Intact تخفض نجاح هجمات prompt injection على وكلاء المتصفح من 73,1% إلى 12,8%

يقرأ وكلاء الذكاء الاصطناعي في المتصفح صفحات يكتبها غيرهم ويتصرفون باسم المستخدم، بينما يسهل إقناع النموذج اللغوي بأي نص مُلحّ بما يكفي. يقترح مؤلفو ورقة بحثية منشورة على Hugging Face Daily Papers نظام Intact، وهو طبقة بين الوكيل والويب تعمل على متصفح غير معدَّل. على 1 091 صفحة تتضمن هجمات مُدرَجة عبر المخطِّط، تمرّ 12,8% من الهجمات مع Intact، وتصل كل واحدة منها على الأكثر إلى طلب موافقة من المستخدم. أما المخطِّط التقليدي فيمرّر 73,1%.

أين ينهار نموذج الثقة لدى الوكيل

يعمل المتصفح منذ زمن وفق قواعد تعتمد فيها صلاحيات العنصر على طبيعته ومصدره. فالسكربت القادم من نطاق خارجي، وحقل النموذج، والكتلة الإعلانية تحصل على حقوق مختلفة، بغض النظر عمّا كُتب فيها. أما الوكيل فيفقد هذه الفروق. فهو يرى لقطة شاشة أو نصًا مسطّحًا يبدو فيه تعليق أسفل المقال واللافتة وزر الموقع متشابهة. وإذا كانت في هذا النص تعليمة مخفية، فقد يعدّها النموذج إرادة المستخدم ويستخدم صلاحياته لخدمة محتوى لا يملك مثل هذه الصلاحيات.

ينطلق المؤلفون من أن LLM ستبقى سهلة الانقياد. لذلك ينبغي حماية واجهة الوكيل مع الويب نفسها: عليها أن تضمن سلامة ما يقرأه الوكيل وما يفسّره وما ينفّذه.

كيف يعمل Intact

يقوم النظام على GenTree، وهو تمثيل خاص للصفحة يحفظ مصدر كل عنصر ودلالته في الويب. تصل الصفحة إلى النموذج عبر GenTree عنصرًا واحدًا في كل مرة. ويتخذ النموذج قراره بشأن العنصر دون أن يرى نص العناصر الأخرى، ولذلك لا تؤثر حقنة في موضع ما في تفسير موضع آخر. وتنفّذ الطبقة المحيطة بالوكيل الخطوة ضمن حدود صلاحيات العنصر الذي تعود إليه فقط. وقبل أن يتصرف الوكيل استنادًا إلى محتوى صادر عن طرف ثالث، تسأل هذه الطبقة المستخدم.

ثمة تفصيل مهم يخص نسبة العناصر إلى مصادرها. يعدّ المتصفح كثيرًا من العناصر تابعة للطرف الأول، مع أنها ليست كذلك. على 1 270 صفحة حقيقية، ينسب GenTree إلى أطراف ثالثة عناصر أكثر بمقدار 2,3 مرة مما ينسبه المتصفح، بينما ينسب المتصفح خطأً إلى الطرف الأول 58,7% من هذه العناصر.

• العينة: 1 270 صفحة حقيقية، منها 1 091 صفحة تتضمن هجمات مُدرَجة
• نسبة العناصر إلى مصادرها: عناصر تابعة لأطراف ثالثة أكثر بمقدار 2,3 مرة مما يجده المتصفح
• خطأ المتصفح: سُجّلت 58,7% من عناصر الأطراف الثالثة على أنها تابعة للطرف الأول
• نفاذ الهجمات: 12,8% مع Intact مقابل 73,1% مع المخطِّط التقليدي
• شكل النفاذ: مع Intact لا يتجاوز حدّ طلب الموافقة
• فقدان الوظائف: 3,7% من المهام
• التأخير: يمكن للجدولة المتوازية، بحسب تقدير المؤلفين، إزالة الجزء الأكبر منه

ثمن الحماية وما يبقى مفتوحًا

يعطّل عزل العناصر المهام التي يتكوّن معناها من عدة أجزاء في الصفحة. وتبلغ نسبة هذه الحالات 3,7%. ويضيف تقديم العناصر بالتتابع تأخيرًا، لكن المؤلفين يرون أن الجدولة المتوازية ستزيل الجزء الأكبر من هذه الزيادة. وهذا حتى الآن تقدير وليس قياسًا.

وتبقى أسئلة أخرى. فالأرقام مستمدة من مجموعة صفحات وهجمات أعدّها المؤلفون أنفسهم، كما أن 12,8% ليست صفرًا. وإضافة إلى ذلك، لا يفعل طلب الموافقة سوى نقل القرار إلى الإنسان. فإذا سأل الوكيل كثيرًا، فسيعتاد المستخدمون الضغط على «السماح». هذا افتراضنا نحن، وهو غير وارد في الورقة، لكنه يستحق الفحص في سيناريوهات حقيقية.

ما الذي ينبغي أن تأخذه الفرق التي تبني الوكلاء

يمكن نقل الفكرة حتى دون الحصول على Intact جاهزًا. فقبل تسليم الصفحة إلى النموذج، يُستحسن حفظ مصدر كل جزء وعدم فقدانه عند اختزال DOM إلى نص. والأفضل أن تُشتق صلاحيات الإجراء من نوع العنصر ومصدره، لا مما «فهمه» النموذج من النص. وينبغي تمرير كل إجراء يستند إلى محتوى صادر عن طرف ثالث عبر تأكيد صريح. وأخيرًا، من المفيد أن تحسب مسبقًا نسبة المهام التي يعطّلها العزل. وبحسب بيانات الورقة، تبلغ هذه النسبة 3,7% في مجموعة المؤلفين.