Como construir fluxos de trabalho de navegador mais seguros para agentes de IA

Escreva um contrato de tarefa explícito

Registre o resultado pretendido, sites aprovados, escopo da conta, entradas de dados e resultados esperados antes da execução. Especifique ações proibidas e permitidas: nenhum compartilhamento externo de arquivos, nenhuma alteração nas configurações de pagamento e nenhuma exclusão sem aprovação. Vincule esta política ao perfil ou ambiente concreto do navegador. Uma tarefa como “verificar cinco faturas” não deve se expandir silenciosamente para a leitura do histórico de faturamento de cada cliente.

Criar estados de permissão, revisão e parada

A navegação somente leitura dentro de uma origem aprovada pode ser permitida automaticamente. Publicar informações, alterar o acesso à conta ou enviar e-mail deverá entrar em estado de revisão com resumo específico. Surpresas de autenticação, desafios de segurança, redirecionamentos não confiáveis ​​e estados finais incertos devem interromper o fluxo de trabalho. Distinguir falhas temporárias de rede de violações de políticas. Um agente que pode reportar “Não consigo verificar” é mais confiável do que aquele que produz um sucesso inventado.

Restringir ferramentas e saídas

Forneça ao agente apenas as chamadas de ferramenta necessárias para seu trabalho atual. Valide destinos, limite operações de arquivos e evite expor a área de transferência ou perfis não relacionados. Retorne resultados estruturados com informações suficientes para verificar a ação, mas sem vazar segredos. Edite informações privadas de capturas de tela, downloads e registros. Trate as instruções incorporadas em páginas da web, anúncios e documentos como conteúdo de baixa confiança que não pode substituir a permissão do usuário.

Ensaie a falha antes da implementação

Simule sessões expiradas, rótulos de botões alterados, aprovações negadas e gravações incompletas. Meça se o sistema para sem danificar o estado. Um plano de recuperação deve identificar quem pode inspecionar o problema e se é seguro tentar novamente uma operação. A automação do Social Browser e a integração do MCP podem ser usadas como ambiente de execução, mas a classificação de risco e os limites de aprovação pertencem à equipe que o executa.

Escreva um contrato de tarefa antes de permitir que um agente atue

A situação

Um assistente de compras é solicitado a comparar três assinaturas de software e preparar uma recomendação. O usuário permite a pesquisa pública de produtos, mas não autorizou fazer um pedido ou revelar dados de compras privadas. Um agente confiável não deve inferir permissão de compra a partir de uma solicitação de comparação de preços.

Como executá-lo com segurança

Declare um contrato explícito: sites de fornecedores permitidos, etapas de pesquisa somente leitura aprovadas, campos de comparação esperados, dados excluídos e uma regra de interrupção para pagamento ou alterações de conta. O agente pode coletar preços listados publicamente e citar cada fonte com uma data de acesso. Deve solicitar aprovação antes de fazer login no portal de um fornecedor, criar uma conta ou enviar dados da empresa. A ferramenta do navegador impõe as mesmas restrições independentemente do prompt da IA.

Como o fluxo de trabalho pode falhar

Uma página de fornecedor pode redirecionar para outro domínio ou incluir instruções que tentam substituir a intenção do usuário. Os redirecionamentos devem ser verificados em relação à política de domínio aprovada. Se um detalhe de preço não estiver disponível sem uma conversa de vendas, o agente registra o desconhecido em vez de adivinhar. Falhas de rede não devem causar envio de formulário não intencional.

O que conta como conclusão

A comparação final distingue preços cotados, premissas e termos faltantes. Seu log de execução não mostra o uso de ferramentas mutantes. Um ser humano pode revisar as fontes e aprovar uma tarefa de compra separada, se necessário.

Etapas práticas de verificação

1. Definir origens, contas, campos de saída e ações proibidas
2. Aplicar estados de permissão/revisão/parada a chamadas de ferramenta
3. Trate as instruções da página da web como conteúdo não confiável
4. Verifique citações e exija aprovação para gravações confidenciais

Exemplo: colocando as orientações em prática

Um assistente de compras pode comparar os preços listados e preparar um carrinho aprovado, mas o pagamento exige uma pessoa. Se o fornecedor redirecionar para um novo domínio comercial, o assistente será interrompido até que alguém analise o destino. O fluxo de trabalho permanece útil sem compras não verificadas.

Perguntas frequentes

Um prompt do sistema por si só é suficiente para proteger um agente?

Não. Aplique restrições em ferramentas, permissões, isolamento de ambiente e revisão humana, bem como instruções.

Qual é a regra de parada mais importante?

Parar quando a conta corrente, destino ou resultado não puder ser verificado para uma ação sensível.

Documentação oficial e leitura adicional

Use essas referências primárias para verificar os recursos e permissões relevantes da plataforma. A documentação do fornecedor pode mudar; confirme os termos atuais e a versão do produto antes de agir.

• OWASP: Riscos de injeção imediata