Intact fait chuter le taux de réussite des prompt injections contre les agents de navigation de 73,1% à 12,8%

Les agents IA de navigation lisent des pages qui ne leur appartiennent pas et agissent au nom de l'utilisateur, alors qu'un modèle de langage se laisse facilement convaincre par n'importe quel texte suffisamment insistant. Les auteurs de ce travail, publié sur Hugging Face Daily Papers, proposent Intact, une couche placée entre l'agent et le web, qui fonctionne sur un navigateur non modifié. Sur 1 091 pages contenant des attaques injectées, 12,8% des attaques passent le planificateur Intact, et chacune d'elles va au plus jusqu'à une demande de consentement auprès de l'utilisateur. Le planificateur classique en laisse passer 73,1%.

Où le modèle de confiance de l'agent se brise

Le navigateur applique depuis longtemps des règles selon lesquelles les capacités d'un élément dépendent de sa nature et de sa provenance. Un script d'un domaine tiers, un champ de formulaire et un bloc publicitaire n'obtiennent pas les mêmes droits, quel que soit leur contenu. L'agent perd ces distinctions. Il voit une capture d'écran ou un texte à plat, où un commentaire sous un article, une bannière et un bouton du site se ressemblent. Si une instruction se cache dans ce texte, le modèle peut la prendre pour la volonté de l'utilisateur et employer les pouvoirs de ce dernier au profit d'un contenu qui n'en dispose pas.

Les auteurs partent du principe que le LLM restera influençable. C'est donc l'interface entre l'agent et le web qu'il faut protéger : elle doit garantir l'intégrité de ce que l'agent lit, interprète et fait.

Comment fonctionne Intact

Au cœur du système se trouve GenTree, une représentation spécifique de la page qui conserve l'origine de chaque élément et sa sémantique web. La page est transmise au modèle via GenTree, un élément à la fois. Le modèle décide pour chaque élément sans voir le texte des autres : une injection à un endroit n'influence donc pas l'interprétation d'un autre. Le harnais de l'agent n'exécute une étape que dans la limite des capacités de l'élément auquel elle se rapporte. Avant d'agir sur la base d'un contenu tiers, il demande l'avis de l'utilisateur.

Un point important concerne l'attribution. Le navigateur considère de nombreux éléments comme relevant de la première partie, alors que ce n'est pas le cas. Sur 1 270 pages réelles, GenTree classe parmi les tiers 2,3 fois plus d'éléments que le navigateur, et ce dernier attribue à tort à la première partie 58,7% de ces éléments.

• Échantillon : 1 270 pages réelles, dont 1 091 avec des attaques injectées
• Attribution : 2,3 fois plus d'éléments tiers que n'en trouve le navigateur
• Erreur du navigateur : 58,7% des éléments tiers enregistrés comme première partie
• Attaques qui passent : 12,8% avec Intact, contre 73,1% avec un planificateur classique
• Forme du passage : avec Intact, pas au-delà de la demande de consentement
• Perte de fonctionnalité : 3,7% des tâches
• Latence : selon les auteurs, un ordonnancement parallèle peut en supprimer la plus grande partie

Le prix de la protection et ce qui reste ouvert

L'isolation des éléments casse les tâches dont le sens se construit à partir de plusieurs fragments de la page. Ces cas représentent 3,7%. La présentation séquentielle des éléments ajoute de la latence, mais les auteurs estiment qu'un ordonnancement parallèle supprimera l'essentiel de ce surcoût. Pour l'instant, il s'agit d'une estimation, pas d'une mesure.

D'autres questions demeurent. Les chiffres proviennent d'un jeu de pages et d'attaques propre aux auteurs, et 12,8% n'est pas zéro. Par ailleurs, la demande de consentement ne fait que reporter la décision sur l'humain. Si l'agent sollicite l'utilisateur trop souvent, celui-ci prendra l'habitude de cliquer sur « autoriser ». C'est notre hypothèse, elle ne figure pas dans l'article, mais elle mérite d'être testée sur des scénarios réels.

Ce que les équipes qui développent des agents peuvent en retenir

L'idée est transposable même sans disposer d'Intact. Avant de transmettre une page au modèle, mieux vaut conserver l'origine de chaque fragment et ne pas la perdre lors de la réduction du DOM en texte. Les droits d'action gagnent à être déduits du type de l'élément et de sa source, et non de ce que le modèle a « compris » du texte. Toute action fondée sur un contenu tiers doit passer par une confirmation explicite. Enfin, il est judicieux de calculer à l'avance la part des tâches que l'isolation casse. D'après le travail, elle est de 3,7% pour le jeu de données des auteurs.