Как пользователи могут сохранять контроль, если системы искусственного интеллекта управляют веб-сайтами? Рабочая группа по стратегии организации W3C определяет требования к безопасным стандартам для веба.

Содержание.

Новый документ для обсуждения от организации W3C описывает, как веб-стандарты могут повысить безопасность использования агентов искусственного интеллекта. В центре внимания – защита от атак типа "prompt injection", контролируемые права доступа и обеспечение доступности.

По мнению организации W3C, причиной изменений является переход от простых "читающих" агентов к системам, способным выполнять действия: системы искусственного интеллекта теперь не только извлекают информацию, но и управляют веб-сайтами от имени своих пользователей. При этом они могут получать доступ к личным данным и передавать информацию между различными веб-сайтами. В связи с этим стратегическая группа W3C призывает к установлению четких границ безопасности и разработке надежных механизмов, позволяющих пользователям безопасно санкционировать действия, имеющие серьезные последствия.

Филипп Ле Эгаре, отвечающий в организации W3C за техническую стратегию, описывает предложения, представленные в дискуссионной бумаге "W3C и состояние интернета в эпоху искусственного интеллекта". Этот документ, опубликованный 21 октября 2026 года, призван подготовить обсуждение на собрании W3C под названием TPAC. Он содержит рекомендации стратегической группы, а не уже утвержденные стандарты. Официальная презентация запланирована на 29 октября.

Внешний текст сталкивается с широким кругом прав.

Центральной проблемой является "инъекция запросов" (prompt injection). Агенты обрабатывают контент, которому они не должны доверять, но при этом обладают правами доступа пользователя. В отличие от межсайтового скриптинга, злоумышленнику не обязательно внедрять исполняемый код. Одной инструкции, содержащейся в обычном тексте страницы, документе или ответе инструмента, может быть достаточно, чтобы заставить агента выполнить нежелательное действие. Успех атаки зависит от прав доступа агента и способа обработки им стороннего контента.

В качестве примера рассмотрим следующий сценарий: Агент проводит исследование на общедоступном веб-сайте и одновременно имеет доступ к внутренним документам. Веб-сайт просит его передать конфиденциальную информацию стороннему сервису. Политика "Same-Origin" не всегда может предотвратить подобную атаку, поскольку агент, используя свои собственные права доступа, может переносить информацию между веб-сайтами, которые сами по себе не должны иметь доступ к данным друг друга.

Стратегическая группа намерена разработать комплексные модели угроз для агентов, веб-сервисов управления конфигурациями (WebMCP) и встроенных функций искусственного интеллекта в браузерах. На первом этапе группы должны определить архитектуру и границы доверия. При этом необходимо учитывать различные сценарии использования: при использовании разработчиком API искусственного интеллекта браузера возникают другие вопросы безопасности, чем в случае агента, который перемещается по сети с правами пользователя. В число проверяемых аспектов входят также поддельные инструменты и агенты, которые самостоятельно санкционируют свои действия.

Согласие требует больше, чем простого подтверждения в диалоговом окне.

Прежде чем агент выполняет какие-либо действия, которые могут иметь серьезные последствия, он должен получить согласие пользователя. Пользователи должны иметь возможность узнать, что сделал агент, отменить выполненные действия, если это возможно, и самостоятельно решать, какой агент будет действовать от их имени. В отношении платежей стратегическая группа выдвигает конкретные требования: установление лимитов расходов, предоставление полномочий, которые могут быть отозваны, наличие четких подтверждающих документов и понятных способов подачи жалоб.

Пример бронирования авиабилета иллюстрирует эту разницу: запрос на поиск подходящих рейсов не является автоматическим разрешением на покупку билета, за который нужно заплатить. Подтверждение должно четко указывать на конкретное бронирование. В то же время, в дискуссионной бумаге W3C содержится предупреждение о "усталости от подтверждений". Если пользователю приходится утверждать каждую мелочь, он может со временем начать безоговорочно подтверждать даже вопросы, имеющие важное значение для безопасности.

