“Tolong cari tiga vendor ini, bandingkan, terus masukin hasilnya ke spreadsheet gue.”

Agent buka web.

Baca halaman.

Pindah tab.

Masuk account.

Mungkin download PDF.

Mungkin akses Drive.

Mungkin update sheet.

Kelihatannya cuma browsing yang lebih praktis.

Dari sudut pandang security, itu sebenarnya chain lintas trust boundary.

Dan banyak perusahaan belum punya peta lengkap soal apa yang baru saja mereka izinkan.

Browser tradisional sudah dianggap lingkungan berbahaya sejak lama.

Internet penuh untrusted content.

Makanya browser punya sandbox, origin policy, permission prompt, certificate, download protection, dan isolation.

Sekarang kita menaruh AI agent di tengah browser lalu memberinya kemampuan reasoning dan action.

Agent bukan cuma melihat halaman.

Ia menafsirkan halaman.

Ini membuka attack surface baru.

Brave selama 2025 dan 2026 mempublikasikan berbagai riset agentic browser security. Pada Juni 2026, Brave menegaskan indirect prompt injection masih menjadi tantangan fundamental baik untuk cloud maupun on-device model. Mereka menunjukkan bahwa instruksi yang ditanam di web content bisa mencoba membajak agent di tengah task.

Microsoft pada Juni 2026 juga mempublikasikan riset AutoJack. Broad lesson-nya penting: kalau agent bisa browsing untrusted page dan pada saat yang sama berbicara dengan privileged local service, localhost yang biasanya dianggap cukup trusted bisa berubah menjadi attack surface.

Kasus spesifik yang mereka teliti sudah diperbaiki sebelum masuk release PyPI tertentu.

Tapi pelajarannya lebih luas.

Agent menghubungkan dunia yang dulu terpisah.

Public web.

Localhost.

File system.

API.

Authenticated session.

Tool.

Satu model bisa menjadi jembatan.

Attack surface bukan lagi hanya browser.

Ia adalah browser plus semua capability yang bisa dicapai agent.

Ini yang sering belum dipahami perusahaan.

Security team mungkin sudah approve browser.

Sudah approve SaaS.

Sudah approve AI tool.

Tapi belum pernah menganalisis kombinasi ketiganya.

Composition risk.

Masing-masing terlihat aman sendiri.

Ketika digabung, muncul jalur baru.

Contoh.

Browser agent membaca website public.

Website berisi malicious instruction.

Agent punya access ke email.

Agent bisa mengirim data.

Browser secure.

Email secure.

AI platform secure.

Tetapi chain mereka bisa menciptakan data exfiltration.

Attack tidak harus eksploit memory corruption.

Cukup membuat agent melakukan hal yang technically allowed.

Ini perubahan besar dari cyber security klasik.

Kita terbiasa mencari unauthorized action.

Agentic attack bisa menghasilkan authorized action yang salah konteks.

Makanya authorization perlu melihat task intent.

Employee meminta research vendor.

Mengapa agent mengirim file ke external address?

Itu behavior mismatch.

System seharusnya bisa menghentikan.

Ada beberapa lapisan attack surface browser agent yang perlu dibedah.

Pertama, web content.

Semua halaman harus dianggap untrusted.

Teks visible.

Hidden element.

Metadata.

Comment.

Screenshot.

PDF.

Tool result.

Jangan karena content dibaca AI lalu statusnya berubah menjadi trusted.

OWASP pada 2026 menekankan bahwa tool output dan external content perlu diperlakukan seperti input tidak tepercaya karena bisa membawa indirect prompt injection.

Ini prinsip pertama.

Untrusted tetap untrusted walaupun sudah lewat model.

Kedua, authenticated session.

Browser kita penuh login.

Email.

Cloud drive.

CRM.

HR portal.

Bank.

Marketplace.

Admin panel.

Agent yang berjalan di profile utama bisa mewarisi akses besar.

Brave ketika membuka agentic browsing untuk testing memilih isolated browsing profile untuk membatasi blast radius.

