【内置浏览器】【安全与 I/O】托管下载、文件上传和敏感字段填充

[CavinHuang]

关联主问题：#251
依赖：#260

类型

文件与凭据 / 浏览器托管 I/O / 安全

锁定方案

下载

• Browser Runtime 托管下载到任务专属目录，不操作系统“另存为”
• 返回 downloadId、来源、文件名、MIME、大小、进度和最终状态
• 文件名清理、防路径穿越、防覆盖；不自动打开可执行文件
• Agent Tab 关闭后下载产物仍保留

上传

• 使用授权 artifact/file handle，不鼓励模型拼接任意本地路径
• 截获 file chooser，并用 CDP 为真实 file input 设置文件
• 校验 accept/multiple，设置后验证文件名和数量
• 上传继续经过权限与审计策略

凭据

• password/secret 字段的值不进入快照、工具参数、错误或日志
• 使用 browser_fill_secret(ref, secret_id) 从安全存储直达 Browser Runtime
• MFA、CAPTCHA、硬件密钥返回 USER_ACTION_REQUIRED 并等待用户接管

验收标准

• 下载不会打开系统对话框，完成/失败/取消状态可查询
• 上传不会要求 Agent 操作 Windows 文件选择器
• 未授权路径与不匹配的文件类型有明确拒绝原因
• 密码真实值不会出现在 transcript、trace、audit 或剪枝 DOM
• MFA/CAPTCHA 不会被 Agent 盲目重试

[CavinHuang]

进展（PR #266）：已将上传与下载封装为内置任务级工具。upload 在一次工具调用内先注册 file chooser 等待、点击最新快照 ref、提交经任务边界校验的文件；download 同样协调下载等待、ref 点击和下载完成解析，返回 browser-download 文件引用。截图也以临时图像块返回，不把 base64 写入文本上下文。最新提交：80f8a58eb、b800b861e。凭据/联系人专用 fill 仍待单独接入。

[CavinHuang]

补充进展（PR #266，提交 1744ff8）：已新增 list_secrets / fill_secret。list_secrets 只返回当前标签页精确 origin 可用的 id、origin、username 元数据；fill_secret 只接收 secretId + 最新快照 ref，经一次性 credential 确认后，由桌面保险库直接取值并按 backendDOMNodeId 填入。密码真实值不进入模型上下文、工具参数/结果、trace 或浏览器动作审计参数。MFA/CAPTCHA/硬件密钥仍明确交还用户。

[CavinHuang]

安全与 I/O 收口进展（PR #266）：

已落地——

• 下载：不弹系统对话框（Runtime 托管）；cancelled/interrupted/completed 三态终态保留，等待超时返回 in_progress + download_id 而非误报 download_failed；download 工具支持 download_id 查询模式（不重复点击触发）；产物保留在任务目录（Tab 关闭不清理）
• 上传：file chooser 截获 + CDP setFileInputFiles（无系统文件选择器）；单文件 input 传多文件设置前明确拒绝；路径授权（symlink/100MB/会话绑定校验）既有
• 凭据：password 值不进参数/结果/trace/audit/快照（Vault 直达 Desktop isolated world）
• MFA/CAPTCHA/硬件密钥：新增 user_action_required 稳定错误码——policy deny 携带、broker 白名单透传、提示词同步语义；新增 MFA 意图判定（otp/passkey/security key/验证口令）。模型收到该码即停下等用户，不再仅靠提示词约束

记录边界（PR 描述）：upload accept 属性校验交页面自身拒绝；setFileInputFiles 后回读 input.files 不做（CDP 失败已带码传播）。