Czy agentowi AI można powierzyć własny komputer?

Pytanie brzmi zwykle tak: czy można ufać agentowi. Sformułowanie jest wygodne, bo przenosi ciężar na model - czy jest wystarczająco mądry, czy nie zrobi głupstwa, czy da się z nim dogadać. Problem w tym, że agent uruchomiony lokalnie w domyślnej konfiguracji nie działa z własnych uprawnień. Nie dostaje własnego konta ani własnych poświadczeń. Wszystko, co robi, robi jako zalogowany użytkownik: z jego kluczami SSH, jego ciasteczkami sesji, jego skrzynką pocztową i jego prawem zapisu do katalogu domowego. Odrębna tożsamość jest możliwa, ale trzeba ją świadomie zbudować - i to jest temat ostatniej części tekstu. Warto przy tym nie mylić trzech różnych rzeczy: odrębnej tożsamości, zawężonych uprawnień i krótkiego życia poświadczeń. To, co producenci dają w gotowych trybach, jest zwykle drugim albo trzecim. W chmurowym Codex sekrety skonfigurowane dla środowiska są dostępne wyłącznie w fazie przygotowania i zostają usunięte przed startem fazy agenta - to ograniczenie czasu życia dostępu. (Agent approvals & security | ChatGPT Learn) W sesjach chmurowych Claude Code uwierzytelnianie idzie przez proxy podstawiające wewnątrz sandboksu poświadczenie o zawężonym zakresie, które jednak na wyjściu jest tłumaczone na prawdziwy token uwierzytelniający użytkownika w GitHubie - to zawężenie promienia rażenia wewnątrz izolowanej maszyny, a nie osobna tożsamość wobec systemów zewnętrznych. (Security - Claude Code Docs) Anthropic zapisuje to w dokumentacji bez ozdobników: narzędzie ma tylko te uprawnienia, które zostały mu nadane, a odpowiedzialność za sprawdzenie proponowanych poleceń przed zatwierdzeniem spoczywa na użytkowniku. (Security - Claude Code Docs)

To przesuwa całą rozmowę. Pytanie „czy ufam modelowi” jest nierozstrzygalne i trochę bez znaczenia. Pytanie „jak duży jest zasięg rażenia, gdy coś pójdzie nie tak” ma odpowiedź, i to odpowiedź różną dla różnych rzeczy, które agentowi się powierza. Poniżej trzy takie zakresy - pliki i terminal, poczta, przeglądarka - ułożone nie według popularności, tylko według tego, jak szeroko rozlewa się skutek pojedynczego błędu. Potem trzy mechanizmy, które producenci wystawiają jako granice, i to, czego żaden z nich nie obiecuje.

Tekst jest analizą, nie instrukcją instalacji. Nie zawiera procedur uruchamiania ani konfiguracji żadnego z opisywanych narzędzi, nie opisuje też testów przeprowadzonych na sprzęcie - wszystkie zachowania pochodzą z dokumentacji producentów w stanie na 9 września 2026 roku. Ta data ma znaczenie: dokumentacja narzędzi agentowych zmienia się w tempie tygodni, a domyślne tryby uprawnień bywają zmieniane między wersjami.

Trzy zakresy, trzy zupełnie różne skutki

Pliki i terminal: zasięg wyznacza katalog, nie intencja

Agent pracujący na plikach projektu to najlepiej opisany przypadek, bo producenci musieli wprost zdefiniować, gdzie kończy się jego pole manewru. W Claude Code w trybie ręcznym granicą jest katalog uruchomienia i jego podkatalogi; zapis do katalogów nadrzędnych wymaga osobnej zgody, a odczyt ścieżek spoza tej granicy narzędziami Read, Grep i Glob również poprzedza pytanie. (Security - Claude Code Docs) W Codex domyślny tryb workspace-write ogranicza zapis do aktywnego obszaru roboczego i domyślnie wyłącza dostęp do sieci dla uruchamianych poleceń. (Agent approvals & security | ChatGPT Learn)

