Intact reduce del 73,1% al 12,8% el éxito de la prompt injection en agentes de navegador

Los agentes de IA de navegador leen páginas ajenas y actúan en nombre del usuario, mientras que a un modelo de lenguaje le basta con un texto lo bastante insistente para dejarse convencer. Los autores del trabajo, publicado en Hugging Face Daily Papers, proponen Intact, una capa entre el agente y la web que funciona sobre un navegador sin modificar. En 1 091 páginas con ataques inyectados, a través del planificador de Intact pasa el 12,8% de los ataques, y cada uno de ellos llega como máximo hasta una solicitud de consentimiento al usuario. El planificador convencional deja pasar el 73,1%.

Dónde se rompe el modelo de confianza del agente

El navegador funciona desde hace tiempo con reglas en las que las capacidades de un elemento dependen de lo que es y de dónde procede. Un script de un dominio de terceros, un campo de formulario y un bloque publicitario reciben permisos distintos, con independencia de lo que contengan. El agente pierde esas diferencias. Ve una captura de pantalla o un texto plano en el que un comentario bajo un artículo, un banner y un botón del sitio parecen lo mismo. Si en ese texto hay una instrucción oculta, el modelo puede tomarla por la voluntad del usuario y emplear sus atribuciones para un contenido que carece de ellas.

Los autores parten de que la LLM seguirá siendo manipulable. Por eso, lo que hay que proteger es la propia interfaz del agente con la web: debe garantizar la integridad de lo que el agente lee, interpreta y hace.

Cómo funciona Intact

La base es GenTree, una representación especial de la página que guarda el origen de cada elemento y su semántica web. La página llega al modelo a través de GenTree, elemento a elemento. El modelo toma la decisión sobre cada elemento sin ver el texto de los demás, de modo que una inyección en un punto no influye en la interpretación de otro. El entorno que envuelve al agente ejecuta un paso solo dentro de las capacidades del elemento al que corresponde. Antes de actuar a partir de contenido de terceros, pregunta al usuario.

Hay un detalle importante sobre la atribución. El navegador considera de origen propio muchos elementos que no lo son. En 1 270 páginas reales, GenTree clasifica como de terceros 2,3 veces más elementos que el navegador, y el navegador atribuye erróneamente a la primera parte el 58,7% de esos elementos.

• Muestra: 1 270 páginas reales, 1 091 de ellas con ataques inyectados
• Atribución: 2,3 veces más elementos de terceros que los que detecta el navegador
• Error del navegador: el 58,7% de los elementos de terceros se registran como de primera parte
• Ataques que pasan: 12,8% con Intact frente al 73,1% con el planificador convencional
• Alcance de los que pasan: con Intact, no más allá de una solicitud de consentimiento
• Pérdida de funcionalidad: 3,7% de las tareas
• Latencia: según los autores, la planificación paralela puede eliminar la mayor parte

El coste de la protección y lo que queda abierto

El aislamiento de elementos rompe las tareas en las que el sentido se construye a partir de varios fragmentos de la página. Son el 3,7% de los casos. La entrega secuencial de elementos añade latencia, pero los autores consideran que una planificación paralela eliminará la mayor parte de ese sobrecoste. Por ahora es una estimación, no una medición.

Quedan además otras cuestiones. Las cifras proceden de un conjunto propio de páginas y ataques, y el 12,8% no es cero. Por otra parte, la solicitud de consentimiento se limita a trasladar la decisión a la persona. Si el agente pregunta con demasiada frecuencia, los usuarios se acostumbrarán a pulsar «permitir». Es una suposición nuestra, no aparece en el artículo, pero conviene comprobarla en escenarios reales.

Qué deberían llevarse los equipos que desarrollan agentes

La idea es aplicable incluso sin disponer de Intact. Antes de entregar la página al modelo, conviene conservar el origen de cada fragmento y no perderlo al reducir el DOM a texto. Los permisos de acción es preferible derivarlos del tipo de elemento y de su fuente, y no de lo que el modelo «ha entendido» del texto. Toda acción basada en contenido de terceros debe pasar por una confirmación explícita. Por último, tiene sentido calcular de antemano qué proporción de tareas rompe el aislamiento. Según los datos del trabajo, en el conjunto de los autores es del 3,7%.