Perusahaan seharusnya melihat pattern ini serius.

Public web research tidak perlu dilakukan di browser profile yang juga punya admin portal produksi.

Segmentation.

Sama seperti kita tidak menggabungkan jaringan guest Wi-Fi dengan server internal.

Kenapa browsing untrusted content digabung dengan session high privilege?

Convenience bukan alasan cukup.

Ketiga, extension.

Browser extension punya permission yang kadang luas.

AI agent ditambah extension legacy bisa menciptakan kombinasi aneh.

Siapa yang bisa membaca page?

Siapa yang inject script?

Siapa yang mengakses clipboard?

Apakah agent melihat data dari extension?

Apakah extension bisa melihat agent UI?

Enterprise perlu inventory extension pada environment agentic.

Browser security lama masih berlaku.

Jangan lupa hanya karena sekarang fokus prompt injection.

Keempat, downloads.

Agent bisa menemukan file.

Download.

Open.

Extract.

File menjadi input baru.

PDF bisa mengandung malicious text.

Archive bisa berisi file lain.

Document bisa mengarahkan agent ke URL.

Download chain perlu policy.

Jenis file.

Scan.

Location.

Auto-open atau tidak.

Jangan biarkan agent mengeksekusi file hanya karena “hasil research”.

Kelima, localhost dan developer tool.

Ini especially penting untuk engineer.

Browser agent mungkin bisa mengakses interface local development.

Jupyter.

Dev server.

Database admin.

MCP server.

Agent framework.

Microsoft AutoJack research 2026 menunjukkan kenapa loopback trust boundary perlu dipikirkan ulang ketika browser agent terlibat.

Historically, localhost sering dianggap tidak accessible attacker external dengan cara biasa.

Tapi kalau agent yang bisa membaca web juga bisa bicara ke local service, public content bisa memengaruhi path menuju local privilege.

Localhost tidak otomatis safe.

Authenticate control plane.

Authorize.

Isolate.

Keenam, clipboard.

Ini terlihat receh.

Tapi clipboard bisa berisi password, API key, customer data, atau text sensitif.

Kalau agent punya clipboard access, treat sebagai sensitive source.

Tidak semua task butuh.

Deny by default.

Ketujuh, browser storage.

Cookie.

Local storage.

Session.

Saved form.

Password autofill.

Agent tidak perlu melihat raw credential.

Kalau butuh authentication, gunakan secure broker atau browser-managed credential yang tidak expose secret ke model.

Password manager dan agent integration pada 2026 mulai bergerak ke architecture seperti itu.

Capability tanpa secret exposure.

Kedelapan, file upload.

Agent mungkin diminta submit form dan attach document.

Ia perlu memilih file.

Kalau access file system terlalu luas, salah file bisa terkirim.

Bayangin vendor portal meminta company profile, agent malah attach salary spreadsheet karena nama mirip.

Tidak ada attacker.

Pure mistake.

File picker policy penting.

Scope folder.

Preview.

Confirmation untuk external upload.

Kesembilan, external communication.

Email.

Chat.

Form.

Post.

Comment.

Semua adalah egress channel.

Prompt injection paling berbahaya ketika agent punya tempat mengirim data.

Kalau browser agent hanya read, consequence lebih rendah.

Begitu bisa send, security berubah.

Microsoft pada 2026 menyoroti email-based data exfiltration melalui agent misconfiguration atau prompt injection dan merekomendasikan pembatasan recipient serta connector action.

Ini practical.

Agent tidak perlu bebas mengirim ke alamat arbitrary.

Untuk workflow tertentu, hardcode atau allowlist domain.

Kesepuluh, payment.

Shopping agent sangat menarik.

Compare.

Cart.

Checkout.

Kalau payment credential terhubung, browser menjadi transaction system.

Agent seharusnya bisa melakukan banyak preparation.

Final purchase tetap perlu explicit user approval, terutama nominal material.

Jangan website malicious bisa mengubah “cari” menjadi “beli”.

Task boundary.

Kesebelas, permission prompt fatigue.

