Création de navigateurs IA plus sûrs avec BrowseSafe

Aujourd'hui, nous lançons BrowseSafe, un modèle ouvert de recherche et de détection de contenu visant à assurer la sécurité des utilisateurs lors de leur navigation sur le Web agentique.

À mesure que les assistants IA passent des barres de recherche au navigateur lui-même, nous nous attendons à ce que la prochaine génération du Web passe des pages aux agents : il s'agit moins de savoir où se trouve l'information que de savoir qui la récupère et l'utilise. Comet transforme le navigateur en un espace où un assistant peut accomplir des tâches et pas seulement répondre à des questions, de sorte qu'un principe est non négociable : il doit rester du côté de l'utilisateur.

BrowseSafe : protéger les agents et les utilisateurs grâce à l'analyse de contenu en temps réel

BrowseSafe est un modèle de détection optimisé pour répondre à une seule question ciblée : compte tenu du code HTML d'une page, celle-ci contient-elle des instructions malveillantes destinées à l'agent ? Les grands modèles polyvalents peuvent bien analyser ces cas, mais ils sont souvent trop lents et coûteux pour s'exécuter sur chaque page. BrowseSafe analyse des pages Web complètes en temps réel sans ralentir le navigateur. Nous lançons également la suite d'évaluation BrowseSafe‑Bench comme ressource pour évaluer et améliorer l'efficacité de la défense.

Limites de confiance et défenses multicouches

Cependant, une nouvelle génération de navigation par IA signifie également une nouvelle génération de menaces de cybersécurité qui nécessitent de nouvelles approches pour assurer la sécurité des utilisateurs. Dans un article précédent, nous avons expliqué comment Comet utilise de multiples couches de protection pour permettre à l'assistant de faire ce que l'utilisateur a demandé, même lorsqu'un site Web tente de le détourner par injection de requêtes-guides. Aujourd'hui, nous examinons de plus près la façon dont nous abordons ce problème : comment ces menaces sont définies, testées face à des attaques réelles et utilisées pour entraîner des modèles spécialisés capables de repérer et d'arrêter les mauvaises instructions assez rapidement pour s'exécuter en toute sécurité dans le navigateur.

Comment fonctionne l'injection de requêtes-guides dans le navigateur

L'injection de requêtes-guides correspond à un langage malveillant intégré dans le texte lu par l'IA, conçu pour contourner son intention initiale. Dans le navigateur, les agents lisent des pages entières, de sorte que les attaques peuvent se cacher dans des endroits tels que des commentaires, des modèles ou de longs pieds de page.

Les attaquants utilisent ces endroits pour glisser des instructions qui redirigent discrètement l'agent. Comme il lit tout, y compris le contenu que la plupart des gens ne remarquent jamais, ces messages peuvent détourner le comportement sans mesures de protection solides.

Ces attaques évitent souvent les expressions évidentes et peuvent être rédigées dans un texte soigné ou multilingue, ou placées dans des éléments HTML qui n'apparaissent jamais à l'écran, tels que des attributs de données ou des champs de formulaire que les navigateurs ne rendent pas visibles mais que les agents analysent tout de même.

BrowseSafe-Bench : faire progresser la sécurité des agents dans des environnements réels

Pour étudier ces attaques dans un environnement semblable au Web réel, nous avons créé BrowseSafe, un modèle de détection que nous avons entraîné et mis en open source, et BrowseSafe‑Bench, un banc d'essai public de 14 719 exemples imitant des pages de production. Il comprend du code HTML complexe, du contenu bruyant et un mélange d'échantillons malveillants et inoffensifs qui varient selon trois axes : ce que l'attaquant essaie de faire, l'emplacement de l'instruction dans la page et la manière dont le langage est rédigé.

Le banc d'essai comprend 11 types d'attaques, neuf stratégies d'injection allant des champs cachés aux paragraphes visibles et aux pieds de page, ainsi que trois styles linguistiques, allant des commandes explicites au texte indirect et camouflé.

Une approche de défense en profondeur

Dans notre modèle de menace, l'assistant lui-même réside dans un environnement de confiance, mais tout ce qui provient du Web ne l'est pas. Les attaquants peuvent contrôler des sites entiers ou simplement injecter du contenu, tel que des descriptions de produits, des commentaires et des messages dans des pages par ailleurs bénignes visitées par l'assistant. Pour gérer ce risque, les outils capables de renvoyer du contenu non sécurisé, tel que des pages Web, des courriels ou des fichiers, sont signalés et leurs résultats bruts sont toujours analysés par BrowseSafe avant que l'agent ne puisse les lire ou les utiliser.

BrowseSafe est une couche d'une approche de défense plus large. Le contenu brut est analysé avant d'être utilisé, les autorisations des outils sont limitées par défaut et les actions sensibles peuvent nécessiter une confirmation explicite de l'utilisateur, le tout en plus des fonctionnalités de sécurité existantes du navigateur. La défense en profondeur permet aux utilisateurs d'adopter de puissants assistants de navigation sans sacrifier la sécurité au profit des fonctionnalités.

Qu'est-ce qui influence l'efficacité des attaques ?

Les résultats de l'évaluation sur BrowseSafe‑Bench montrent des schémas clairs. Les attaques directes, comme demander à l'agent de révéler sa requête-guide système ou d'exfiltrer des informations via des segments d'URL, comptent parmi les plus faciles à détecter pour les modèles. En revanche, les attaques multilingues et celles rédigées sous forme d'instructions indirectes ou hypothétiques sont nettement plus difficiles, car elles évitent les mots-clés évidents sur lesquels de nombreux détecteurs s'appuient implicitement.

L'emplacement a également son importance. Les attaques cachées dans les commentaires sont détectées relativement bien, tandis que les versions réécrites dans des pieds de page visibles, des cellules de tableau ou des paragraphes en ligne s'avèrent beaucoup plus difficiles, révélant un biais structurel envers les injections « cachées ». Un entraînement minutieux sur des exemples bien conçus peut considérablement améliorer la capacité des modèles à détecter ces schémas.

Créez des agents plus sûrs avec BrowseSafe

BrowseSafe et BrowseSafe-Bench sont entièrement open source. Tout développeur créant des agents autonomes peut immédiatement renforcer ses systèmes contre l'injection de requêtes-guides, sans avoir à créer de barrières de sécurité à partir de zéro. Le modèle de détection à poids ouverts s'exécute localement et signale les instructions malveillantes avant qu'elles n'atteignent la logique de base de votre agent, assez rapidement pour analyser chaque page sans ralentir les utilisateurs.

Utilisez les plus de 14 000 scénarios d'attaque réels de BrowseSafe-Bench pour mettre vos propres modèles à l'épreuve face aux pièges HTML complexes qui perturbent les grands modèles de langage (LLM) standard. Nos techniques de découpage et d'analyse parallèle permettent aux agents de traiter des pages massives et non sécurisées de manière efficace — offrant de puissantes capacités de navigation sans exposer les utilisateurs au danger.

Pour en savoir plus sur la façon dont nous avons conçu BrowseSafe et BrowseSafe-Bench, consultez le blogue de Perplexity Research.