Warto zauważyć, co te granice mierzą. Nie mierzą wartości plików ani ich wrażliwości. Mierzą położenie w drzewie katalogów. Katalog projektu, w którym leży plik .env z kluczem do produkcyjnej bazy danych, jest z punktu widzenia sandboksu dokładnie tak samo bezpieczny jak katalog z notatkami. Producenci sami wskazują, gdzie to boli: w Claude Code polecenia uruchamiane w sandboksie domyślnie dziedziczą zmienne środowiskowe procesu nadrzędnego, razem z ustawionymi tam poświadczeniami, i trzeba osobnym ustawieniem je wyczyścić lub zamaskować. (Configure the sandboxed Bash tool - Claude Code Docs) W Codex odpowiednikiem jest polityka środowiska powłoki, w której ignore_default_excludes domyślnie ma wartość true, czyli automatyczne odfiltrowywanie nazw zawierających KEY, SECRET i TOKEN jest domyślnie pominięte i trzeba je włączyć świadomie. (Config basics | ChatGPT Learn) Warto przy tym pamiętać, że same poświadczenia narzędzia leżą na tym samym dysku i są chronione środkami systemu: na macOS trafiają do zaszyfrowanego pęku kluczy, na Linuksie do pliku ~/.claude/.credentials.json z prawami 0600, a w Windows do pliku w profilu użytkownika, który dziedziczy jego uprawnienia. (Authentication - Claude Code Docs) To ochrona przed innym kontem na tej samej maszynie, nie przed procesem działającym jako ten sam użytkownik.

Osobna kategoria to polecenia, których nikt nie chce zobaczyć wykonane pomyłkowo. Claude Code utrzymuje listę ścieżek krytycznych - korzeń systemu plików i jego katalogi pierwszego poziomu, katalog domowy, korzenie dysków w Windows i ich katalogi pierwszego poziomu, katalog roboczy i jego katalogi nadrzędne - dla których usunięcie nigdy nie jest automatycznie zatwierdzane regułą zezwalającą ani hakiem: w trybach pytających trafia do użytkownika, w trybie automatycznym do klasyfikatora, a w trybie dontAsk jest odrzucane. W bypassPermissions, czyli w trybie, w którym reszta działań idzie bez pytania, usunięcie ze ścieżki krytycznej jako jedyne nadal wymaga zgody użytkownika. Dokumentacja opisuje przy okazji rzecz, która mówi więcej o realiach niż o samym narzędziu: konstrukcja rm -rf "$DIR"/* jest traktowana jak usunięcie ze ścieżki krytycznej, ponieważ przy pustej zmiennej staje się usunięciem z korzenia. (Choose a permission mode - Claude Code Docs) To nie jest zabezpieczenie przed złośliwym agentem. To zabezpieczenie przed zwykłym błędem w skrypcie, znanym administratorom od dekad i teraz generowanym szybciej.

Zasięg rażenia jest tu jednak w miarę uchwytny i - co najważniejsze - w większości odwracalny. Repozytorium z historią Git wybacza prawie wszystko. Katalog bez kopii zapasowej nie wybacza nic. To rozróżnienie, a nie tryb sandboksu, decyduje o tym, czy zgoda na pracę na plikach jest rozsądna.

Poczta: pierwszy zakres, w którym błąd wychodzi na zewnątrz

Skrzynka pocztowa zmienia charakter problemu z dwóch powodów naraz i oba są niezależne od jakości modelu.

Po pierwsze, poczta jest archiwum tożsamości. Leżą w niej linki resetujące hasła, kody jednorazowe, faktury, umowy, korespondencja innych osób, która trafiła tam bez ich udziału. Odczyt skrzynki to nie jest odczyt jednego zasobu, to odczyt klucza do większości pozostałych kont.

Po drugie, treść poczty pochodzi od obcych. To jedyny zakres, w którym każdy człowiek na świecie może wstawić dowolny tekst do kontekstu przetwarzanego przez agenta, bez żadnej uprzedniej zgody odbiorcy. Anthropic używa dokładnie tego przykładu, opisując zagrożenie: użytkownik prosi o przejrzenie ostatnich wiadomości i przygotowanie odpowiedzi na zaproszenia na spotkania, jedna z wiadomości zawiera ukryte instrukcje - na przykład białym tekstem - polecające przesłanie na zewnętrzny adres korespondencji zawierającej słowo „poufne”, i wykonanie kończy się wyciekiem danych, podczas gdy użytkownik czeka na wersje robocze odpowiedzi. (Mitigating the risk of prompt injections in browser use - Anthropic)

