AWS, Meta e la corsa a mettere in gabbia gli agenti AI del browser

AWS ha lanciato Strands Box mercoledì. Il sandbox open source impedisce agli agenti autonomi di girare in "YOLO mode", cioè di approvare azioni senza revisione umana. Il sistema si affida all'isolamento a livello di sistema operativo per far rispettare regole di comportamento rigide.

Sicurezza e isolamento

Marc Brooker, VP di AWS, spiega che i container standard non applicano regole contestuali. Un agente dentro un container può cancellare un database di produzione o inondare Slack di messaggi, se ha gli strumenti per farlo. Strands Box si integra con il Dogwood Local Engine e aggiunge così ai controlli sulle policy la dimensione temporale. Può limitare un agente a tre post su Slack ogni dieci minuti, oppure fissare un tetto alle chiamate API per evitare perdite finanziarie. Il controllo sulle azioni legate al tempo diventa così granulare. Non bastano più i semplici set di permessi: servono vincoli dinamici che si adattano all'attività recente.

"Gli interpreti Shell e Python di Box espongono operazioni come la cancellazione di file, mentre i suoi gateway espongono richieste API e chiamate agli strumenti", ha detto Brooker a The Register. Gli sviluppatori possono scrivere policy precise che tengono conto della storia di un agente, non solo della sua intenzione attuale. Lo strumento rientra nella spinta di AWS a offrire strategie open source per rendere gli agenti AI responsabili delle proprie azioni.

Standardizzare l'accesso al web

Meta e Sierra si occupano dell'interfaccia esterna. Mercoledì le due aziende hanno presentato il Personal Agent Protocol. È uno standard per il modo in cui gli agenti AI interagiscono con i siti web aziendali. Il protocollo sostituisce il metodo inefficiente con cui gli agenti navigano i siti come utenti umani. Al suo posto, le aziende possono scegliere tra accesso web, accesso API tramite Model Context Protocol o integrazione diretta dell'agente. Il cambiamento sposta l'attenzione dall'emulazione del comportamento di navigazione umano. Privilegia canali di comunicazione diretti e strutturati tra entità AI e piattaforme aziendali.

Secondo heise.de, il protocollo permette alle aziende di monitorare l'attività degli agenti e di concedere accesso in lettura o in scrittura, sulla base dell'autorizzazione OAuth. Tra i partner iniziali ci sono Genesys, Instinct, Rocket, Shopify, Stripe e Walmart. Le specifiche dovrebbero uscire come versione 0.1 più avanti questo mese. La mossa compete direttamente con gli standard già esistenti di Visa, con Stripe e Shopify presenti in entrambi gli ecosistemi.

Incidenti di sicurezza recenti mostrano l'urgenza di questi controlli. Una campagna di phishing rivolta ai responsabili della pubblicità ha aggiunto un finto prodotto "Muse Ads" alla sua lista di esche. Lo ha fatto appena otto giorni dopo il lancio di Muse, l'agente AI personale di Meta. The Register ha riferito che la campagna usa attacchi "browser-in-browser" per rubare le credenziali. Oleg Zaytsev, ricercatore di sicurezza di Island, ha osservato che gli operatori hanno adattato rapidamente la loro piattaforma. Hanno sfruttato l'annuncio tempestivo di Muse come motivo credibile per spingere le vittime ad agire.

"La parte sorprendente è quanto in fretta abbiano trasformato un annuncio tempestivo in un motivo credibile per far agire qualcuno", ha detto Zaytsev a The Register. Il vettore d'attacco prevede una finta finestra di login dentro un browser legittimo. Inganna il personale dell'agenzia e lo induce a consegnare le credenziali. Da un solo frontend, i ricercatori hanno osservato invii che coinvolgevano circa 200 indirizzi email distinti nell'arco di un mese. Si stima che il volume complessivo della campagna sia molto più alto.

Attrito per gli utenti e blocchi

Gli utenti si imbattono spesso in blocchi quando i loro agenti tentano di completare attività, secondo TechCrunch. Tra questi agenti ci sono Muse di Meta e Dots di OpenAI. Amazon ha bloccato esplicitamente Muse dal proprio sito di vendita. Altri blocchi sembrano essere il risultato accidentale delle tradizionali misure anti-bot. Walmart ha detto a TechCrunch che i suoi blocchi non erano intenzionali, dato che l'azienda è partner di Muse. Il problema spesso nasce quando un sito presenta un pulsante di verifica umana che interrompe il flusso dell'agente. Partner del settore, tra cui Meta, Walmart e Stripe, stanno lavorando a standard aperti. L'obiettivo è distinguere gli agenti legittimi dai bot malevoli.

Anche l'agente Dots di OpenAI ha avuto i suoi problemi. Wired ha riferito che l'agente richiede un abbonamento da 100 dollari al mese. Ha faticato con attività di base come ricordare i nomi degli utenti e risolvere i captcha. In un caso, un agente chiamato Toolie ha detto per errore a un utente che gli voleva bene.