import { pageMetadata } from "@/lib/page-metadata"
export const metadata = pageMetadata("security")

# セキュリティ

agent-browser には、資格情報の漏洩、信頼できないページコンテンツによるプロンプトインジェクション、および不正なブラウザ操作を防ぐためのセキュリティ機能が含まれています。

すべてのセキュリティ機能はオプトインです。デフォルトでは、agent-browser はナビゲーション、操作、出力に制限を設けません。ご自身の展開に応じて必要な機能のみを有効化してください。明示的に機能を有効化しない限り、既存のワークフローは影響を受けません。

## 脅威モデル

これらの機能は、大規模言語モデル（LLM）ベースのエージェントがブラウザを操作する状況において、以下の脅威を緩和することを目的としています。

- **資格情報の漏洩** — 認証バンクに保存されたパスワードは、常に LLM のコンテキストに含まれません。CLI はバンク操作をローカルで処理しており、資格情報はデーモンの IPC チャネルを経由して送信されません。
- **ページコンテンツによるプロンプトインジェクション** — 悪意のあるページは、ツール出力やシステム指示のように見えるテキストを埋め込む可能性があります。コンテンツ境界マーカー（`--content-boundaries`）により、オーケストレータは信頼できるツール出力と信頼できないページコンテンツを区別できます。
- **不正なナビゲーション / データ流出** — 改ざんまたは操られたエージェントが攻撃者所有のドメインにアクセスし、データを流出させる可能性があります。ドメイン許可リスト（`--allowed-domains`）により、許可されていないドメインへのナビゲーション、サブリソース要求、WebSocket 接続、EventSource ストリーム、`sendBeacon` 呼び出しをブロックします。
- **不正な破壊的アクション** — アクションポリシー（`--action-policy`）および確認ゲート（`--confirm-actions`）により、明示的な承認なしに危険な操作（`eval`、ダウンロード、アップロードなど）を実行できなくなります。
- **コンテキストの過負荷** — 大きなページ出力は、LLM のコンテキストウィンドウを圧倒する可能性があります。出力の切り詰め（`--max-output`）により、ページからの出力のサイズに上限を設けています。

### 既知の制限事項

- **WebSocket/EventSource のブロッキングは最善策です。** 初期スクリプトによるブラウザコンストラクタの上書きによって実現されています。ただし、`eval` アクションカテゴリが許可されている場合、ページスクリプトが理論的には元のコンストラクタを復元できる可能性があります。最大の保護を得るには、`--action-policy` を使用して `eval` を拒否してください。
- **リモート接続におけるドメインフィルタのタイミング。** CDP またはクラウドプロバイダ経由で既存のブラウザに接続する場合、ドメインフィルタがインストールされる前にページがすでにコンテンツを読み込んでいる可能性があります。agent-browser はフィルタが有効化された後、許可されていないページを `about:blank` にナビゲートしますが、その時点以前に読み込まれたリソースについては後からブロックすることはできません。
- **コンテンツ境界は多重防御戦略です。** これには、LLM およびオーケストレータが構造的マーカーを尊重することに依存しています。十分に高度な悪意あるページは境界形式を模倣しようとする可能性がありますが、各プロセスに固有の CSPRNG ノンスがあるため、予測は実用的に不可能です。
- **確認のタイムアウト。** 保留中の確認は 60 秒後に自動的に拒否されます。オーケストレータはこの期間内に応答する必要があります。
- **非 TTY 状態での自動拒否。** `--confirm-interactive` が設定されているが標準入力が端末（TTY）でない場合（例：パイプされた入力や自動化パイプライン内）、アクションは自動的に拒否されます。これにより、非インタラクティブな環境での誤った承認を防止します。

## 認証バンク

ローカルに資格情報を保存し、名前で参照します。LLM はパスワードを一切見ることはありません。

```bash
# 資格情報を保存（AGENT_BROWSER_ENCRYPTION_KEY が設定されていれば暗号化）
# 推奨：シェル履歴やプロセス一覧への露出を避けるため、標準入力経由でパスワードを渡す
echo "pass" | agent-browser auth save github --url https://github.com/login --username user --password-stdin

# 直接渡す場合（警告が表示されます）
agent-browser auth save github --url https://github.com/login --username user --password pass

# 保存済みの資格情報を使用してログイン
agent-browser auth login github

# 保存済みのプロファイル一覧表示（名前と URL だけ、シークレットは含まない）
agent-browser auth list

# プロファイルのメタデータ表示
agent-browser auth show github

# プロファイルの削除
agent-browser auth delete github

agent-browser auth save myapp \
  --url https://app.example.com/login \
  --username user --password pass \
  --username-selector "#email" \
  --password-selector "#password" \
  --submit-selector "button.login"

--- AGENT_BROWSER_PAGE_CONTENT nonce=a1b2c3d4 origin=https://example.com ---
[snapshot / text / html / eval output here]
--- END_AGENT_BROWSER_PAGE_CONTENT nonce=a1b2c3d4 ---

agent-browser --content-boundaries snapshot
# または
export AGENT_BROWSER_CONTENT_BOUNDARIES=1

{
  "success": true,
  "data": { "snapshot": "...", "origin": "https://example.com" },
  "_boundary": { "nonce": "a1b2c3d4e5f6...", "origin": "https://example.com" }
}

agent-browser --allowed-domains "example.com,*.example.com,github.com" open https://example.com
# または
export AGENT_BROWSER_ALLOWED_DOMAINS="example.com,*.example.com"

{
  "allowedDomains": ["example.com", "*.example.com", "github.com"]
}

agent-browser --action-policy ./policy.json open https://example.com
# または
export AGENT_BROWSER_ACTION_POLICY=./policy.json

{
  "default": "allow",
  "deny": ["eval", "download", "upload"]
}

{
  "default": "deny",
  "allow": ["navigate", "snapshot", "click", "scroll", "wait", "get"]
}

# オーケストレータモード：確認が必要な応答を返す
agent-browser --confirm-actions eval,download eval "document.title"

# その後、承認または拒否：
agent-browser confirm c_8f3a1234
agent-browser deny c_8f3a1234

agent-browser --confirm-actions eval,download --confirm-interactive eval "document.title"
# プロンプト：許可しますか？ [y/N]

agent-browser --max-output 50000 get text body
# または
export AGENT_BROWSER_MAX_OUTPUT=50000

{
  "contentBoundaries": true,
  "maxOutput": 50000,
  "allowedDomains": ["your-app.com", "*.your-app.com"],
  "actionPolicy": "./policy.json"
}