Construíndo navegadores de IA máis seguros con BrowseSafe

Hoxe lanzamos BrowseSafe, un modelo aberto de investigación e detección de contido deseñado para manter a seguridade dos usuarios mentres navegan pola web axencial.

A medida que os asistentes de intelixencia artificial pasan das caixas de busca ao propio navegador, agardamos que a seguinte xeración da web pase das páxinas aos axentes: menos centrada en onde reside a información e máis en quen a recupera e actúa sobre ela. Comet converte o navegador nun lugar onde un asistente pode realizar tarefas, non só responder preguntas, polo que un principio é innegociable: debe manterse do lado do usuario.

BrowseSafe: protección de axentes e usuarios mediante a análise de contido en tempo real

BrowseSafe é un modelo de detección axustado para responder a unha única pregunta concreta: dado o HTML dunha páxina, contén instrucións maliciosas dirixidas ao axente? Os grandes modelos xerais poden razoar ben sobre estes casos, pero adoitan ser demasiado lentos e custosos para executalos en cada páxina. BrowseSafe analiza páxinas web completas en tempo real sen ralentizar o navegador. Tamén estamos a lanzar a suite de avaliación BrowseSafe‑Bench como recurso para avaliar e mellorar a eficacia da defensa.

Límites de confianza e defensas en capas

Non obstante, unha nova xeración de navegación mediante intelixencia artificial tamén significa unha nova xeración de ameazas de ciberseguridade que requiren novos enfoques para manter a seguridade dos usuarios. Nun artigo anterior, analizamos como Comet utiliza múltiples capas de protección para manter o asistente facendo o que o usuario pediu, mesmo cando un sitio web tenta secuestralo con inxección de ordes (prompt injection). Hoxe centrámonos en como abordamos ese problema: como se definen esas ameazas, como se proban fronte a ataques do mundo real e como se usan para adestrar modelos especializados capaces de detectar e deter instrucións maliciosas o suficientemente rápido como para executalas con seguridade no navegador.

Como funciona a inxección de ordes no navegador

A inxección de ordes (prompt injection) é unha linguaxe maliciosa integrada no texto que le a intelixencia artificial, deseñada para anular a súa intención orixinal. No navegador, os axentes len páxinas enteiras, polo que os ataques poden agocharse en lugares como comentarios, modelos ou pés de páxina longos.

Os atacantes usan eses lugares para introducir de xeito discreto instrucións que redirixen o axente. Dado que o le todo, incluído o contido que a maioría da xente nunca nota, esas mensaxes poden secuestrar o comportamento se non hai unhas salvagardas fortes.

Estes ataques adoitan evitar frases obvias e poden estar escritos en texto pulido ou multilingüe, ou colocados en elementos HTML que nunca aparecen na pantalla, como atributos de datos ou campos de formularios que os navegadores non mostran visibelmente pero que os axentes seguen analizando.

BrowseSafe-Bench: avanzando na seguridade dos axentes en contornos do mundo real

Para estudar estes ataques nun contorno semellante á web real, construímo BrowseSafe, un modelo de detección que adestramos e publicamos en código aberto, e BrowseSafe‑Bench, un punto de referencia público de 14 719 exemplos que imitan páxinas de produción. Inclúe HTML complexo, contido con ruído e unha mestura de mostras maliciosas e inofensivas que varían segundo tres eixes: o que o atacante intenta facer, onde se atopa a instrución na páxina e como está escrita a linguaxe.

O banco de probas inclúe 11 tipos de ataques, nove estratexias de inxección que abranguen dende campos ocultos ata párrafos e pés de páxina visibles, e tres estilos lingüísticos, dende ordes explícitas ata texto indirecto e camuflado.

Un enfoque de defensa en profundidade

No noso modelo de ameazas, o asistente en si vive nun contorno de confianza, pero calquera cousa que proceda da web non é de confianza. Os atacantes poden controlar sitios enteiros ou simplemente inxectar contido, como descricións de produtos, comentarios e publicacións, en páxinas por outro lado benignas que visita o asistente. Para xestionar ese risco, as ferramentas que poden devolver contido non seguro, como páxinas web, correos electrónicos ou ficheiros, márcanse e as súas saídas en bruto son analizadas sempre por BrowseSafe antes de que o axente poida lelas ou actuar sobre elas.

BrowseSafe é unha capa dentro dun enfoque de defensa máis amplo. O contido en bruto analízase antes do seu uso, os permisos das ferramentas limítanse por defecto e as accións sensibles poden requirir a confirmación explícita do usuario, todo isto sumado ás funcións de seguridade existentes do navegador. A defensa en profundidade permite aos usuarios adoptar potentes asistentes de navegador sen sacrificar a seguridade a cambio de funcionalidade.

Que inflúe na eficacia dos ataques?

Os resultados da avaliación en BrowseSafe‑Bench mostran patróns claros. Os ataques directos, como pedir ao usuario que revele a súa orde de sistema (system prompt) ou que exfiltre información a través de segmentos de URL, están entre os máis fáciles de detectar para os modelos. Pola contra, os ataques multilingües e os escritos como instrucións indirectas ou hipotéticas son significativamente máis difíciles, porque evitan as palabras clave obvias das que moitos detectores dependen implícitamente.

A colocación tamén importa. Os ataques ocultos en comentarios detéctanse relativamente ben, mentres que as versións reescritas en pés de páxina visibles, celas de táboas ou párrafos en liña resultan moito máis difíciles, o que revela un sesgo estrutural cara ás inxeccións "ocultas". Un adestramento coidado en exemplos ben deseñados pode mellorar significativamente a capacidade dos modelos para detectar estes patróns.

Constrúe axentes máis seguros con BrowseSafe

BrowseSafe e BrowseSafe-Bench son totalmente de código aberto. Calquera programador que cree axentes autónomos pode reforzar inmediatamente os seus sistemas contra a inxección de ordes, sen necesidade de crear barreiras de seguridade dende cero. O modelo de detección de pesos abertos exésutase localmente e sinala as instrucións maliciosas antes de que cheguen á lóxica central do teu axente, o suficientemente rápido como para escanear cada páxina sen ralentizar os usuarios.

Usa os máis de 14 000 escenarios de ataque do mundo real de BrowseSafe-Bench para probar a resistencia dos teus propios modelos fronte ás trampas HTML desordenadas que rompen os LLM estándar. As nosas técnicas de segmentación e análise paralela permiten aos axentes procesar páxinas masivas e non fiables de forma eficiente: capacidades de navegación potentes sen expoñer os usuarios ao perigo. Para saber máis sobre como construímo BrowseSafe e BrowseSafe-Bench, consulta o blog de investigación de Perplexity.