Jest w tym przykładzie szczegół, który łatwo przeoczyć. Atak nie wymaga przełamania żadnego zabezpieczenia. Agent ma prawo czytać skrzynkę, bo użytkownik mu je dał, i ma prawo wysyłać wiadomości, bo bez tego nie odpisze na zaproszenie. Wykonuje więc czynności mieszczące się w nadanych uprawnieniach, tyle że zlecone przez kogoś innego. Z punktu widzenia serwera pocztowego nie wydarzyło się nic nietypowego: zalogowany użytkownik przesłał dalej kilka swoich wiadomości.

Przeglądarka: zasięg równy liczbie aktywnych sesji

Przeglądarka jest zakresem najszerszym, bo jest jednocześnie największą powierzchnią wejścia i największym zbiorem uprawnień. Anthropic wymienia oba te powiększenia ryzyka wprost: powierzchnia ataku jest ogromna, bo każda strona, osadzony dokument, reklama i dynamicznie ładowany skrypt są potencjalnym nośnikiem instrukcji, a agent przeglądarkowy dysponuje szerokim zestawem działań - nawigacją, wypełnianiem formularzy, klikaniem, pobieraniem plików - które można wykorzystać po przejęciu kontroli nad jego zachowaniem. (Mitigating the risk of prompt injections in browser use - Anthropic)

Do tego dochodzi rzecz rzadko wymieniana w materiałach marketingowych, a opisana w dokumentacji pomocy: żeby zobaczyć stronę i zdecydować, co dalej, rozszerzenie wykonuje zrzuty ekranu kart, w których pracuje, wszystko widoczne w takiej karcie staje się częścią rozmowy, a model nie ma możliwości odfiltrowania z tego treści wrażliwych. Producent zaleca w konsekwencji osobny profil przeglądarki bez dostępu do kont wrażliwych i odradza używanie rozszerzenia na stronach z danymi regulowanymi. (Use Claude in Chrome safely | Claude Help Center)

Ta rekomendacja jest ciekawsza, niż wygląda. Producent nie mówi „ustaw odpowiedni tryb”, tylko „użyj innej przeglądarki”. To przyznanie, że najskuteczniejszą granicą dla agenta przeglądarkowego nie jest żaden przełącznik w agencie, tylko oddzielenie zbioru sesji, do których w ogóle może sięgnąć. Lista zachowań zabronionych w tym samym dokumencie - między innymi obrót instrumentami finansowymi, obchodzenie CAPTCHA, wprowadzanie danych wrażliwych i zbieranie wizerunków twarzy - jest zapisana jako reguła produktu, nie jako techniczna niemożliwość. (Use Claude in Chrome safely | Claude Help Center)

Warto też zauważyć, jak szybko zmienia się tu grunt. Przeglądarka ChatGPT Atlas, ogłoszona w październiku 2025 roku jako przeglądarka z wbudowanym ChatGPT i trybem agentowym (Introducing ChatGPT Atlas | OpenAI), została w międzyczasie wycofana: producent zapowiada przeniesienie funkcji agentowych do ChatGPT i Codex, a sam Atlas ma przestać działać 9 sierpnia 2026 roku. (Evolving Atlas into ChatGPT for browser-based agentic work | OpenAI Help Center) Dla oceny ryzyka to osobny wniosek: zakres, który powierza się produktowi, i tak trzeba będzie zrewidować, bo produkt może przestać istnieć w obecnej formie szybciej, niż zmieni się nawyk korzystania z niego.

Trzy granice i to, czego nie obiecują

Dalszy opis dotyczy dwóch konkretnych narzędzi - Claude Code i Codex - których dokumentacja jest publiczna i szczegółowa na tyle, że da się w niej sprawdzić granice zamiast je zgadywać. To nie jest opis wszystkich agentów na rynku; inne produkty mogą stawiać te granice inaczej albo nie opisywać ich wcale.

