Chrome Auto Browse: jak Gemini działa za użytkownika
Google połączyło Gemini 3, Connected Apps, Password Manager i agentowe auto browse. Analizujemy zakres dostępu, potwierdzenia, prompt injection i prywatność.
- AUTOR
- Karol Rapacz / CEO Breachroad · OSCP · PNPT
- PUBLIKACJA
- 30 stycznia 2026
- CZAS CZYTANIA
- 13 min czytania
- TEMAT
- Bezpieczeństwo AI
30 stycznia 2026 roku Google podsumowało styczniowe premiery Gemini obejmujące Personal Intelligence oraz auto browse w Chrome. Personal Intelligence łączy kontekst z Gmaila, Zdjęć, YouTube i wyszukiwarki po dobrowolnym włączeniu. Auto browse jest agentową funkcją Gemini 3, która wykonuje wieloetapowe zadania na stronach — od porównania lotów i formularzy po zebranie dokumentów oraz zarządzanie subskrypcjami.
Google udostępniło auto browse subskrybentom AI Pro i Ultra w USA. Funkcja mogła używać Connected Apps, a za zgodą również Google Password Manager do pracy po zalogowaniu. Producent podał, że agent zatrzymuje się i prosi o potwierdzenie przy działaniach takich jak zakup lub publikacja w social media. To istotna kontrola, ale nie eliminuje błędów wcześniejszych kroków, np. wyboru niewłaściwego produktu albo ujawnienia danych formularza.
Przeglądarka jest uprzywilejowanym runtime
Agent w przeglądarce widzi treść kart, ma cookies, zapisane sesje i dostęp do formularzy. Po połączeniu Gmaila i Kalendarza potrafi zestawić prywatne dane z treścią obcej strony. To wygodne, ale strona jest nieufnym wejściem: może zawierać prompt injection skierowany do modelu, niewidoczny dla człowieka lub stylizowany na instrukcję systemową.
Kluczowa granica brzmi: treść strony jest danymi, nie poleceniem. Agent powinien mieć hierarchię instrukcji, izolować źródła, blokować kopiowanie sekretów i nie wykonywać działania wyłącznie dlatego, że DOM tego żąda. Potwierdzenie musi pokazać co zostanie wysłane, komu i za ile — nie ogólne „kontynuować?”.
Personalizacja zmienia model prywatności
Personal Intelligence jest opt-in, a użytkownik może wybierać aplikacje i odłączać je. Organizacja powinna jednak ocenić, czy konto służbowe może łączyć pocztę, historię i przeglądarkę w jeden kontekst. Zasada minimalizacji mówi, by agent dostał konkretną wiadomość lub wydarzenie, nie całe konto „na wszelki wypadek”.
W środowisku firmowym potrzebne są:
- polityka dozwolonych Connected Apps,
- oddzielenie profilu prywatnego i służbowego,
- blokada automatycznego użycia haseł w domenach poza allowlistą,
- log działań bez przechowywania pełnych sekretów,
- DLP dla wklejania i uploadu,
- możliwość centralnego wyłączenia funkcji po incydencie.
Jak testować agenta przeglądarkowego
Przygotuj kontrolowane strony z konfliktującymi instrukcjami, ukrytym tekstem, złośliwym dokumentem i podobną domeną. Sprawdź, czy agent ujawnia dane z innej karty, przekracza budżet, omija potwierdzenie lub interpretuje reklamę jako polecenie. Testuj także przerwanie w połowie oraz wznowienie sesji — stan nie może ominąć wcześniejszej decyzji odmownej.
Auto browse pokazuje przejście od AI odpowiadającego do AI działającego na uwierzytelnionej sesji. Szczegółowy model zagrożeń opisujemy w bezpieczeństwie agentów przeglądarkowych. Przed włączeniem w firmie warto przeprowadzić kontrolowany red team.
Model uprawnień per zadanie
Agent nie powinien automatycznie widzieć wszystkich kart i Connected Apps. Zadanie rezerwacji może potrzebować jednej wiadomości z datą, Flights i kalendarza, ale nie historii Zdjęć. Interfejs powinien pokazać źródła przed startem i umożliwić jednorazowy grant. „Zawsze zezwalaj” tworzy długotrwałe uprawnienie trudne do zauważenia.
Dla Password Managera bezpieczny wzorzec to wstrzymanie przed wypełnieniem, sprawdzenie dokładnej domeny i potwierdzenie użytkownika. Agent nie powinien odczytywać hasła w tekście ani przenosić go między domenami. Passkey może ograniczyć kradzież sekretu, ale agent nadal może wykonać działanie w prawidłowo uwierzytelnionej sesji.
Transaction signing zamiast ogólnej zgody
Przy zakupie potwierdzenie powinno zawierać sprzedawcę, produkt, ilość, pełną cenę, adres i metodę płatności. Przy publikacji — konto, odbiorców i finalną treść. Zmiana któregokolwiek parametru po zgodzie musi wymagać ponownego zatwierdzenia.
Strona może próbować nakłonić agenta do wyboru droższego wariantu, ukrytej subskrypcji albo przekazania danych „dla weryfikacji”. Polityka powinna ograniczać rodzaje pól, które agent może wypełnić, i blokować upload dokumentu poza domenami zatwierdzonymi.
Reakcja na incydent agenta
Zachowaj historię nawigacji, snapshot DOM, wywołania narzędzi i potwierdzenia, ale redaguj hasła i dane płatnicze. Użytkownik musi mieć przycisk stop, a administrator możliwość odcięcia funkcji i unieważnienia sesji. Po błędnej akcji ważne jest ustalenie, czy przyczyną była strona, model, polityka czy zgoda.
Czy opt-in rozwiązuje prywatność? Jest konieczny, ale nie wystarcza. Zgoda musi być świadoma, granularna i odwracalna, a zakres danych proporcjonalny do zadania.
Warunek wdrożenia w firmie
Najpierw pilotaż na osobnym profilu bez Password Managera i z read-only Connected Apps. Sprawdź logi, DLP, granularność zgody, działanie stop oraz centralnego wyłączenia. Następnie dodaj jedną klasę zadań i zdefiniowaną listę domen. Nie włączaj ogólnego „rób wszystko w przeglądarce”, ponieważ nie da się dla niego zbudować mierzalnej granicy ryzyka.
Źródła pierwotne: Google — January 2026 Gemini Drop, Google Chrome — Gemini 3 and auto browse.
