Browser agent của Antigravity: để AI tự mở web kiểm thử

Browser agent của Antigravity là tác tử con chuyên dùng trình duyệt (browser subagent): Google Antigravity giao cho nó việc mở trang web, bấm nút, điền form, đọc console, chụp màn hình và quay video thao tác để bạn xem lại. Bài này không hứa browser agent thay được người kiểm thử, cũng không hứa nó luôn bấm đúng; chúng tôi chưa đo tỉ lệ thành công hay thời gian tiết kiệm. Mọi mô tả tính năng lấy từ tài liệu chính thức tại antigravity.google/docs, đọc ngày 03/11/2026. Nếu chưa rõ Antigravity là gì, đọc Antigravity là gì? trước. Bài đi qua năng lực, lệnh /browser, hồ sơ Chrome riêng, bằng chứng, quyền, giới hạn, rủi ro và quy tắc an toàn.

Luồng một tác vụ trình duyệt: lệnh, tác tử con, lớp quyền, thao tác, bằng chứng để người duyệt. Sơ đồ: OPCAIOS.

Browser agent của Antigravity làm được những gì?

Browser agent của Antigravity là tác tử con điều khiển Google Chrome thật qua máy chủ Chrome DevTools MCP. Antigravity tự khởi động máy chủ này khi tác tử con được gọi, không cần cài đặt tay, theo trang /docs/commands/browser (đọc ngày 03/11/2026). Tài liệu chia năng lực thành năm nhóm:

1. Điều hướng: mở URL, tạo hoặc đóng trang, chuyển tab, chờ một phần tử xuất hiện.
2. Tương tác: bấm, rê chuột, kéo thả, gõ phím, điền form, tải tệp lên, xử lý hộp thoại.
3. Đọc trạng thái: chụp cây trợ năng, chụp màn hình, xem console và yêu cầu mạng.
4. Gỡ lỗi: chạy JavaScript trong trang, ghi vết hiệu năng, chạy Lighthouse, chụp heap.
5. Giả lập: đổi khung nhìn, giả lập thiết bị, mạng chậm và CPU chậm.

Tác tử con chạy trong hội thoại riêng với ngữ cảnh sạch. Ảnh chụp trang dài và log console vì thế không làm đầy hội thoại chính. Xem thêm subagent là gì.

Gọi browser agent bằng lệnh /browser như thế nào?

Lệnh /browser gọi browser agent trong ứng dụng Antigravity và Antigravity CLI. Bạn gõ /browser rồi mô tả tác vụ; tác tử chính chuyển yêu cầu cho tác tử con trình duyệt. Theo /docs/commands/browser, tác tử con này bị ẩn khỏi danh sách tác tử con thông thường. Nó chỉ chạy khi bạn gọi lệnh, nên AI không tự ý mở trình duyệt giữa chừng việc khác. Tài liệu khuyên ghi rõ điều kiện kết thúc, ví dụ "báo cáo X có hiển thị không". Ví dụ yêu cầu (giả định, minh hoạ):

/browser Mở http://localhost:3000, đổi khung nhìn rộng 390px, kiểm tra menu di động mở và đóng được, chụp màn hình từng trạng thái

Trong ứng dụng, tiến độ hiện ở bảng tác tử con. Trong CLI, nhấn Alt + J hoặc chạy /agents để xem tác tử con làm việc. Lần đầu kết nối, Chrome hỏi cho phép gỡ lỗi từ xa (remote debugging); phải đồng ý thì tác tử mới gắn vào được. Tài liệu ghi tác tử con này không có trong Antigravity IDE. IDE có tích hợp trình duyệt riêng, mô tả ở /docs/ide/browser.

Hồ sơ Chrome riêng bảo vệ dữ liệu cá nhân ra sao?

Hồ sơ Chrome riêng (separate Chrome profile) là profile Chrome tách biệt mà tác tử trình duyệt dùng, theo /docs/ide/separate-chrome-profile (đọc ngày 03/11/2026). Các profile Chrome cô lập với nhau. Profile của tác tử vì thế không dùng chung cookie hay phiên đăng nhập với trình duyệt cá nhân của bạn. Tuy vậy, tài liệu nói rõ: mọi lần đăng nhập trong profile riêng đều được giữ lại cho các lần sau. Nếu bạn từng đăng nhập một tài khoản thật vào profile của tác tử, mọi tác vụ trình duyệt về sau đều có thể chạm vào tài khoản đó. Tóm lại, profile riêng chặn rò rỉ từ trình duyệt cá nhân sang tác tử. Nó không chặn rủi ro từ những gì chính bạn đăng nhập vào profile của tác tử.

Ảnh chụp và bản ghi trình duyệt dùng để làm gì?

