Sandboxed Browser Agents Assess

Überblick

Sandboxed Browser Agents führen Playwright oder Chromium in isolierten VMs oder Containern ohne Zugriff auf Corporate-SSO-Profile auf Entwickler-Laptops aus (browser-use sandbox). Das Muster wird als verwaltete Infrastruktur angeboten (Browserbase, Browser Use Cloud, Kernel-Cloud-Browser aus E2B-Sandboxes heraus) und entspricht auch der Arbeitsweise von Hersteller-Agents wie ChatGPT agent, der in einer eigenen virtuellen Maschine statt im Browser des Nutzers läuft (E2B remote browser, The Register).

Assess für interne Automation mit Network-Egress-Controls. Agents, die persönliche Browser-Sessions mit gespeicherten Passwörtern wiederverwenden, fallen nicht unter diese Einstufung und sollten für Firmenarbeit nicht eingesetzt werden.

Adoptionssignale

• Browserbase sammelte im Juni 2025 eine Series B über 40 Mio. USD unter Führung von Notable Capital ein und meldete bis dahin mehr als 50 Millionen Browser-Sessions im Jahr 2025, mehr als 1.000 Kundenunternehmen und mehr als 20.000 registrierte Entwickler (Pulse 2.0).
• browser-use dokumentiert einen @sandbox-Decorator, der den Agent in der Cloud direkt neben dem Browser ausführt, und bezeichnet ihn als den Weg, browser-use in Produktion zu betreiben (browser-use sandbox).
• E2B beschreibt, wie seine Code-Sandboxes über CDP an Kernel-Cloud-Browser angebunden werden, sodass der Browser außerhalb der Sandbox läuft, die den Agent-Code ausführt (E2B remote browser).
• ChatGPT agent (Juli 2025) läuft in einer eigenen virtuellen Maschine mit visuellem und textbasiertem Browser, Terminal und Konnektoren (The Register).
• Anbieter veröffentlichen inzwischen Injection-Kennzahlen: Anthropic testete Claude in Chrome mit 123 Fällen in 29 Angriffsszenarien und meldete einen Rückgang der Erfolgsquote von 23,6 % auf 11,2 % durch Gegenmaßnahmen (Claude for Chrome).

Risiken

• Isolation begrenzt die Reichweite, nicht die Übernahme. Brave zeigte, wie versteckte Anweisungen auf einer Webseite Perplexitys Comet dazu brachten, E-Mail-Adresse und Einmalpasswort eines Nutzers auszuleiten (Brave), und OpenAI hält Prompt Injection für voraussichtlich nie vollständig „gelöst“ (TechCrunch). Eine Sandbox begrenzt, was ein gekaperter Agent erreichen kann; sie verhindert die Kaperung nicht.
• Credentials kommen über Profile zurück. Cloud-Profile, die Cookies und Anmeldedaten über Läufe hinweg speichern (browser-use sandbox), bringen jedes angemeldete Konto in den Blast Radius.
• Daten verlassen das Netz. Gartners Empfehlung vom Dezember 2025, KI-Browser zu blockieren, nennt aktive Webinhalte, Verlauf und offene Tabs, die an Cloud-KI-Backends gehen (The Register); gehostete Browser-Dienste werfen dieselbe Frage für Seiteninhalte und Screenshots auf, daher sind DPA und Region zu prüfen.
• Scraping und Nutzungsbedingungen. Länder-Proxys, die „to bypass captchas, Cloudflare, geo-restrictions“ angeboten werden (browser-use sandbox), können Automatisierung in Konflikt mit den Bedingungen der Zielseiten bringen.
• Falsche Isolationsebene. Playwright-Browser-Kontexte isolieren Sessions innerhalb eines Browsers voneinander (Playwright), und die Chromium-Sandbox schützt das Betriebssystem vor kompromittierten Renderern (Chromium sandbox); keines von beiden hindert einen Agent daran, eine legitime Session zu missbrauchen. Deshalb zählen die VM- oder Container-Grenze und Egress-Regeln.

Empfehlung

Sandboxed Browser Agents im Ring Assess für interne Automation erproben, etwa End-to-End-Prüfungen gegen Staging, Datenerfassung aus Partner- oder öffentlichen Portalen ohne API und Formular-Workflows auf Testsystemen. Zuerst die Grenze einrichten: eine Wegwerf-VM oder ein Container pro Lauf, eine Egress-Allowlist, dedizierte Service-Accounts mit minimalen Rechten statt persönlicher Logins, menschliche Bestätigung vor Zahlungen, Nachrichten oder Löschungen sowie aufbewahrte Screenshots und Aktionsprotokolle. In den Piloten gehören Testseiten mit Prompt Injection, um zu messen, wie oft der Agent ihnen folgt.

Agents und KI-Browser, die im alltäglichen Browserprofil von Mitarbeitenden agieren, deckt diese Einstufung nicht ab; Gartners Empfehlung vom Dezember 2025, KI-Browser auf absehbare Zeit zu blockieren, ist ein vernünftiger Standard. Zur Framework-Wahl siehe browser-use und Stagehand (Assess), zum selben Isolationsmuster für Code-Ausführung siehe Sandboxed Execution for Coding Agents (Trial).

Quellen

• Chrome sandbox
• browser-use sandbox quickstart
• Playwright isolation
• E2B remote browser
• Pulse 2.0: Browserbase $40M Series B
• The Register: ChatGPT agent
• Claude for Chrome
• Brave: Indirect prompt injection in Perplexity Comet
• TechCrunch: AI browsers may always be vulnerable to prompt injection
• The Register: Gartner recommends blocking AI browsers