Коли ти дозволяєш ChatGPT, Claude чи будь-якому іншому агенту керувати своїм робочим компʼютером, захист починається до його першого кліка, а не після того, як щось пішло не так. Я спочатку закриваю монобанк, Приват24, Дію, кабінет ФОП і пошту, куди приходять коди підтвердження, і тільки потім вмикаю керування. Або взагалі не пускаю агента на цю машину, а беру окремий профіль браузера чи окремий компʼютер, де немає жодної живої сесії банку чи держави. Паролі, коди з СМС і токени в чат не кидаю за жодних обставин. Якщо хтось збирає мені такий проєкт, він працює в тестовому середовищі, а не на моєму бойовому столі, де у вкладках висить усе моє життя.
Для ФОП і малої команди ця тема жорсткіша, ніж для корпорації, і причина проста: другого підпису на платіж у нас зазвичай немає. Немає бухгалтера, який перепитає, немає служби безпеки, яка заблокує підозрілу транзакцію. Якщо агент із мишкою вже опинився у відкритому банку і натиснув те, що йому здалося логічним, фраза "я просто пробував" нічого не відкочує назад. Тому три кроки - закрити, винести, не давати коди - я ставлю перед увімкненням керування, а не після.
Поки не побачиш цю сцену власними очима, в голові вона виглядає безпечно. Я сиджу за робочим компʼютером. Зліва відкритий Chrome з монобанком, поруч вкладка Приват24, десь у фоні Дія і Telegram, у якому мені щойно прийшов код від податкової. Агенту я тільки-но дозволив дивитися на екран і натискати кнопки. І от у чому пастка: він бачить не текст про банк, який можна проігнорувати чи відфільтрувати. Він бачить сесію, в яку я вже увійшов вранці. Пароль зламувати не треба, обходити двофакторну автентифікацію не треба, шукати вразливість не треба. Достатньо клікнути там, де я сам звик клікати щодня.
Поки модель лише пише в чаті, мишка залишається в мене. Я читаю її відповідь, сперечаюся, відкидаю, правлю. Вона може запропонувати будь-яку дурницю, і від цього нічого не станеться, бо між її пропозицією і реальним світом стою я. Коли ж я кажу "зроби за мене" і віддаю екран, я віддаю не текст, а жест. Баланс, реквізити, коди, документи з Дії вже лежать на екрані, і агент не ділить задачу на "лист" і "гроші", як поділив би я. Він бачить кнопки і йде до мети найкоротшим шляхом, який бачить перед собою. Саме в цьому місці зручна автоматизація перетворюється на передачу рук.
Я зловив себе на цьому не в теорії, а на задачі, яка здавалася абсолютно нешкідливою. Просив агента лише закрити зайві вкладки і зібрати файли з робочого столу в одну папку. Нічого фінансового в запиті не було, жодного слова про банк, платежі чи документи. Але банк і Дія все одно висіли поруч у тому ж вікні браузера, і агент їх бачив так само добре, як бачив мою папку з файлами. Пʼять хвилин "швидко" з відкритим рахунком лишаються пʼятьма хвилинами з відкритим рахунком незалежно від того, що саме ти просив. Швидкість тут працює в обидва боки: агент швидко робить те, що треба, і так само швидко може зробити те, чого не треба.
Тому я розділяю для себе вузький крок і широкий доступ. Вузько виглядає так: один скрипт, одна папка, один дозволений рух, і жодного банку в полі зору. Широко виглядає інакше: ось тобі весь екран, роби, що вважаєш за потрібне. Друге звучить зручніше, і саме тому його продають як головну фішку агентів. На ділі ти міняєш контроль на відчуття, що все зробиться само, а це відчуття коштує рівно стільки, скільки лежить на твоєму рахунку в момент, коли агент клікає.
Те саме з виписками, і тут я бачу найпоширенішу помилку. Ти просиш зробити таблицю витрат за місяць, а агент лізе в браузер, бо саме там у тебе вже висять усі потрібні сесії. Він не йде в банк з вулиці, не підбирає пароль, не робить нічого, що виглядало б як злом. Він іде туди, куди ти сам зайшов уранці і не закрив. Для нього це просто вікно з цифрами, з якого зручно скопіювати дані. Для тебе це гроші під курсором, який рухає не твоя рука. Я поставив собі просту перевірку: якби поруч сиділа чужа людина з правом клікати в моєму Chrome, що б я закрив перед тим, як пустити її до компʼютера? Банк. Дію. Пошту з кодами. Кабінет ФОП. Якщо ця відповідь очевидна для людини, вона так само очевидна і для агента.
