Budowanie bezpieczniejszych przeglądarek AI dzięki BrowseSafe

Dzisiaj udostępniamy BrowseSafe, otwarty benchmark badawczy oraz model detekcji treści, których celem jest zapewnienie bezpieczeństwa użytkownikom podczas korzystania z przeglądarek opartych na agentach AI.

W miarę jak asystenci AI przenoszą się z okien wyszukiwarki bezpośrednio do przeglądarki, przewidujemy, że następna generacja sieci ewoluuje od stron internetowych do agentów: mniej istotne stanie się to, gdzie znajdują się informacje, a bardziej – kto je pobiera i podejmuje na ich podstawie działania. Comet przekształca przeglądarkę w przestrzeń, w której asystent może wykonywać zadania, a nie tylko odpowiadać na pytania, dlatego jedna zasada pozostaje nienegocjowalna: musi on zawsze stać po stronie użytkownika.

BrowseSafe: ochrona agentów i użytkowników poprzez skanowanie treści w czasie rzeczywistym

BrowseSafe to model detekcji precyzyjnie dostrojony do odpowiedzi na jedno kluczowe pytanie: czy dany kod HTML strony zawiera złośliwe instrukcje skierowane przeciwko agentowi? Duże modele ogólnego przeznaczenia potrafią skutecznie analizować takie przypadki, jednak często działają zbyt wolno i są kosztowne w eksploatacji przy każdej odwiedzanej stronie. BrowseSafe skanuje pełne strony internetowe w czasie rzeczywistym, nie spowalniając pracy przeglądarki. Udostępniamy również zestaw ewaluacyjny BrowseSafe-Bench jako zasób wspierający ocenę i poprawę skuteczności zabezpieczeń.

Granice zaufania i wielowarstwowa obrona

Jednak nowa generacja przeglądania z wykorzystaniem AI oznacza również nową generację zagrożeń cybernetycznych, które wymagają nowatorskich podejść do ochrony bezpieczeństwa użytkowników. W poprzednim wpisie omówiliśmy, jak Comet wykorzystuje wielowarstwowe zabezpieczenia, aby zapewnić, że asystent realizuje zadania zlecone przez użytkownika, nawet gdy witryna próbuje przejąć nad nim kontrolę za pomocą iniekcji promptu. Dzisiaj skupiamy się na tym, jak rozwiązujemy ten problem: jak definiuje się te zagrożenia, jak testuje się je w oparciu o ataki z rzeczywistego świata i jak wykorzystuje się je do trenowania wyspecjalizowanych modeli, które potrafią szybko wykrywać i blokować szkodliwe instrukcje, umożliwiając bezpieczne działanie w przeglądarce.

Jak działa iniekcja promptu w przeglądarce

Iniekcja promptu to złośliwy kod językowy osadzony w treści czytanej przez AI, zaprojektowany w celu obejścia pierwotnych intencji modelu. W przeglądarce agenci analizują całe strony, dlatego ataki mogą ukrywać się w miejscach takich jak komentarze, szablony czy rozbudowane stopki.

Atakujący wykorzystują te miejsca do przemycania instrukcji, które po cichu przekierowują działania agenta. Ponieważ czyta on wszystko, w tym treści, na które większość ludzi nie zwraca uwagi, takie komunikaty mogą przejąć kontrolę nad zachowaniem modelu w przypadku braku silnych zabezpieczeń.

Ataki te często unikają oczywistych fraz i mogą być napisane wyszukanym lub wielojęzycznym tekstem, bądź umieszczone w elementach HTML, które nigdy nie pojawiają się na ekranie, takich jak atrybuty danych lub pola formularzy, których przeglądarki nie renderują wizualnie, ale które agenci nadal parsują.

BrowseSafe-Bench: zwiększanie bezpieczeństwa agentów w środowiskach rzeczywistych

Aby zbadać te ataki w środowisku odzwierciedlającym rzeczywistą sieć, stworzyliśmy BrowseSafe, model detekcji, który wytrenowaliśmy i udostępniliśmy jako open-source, oraz BrowseSafe-Bench, publiczny benchmark zawierający 14 719 przykładów imitujących strony produkcyjne. Zawiera on złożony kod HTML, zaszumioną treść oraz mieszankę próbek złośliwych i bezpiecznych, które różnią się w trzech wymiarach: celu ataku, lokalizacji instrukcji na stronie oraz stylu językowego.

