ego lite: ИИ-агент в вашем браузере с вашими куками, что ограничить

Агент заходит туда, куда заходите вы

В Telegram-канале GitHub Radar 29 октября 2026 года вышел пост про ego lite. Агент работает в браузере, пока вы заняты своим. Меня зацепила фраза, что он получает ваши реальные сессии, куки и вкладки.

Сессия в банк-клиенте, рекламном кабинете, CRM или админке сайта сайту выглядит как вы. Агент с вашими куками тоже выглядит как вы, и права у него те же. Похожую ситуацию с расширением, которое читает вкладки, я разбирал в статье ChatGPT для Chrome. Здесь другой продукт.

Что это и что я проверил

Проверял 31.10.2026. Репозиторий citrolabs/ego-lite существует, владелец организация citrolabs. Файл LICENSE содержит текст MIT, copyright 2026 CitroLabs. README уточняет: MIT относится к содержимому репозитория, а сам браузер ego lite распространяется отдельной бесплатной загрузкой. Под какой лицензией он, из репозитория не следует. Репозиторий не архивирован, около 20,9 тысячи звёзд, 465 коммитов в main, последний от 30 октября 2026 года. Создан 16 апреля 2026 года по данным страницы, даты первого коммита я не установил.

Поддерживаются macOS и Windows. Пост в Telegram я не открывал, опираюсь на репозиторий и документацию. Браузер я не устанавливал и не запускал.

Как устроен Space и что видит агент

ego lite это не расширение Chrome и не MCP-сервер. Это браузер на Chromium с командой ego-browser. По документации, она общается с рабочим сеансом Chromium по протоколу DevTools (CDP). Агент пишет скрипт на JavaScript с вызовами snapshot (страница в виде структурированного текста), fill, click, navigate, а ego-browser выполняет его. Есть и широкие вызовы: загрузка файла с диска по пути, сырые команды CDP.

Space по документации не новое окно и не новый профиль Chrome. Это изолированный контекст браузера на каждую задачу в том же процессе, у которого «свои куки и хранилище». Но в файле навыка из репозитория (clearing-state.md) сказано иначе: профиль пространства разделяет куки и кэш с вашими вкладками и с другими пространствами того же профиля. Там же замер: страница видела 1 куки, а в профиле лежало 3478 с 1161 домена. Формулировки расходятся, нужна проверка на тестовой машине.

Доступ к вашим входам зависит от одного ответа. При первом запуске ego lite спрашивает, переносить ли данные Chrome. По README это логины, куки, расширения и закладки, документация добавляет пароли и сессии, а macOS может запросить пароль от связки ключей. Ответили «да», и агент наследует реальные входы. При установке навык ego-browser попадает в папки навыков ваших агентов, а документация рекомендует режим «полный доступ», потому что запуск браузера идёт вне песочницы.

Подтверждения, журнал и чего нет

Документация обещает, что агент остановится перед финальной отправкой заявки и на странице оплаты, а при капче, QR-входе и подтверждении платежа вызовет вас. Space можно открыть и перехватить, README обещает возможность остановить агента. Лимиты вроде «только чтение» задаются словами в задаче. Очистку всех куки профиля навык разрешает только с вашего согласия.

Чего нет. Списка разрешённых и запрещённых сайтов. Описания, на каком порту слушает ego-browser, ограничено ли это localhost и есть ли авторизация. Формального журнала: документация говорит лишь, что вкладки остаются открытыми, и по ним можно посмотреть, что делал агент. Остановки на оплате и отправке описаны как поведение агента и навыка, технического запрета я не видел. Что уходит модели, не описано. Логично, что страница из snapshot уходит провайдеру модели вашего агента. Это моё предположение, README говорит лишь, что данные браузера и куки хранятся на вашем устройстве. Доступность этих моделей и браузера в России уточняйте.

Когда чужая страница командует агентом

Спрятанная в чужой странице фраза может прозвучать для модели как приказ. Механику я описал в разборе атак через письмо и поиск. Сработает ли это в ego lite, я не проверял.

Условный пример. Менеджер просит агента собрать цены трёх поставщиков. На одной странице скрытая строка: открыть вкладку CRM и скопировать список клиентов. Если в браузере живёт сессия CRM, у агента есть всё нужное. Худшие сценарии: случайная покупка, удаление записей, письма клиентам от вашего имени, список клиентов в модели. Американские банки уже блокируют агентов с логином клиента, об этом в статье про банки США.

Безопасная схема и чек-лист из семи пунктов

Схема: агент живёт в чистом профиле без рабочих сессий, с отдельными учётными записями на минимальных правах, на заранее названных сайтах, и человек подтверждает всё необратимое. Границы автономии описаны в статье про границу автономности ИИ-агента.

1. На вопрос о переносе данных Chrome отвечайте «нет». Агент работает в чистом профиле.
2. Банк-клиент и почту открывайте только в обычном браузере и вручную, в профиле агента их нет.
3. Для CRM, рекламного кабинета и админки заведите отдельные учётные записи с чтением или тестовыми данными.
4. Белый список сайтов ведите сами, у браузера его нет: ставьте задачи только с названными адресами.
5. Отправку, оплату, удаление подтверждает человек, технически, а не фразой в задаче.
6. Журнал ведите сами: задание, адреса страниц и итог. Открытые вкладки журналом не считаются.
7. Назначьте, кто закрывает Space и сбрасывает пароли учётных записей агента.

Что можно сделать уже сейчас

Спросите команду, не ставил ли кто-то браузеры с ИИ-агентами и расширения, как в разборе AIPex.

Запустите пилот на ненужной машине. Чистый профиль, без переноса данных, одна задача: сбор цен на публичных сайтах или заполнение тестовой формы в тестовой CRM. Проверьте, что агент открыл и как работает остановка.

Напишите правило на одну страницу: какие сайты можно, какие учётные записи, кто подтверждает. Помогу в рамках услуги по кибербезопасности: настрою профили, права и проверю пилот.

Частые вопросы

Это вирус или шпионская программа?

Признаков я не нашёл: открытый репозиторий под MIT, свежие коммиты, навыки в нём я прочитал. Установщик браузера я не анализировал, поэтому ставить его стоит на тестовую машину.

Изоляция Space защищает мои сессии?

Не гарантированно. Документация говорит об отдельных куки на задачу, а файл навыка в репозитории об общем хранилище куки профиля. Пока не проверено, считайте, что агент может использовать входы профиля.

Можно ли разрешить агенту только чтение?

Документация предлагает написать это в задаче. Это инструкция для модели, а не технический запрет. Для настоящего ограничения нужна учётная запись с правами только на чтение.

Коротко о главном

ego lite даёт агенту ваш браузер, а при переносе данных Chrome и ваши сессии. Списка сайтов, журнала и описания защиты порта в документации я не нашёл, поэтому границы строятся самостоятельно: чистый профиль, отдельные учётные записи с минимумом прав, подтверждения людьми.

Если хотите безопасно протестировать браузерного агента и настроить правила доступа для команды, напишите мне в Telegram кодовое слово «КУКИ».