Kalau browser selalu tanya:

“Boleh klik?”

“Boleh buka?”

“Boleh isi?”

User capek.

Akhirnya approve semua.

Security UX harus memilih action mana yang benar-benar perlu interruption.

High impact.

Irreversible.

Sensitive.

Low-risk navigation bisa otomatis.

Kalau semua minta izin, human-in-the-loop jadi decorative.

Human cuma klik yes.

Keduabelas, agent memory.

Browser agent mungkin ingat login context, preference, atau task history.

Persistent memory bisa menjadi attack surface jika poisoned.

Jangan simpan seluruh browsing history ke memory hanya karena bisa.

Minimize.

Expire.

Separate profiles.

Perusahaan perlu punya architecture diagram baru untuk browser agent.

Bukan hanya browser ke internet.

Gambarkan:

Agent.

Model provider.

Browser runtime.

Profile.

Identity.

Connector.

Local service.

File system.

Credential broker.

Network.

External domain.

Internal app.

Log.

Begitu digambar, baru kelihatan attack surface.

Tanpa map, security review gampang salah.

“Ini cuma browser.”

Nggak.

Ini orchestration layer.

Ada juga masalah shadow usage.

Employee install browser AI pribadi di laptop kerja.

Login ke company email.

Agent punya context.

Security team mungkin tidak tahu.

Enterprise browser policy harus mengatur approved agentic feature.

Tidak harus ban semua.

Tapi visibility.

Approved profile.

DLP.

Extension control.

Data classification.

Kalau tool dilarang total tetapi user sangat butuh, mereka cari jalan belakang.

Lebih baik sediakan paved road yang cukup usable.

Ada satu practice yang masuk akal: separate browser for agentic tasks.

Browser utama untuk kerja normal.

Agent profile untuk delegated browsing.

Credential terbatas.

No admin session.

No personal banking.

No sensitive tabs.

Ini nggak harus selamanya jadi UX akhir.

Tapi selama ecosystem masih berkembang, compartmentalization memberi safety margin.

Untuk perusahaan kecil, rule-nya bisa sederhana.

Jangan jalankan browser agent dari profile yang punya akses ke semua hal.

Jangan connect email dan payment kalau task tidak perlu.

Review final action.

Untuk enterprise besar, enforcement lebih formal.

Agent identity.

Policy.

Sandbox.

Network isolation.

Tool allowlist.

Logging.

DLP.

Prompt injection defense.

Red team.

Incident response.

Dan jangan cuma test apakah model menolak prompt jahat.

Test full chain.

Buat halaman malicious.

Biar agent baca.

Lihat apakah ia bisa mencapai local service.

Lihat apakah bisa upload file.

Lihat apakah bisa send email.

Lihat apakah bisa melakukan transaction.

Security agentic bukan tentang jawaban.

Tentang consequence.

Ada satu bagian yang membuat ini tricky: attack surface terus berubah bersama capability.

Hari ini browser cuma bisa click dan type.

Besok bisa install extension.

Lusa bisa menjalankan code.

Setiap fitur baru mengubah threat model.

Security review tidak bisa dilakukan sekali saat procurement lalu selesai.

Material capability change harus trigger review.

Ini sama seperti aplikasi lain.

Tapi agent bergerak lebih cepat.

Vendor mungkin menambah feature otomatis.

Perusahaan perlu change visibility.

Di lingkungan kerja Jakarta yang sering penuh SaaS campuran, satu browser menjadi pusat banyak pekerjaan.

CRM dibuka di tab satu.

Email tab dua.

Bank portal tab tiga.

Supplier portal tab empat.

AI agent yang bisa melihat atau bertindak lintas tab memang terasa seperti superpower.

Justru itu yang membuat blast radius-nya besar.

Superpower perlu scope.

Browser agent bukan sekadar fitur productivity.

Ia adalah software actor yang berdiri di antara internet paling liar dan account paling sensitif yang kita punya.

Kalau perusahaan belum memandangnya seperti itu, attack surface-nya kemungkinan lebih besar daripada yang mereka kira.