Benchmark obejmuje 11 typów ataków, dziewięć strategii iniekcji od ukrytych pól po widoczne akapity i stopki, oraz trzy style językowe: od bezpośrednich poleceń po niebezpośredni, zamaskowany tekst.

Podejście obrony wielowarstwowej

W naszym modelu zagrożeń asystent działa w zaufanym środowisku, ale wszystko, co pochodzi z sieci, jest niezaufane. Atakujący mogą kontrolować całe witryny lub tylko wstrzykiwać treści, takie jak opisy produktów, komentarze i posty do stron, które są inaczej nieszkodliwe. Aby zarządzać tym ryzykiem, narzędzia mogące zwracać niezaufaną zawartość, taką jak strony WWW, e-maile czy pliki, są oznaczane, a ich surowe dane wyjściowe są zawsze skanowane przez BrowseSafe, zanim agent będzie mógł je odczytać lub podjąć na ich podstawie działanie.

BrowseSafe stanowi jedną z warstw szerszego podejścia do obrony. Surowa zawartość jest skanowana przed użyciem, uprawnienia narzędzi są domyślnie ograniczone, a wrażliwe działania mogą wymagać wyraźnego potwierdzenia użytkownika – wszystko to stanowi uzupełnienie istniejących zabezpieczeń przeglądarki. Obrona wielowarstwowa umożliwia użytkownikom korzystanie z zaawansowanych asystentów przeglądarkowych bez poświęcania bezpieczeństwa na rzecz funkcjonalności.

Co wpływa na skuteczność ataku?

Wyniki ewaluacji na BrowseSafe-Bench wykazują wyraźne wzorce. Bezpośrednie ataki, takie jak polecenie agentowi ujawnienia swojego promptu systemowego lub wykradzenia informacji poprzez segmenty URL, są dla modeli najłatwiejsze do wykrycia. W przeciwieństwie do nich, ataki wielojęzyczne oraz te sformułowane jako instrukcje pośrednie lub hipotetyczne są znacznie trudniejsze, ponieważ unikają oczywistych słów kluczowych, na których niejawnie polega wiele detektorów.

Lokalizacja również ma znaczenie. Ataki ukryte w komentarzach są wykrywane relatywnie dobrze, podczas gdy wersje przepisane na widoczne stopki, komórki tabel czy akapity śródtekstowe okazują się znacznie trudniejsze, co ujawnia strukturalne uprzedzenie w stronę „ukrytych” iniekcji. Staranny trening na dobrze zaprojektowanych przykładach może znacząco poprawić zdolność modeli do wykrywania tych wzorców.

Twórz bezpieczniejszych agentów z BrowseSafe

BrowseSafe i BrowseSafe-Bench są w pełni otwarte (open-source). Każdy programista tworzący autonomicznych agentów może natychmiast wzmocnić swoje systemy przed iniekcją promptu – nie ma potrzeby tworzenia mechanizmów bezpieczeństwa od podstaw. Model detekcji z otwartymi wagami działa lokalnie i flaguje złośliwe instrukcje, zanim dotrą one do logiki rdzenia agenta, wystarczająco szybko, by skanować każdą stronę bez spowalniania użytkowników.

Wykorzystaj ponad 14 000 rzeczywistych scenariuszy ataków z BrowseSafe-Bench do przeprowadzenia testów warunków skrajnych własnych modeli w starciu z chaotycznymi pułapkami HTML, które zawodzą standardowe LLM. Nasze techniki dzielenia na fragmenty i skanowania równoległego pozwalają agentom efektywnie przetwarzać ogromne, niezaufane strony – zapewniając potężne możliwości przeglądania bez narażania użytkowników na niebezpieczeństwo. Aby dowiedzieć się więcej o tym, jak zbudowaliśmy BrowseSafe i BrowseSafe-Bench, sprawdź blog Perplexity Research.