Construindo navegadores de IA mais seguros com o BrowseSafe

Hoje, estamos lançando o BrowseSafe, um benchmark de pesquisa aberto e um modelo de detecção de conteúdo projetado para manter os usuários seguros enquanto navegam na web baseada em agentes.

À medida que os assistentes de IA passam das caixas de pesquisa para o próprio navegador, esperamos que a próxima geração da web mude de páginas para agentes: menos sobre onde a informação está e mais sobre quem a recupera e age com base nela. O Comet transforma o navegador em um local onde um assistente pode realizar tarefas, e não apenas responder a perguntas, portanto, um princípio é inegociável: ele deve permanecer do lado do usuário.

BrowseSafe: protegendo agentes e usuários por meio de varredura de conteúdo em tempo real

O BrowseSafe é um modelo de detecção refinado para responder a uma única pergunta específica: com base no HTML de uma página, ele contém instruções maliciosas direcionadas ao agente? Grandes modelos de uso geral conseguem raciocinar bem sobre esses casos, mas geralmente são muito lentos e caros para serem executados em todas as páginas. O BrowseSafe analisa páginas da web completas em tempo real sem desacelerar o navegador. Também estamos lançando o conjunto de avaliação BrowseSafe-Bench como um recurso para avaliar e melhorar a eficácia da defesa.

Limites de confiança e defesas em camadas

No entanto, uma nova geração de navegação por IA também significa uma nova geração de ameaças à segurança cibernética que exigem abordagens inovadoras para manter os usuários seguros. Em uma postagem anterior, explicamos como o Comet usa várias camadas de proteção para fazer o assistente continuar executando o que o usuário pediu, mesmo quando um site tenta sequestrá-lo com injeção de comandos. Hoje, estamos detalhando como abordamos esse problema: como essas ameaças são definidas, testadas contra ataques do mundo real e usadas para treinar modelos especializados capazes de identificar e interromper instruções maliciosas com rapidez suficiente para rodar com segurança no navegador.

Como funciona a injeção de comandos no navegador

A injeção de comandos é uma linguagem maliciosa inserida no texto que a IA lê, projetada para substituir sua intenção original. No navegador, os agentes leem páginas inteiras, de modo que os ataques podem se esconder em locais como comentários, modelos ou rodapés longos.

Os invasores usam esses pontos para inserir instruções que redirecionam o agente discretamente. Como ele lê tudo, incluindo conteúdos que a maioria das pessoas nunca nota, essas mensagens podem sequestrar o comportamento sem proteções fortes.

Esses ataques geralmente evitam frases óbvias e podem ser escritos em texto refinado ou multilíngue, ou colocados em elementos HTML que nunca aparecem na tela, como atributos de dados ou campos de formulário que os navegadores não renderizam visivelmente, mas que os agentes ainda analisam.

BrowseSafe-Bench: avançando a segurança de agentes em ambientes do mundo real

Para estudar esses ataques em um ambiente semelhante à web real, criamos o BrowseSafe, um modelo de detecção que treinamos e disponibilizamos como código aberto, e o BrowseSafe-Bench, um benchmark público de 14.719 exemplos que imitam páginas de produção. Ele inclui HTML complexo, conteúdo com ruído e uma mistura de amostras maliciosas e inofensivas que variam ao longo de três eixos: o que o invasor tenta fazer, onde a instrução está localizada na página e como a linguagem está escrita.

O benchmark inclui 11 tipos de ataques, nove estratégias de injeção que vão desde campos ocultos até parágrafos e rodapés visíveis, e três estilos linguísticos, desde comandos explícitos até textos indiretos e camuflados.

Uma abordagem de defesa em profundidade

Em nosso modelo de ameaças, o próprio assistente vive em um ambiente confiável, mas tudo o que vem da web não é confiável. Os invasores podem controlar sites inteiros ou apenas injetar conteúdo, como descrições de produtos, comentários e postagens, em páginas benignas que o agente visita. Para gerenciar esse risco, ferramentas que podem retornar conteúdo não confiável, como páginas da web, e-mails ou arquivos, são sinalizadas, e suas saídas brutas são sempre verificadas pelo BrowseSafe antes que o agente possa lê-las ou agir com base nelas.

O BrowseSafe é uma camada em uma abordagem de defesa mais ampla. O conteúdo bruto é escaneado antes do uso, as permissões de ferramentas são limitadas por padrão e ações confidenciais podem exigir confirmação explícita do usuário, tudo somado aos recursos de segurança existentes no navegador. A defesa em profundidade permite que os usuários adotem assistentes de navegador poderosos sem sacrificar a segurança em troca de capacidade.

O que influencia a eficácia dos ataques?

Os resultados da avaliação no BrowseSafe-Bench mostram padrões claros. Ataques diretos, como pedir ao agente para revelar seu comando de sistema ou exfiltrar informações por meio de segmentos de URL, estão entre os mais fáceis de serem detectados pelos modelos. Em contrapartida, os ataques multilíngues e aqueles escritos como instruções indiretas ou hipotéticas são significativamente mais difíceis, pois evitam as palavras-chave óbvias nas quais muitos detectores se baseiam implicitamente.

O posicionamento também importa. Ataques ocultos em comentários são detectados relativamente bem, enquanto versões reescritas em rodapés visíveis, células de tabelas ou parágrafos embutidos se provam muito mais difíceis, revelando um viés estrutural em direção a injeções "ocultas". Um treinamento cuidadoso em exemplos bem projetados pode melhorar significativamente a capacidade dos modelos de detectar esses padrões.

Crie agentes mais seguros com o BrowseSafe

O BrowseSafe e o BrowseSafe-Bench são totalmente de código aberto. Qualquer desenvolvedor que crie agentes autônomos pode proteger imediatamente seus sistemas contra injeção de comandos, sem a necessidade de criar barreiras de segurança do zero. O modelo de detecção de pesos abertos roda localmente e sinaliza instruções maliciosas antes que elas cheguem à lógica central do seu agente, com velocidade suficiente para escanear cada página sem deixar os usuários lentos.

Use os mais de 14.000 cenários de ataques do mundo real do BrowseSafe-Bench para testar o estresse de seus próprios modelos contra as armadilhas HTML complexas que quebram os LLMs padrão. Nossas técnicas de fragmentação e varredura paralela permitem que os agentes processem páginas massivas e não confiáveis de forma eficiente — capacidades de navegação poderosas sem expor os usuários ao perigo. Para saber mais sobre como construímos o BrowseSafe e o BrowseSafe-Bench, confira o blog de pesquisa da Perplexity.