Sandbox ogranicza miejsce, nie autorytet

Sandbox to izolacja systemowa: zestaw reguł, których pilnuje system operacyjny, a nie model. W Claude Code obejmuje podprocesy powłoki, korzysta z Seatbelt na macOS oraz z pakietów bubblewrap i socat na Linux i WSL2, a natywny Windows nie jest wspierany. (Configure the sandboxed Bash tool - Claude Code Docs) W Codex politykę wymuszają mechanizmy systemowe, a domyślne ustawienia to brak dostępu do sieci i zapis ograniczony do obszaru roboczego. (Agent approvals & security | ChatGPT Learn)

Trzy rzeczy w dokumentacji sandboksu warto przeczytać uważniej niż resztę.

Pierwsza dotyczy zasięgu. Sandbox izoluje podprocesy powłoki. Wbudowane narzędzia plikowe - odczyt, edycja, zapis - działają przez system uprawnień, a nie przez sandbox. Sterowanie komputerem, gdy agent otwiera aplikacje i kontroluje ekran, dzieje się na prawdziwym pulpicie, nie w izolowanym środowisku. (Configure the sandboxed Bash tool - Claude Code Docs) Zdanie „polecenia działają w sandboksie” nie znaczy więc „agent działa w sandboksie”.

Druga dotyczy zachowania przy awarii. Domyślnie, gdy sandbox nie może wystartować, bo brakuje zależności albo platforma nie jest wspierana, narzędzie pokazuje ostrzeżenie i uruchamia polecenia bez izolacji; zmiana tego w twardy błąd wymaga ustawienia sandbox.failIfUnavailable na true, przewidzianego dla wdrożeń zarządzanych. (Configure the sandboxed Bash tool - Claude Code Docs) Domyślna konfiguracja stawia więc na ciągłość pracy, nie na twardą gwarancję izolacji - co jest sensownym wyborem produktowym i jednocześnie czymś, o czym trzeba wiedzieć, zanim uzna się sandbox za zabezpieczenie, na którym można polegać. Ta sama dokumentacja opisuje drugą, częściej używaną furtkę: polecenie, które w sandboksie nie przechodzi, może zostać powtórzone z parametrem dangerouslyDisableSandbox i wykonać się poza izolacją, przez zwykły tryb uprawnień - w trybie ręcznym z pytaniem, w automatycznym z oceną klasyfikatora. Producent nazywa to wprost furtką ewakuacyjną i pozwala ją zamknąć ustawieniem allowUnsandboxedCommands na false. (Configure the sandboxed Bash tool - Claude Code Docs)

Trzecia dotyczy dwóch warstw naraz. Producent zaznacza, że skuteczna izolacja wymaga jednocześnie ograniczeń na plikach i na sieci: bez izolacji sieciowej przejęty agent mógłby wynieść wrażliwe pliki, na przykład klucze SSH, a bez izolacji plików mógłby zmodyfikować zasoby systemowe tak, by odzyskać dostęp do sieci. Poszerzając którąkolwiek ze stron, trzeba sprawdzić, czy nie unieważnia się drugiej. (Configure the sandboxed Bash tool - Claude Code Docs) To rzadko spotykana szczerość w dokumentacji produktowej i najlepszy dowód, że sandbox jest konstrukcją, którą da się rozszczelnić własnymi ustawieniami.

Zatwierdzenia przenoszą decyzję, ale nie tworzą kompetencji

Drugą granicą są polityki zatwierdzeń. Claude Code ma sześć trybów: default (w interfejsie nazwany Manual, wykonuje bez pytania tylko odczyty), acceptEdits, plan, auto, dontAsk i bypassPermissions. Na planach Pro, Max i Team wbudowanym trybem startowym w sesjach terminalowych i w rozszerzeniu VS Code jest tryb automatyczny, w którym działania ocenia osobny model klasyfikatora zamiast użytkownika; poza tymi przypadkami - między innymi w wywołaniach claude -p, w Agent SDK, u dostawców chmurowych, na planie Enterprise, przy kluczu API, przy wyłączonym pobieraniu flag funkcji, a także w pierwszej sesji po instalacji lub aktualizacji - trybem startowym pozostaje tryb ręczny. (Choose a permission mode - Claude Code Docs) Codex ma odpowiedniki w postaci polityk untrusted, on-request i never oraz profili uprawnień :read-only, :workspace i :danger-full-access. (Config basics | ChatGPT Learn)

Model zatwierdzeń ma dwie znane słabości i obie są opisane przez producentów.