Окремий шар ризику сидить не в моделі, а в людях навколо проєкту, і про це говорять значно рідше. Хто збирає агента під ключ, хто потім підкручує доступи, хто тримає віддалений вхід після здачі роботи для "підтримки". Широке право бачити екран і клікати може залишитися в нього надовго після того, як ти про це забув. Не обовʼязково зі злим планом з першого дня, злий план тут узагалі не потрібен. Достатньо лазівки, яку не закрили, і моменту, коли вона стане комусь потрібною. Ти вже відкрив стіл. Він уже знає шлях до нього. Я мав розмови, де мені обіцяли зручну вечірню рутину на тому самому компʼютері, на якому ввечері якраз відкриті банк, Дія і робочі кабінети. Зручність на словах виглядала чудово. Усе чутливе при цьому вже лежало на машині і чекало.
Тому перед запуском я питаю виконавця конкретно і не приймаю загальних відповідей: які саме права отримує агент, куди йдуть записи екрана і хто має до них доступ, чи лишається віддалений вхід після завершення роботи і хто його вимикає. Якщо відповідь розмита або зводиться до "не хвилюйтесь, усе безпечно", стіл з банком я не відкриваю. Аргумент "так швидше" тут майже завжди означає "дорожче потім", і платити доведеться не часом, а грошима й документами. Аргумент "я ж дивлюся на екран" тримає рівно доти, доки ти дивишся. Відвернувся на дзвінок, повернувся через дві хвилини, а агент уже працює в іншій вкладці, бо ти сам залишив її відкритою і нічим не обмежив.
Звідси правило, яким я користуюся сам і яке раджу кожному, хто питає. Робочий компʼютер з відкритими банками й Дією під повне керування агенту не віддаю, крапка. Хочу спробувати кліки і подивитися, на що здатна автоматизація: беру окремий профіль браузера або окрему машину, де немає монобанку, немає Привату, немає Дії і немає робочої пошти з живими сесіями. Там можна ламати сценарії, давати агенту повну свободу і дивитися, що він робить, бо ціна помилки там - тестовий файл, а не баланс рахунку і не документ з Дії. Потрібні виписки для аналізу: сам вивантажую CSV руками за хвилину і даю агенту файл, замість того щоб казати "зайди в мій банк і забери сам". Хвилина моєї роботи проти сесії з правом клікати в банку - тут навіть немає що обговорювати.
Пошта поруч з банком теж входить у цей контур, хоча її часто випускають з уваги. Код підтвердження здебільшого приходить у ту саму пошту або в той самий Telegram, які в тебе відкриті на тому ж екрані. Якщо агент уже в пошті й уже має мишку, ланцюжок від ініціювання платежу до його підтвердження стає дуже коротким і повністю замкненим на одній машині. Ніхто нічого не зламував і не обходив. Ти сам поклав усі ланки поруч і дав до них доступ одним дозволом.
Я не проти інструментів і сам користуюся агентами щодня, інакше не писав би цей текст з таким знанням деталей. Я проти змішування двох контурів, які мають жити окремо. Перший контур - чернетки, тексти, файли без секретів, робота з даними, які можна безболісно втратити або показати сторонньому. Другий контур - банк, Дія, платежі, документи, все, що має юридичну і фінансову вагу. Поки модель лише пише текст, ці контури розділені природно, бо між ними стоїш ти зі своєю мишкою. Коли вона починає клікати по екрану, контури злипаються в один, і роздiлити їх назад уже неможливо. Перед тим як сказати "керуй екраном", я дивлюся на вкладки так, як дивлюся на стіл перед приходом гостя: що соромно або небезпечно лишити на виду, те прибираю. Якщо прибирати нічого не хочеться, бо все потрібне для роботи, це найточніший сигнал, що доступ я збираюся давати не там, де треба.
Мені не потрібно вірити в злу модель, змову розробників чи хакерів з іншого боку планети, щоб берегтися. Відкрита сесія вже є ключем, і не має значення, хто саме ним скористається і з яких мотивів. Агент із мишкою користується тим, що ти сам поклав на стіл перед ним. Прибери банк, Дію і коди або винеси експеримент на окрему машину без нічого цінного. Тоді керування екраном лишається тим, чим і має бути: експериментом з інструментом, а не лотереєю, де на кону твої гроші й особисті документи.