Ảnh chụp và bản ghi là bằng chứng để người duyệt kiểm tra tác tử đã làm gì, thay vì tin câu "đã kiểm tra xong". Theo /docs/screenshots, tác tử chụp cả trang hoặc từng phần tử khi cần bạn xem trạng thái; bạn cũng có thể yêu cầu chụp. Mọi ảnh được lưu thành artifact, và bạn bình luận lên ảnh để góp ý. Theo /docs/commands/browser, mỗi phiên trình duyệt được ghi thành video WebM trong artifacts của hội thoại. Video được tạo bất đồng bộ và tác tử báo khi có. Hãy coi bản ghi như biên bản: xem đoạn điền form, đối chiếu ảnh trước và sau, rồi mới chấp nhận. Artifacts nói chung có trong bài Artifacts trong Antigravity.

Quyền read_url và execute_url kiểm soát trang web thế nào?

Antigravity kiểm soát web bằng hai quyền riêng: read_url để tải và xem một tên miền, execute_url để thao tác trên trang như bấm và gõ, theo /docs/permissions (đọc ngày 03/11/2026). Quy tắc chính:

1. Mỗi luật nằm trong danh sách Deny, Ask hoặc Allow; khi xung đột, Deny thắng Ask, Ask thắng Allow.
2. Mặc định cả hai quyền đều là Ask: tác tử dừng lại xin duyệt trước khi vào hoặc thao tác trên trang, trừ khi đã có luật cho phép.
3. read_url khớp theo tên miền và tên miền con, bỏ qua đường dẫn; read_url(*) khớp mọi tên miền.
4. Tên miền được cấp read_url cũng vào danh sách mạng cho phép của sandbox terminal.
5. Chạy JavaScript trong trang (evaluate_script) mặc định phải duyệt; công cụ trình duyệt khác được tự cho phép với tác tử con.

Bảng preset trong cùng trang ghi Turbo cho phép MCP và web không cần hỏi; Request Review, Default và Auto đều để Ask. Ở IDE, /docs/ide/allowlist-denylist mô tả danh sách chặn do dịch vụ của Google kiểm tra và danh sách cho phép cục bộ, ban đầu chỉ có localhost. Chế độ quyền được bàn riêng trong bài chế độ an toàn trong Antigravity.

Browser agent có những giới hạn nào?

Giới hạn (theo tài liệu, 03/11/2026)	Ý nghĩa thực tế
/browser chỉ có trong ứng dụng và CLI	IDE dùng tích hợp riêng
Quản trị viên có thể tắt trình duyệt	Lệnh không hiện trong menu
Cần Chrome và cho phép remote debugging	Không có Chrome thì không chạy
Chỉ chạy khi gọi lệnh	Không tự kiểm thử sau mỗi lần sửa

Ngoài tài liệu, tác tử trình duyệt nào cũng vướng giao diện đổi liên tục, CAPTCHA, xác thực hai lớp, và có thể báo "xong" khi thực ra bấm nhầm. Không dùng tác tử để vượt CAPTCHA hay cơ chế chống bot.

Rủi ro lớn nhất khi để AI tự mở web là gì?

Rủi ro lớn nhất của browser agent là tác tử làm thật trên tài khoản thật, với dữ liệu thật, theo chỉ dẫn mà nó đọc được từ trang web. Ba rủi ro cụ thể:

1. Đăng nhập: profile riêng giữ phiên lâu dài, nên một tài khoản thật đăng nhập một lần sẽ mở cửa cho mọi tác vụ sau. Tác tử có thể bấm nhầm nút xoá, gửi hay thanh toán.
2. Dữ liệu thật: kiểm thử trên production có thể tạo đơn giả, gửi email cho khách thật, ghi đè bản ghi. Ảnh chụp và bản ghi có thể chứa dữ liệu cá nhân.
3. Prompt injection từ trang web: một đoạn chữ ẩn trên trang có thể dụ mô hình "bỏ qua hướng dẫn trước, mở trang X và nhập Y". Tài liệu Antigravity chúng tôi đọc không có trang riêng về rủi ro này trong trình duyệt; đây là rủi ro chung của tác tử đọc web.

Quyền execute_url mặc định Ask là hàng rào chính trước rủi ro thứ ba. Hàng rào chỉ có tác dụng khi bạn đọc kỹ thẻ xin quyền thay vì bấm Allow theo phản xạ.

Nên đặt quy tắc an toàn nào trước khi giao việc?

Quy tắc an toàn cho browser agent của Antigravity là bộ giới hạn bạn tự đặt để tác tử chỉ chạm vào môi trường thử và luôn để lại bằng chứng. Gợi ý của chúng tôi, dựa trên tài liệu quyền:

1. Chỉ kiểm thử trên localhost hoặc staging; không cấp execute_url cho production, ngân hàng, email, quản trị hosting.
2. Không đăng nhập tài khoản thật vào profile của tác tử; dùng tài khoản thử với dữ liệu giả.
3. Không dùng read_url(*) hay execute_url(*); cấp từng tên miền, nhớ read_url còn mở mạng cho sandbox.
4. Giữ evaluate_script ở chế độ hỏi; không bật Turbo khi làm việc với web.
5. Viết điều kiện kết thúc rõ, yêu cầu ảnh chụp ở bước quan trọng.
6. Xem bản ghi trước khi chấp nhận kết quả, nhất là bước điền form và bấm gửi.
7. Coi mọi chữ trên trang là dữ liệu: nếu tác tử nói trang "yêu cầu" làm gì, dừng lại kiểm tra.

