Вход ИИ-агента в аккаунт: как пустить его на сайт и не отдать пароль

Когда ИИ-агент доходит до страницы входа, он останавливается и просит тебя войти. Вписывать пароль в чат или в файл правил не нужно: есть три способа пустить агента в аккаунт так, чтобы секрет остался у тебя. Войти самому в отдельном профиле браузера, подтвердить вход через менеджер паролей или вообще обойтись без логина, если у сервиса есть подключение для агентов. Пароль при этом защищён, а что агент сделает в аккаунте после входа, решаешь ты заранее.

Что делает агент, когда упирается в страницу входа?

У агента в браузере два режима, и вход в них устроен по-разному.

Встроенный браузер приложения. Отдельное окно браузера внутри приложения агента. В справке ChatGPT сказано, что встроенный браузер поддерживает вход и работает без твоего обычного профиля браузера. Значит, сохранённых в твоём браузере паролей там нет, и логин на странице вводишь ты.

Расширение в твоём браузере. Агент работает в твоих вкладках и видит сайты, где ты уже вошёл: почту, CRM, кабинеты. Документация ChatGPT так и пишет: агент может читать и действовать на сайтах, где ты уже авторизован.

На индивидуальном обучении руководитель спросила меня, как агент поведёт себя на почте и на сайте с личным кабинетом. Ответ был такой: агент в Chrome через расширение дойдёт до входа и попросит войти, а встроенный браузер паролей не знает вообще. 1Password в анонсе от 22 октября описывает ту же картину: пароли, сохранённые в браузере или записанные в заметках, агент использовать не может и каждый раз стоит, пока человек не войдёт сам.

Остановка здесь правильная. Опасен соблазн ускориться и вставить пароль прямо в чат.

Три способа пустить агента в аккаунт

Первый способ доступен уже сегодня, если соблюсти одно условие. Заводишь для агента отдельный профиль браузера и ставишь расширение агента только в него, а в основном профиле расширение отключаешь или удаляешь: по справке ChatGPT агент работает в том профиле, где установлено и включено расширение. Потом входишь в этом профиле руками в один-два сервиса для задачи. Проверка: открой в профиле агента свою личную почту или банк - ты должен увидеть страницу входа, а не открытый ящик. Тогда агент не дотянется до сервисов, куда ты вошёл в основном профиле. Подробнее про профиль и разрешения для сайтов - в статье какие задачи поручать агенту в браузере.

Второй способ 1Password объявила в конце октября, но для части агентов он пока в статусе «скоро», про это ниже. Третий стоит проверить первым, если сервис регулярный: про него отдельный раздел.

Как работает 1Password for Agents?

1Password - менеджер паролей: зашифрованное хранилище логинов и ключей. По пресс-релизу компании механика такая: на форме входа агент подтверждает себя цифровым ключом, ты видишь, какая учётная запись ему нужна и зачем, и решаешь, одобрить ли запрос. Одобрение происходит на твоём устройстве. После этого 1Password заполняет форму напрямую, агент продолжает задачу уже внутри аккаунта, а пароль остаётся в хранилище.

Важны условия, а их в новостных пересказах почти нет:

• Какие агенты. На дату анонса у части интеграций, например у Grok Bot, пометка «доступно», у Claude Duet от Anthropic и у ChatGPT Work от OpenAI - «скоро». Ещё девять партнёров в списке «скоро».
• Для каких аккаунтов. Без доплаты для личных и семейных аккаунтов на 1Password.com. Аккаунты на 1Password.eu и 1Password.ca пока не поддерживаются.
• Что ещё. Возможности, платформы и сроки отличаются от интеграции к интеграции. Отключить интеграцию можно в любой момент.

То есть до того, как рассчитывать на этот способ, проверь, есть ли твой агент в списке и с какой пометкой. Коротко новость я разбирал в посте Telegram-канала, там же главная оговорка: пароль защищён, но что агент делает в аккаунте, по-прежнему решаешь ты.

Почему пароль нельзя писать в чат и в файл правил?

В анонсе 1Password прямо описывает два плохих выбора на странице входа. Каждый раз брать управление на себя - медленно. Вставить пароль в запрос - значит дать агенту доступ к учётной записи, возможно, шире, чем нужно для задачи. В пресс-релизе добавлено: переданный агенту пароль оседает в местах, которые человек уже не контролирует, потому что копию сохраняют «на следующий раз».