Pierwsza to zmęczenie pytaniami. Anthropic wymienia je wprost jako problem, przeciw któremu wprowadzono listy dozwolonych poleceń. (Security - Claude Code Docs) Mechanizm jest oczywisty: przy trzydziestym pytaniu w ciągu godziny zatwierdzenie przestaje być decyzją, a staje się odruchem. Każde narzędzie, które redukuje liczbę pytań, jednocześnie zmniejsza liczbę realnych kontroli - to nie wada implementacji, tylko koszt wpisany w konstrukcję.

Druga to przesunięcie oceniającego. W trybie automatycznym decyzję podejmuje klasyfikator, czyli kolejny model. Reguły jawnie zakazujące nadal obowiązują, a organizacja może ten tryb wyłączyć. (Security - Claude Code Docs) Ale zamiana człowieka na model w roli strażnika oznacza, że ochrona przed atakiem na model opiera się częściowo na kolejnym modelu.

Codex dokłada do tego trzecią warstwę, opisaną z rzadko spotykaną precyzją co do jej ograniczeń: monitorowanie bezpieczeństwa w GPT-6 Astra działa asynchronicznie i może wstrzymać zadanie po wykryciu potencjalnie niebezpiecznego zachowania, przy czym wstrzymanie może nadejść już po czynności, która je wywołała, a monitorowanie nie zastępuje sandboksu, uprawnień ani przeglądu wyniku. W Codex CLI i na urządzeniach mobilnych pełne wyniki i wznowienie nie są dostępne, a zadanie po prostu się kończy. (Agent approvals & security | ChatGPT Learn) Zabezpieczenie działające po fakcie jest przydatne przy ograniczaniu strat i bezużyteczne przy zapobieganiu im.

Prompt injection: producenci mierzą to ryzyko i nie deklarują jego zniesienia

Trzecia granica jest tą, która nie domyka się z definicji. Prompt injection to wstrzyknięcie instrukcji w treść, którą model przetwarza, tak by potraktował je jak polecenie użytkownika. Anthropic opisuje trzy warstwy obrony: trening przez uczenie ze wzmocnieniem, w którym model dostaje nagrodę za rozpoznanie i odmowę wykonania złośliwych instrukcji, także wtedy, gdy brzmią autorytatywnie lub pilnie; klasyfikatory skanujące całą niezaufaną treść wchodzącą do kontekstu; oraz stałe testy prowadzone przez zespoły ludzkie, uzupełnione udziałem w zewnętrznych zawodach porównawczych. (Mitigating the risk of prompt injections in browser use - Anthropic)

Najciekawsze w tych materiałach są jednak nie mechanizmy, tylko formułowane obok nich zastrzeżenia. Wpis z 24 listopada 2025 roku mówi, że prompt injection jest daleki od rozwiązania, zwłaszcza w miarę jak modele podejmują coraz więcej działań w świecie rzeczywistym, a przy skuteczności ataku na poziomie jednego procenta dodaje wprost: jednoprocentowa skuteczność, choć jest istotną poprawą, wciąż oznacza realne ryzyko, żaden agent przeglądarkowy nie jest odporny na prompt injection, a wyniki publikowane są po to, by pokazać postęp, nie po to, by ogłosić rozwiązanie problemu. (Mitigating the risk of prompt injections in browser use - Anthropic) Aktualna strona pomocy podaje inną, niższą liczbę - poniżej 0,08 procent skuteczności w wewnętrznych testach łączących znane skuteczne techniki, dla Claude Opus 4.8 - i natychmiast po niej powtarza to samo zastrzeżenie: ryzyko nie jest zerowe, mogą pojawić się nowe ataki, których ewaluacje nie objęły, a udany atak może prowadzić do wycieku danych. (Use Claude in Chrome safely | Claude Help Center)

Dwie uwagi metodologiczne, które warto zrobić samodzielnie, zanim te liczby zaczną wędrować bez kontekstu. Po pierwsze, obie pochodzą z testów wewnętrznych producenta, z jego własnym zestawem technik i jego własną definicją sukcesu ataku - to nie są wyniki niezależnego audytu i nie należy ich zestawiać z niczym innym jako punktów na wspólnej skali. Po drugie, procent liczy się względem prób, a nie względem skutków. Przy zadaniach wykonywanych codziennie, na wielu stronach, przez wiele miesięcy, mała wartość procentowa nie znaczy „prawie nigdy”, tylko „rzadko, ale w skali, w której rzadkie zdarzenia i tak zachodzą”. Konsekwencje pojedynczego trafienia nie skalują się przy tym w dół razem z prawdopodobieństwem: wyciek archiwum poczty jest tak samo dotkliwy niezależnie od tego, za którym razem nastąpił.