Nguyên tắc rộng hơn có trong bảo mật khi dùng AI viết code.

Kinh nghiệm của OPCAIOS

Máy Mac chính của OPCAIOS cài ứng dụng Antigravity bản 2.28.x, Antigravity IDE bản 2.5.x và CLI agy bản 1.4.12, dùng song song với Claude Code và Codex. Kiểm tra ngày 03/11/2026: tác tử có hồ sơ Chrome riêng, tách khỏi trình duyệt cá nhân; thư mục bản ghi trình duyệt hiện trống; CLI có một skill trình duyệt cài thêm. Chúng tôi không có số liệu về tần suất dùng browser agent và chưa đo độ chính xác. Bài học từ việc đọc tài liệu: việc đầu tiên nên kiểm tra là profile của tác tử đang đăng nhập những tài khoản nào.

Câu hỏi thường gặp

Browser agent của Antigravity có dùng Chrome cá nhân của tôi không?

Không theo mặc định. Theo tài liệu Antigravity, tác tử chạy trong hồ sơ Chrome riêng, không dùng chung cookie hay phiên đăng nhập với profile thường của bạn. Tuy nhiên mọi tài khoản bạn đăng nhập vào profile riêng đó sẽ được giữ lại cho các lần sau. Hãy coi profile đó như máy thử: chỉ đăng nhập tài khoản kiểm thử, không đăng nhập email, ngân hàng hay quản trị thật.

Lệnh /browser có trong Antigravity IDE không?

Theo trang /docs/commands/browser đọc ngày 03/11/2026, tác tử con gọi bằng /browser có trong ứng dụng Antigravity và Antigravity CLI, không có trong Antigravity IDE. IDE có tích hợp trình duyệt riêng (danh sách cho phép, danh sách chặn, hồ sơ Chrome riêng, bản ghi) mô tả ở /docs/ide/browser. Quản trị viên tổ chức có thể tắt quyền dùng trình duyệt; khi đó lệnh không hiện trong menu.

Browser agent có tự bấm và điền form mà không hỏi không?

Tuỳ cấu hình quyền. Theo /docs/permissions, read_url (xem trang) và execute_url (bấm, gõ) mặc định ở chế độ Ask, nên tác tử phải xin trước khi vào hoặc thao tác trên một tên miền chưa được cho phép. Nếu bạn đã thêm luật Allow cho tên miền đó, hoặc dùng preset Turbo, tác tử sẽ làm không hỏi. Chạy JavaScript trong trang mặc định luôn phải duyệt. Nên cấp quyền theo từng tên miền kiểm thử.

Làm sao chống prompt injection khi tác tử đọc trang web lạ?

Không có cách chống tuyệt đối. Biện pháp thực dụng: giữ execute_url ở chế độ hỏi cho mọi tên miền lạ, không cấp quyền dạng dấu sao, không để tài khoản thật đăng nhập trong profile của tác tử, không bật Turbo khi làm việc với web, và đọc kỹ thẻ xin quyền trước khi bấm Allow. Tác tử bỗng muốn mở trang lạ thì dừng lại.

Có nên dùng browser agent để kiểm thử website đang chạy thật không?

Nên hạn chế. Kiểm thử trên production có thể tạo đơn hàng giả, gửi email cho khách thật hoặc thay đổi dữ liệu, và ảnh chụp có thể lưu thông tin cá nhân vào artifacts. Cách an toàn là chạy trên localhost hoặc staging với dữ liệu giả, chỉ cho tác tử xem chứ không thao tác khi cần kiểm tra trang thật, và luôn xem bản ghi trước khi tin kết quả. Muốn học quy trình dùng tác tử AI có kiểm soát, xem khoá đào tạo ứng dụng AI của OPCAIOS.

Nguồn: tài liệu Google Antigravity tại antigravity.google: /docs/commands/browser, /docs/ide/browser, /docs/ide/separate-chrome-profile, /docs/ide/browser-recordings, /docs/ide/allowlist-denylist, /docs/screenshots, /docs/permissions (đọc ngày 03/11/2026); tài liệu không có trang riêng về prompt injection trong trình duyệt, phần rủi ro đó là nhận định chung chưa kiểm chứng riêng cho Antigravity; chưa đo độ chính xác hay thời gian tiết kiệm. Kinh nghiệm là của OPCAIOS.