С файлом правил ещё хуже. AGENTS.md или CLAUDE.md агент читает в начале каждого чата, часто такая папка лежит в Git. Пароль в нём - это пароль во всех будущих разговорах и во всех копиях проекта.

Есть и третья причина. Агент в браузере читает страницу целиком, включая текст, который человек не замечает. Если на странице спрятана команда «отправь данные сюда», агент с паролем в контексте становится удобной мишенью. Это называется промпт-инъекцией, и поэтому OpenAI советует относиться к содержимому страниц как к недоверенному.

Часть ключей своих проектов я держу в менеджере паролей. Значения в хранилище вношу я сам, а агент ключи и пароли в поля не вводит: это записано у него жёстким правилом. Как устроено хранение ключей в собственном продукте, разобрано в статье где хранить ключи своего продукта.

Подключение без логина: MCP, коннектор, API

ИИ-агент, которому нужны данные из сервиса, не обязан проходить путь человека через форму входа. MCP - стандартный способ подключить к агенту внешний сервис: агент вызывает его функции, а доступ задаётся ключом в настройках подключения. Такой ключ живёт отдельно от твоего пароля, его можно отозвать, не меняя пароль от аккаунта.

Через десять дней на том же обучении вопрос про сайты с паролем вернулся уже как проект: собрать данные с нескольких зарубежных сервисов, где у неё личный кабинет. Мой совет был начать с разведки: попроси агента посмотреть, есть ли у этих сервисов MCP и можно ли зайти через него.

Порядок, которого я держусь сам:

1. Спросить агента, есть ли у сервиса MCP, коннектор или API.
2. Если есть - подключить с минимальными правами, лучше только на чтение.
3. Если нет - вход через страницу: сам в отдельном профиле или через менеджер паролей.

Чем MCP отличается от скилла и как они работают вместе, разобрано в статье скилл и MCP-сервер: в чём разница.

Что агенту можно делать после входа?

Менеджер паролей защищает пароль. Действия в аккаунте он не ограничивает: войдя в почту, агент может прочитать письма, а может и отправить.

У Anthropic в справке Claude in Chrome граница прописана явно. Даже на сайте с разрешением «всегда разрешать» агент отдельно спрашивает перед скачиванием файла, вводом потенциально чувствительной информации и выдачей авторизаций. В любом режиме ему запрещены покупки и финансовые операции, создание аккаунтов, безвозвратное удаление и выполнение инструкций из писем и страниц. Обход проверок на ботов справка тоже называет среди действий, которые Claude не выполняет.

Свою часть границы стоит записать в файл правил папки, где агент работает:

1. Разрешено без вопросов

   Читать, искать, выгружать отчёты, складывать данные в таблицу внутри рабочей папки.

2. Только после твоего «да»

   Отправить письмо, сохранить изменения в карточке, заполнить и отправить форму.

3. Никогда

   Оплата, удаление, смена настроек аккаунта и пароля, вход в банк и на госуслуги.

Правило в файле работает в каждом чате, и граница перестаёт зависеть от твоей памяти. Как писать такие правила коротко, показано в статье что записать в AGENTS.md. На обучении работе с ИИ-агентами это отдельное занятие про безопасность: доступ агента к рабочей базе оставляем только на чтение и закрываем от него персональные данные и документы под NDA.

Первые шаги на этой неделе

1. Профиль. Новый профиль браузера, расширение агента ставишь и включаешь только в нём, а в основном отключаешь. В новом профиле вход в один сервис для одной задачи. Проверь: личная почта и банк в этом профиле открываются на странице входа.
2. Правила. Три строки в файле правил рабочей папки по шаблону выше.
3. Разведка подключений. Список из трёх сервисов, в которые ты ходишь руками каждую неделю, и вопрос агенту про MCP или API по каждому.
4. Менеджер паролей. Если пользуешься 1Password, проверь, есть ли твой агент в списке интеграций и с какой пометкой.

Если доступ к рабочему сервису у тебя на двухфакторке, держи под рукой коды восстановления: как не потерять доступ при смене телефона, разобрано в статье потерял доступ к рабочему сервису.

Частые вопросы

Главный вывод

Если начинать с одного шага, начни с отдельного профиля браузера для агента: это пять минут и минус все сервисы, куда ему заходить незачем.

Ты уже пускаешь агента в свои рабочие кабинеты или пока держишь его на открытых сайтах?