Браузерный инструмент Anthropic делает исполнителя границей контроля

В обновлении платформы от 19 августа Anthropic перевела computer use, Files API, Agent Skills и Skills API в общую доступность в Claude API. 20 августа компания представила эти возможности как единый производственный стек для агентов, способных работать с программным обеспечением, применять организационные процедуры и создавать готовые файлы. Новый инструмент browser use также стал общедоступен в Claude API.

С архитектурной точки зрения важнее не то, что модель получила возможность работать с большим числом приложений. Важнее место, где совершается действие. Anthropic определяет обращённый к модели браузерный инструмент и схему действий, однако автоматизация браузера размещается в приложении клиента, и оно исполняет каждый запрошенный вызов. На стороне Anthropic этот исполнитель не работает.

Для автономной организации отсюда следует практический вывод: границей контроля становится не конечная точка модели, а браузерный исполнитель. Именно здесь можно ограничить учётные данные, сетевой доступ, назначения, передачу файлов и значимые действия до того, как предложение модели превратится во внешнее последствие.

Что изменилось в Claude API

Инструмент browser use может работать и со структурой веб-страницы, и с визуальной информацией. Он использует элементы дерева доступности, формы, вкладки и ссылки на элементы, а также скриншоты и координаты. Это важно для корпоративного ПО: многие операционные системы по-прежнему предоставляют рабочие функции через браузерный интерфейс, а не через специально созданные API.

Computer use теперь общедоступен без beta-заголовка. Его GA-набор поддерживает несколько последовательных действий за один ход модели и по умолчанию включает масштабирование. Одновременно стали общедоступны Agent Skills и Skills API. Запрос может указать Skill по ID и закрепить точную версию, не выбирая автоматически последний релиз; пользовательские версии Skill представляют собой полные снимки.

Files API также стал общедоступен. Он поддерживает схему «загрузить один раз, ссылаться по ID», опциональное автоматическое истечение срока хранения, до 1 ТБ на организацию и файлы до 500 МБ. Вместе эти компоненты позволяют дать агенту повторно применяемые процедуры, идентифицированные рабочие материалы и способ работать с ПО без отдельной интеграции для каждого интерфейса.

Что не изменилось

Общая доступность не делает браузерную автоматизацию безопасной по умолчанию и не переносит управление в API модели. Anthropic прямо рассматривает содержимое живых веб-страниц как недоверенный ввод, способный манипулировать моделью. В документации рекомендованы контейнер или VM с минимальными привилегиями, сетевые списки разрешённых доменов, ограниченные схемы, отключение необязательных возможностей браузера, непривилегированные учётные записи и подтверждение человеком значимых действий.

Это меры уровня развёртывания. Клиент должен реализовать их в исполнителе и окружающей среде выполнения. Схема инструмента может описать клик, переход или загрузку. Но сама по себе она не определит, разрешено ли назначение, не превышает ли полномочия аутентифицированной сессии потребности задачи и можно ли передать скачанный файл в другую систему.

Стек также не доступен в одинаковом виде во всех облаках. Заявленная общая доступность относится к Claude API. Anthropic сообщает, что Skills API и Files API доступны также через Microsoft Foundry, тогда как обновлённые инструменты computer use и browser use планируются для Google Cloud Vertex AI. В Claude Managed Agents browser use пока недоступен.

Изоляция по-прежнему определяется архитектурой приложения. По умолчанию Files и пользовательские Skills имеют область видимости рабочего пространства, а не отдельного пользователя или сессии. Для мультитенантных приложений Anthropic рекомендует использовать отдельные рабочие пространства как границу изоляции. Поэтому нельзя считать, что граница конечного пользователя возникает сама по себе лишь потому, что файл или процедура были созданы в рамках одного диалога.

Почему исполнитель становится корпоративной границей

Работая через браузер, агент сталкивается с неограниченной изменчивостью программного обеспечения: перенаправлениями, новыми вкладками, динамическими страницами, скачанными файлами, неявным состоянием сессии и текстом, написанным внешними сторонами. Именно поэтому исполнитель, размещённый у клиента, ценен: он даёт место для решения, допустимо ли запрошенное действие в конкретном контексте.

Управляемый исполнитель должен изолировать браузерные сессии и учётные данные по задачам и полномочиям. Он должен применять сетевые правила вне усмотрения модели: разрешённые домены, допустимые URL-схемы, обработку перенаправлений и ограничения на скачивание или загрузку. Передача файлов должна быть явной — с указанием исходного файла, назначения и применимой политики. А в точке, где действие создаёт обязательство, должно запрашиваться подтверждение: ранее составленный план не является долговременным разрешением.

“Модель может предложить действие. Но именно исполнитель решает, вправе ли организация позволить этому предложению воздействовать на внешний мир.

Это не только шаблон безопасности, но и операционная модель подотчётной автоматизации. Браузерный агент часто действует сразу в нескольких приложениях, которые никогда не проектировались с единым интерфейсом аудита. Исполнитель может нормализовать границу действий, даже если системы за ней этого не умеют.

Для одного запуска нужна единая наблюдаемая запись

Новый компонуемый набор инструментов повышает, а не снижает значение воспроизводимости. Последующий проверяющий должен суметь отделить изменение модели, процедуры, входного документа или веб-страницы от ошибки исполнения. Для этого недостаточно общей трассировки диалога.

Для каждого управляемого запуска среда выполнения должна связать в единую запись точную модель и набор инструментов; закреплённые ID и версии Skills; ID входных и выходных файлов; состояние браузера или вкладок; назначения и перенаправления; запрошенные и предоставленные подтверждения; результаты исполнителя. Если действие создаёт внешний бизнес-эффект, запись также должна идентифицировать этот эффект и его итоговый статус.

Такая запись не устранит неоднозначность изменяющейся веб-среды. Но она зафиксирует, что организация разрешила, что запросил агент, что допустил исполнитель и что он наблюдал. Это различие необходимо для расследований, сверки и контролируемого улучшения процессов.

Операционное следствие

Релиз Anthropic расширяет круг корпоративных приложений, с которыми агенты могут работать без специально созданного API. Это полезно, но одновременно увеличивает число точек, в которых организационный контроль может дать сбой, если считать браузерный доступ просто ещё одной способностью модели.

Правильный ответ — не запретить браузерных агентов и не выдать им широкую пользовательскую сессию сотрудника. Браузерное исполнение нужно рассматривать как управляемую способность: краткоживущую, узко авторизованную, изолированную от лишних сетей и учётных данных, наблюдаемую на уровне действий и прерываемую до наступления значимых последствий.

Релиз даёт мощный набор инструментов для агентов. Но он не создаёт модель полномочий организации. Предприятия, которые поместят исполнителя внутрь настоящей границы среды выполнения, смогут использовать новую возможность и при этом сохранить ясный ответ на главный вопрос: какой системе было разрешено сделать что именно, с какими материалами, в каком приложении и с чьим подтверждением?

Источники

• Release notes Anthropic, 19 августа 2026: https://platform.claude.com/docs/en/release-notes/overview
• Анонс продукта Anthropic, 20 августа 2026: https://claude.com/blog/computer-use-skills-api-files-api
• Документация Anthropic по browser use: https://platform.claude.com/docs/en/agents-and-tools/tool-use/browser-use-tool
• Документация Anthropic по Files: https://platform.claude.com/docs/en/build-with-claude/files