Osobno warto odnotować, że część ryzyka nie dotyczy wcale modelu. Znane publicznie problemy rozszerzenia przeglądarkowego Anthropic były błędami w warstwie integracji, nie w rozumowaniu modelu. ShadowPrompt, opisany przez zespół Koi Security, łączył nadmiernie szeroką listę zaufanych źródeł w rozszerzeniu - dopasowanie wieloznacznikiem *.claude.ai - z podatnością XSS w komponencie CAPTCHA firmy trzeciej hostowanym na subdomenie a-cdn.claude.ai; w efekcie dowolna strona mogła podstawić rozszerzeniu polecenie tak, jakby wpisał je użytkownik. Zgłaszający podaje, że Anthropic wdrożył poprawkę wymuszającą ścisłe sprawdzanie źródła. (ShadowPrompt: How Any Website Could Have Hijacked Claude's Chrome Extension - Koi Security) ClaudeBleed, zgłoszony przez LayerX, to inny przypadek: rozszerzenie ufało pochodzeniu komunikatu z domeny claude.ai zamiast kontekstowi jego wykonania, przez co polecenia mogło mu wydać dowolne inne rozszerzenie, także takie bez żadnych uprawnień. (Vulnerability in Claude Extension for Chrome Exposes AI Agent to Takeover - SecurityWeek) Opis ShadowPrompt pochodzi od zespołu, który go zgłosił, opis ClaudeBleed z relacji prasowej cytującej zgłaszającego; żaden z nich nie jest komunikatem producenta i tak trzeba je traktować. Podstawowy wniosek jest jednak niezależny od szczegółów obu spraw: odporność modelu na wstrzykiwanie instrukcji nie chroni przed kanałem, którym instrukcje docierają do niego z pominięciem tej oceny - na co zwraca uwagę też autor zestawienia obu przypadków. (Claude Chrome Extension: The 17% Nobody Is Quoting)

Co właściwie zmienia rachunek

Skoro żadna z trzech granic nie jest absolutna, decyzja nie może brzmieć „ufam” albo „nie ufam”. Sensowniejsze są cztery pytania, na które odpowiedź zależy od konkretnego zastosowania, nie od producenta.

Czy skutek jest odwracalny? Zmiana w repozytorium z historią, na gałęzi roboczej, jest odwracalna jednym poleceniem. Wysłana wiadomość nie jest. Zatwierdzony przelew nie jest. Opublikowany wpis nie jest. Ta granica przebiega w poprzek wszystkich trybów uprawnień i jest jedyną, która nie zależy od jakości implementacji.

Czy treść wejściowa pochodzi od obcych? Kod we własnym repozytorium jest treścią zaufaną w innym stopniu niż skrzynka pocztowa albo dowolna strona z treściami użytkowników. Producent zaleca tu dokładnie to: zaczynać od stron zaufanych i unikać nieznanych witryn oraz serwisów z treściami tworzonymi przez nieznane osoby. (Use Claude in Chrome safely | Claude Help Center)

Czy da się zawęzić tożsamość, a nie tylko uprawnienia? Osobny profil przeglądarki, osobne konto pocztowe do zadań automatycznych, klucz API o wąskim zakresie zamiast klucza uniwersalnego - to działa niezależnie od tego, co zrobi model, bo zmniejsza zbiór rzeczy osiągalnych z danej sesji. Anthropic zaleca osobny profil, a dla organizacji restrykcyjną listę dozwolonych domen. (Use Claude in Chrome safely | Claude Help Center) 1Password dla Claude jest wariantem tej samej idei na poziomie poświadczeń: logowanie wypełnia menedżer haseł, a hasła i kody jednorazowe nie trafiają do kontekstu modelu. (Use Claude in Chrome safely | Claude Help Center)

