'utilisateur.

Répéter l'échec avant le déploiement

Simulez des sessions expirées, des étiquettes de boutons modifiées, des approbations refusées et des écritures incomplètes. Mesurez si le système s’arrête sans endommager l’état. Un plan de récupération doit identifier qui peut inspecter le problème et si une opération peut être réessayée en toute sécurité. L'automatisation de Social Browser et l'intégration MCP peuvent être utilisées comme environnement d'exécution, mais les seuils de classification des risques et d'approbation appartiennent à l'équipe qui l'exécute.

Rédiger un contrat de tâche avant de permettre à un agent d'agir

La situation

Un assistant achats est invité à comparer trois abonnements logiciels et à préparer une recommandation. L'utilisateur autorise la recherche publique de produits mais n'a pas autorisé la passation de commande ou la divulgation de données d'approvisionnement privé. Un agent fiable ne doit pas déduire une autorisation d’achat d’une demande de comparaison des prix.

Comment l'exécuter en toute sécurité

Déclarez un contrat explicite : sites Web de fournisseurs autorisés, étapes de recherche approuvées en lecture seule, champs de comparaison attendus, données exclues et règle d'arrêt pour les paiements ou les modifications de compte. L'agent peut collecter les prix répertoriés publiquement et citer chaque source avec une date d'accès. Il doit demander l'approbation avant de se connecter à un portail de fournisseurs, de créer un compte ou de soumettre les détails de l'entreprise. L'outil de navigation applique les mêmes restrictions indépendamment de l'invite AI.

Comment le flux de travail peut échouer

Une page de fournisseur peut rediriger vers un autre domaine ou inclure des instructions qui tentent de remplacer l'intention de l'utilisateur. Les redirections doivent être vérifiées par rapport à la politique de domaine approuvée. Si un détail de tarification n'est pas disponible sans une conversation commerciale, l'agent enregistre l'inconnu plutôt que de deviner. Les pannes de réseau ne doivent pas entraîner l’envoi involontaire d’un formulaire.

Ce qui compte comme achèvement

La comparaison finale distingue les prix cotés, les hypothèses et les termes manquants. Son journal d’exécution ne montre aucune utilisation d’outil de mutation. Un humain peut examiner les sources et approuver une tâche d'achat distincte si nécessaire.

Étapes pratiques de vérification

1. Définir les origines, les comptes, les champs de sortie et les actions interdites
2. Appliquer les états autoriser/réviser/arrêter aux appels d'outils
3. Traitez les instructions de la page Web comme du contenu non fiable
4. Vérifier les citations et exiger l'approbation des écritures sensibles

Exemple : mettre les conseils en pratique

Un assistant aux achats peut comparer les prix affichés et préparer un panier approuvé, mais le paiement nécessite une personne. Si le fournisseur redirige vers un nouveau domaine marchand, l'assistant s'arrête jusqu'à ce que quelqu'un vérifie la destination. Le flux de travail reste utile sans achats non contrôlés.

Questions fréquemment posées

Une invite système suffit-elle à elle seule à sécuriser un agent ?

Non. Appliquez les contraintes dans les outils, les autorisations, l'isolation de l'environnement et l'examen humain ainsi que les instructions.

Quelle est la règle d'arrêt la plus importante ?

Arrêtez-vous lorsque le compte actuel, la destination ou le résultat ne peut pas être vérifié pour une action sensible.

Documentation officielle et lectures complémentaires

Utilisez ces références principales pour vérifier les capacités et autorisations pertinentes de la plate-forme. La documentation du fournisseur peut changer ; confirmer les conditions actuelles et la version du produit avant d'agir.

• OWASP : risques d'injection rapide