Предлагаемая рабочая группа "Agentic Web" должна будет разработать шаблоны для получения согласия и передачи данных пользователям. Группы, занимающиеся вопросами идентификации и аутентификации, должны изучить, как агенты могут подтверждать делегированные полномочия, не имея при этом доступа к учетным данным. Верифицируемые данные (Verifiable Credentials) и децентрализованные идентификаторы могут помочь в идентификации агентов и подтверждении их полномочий. Соответствующие рабочие группы W3C должны будут оценить, достаточно ли существующих моделей данных для этих целей.

Доступность для людей с ограниченными возможностями – это не канал для передачи секретных инструкций.

Еще один конфликт связан со смысловым наполнением веб-сайтов. Агенты уже используют HTML и информацию о доступности для понимания интерфейсов. Однако стратегическая группа предупреждает о том, что использование технологии ARIA (Accessible Rich Internet Applications) должно быть адаптировано к потребностям агентов, чтобы не ухудшить удобство использования для людей. Она настоятельно рекомендует избегать инструкций для агентов в атрибутах aria-label и предотвращать внедрение вредоносных запросов через ARIA.

Для разработчиков это означает следующее: доступная текстовая метка кнопки должна по-прежнему отражать ее функцию. Размещение в ней подробного задания для агента смешало бы информацию, предназначенную для вспомогательных технологий, с машинным кодом. Согласно обсуждаемому документу, автоматически генерируемые альтернативные тексты также не должны полностью заменять описания, созданные авторами, и их намерения.

Вопрос о том, в каких случаях существующего HTML достаточно, а где необходимы дополнительные интерфейсы, остается предметом обсуждения. Предлагаемая рабочая группа должна прояснить взаимосвязь между HTML, ARIA и WebMCP. Стратегическая группа рекомендует использовать два связанных списка для учета требований различных заинтересованных сторон: что необходимо агенту для надежной работы, и что необходимо человеку для обеспечения безопасности и сохранения контроля? В случае конфликтов приоритет должны иметь потребности человека.

Защита данных должна включать в себя принципы, касающиеся хранения информации агентствами.

Агенты могут перемещать данные между веб-сайтами, сеансами и собственной памятью. Это расширяет вопросы защиты данных за рамки отдельных посещений страниц. Поэтому рабочая группа по вопросам конфиденциальности должна изучить, как можно ограничить такие потоки данных, какая информация попадает в модели и какой контроль пользователи получают над локальными или облачными вычислениями.

В документе также предлагается режим "инкогнито" без сохранения данных агентом. Речь идет о задании для отдела стандартизации, а не об объявленной функции браузера. Разница между этим режимом и обычным приватным просмотром принципиальна: браузер может отказаться от хранения локальной истории посещений, в то время как сопутствующий агент все равно может сохранять контент во временном хранилище.

В процесс проверки соответствия требованиям защиты данных также должны быть включены записи о запросах и вызовах инструментов. Эти записи могут помочь в выявлении ошибок, но при этом могут содержать конфиденциальную информацию. Стратегическая группа намерена выяснить, какие данные им разрешено собирать и кто имеет право к ним получать доступ.

Открытые стандарты вместо замкнутых миров агентов.

Помимо непосредственных рисков для пользователей, документ W3C предупреждает о большей централизации. Агенты, которые в первую очередь обслуживают сайты-партнеры, зависимость от отдельных моделей и специфические для производителей реестры инструментов могут ослабить совместимость веб-среды. Поэтому предложенный перечень ценностей отвергает как привязку агентов к определенным платформам, так и исключительно программные решения на основе искусственного интеллекта, которые заменяют веб-интерфейс, предназначенный для использования человеком.

Поставщики контента также должны иметь возможность контролировать, как используется их работа. Стратегическая группа пока не видит систематического аналога существующей практике взаимодействия с поисковыми системами: сбор данных и взамен предоставление посетителей. Они планируют провести исследование того, как существующие работы можно преобразовать в машиночитаемые условия использования и описания прав, чтобы объединить различные интересы.

Следующие шаги включают в себя, прежде всего, преобразование этих требований в конкретные задания для рабочих групп. Стратегическая группа рекомендует, среди прочего, создать рабочую группу "Agentic Web Working Group" с четко определенными задачами в области безопасности, защиты данных, идентификации и делегированных полномочий. Теперь группы W3C должны обсудить, как из этого будут вытекать конкретные спецификации.

Первоисточник — Heise

Автор оригинала — Moritz Förster