Playwright MCP

Официальный server Microsoft @playwright/mcp позволяет AI-приложению управлять браузером через структурированные accessibility snapshots и дополнительные browser capabilities. Эта заметка заменяет старую карточку Puppeteer MCP; alias сохранён для существующих ссылок.

Режимы

• Persistent profile: cookies и login state сохраняются; удобно, но повышает риск доступа к личной сессии.
• Isolated: свежий контекст на каждый запуск; лучший исходный режим для тестов и недоверенных сайтов.
• Extension/CDP: подключение к существующему браузеру; даёт доступ к реальным вкладкам и авторизации, поэтому требует особой осторожности.
• HTTP server: подходит для отдельного runtime; endpoint и сеть нужно защищать.

Безопасная настройка

• начинать с --isolated и отдельного тестового аккаунта;
• не подключать повседневный browser profile без явной причины;
• ограничить origins и сеть на уровне sandbox/proxy;
• считать страницу, accessibility tree и загрузки недоверенными;
• запрещать ввод паролей, seed phrases и платёжных данных моделью;
• показывать preview перед отправкой формы, публикацией или покупкой;
• использовать отдельную папку загрузок и ограничивать типы файлов;
• журналировать URL, клики, введённые данные и фактический результат.

Allowlist самого server может не учитывать redirect и не является полной security boundary. Нужны сетевые ограничения и проверка конечного URL.

Проверка

1. Открыть безопасную тестовую страницу и получить заголовок.
2. Выполнить действие в изолированном профиле.
3. Проверить redirect за пределы разрешённого origin.
4. Вставить вредоносную инструкцию в страницу и убедиться, что она остаётся данными.
5. Отклонить отправку формы и проверить отсутствие side effect.
6. Закрыть server и проверить очистку временного состояния.

Источник

• Microsoft Playwright MCP

См. также: Indirect Prompt Injection, Безопасность MCP, Протоколы Автономности.