Creación de navegadores de IA más seguros con BrowseSafe

Hoy lanzamos BrowseSafe, un modelo abierto de investigación y detección de contenido diseñado para mantener la seguridad de los usuarios mientras navegan por la web de agentes.

A medida que los asistentes de IA pasan de las barras de búsqueda al propio navegador, esperamos que la próxima generación de la web cambie de páginas a agentes: importe menos dónde se encuentra la información y más quién la recupera y actúa en consecuencia. Comet convierte el navegador en un lugar donde un asistente puede realizar tareas, no solo responder preguntas, por lo que un principio no es negociable: debe mantenerse siempre del lado del usuario.

BrowseSafe: protección de agentes y usuarios mediante escaneo de contenido en tiempo real

BrowseSafe es un modelo de detección optimizado para responder a una sola pregunta clave: dado el HTML de una página, ¿contiene instrucciones maliciosas dirigidas al agente? Los grandes modelos de propósito general pueden razonar bien sobre estos casos, pero a menudo son demasiado lentos y costosos para ejecutarse en cada página. BrowseSafe escanea páginas web completas en tiempo real sin ralentizar el navegador. También estamos lanzando el conjunto de evaluación BrowseSafe‑Bench como un recurso para evaluar y mejorar la eficacia de la defensa.

Límites de confianza y defensas en capas

Sin embargo, una nueva generación de navegación con IA también implica una nueva generación de amenazas de ciberseguridad que requieren enfoques novedosos para mantener seguros a los usuarios. En una publicación anterior, explicamos cómo Comet utiliza múltiples capas de protección para lograr que el asistente siga haciendo lo que el usuario pidió, incluso cuando un sitio web intenta secuestrarlo mediante una inyección de comandos (prompt injection). Hoy analizamos en detalle cómo abordamos ese problema: cómo se definen esas amenazas, cómo se prueban frente a ataques del mundo real y cómo se utilizan para entrenar modelos especializados capaces de identificar y detener instrucciones maliciosas con la velocidad suficiente para ejecutarse de forma segura en el navegador.

Cómo funciona la inyección de comandos en el navegador

La inyección de comandos (prompt injection) es un lenguaje malicioso integrado en el texto que lee la IA, diseñado para anular su intención original. En el navegador, los agentes leen páginas enteras, por lo que los ataques pueden ocultarse en lugares como comentarios, plantillas o pies de página largos.

Los atacantes aprovechan esos lugares para introducir instrucciones que redirigen sigilosamente al agente. Debido a que lee todo, incluido el contenido que la mayoría de las personas nunca nota, esos mensajes pueden secuestrar el comportamiento sin medidas de seguridad sólidas.

Estos ataques a menudo evitan frases obvias y pueden redactarse en un texto pulido o multilingüe, o colocarse en elementos HTML que nunca aparecen en pantalla, como atributos de datos o campos de formulario que los navegadores no muestran visualmente pero que los agentes siguen analizando.

BrowseSafe-Bench: avance en la seguridad de los agentes en entornos del mundo real

Para estudiar estos ataques en un entorno similar a la web real, creamos BrowseSafe, un modelo de detección que entrenamos y lanzamos como código abierto, y BrowseSafe‑Bench, un punto de referencia público de 14 719 ejemplos que imitan páginas de producción. Incluye HTML complejo, contenido con ruido y una combinación de muestras maliciosas e inofensivas que varían en tres ejes: qué intenta hacer el atacante, dónde se encuentra la instrucción en la página y cómo está redactado el lenguaje.

El punto de referencia incluye 11 tipos de ataques, nueve estrategias de inyección que abarcan desde campos ocultos hasta párrafos y pies de página visibles, y tres estilos lingüísticos, desde comandos explícitos hasta textos indirectos y camuflados.

Un enfoque de defensa en profundidad

En nuestro modelo de amenazas, el propio asistente reside en un entorno seguro, pero todo lo que proviene de la web no es de confianza. Los atacantes pueden controlar sitios enteros o simplemente inyectar contenido, como descripciones de productos, comentarios y publicaciones en páginas por lo demás benignas que el agente visita. Para gestionar ese riesgo, las herramientas que pueden devolver contenido que no es de confianza, como páginas web, correos electrónicos o archivos, se marcan, y sus resultados sin procesar siempre son analizados por BrowseSafe antes de que el agente pueda leerlos o actuar sobre ellos.

BrowseSafe es una capa dentro de un enfoque de defensa más amplio. El contenido sin procesar se analiza antes de su uso, los permisos de las herramientas se limitan de manera predeterminada y las acciones confidenciales pueden requerir la confirmación explícita del usuario, todo ello además de las funciones de seguridad existentes en el navegador. La defensa en profundidad permite a los usuarios adoptar potentes asistentes de navegación sin sacrificar la seguridad a cambio de capacidad.

¿Qué influye en la eficacia de los ataques?

Los resultados de la evaluación en BrowseSafe‑Bench muestran patrones claros. Los ataques directos, como pedir al agente que revele su instrucción del sistema (system prompt) o extraiga información a través de segmentos de URL, se cuentan entre los más fáciles de detectar para los modelos. En contraste, los ataques multilingües y aquellos redactados como instrucciones indirectas o hipotéticas son considerablemente más difíciles, ya que evitan las palabras clave obvias en las que muchos detectores confían implícitamente.

La ubicación también importa. Los ataques ocultos en comentarios se detectan relativamente bien, mientras que las versiones reescritas en pies de página visibles, celdas de tablas o párrafos intercalados resultan mucho más difíciles, lo que revela un sesgo estructural hacia las inyecciones "ocultas". Un entrenamiento cuidadoso con ejemplos bien diseñados puede mejorar significativamente la capacidad de los modelos para detectar estos patrones.

Cree agentes más seguros con BrowseSafe

BrowseSafe y BrowseSafe-Bench son de código completamente abierto. Cualquier desarrollador que cree agentes autónomos puede proteger inmediatamente sus sistemas contra la inyección de comandos sin necesidad de crear barreras de seguridad desde cero. El modelo de detección de pesos abiertos se ejecuta localmente y marca las instrucciones maliciosas antes de que lleguen a la lógica central de su agente, con la velocidad suficiente para escanear cada página sin ralentizar a los usuarios.

Utilice los más de 14 000 escenarios de ataques del mundo real de BrowseSafe-Bench para someter a prueba sus propios modelos frente a las confusas trampas HTML que afectan a los LLM estándar. Nuestras técnicas de fragmentación y análisis paralelo permiten a los usuarios procesar páginas masivas que no son de confianza de manera eficiente: capacidades de navegación potentes sin exponer a los usuarios al peligro. Para obtener más información sobre cómo creamos BrowseSafe y BrowseSafe-Bench, consulte el blog de Perplexity Research.