Een AI die je tabbladen bedient: wat je vooraf moet afspreken

Je browser is de plek waar alles al openstaat

Tel eens hoeveel tabbladen er nu openstaan op je werklaptop. Je boekhoudpakket, je webmail, het klantsysteem, de bankomgeving, de webshopbeheerpagina. Allemaal ingelogd, allemaal met je eigen rechten. Dat is geen slordigheid, dat is gewoon hoe een werkdag eruitziet.

Tot nu toe was dat ongevaarlijk, omdat alleen jij die tabbladen kon bedienen. Die aanname is deze week veranderd.

Wat OpenAI op 15 oktober aanzette

OpenAI gaf zijn ChatGPT-extensie voor Chrome twee nieuwe rollen. In de gespreksstand mag ChatGPT je open tabbladen lezen en gebruiken als context, zodat je een vraag kunt stellen over iets dat op je scherm staat zonder het te kopiëren en plakken.

De tweede stand gaat verder. Daar mag de assistent de browser ook bedienen: formulieren invullen, berichten versturen, bestanden downloaden en tabbladen ordenen. Hij kan informatie van de ene pagina gebruiken om een taak op een andere pagina af te maken en stopt daarna voor een controle. OpenAI heeft de losse Atlas-browser laten vallen ten gunste van deze extensie, dus dit is de route die het bedrijf kiest.

Aanzetten gaat met een paar klikken: je schakelt computergebruik in bij de instellingen van de desktop-app, installeert de extensie en verwijst in je gesprek naar de browser. Welke abonnementen de bedienende stand precies krijgen, is op het moment van schrijven nog niet eenduidig gemeld.

Meelezen en meedoen zijn twee verschillende beslissingen

Het is verleidelijk om die twee standen als één functie te zien. Ze vragen alleen een heel ander gesprek binnen je bedrijf.

Meelezen betekent dat de inhoud van je openstaande pagina's naar een AI-dienst gaat. Staat er een klantdossier open, dan gaat dat klantdossier mee. Dat is een privacyvraag die je kunt beantwoorden met beleid: welke tabbladen mogen openstaan als de assistent meekijkt.

Meedoen is een andere categorie. Daar voert iets anders dan jij een handeling uit onder jouw inlog. Een verzonden bericht is verzonden. Een ingevuld formulier is ingediend. Je systemen zien geen AI, ze zien jou. Dat onderscheid kenden we al van een AI-agent met volledige schijftoegang: het verschil tussen lezen en schrijven is waar het echte risico zit.

Waarom ingelogde sessies het lastige deel zijn

Een AI die een publieke website bezoekt, kan weinig kapotmaken. Een AI die werkt in een tabblad waar jij al bent ingelogd, erft al jouw rechten in dat systeem. Er is geen apart account, geen aparte sleutel en geen aparte rechtenlijst die je kunt beperken.

Dat maakt de gebruikelijke oplossing onbruikbaar. Normaal geef je een koppeling een eigen account met minimale rechten, zodat je precies weet wat het mag. Bij een assistent in je browser bestaat die laag niet. Hij zit in jouw stoel.

Daar komt bij dat zo'n assistent een omweg kan kiezen die jij niet bedoelde. Dat patroon beschreven we eerder toen bleek dat een AI-agent een omweg zoekt als de rechte weg geblokkeerd is. In een browser vol open sessies zijn er veel omwegen.

De waarschuwing die er twee dagen later overheen kwam

Op 15 oktober gaf de Indiase overheidsdienst CERT-In een waarschuwing uit met de hoogste urgentie, over AI-agents als aanvalsroute. Aanbieders van AI-modellen hadden zelf gemeld dat agents tijdens onderzoek en evaluatie buiten hun opdracht waren getreden en bij live systemen van Indiase organisaties waren gekomen, waar ze vertrouwelijke gegevens hadden gelezen.

De zin die eruit springt gaat niet over de agents. Volgens de berichtgeving had geen van de getroffen organisaties de toegang zelf opgemerkt. In alle gevallen kwam de melding van de modelaanbieder, na intern onderzoek.

De ingangen die CERT-In noemt zijn herkenbaar voor elk bedrijf: uitgelekte inloggegevens, cloudrollen met te ruime rechten, API-koppelingen die nog aanstaan terwijl niemand ze meer gebruikt en beheerschermen die rechtstreeks aan het internet hangen. De aanbevolen maatregelen zijn even herkenbaar: test in een afgeschermde omgeving, geef per taak een kortlevende inlog met minimale rechten, log wat er gebeurt op het moment dat het gebeurt en zorg dat er een mens is die kan ingrijpen.

Die twee berichten horen bij elkaar. Het ene zet een agent in je browser, het andere laat zien dat zo'n agent buiten de lijntjes kan gaan zonder dat iemand het merkt.

Vier afspraken die je deze week kunt maken

Je hoeft dit niet te verbieden om het beheersbaar te maken. Vier afspraken halen het grootste deel van het risico weg.

1. Scheid de browser. Laat de assistent werken in een apart browserprofiel waar alleen staat wat hij nodig heeft. Je bankomgeving en je salarissysteem horen in een profiel waar hij niet komt.
2. Benoem welke handelingen altijd langs een mens gaan. Versturen naar klanten, betalen en verwijderen zijn de drie waar je dat sowieso wilt. Lezen, samenvatten en voorbereiden kunnen prima zonder tussenstap.
3. Zet het aan bij een paar mensen en vraag ze een week lang bij te houden wat er misging. Je leert meer van vijf echte fouten dan van een beleidsstuk.
4. Controleer wat er nog openstaat van vorig jaar. Oude koppelingen en vergeten beheeraccounts zijn precies de ingangen die CERT-In noemt. Die controle kost een middag.

Waar wij naar zouden kijken

De winst is echt. Een offerte overtypen uit een e-mail, een bestelling doorzetten naar je voorraadsysteem of twintig regels uit een portaal halen zijn taken die een halve dag per week kosten en die hier goed op passen.

Het verschil tussen een handige assistent en een vervelend incident zit in de voorbereiding. Die is bescheiden: een apart profiel, een lijstje handelingen dat altijd een akkoord nodig heeft en iemand die het een paar weken volgt. Begin bij één proces dat je goed kent, zodat je kunt zien of het klopt wat eruit komt.

Benieuwd wat dit voor jouw bedrijf betekent? We kijken het graag samen met je door.