Агенты, которые кликают за вас: браузер и компьютер

Агент работает с экраном так же, как человек: смотрит на снимок экрана, находит кнопку, двигает курсор, нажимает и вводит текст. Anthropic открыла такую функцию 22 октября 2024 года и назвала ее экспериментальной: прокрутка, перетаскивание и масштаб давались модели с трудом.

В тесте OSWorld, где агент выполняет задачи в настоящей операционной системе, модель Anthropic тогда справилась с 14,9% задач. Работа с интерфейсом трудна даже для сильной модели, и ошибки в ней нормальны.

В августе 2025 года Anthropic начала испытания расширения для браузера Chrome. Агент в нем видит открытую страницу, нажимает кнопки и заполняет формы прямо в вашем браузере.

OpenAI 11 марта 2025 года выпустила для разработчиков Agents SDK и Responses API со встроенным поиском по вебу и файлам. На этих блоках собирают агентов, которые ищут и читают сайты.

Есть и открытый путь. Библиотека browser-use на Python с лицензией MIT управляет браузером и может работать с локальной модельюлокальная модель Локальная модель это нейросеть, которая работает на вашем компьютере или сервере, а не в облаке поставщика, поэтому данные никуда не уходят. Подробнее в словаре через Ollama. Ставить ее нужно программисту, а скорость с локальной моделью зависит от вашего компьютера.

Внутри Anthropic браузерного агента применяли для рутины: вести календарь, назначать встречи, готовить черновики ответов на письма, заполнять типовые авансовые отчеты и проверять новые функции сайта.

Общее у этих задач одно: у сервиса нет удобного API, программного входа для других систем, а действия повторяются изо дня в день. Агент делает то же, что сотрудник, и нажимает те же кнопки.

В малом бизнесе это сбор цен с сайтов поставщиков в таблицу, перенос заявок из личного кабинета площадки в CRM, проверка формы заказа на своем сайте после обновления.

Начинать стоит с задач, где ошибку легко заметить и исправить: черновик письма, таблица с ценами, проверка формы. Anthropic еще в 2024 году советовала разработчикам так и делать: сначала задачи с низким риском, потом остальные.

Если у системы есть API, агент через API работает быстрее и ошибается реже, чем агент, который нажимает кнопки на экране. Браузер нужен там, где другого входа нет.

Если задача в том, чтобы прочитать много сайтов и собрать отчет, поручите ее агенту-исследователю. Он только читает и ничего не нажимает, поэтому рисков меньше.

Главный риск называется промпт-инъекциейпромпт-инъекция Промпт-инъекция это атака на ИИ-систему, при которой в текст для модели подмешивают чужие указания, чтобы она нарушила правила владельца: выдала данные или сделала лишнее действие. Подробнее в словаре: чужой текст на странице или в письме выдает себя за команду, и агент ее выполняет. Агент читает все, что видит, и не всегда отличает вашу просьбу от текста сайта.

В тесте Anthropic на 123 случаях в 29 сценариях атак браузерный агентбраузерный агент Браузерный агент это ИИ-агент, который сам работает в веб-браузере: открывает сайты, читает страницы, нажимает кнопки и заполняет формы по вашему поручению. Подробнее в словаре без защиты поддавался в 23,6% случаев, с защитой в автономном режиме в 11,2%. Пример из теста: письмо под видом требования службы безопасности попросило удалить письма без подтверждения, и агент до защиты их удалил.

20 августа 2025 года Brave показала атаку на браузер Comet. Скрытый текст в комментарии на Reddit заставил ассистента взять почту пользователя из настроек аккаунта, получить одноразовый код из открытой почты Gmail и отправить оба значения злоумышленнику.

Привычные правила веб-безопасности здесь не спасают: агент действует с вашими правами и вашими входами в аккаунты. Чем больше у него доступов, тем дороже ошибка: почта, банк, кабинет поставщика.

Вторая угроза это утечка. В мае 2023 года Samsung запретила сотрудникам генеративный ИИгенеративный ИИ Генеративный ИИ (generative AI) это нейросети, которые создают новый контент: тексты, изображения, музыку, видео и программный код по описанию на обычном языке. Подробнее в словаре после того, как инженеры загрузили в ChatGPT внутренний исходный код. Браузерный агент видит все, что открыто на странице, включая служебные документы.

Третья угроза это обычные ошибки: агент нажал не ту кнопку, выбрал не ту дату, отправил форму с опечаткой. На платежах такая ошибка стоит денег.

Разработчики агентов сами закладывают ограничения. В расширении Anthropic доступ выдают по сайтам, перед публикацией, покупкой и передачей персональных данных агент спрашивает подтверждение, а финансовые сервисы для него закрыты.

OWASP, сообщество специалистов по безопасности, ставит промпт-инъекцию первой в списке рисков языковых моделейбольшая языковая модель Большая языковая модель (LLM) это нейросеть, обученная на огромном объеме текстов, которая пишет, пересказывает и разбирает текст по запросу. Подробнее в словаре на 2025 год. Меры из этого списка: минимальные права, подтверждение человеком важных действий, пометка внешнего текста как недоверенного.

Отдельный профиль браузера. Агент работает без входа в банк, почту руководителя и платежные кабинеты и видит только сайты, нужные для задачи.

Подтверждение человеком. Каждый платеж, отправку письма и публикацию одобряет сотрудник. Anthropic советует начинать с доверенных сайтов и не пускать агента туда, где финансовая, юридическая или медицинская информация.

Наблюдение за первыми запусками. Смотрите, что делает агент, и останавливайте его при первой странной команде.

Без данных клиентов. Персональные данные в задачи облачному агенту не передают; если без них не обойтись, это уже проект с разработчиком. Полный список проверок перед запуском собран в чек-листе по защите агента.