Czy dałoby się zauważyć, że coś poszło nie tak? To pytanie zwykle przegrywa z pozostałymi, a decyduje o wielkości szkody. Codex ma opcjonalną telemetrię OpenTelemetry z kategoriami zdarzeń obejmującymi między innymi decyzje o zatwierdzeniu narzędzi wraz ze źródłem decyzji: z konfiguracji lub od użytkownika, przy czym producent zaleca trzymanie log_user_prompt = false, bo treść zapytań bywa wrażliwa, i zaznacza, że telemetria uzupełnia, a nie zastępuje sandbox i zatwierdzenia. (Agent approvals & security | ChatGPT Learn) Bez czegoś takiego jedynym sygnałem pozostaje zachowanie samego agenta, a producent podpowiada, na co patrzeć: nagła zmiana tematu, wejście na nieoczekiwane strony, prośba o dane wrażliwe - i zalecenie natychmiastowego przerwania zadania. (Use Claude in Chrome safely | Claude Help Center)

Wnioski warunkowe

Odpowiedź na pytanie z tytułu zależy nie od agenta, tylko od tego, co dokładnie oznacza „własny komputer” w konkretnym przypadku.

Praca na plikach projektu objętego kontrolą wersji, z jawnie ograniczonym katalogiem, wyczyszczonymi zmiennymi z poświadczeniami i wyłączonym dostępem do sieci to zakres, w którym granice są dobrze opisane, skutki odwracalne, a treść wejściowa w większości własna. Ryzyko sprowadza się tu głównie do pomyłek, przed którymi chronią te same mechanizmy co zawsze: historia zmian i kopia zapasowa.

Praca na skrzynce pocztowej przenosi problem na inny poziom, bo treść wejściowa pochodzi od dowolnych osób, a część działań jest nieodwracalna. Zakres wyłącznie odczytowy, na koncie o ograniczonym dostępie, jest jakościowo czymś innym niż zakres obejmujący wysyłkę - i to rozróżnienie znaczy tu więcej niż wybór narzędzia.

Praca w przeglądarce zalogowanej do kont osobistych jest zakresem, przed którym najwyraźniej ostrzega sam producent, wymieniając konta finansowe, dokumenty prawne, dane medyczne i firmowe konta z danymi wrażliwymi jako obszary, do których stanowczo odradza używanie rozszerzenia. (Use Claude in Chrome safely | Claude Help Center) Sensowną wersją tego zakresu jest osobny profil przeglądarki bez dostępu do niczego, na czym zależy - czyli świadome zbudowanie środowiska o małym zasięgu rażenia, zamiast liczenia na to, że mechanizmy ochronne wytrzymają w środowisku o dużym.

Powtarzająca się we wszystkich trzech przypadkach zasada jest jedna i nie jest szczególnie nowa: agentowi nie powierza się komputera, tylko konkretny, wąski zakres uprawnień na konkretnym koncie, na czas konkretnego zadania. Producenci zbudowali narzędzia, które taki podział umożliwiają, opisali jego granice i - co warto docenić - opisali też, gdzie te granice się kończą. Reszta jest decyzją użytkownika o tym, ile jest gotów stracić, gdy statystyka trafi tym jednym procentem w niego.

Źródła

• Security - Claude Code Docs
• Configure the sandboxed Bash tool - Claude Code Docs
• Choose a permission mode - Claude Code Docs
• Authentication - Claude Code Docs
• Use Claude in Chrome safely | Claude Help Center
• Mitigating the risk of prompt injections in browser use - Anthropic
• Agent approvals & security | ChatGPT Learn
• Config basics | ChatGPT Learn
• Introducing ChatGPT Atlas | OpenAI
• Evolving Atlas into ChatGPT for browser-based agentic work | OpenAI Help Center
• ShadowPrompt: How Any Website Could Have Hijacked Claude's Chrome Extension - Koi Security
• Claude Chrome Extension: The 17% Nobody Is Quoting
• Vulnerability in Claude Extension for Chrome Exposes AI Agent to Takeover - SecurityWeek