ライブ実証例

許可リストから外した転送先にも、
4回とも通信が届きました。

Browser Use 0.13.2で、転送先を許可するかどうかだけを変えて比較しました。まずは下の図で「何を試し、何が起きたか」を確認できます。

想定外の到達

4回中4回

想定どおりの到達

1回中1回

変えた条件

1か所だけ

今回変えたのは、転送先を「許可するかどうか」だけです。

最初のページと転送の仕組みは同じまま、転送先の扱いだけを変えて比較しました。

STEP 1

AIが最初のページを開く

STEP 2

別の宛先へ転送される

転送先を許可リストに入れた

1回中1回

転送先に届いた

想定どおり

転送先を許可リストから外した

4回中4回

それでも転送先に届いた

今回の確認条件では想定外

つまり、「許可リストに入っているか」だけを変えても、どちらも転送先への通信が観測されました。今回のギャップチェックでは、この差を反例として記録しています。

今回わかったこと

「設定がある」ことと、「実際に止まる」ことは別でした。

許可リスト外の転送先

今回の確認条件では転送先へ届かないことを期待しましたが、4回試して4回とも転送先への通信到達を観測しました。

許可リスト内の転送先

1回確認し、転送先へ届きました。こちらは今回の確認条件どおりです。

この比較で変えたのは「転送先を許可リストに入れるかどうか」だけです。そのため、今回の範囲では制御条件の差と実際の通信経路を対応づけて確認できます。

根拠の公開方法

見せられる根拠と、公開しない生データを分けています。

検証結果を確かめられる情報は公開します。一方で、ローカル環境の情報や生の実行記録など、公開すべきでない情報は保護したまま残します。 C³ではこの分け方をTwo-Railと呼んでいます。

公開する側

何を試して何が起きたかの要約
証拠ファイルと照合するための値
この結果から言える範囲・言えない範囲
公開記録を再確認する仕組み

公開しない側

生の実行記録
ローカルPCのファイルパスなど環境情報
内部のFirewall識別情報
承認記録の元ファイル

技術者向け：公開Railの照合値を見る

manifest SHA-256: 9776a96c8ac55dd052ef81b19add79e20e36c8e894635345f27f9543ddf32e96

公開した根拠を自分で確かめる

このページの公開記録が、固定した内容と一致するか確認できます。

ボタンを押すと、公開検証ファイルを読み込み、内容の差し替え・観測結果・証拠との対応・公開範囲・言い過ぎがないかをブラウザ内で確認します。

技術者向けファイル

公開manifest（JSON）Node検証器

この確認は公開した記録の完全性と対応関係を確かめるものです。Browser Useそのものを再実行したり、非公開の生証拠を復元したり、第三者認証を行うものではありません。

この結果から言えないこと

1つの実証結果を、システム全体の評価には広げません。

Browser Use全体が安全、または危険だということ
どの環境でも同じ結果になること
一般的な脆弱性が確定したということ
Browser Use内部のどこで制御されているかの確定
安全に使える条件の範囲が確立したということ
認証・適合・安全保証

技術者向けの判定名・境界を見る

許可リスト外: 4/4 COUNTEREXAMPLE_OBSERVED
許可リスト内: 1/1 PRESERVED
変更した条件: REDIRECT_TARGET_ALLOWLIST_MEMBERSHIP
比較条件差: semantic_difference_count = 1
Canonical Boundary: false
Operating Envelope: false

自社のAIでも、「設定」ではなく「実際の経路」を確認する。

制御条件ギャップチェックでは、対象版と「止めたい条件」を固定し、条件を変えたときに本当に止まるかを実際の処理経路で確認します。

サービスを見る検査範囲を相談する