Construindo navegadores de IA mais seguros com BrowseSafe

Hoje, estamos lançando o BrowseSafe, um benchmark de pesquisa aberto e modelo de detecção de conteúdo destinado a manter os usuários seguros enquanto navegam na web baseada em agentes.

À medida que os assistentes de IA se movem das caixas de pesquisa para o próprio navegador, esperamos que a próxima geração da web mude de páginas para agentes: menos sobre onde a informação reside e mais sobre quem a recupera e age sobre ela. O Comet transforma o navegador em um local onde um assistente pode realizar tarefas, não apenas responder perguntas; portanto, um princípio é inegociável: ele deve permanecer do lado do usuário.

BrowseSafe: protegendo agentes e usuários por meio de verificação de conteúdo em tempo real

BrowseSafe é um modelo de detecção ajustado para responder a uma única pergunta focada: dado o HTML de uma página, ele contém instruções maliciosas direcionadas ao agente? Grandes modelos de uso geral podem raciocinar bem sobre esses casos, mas muitas vezes são lentos e dispendiosos demais para serem executados em todas as páginas. O BrowseSafe verifica páginas da web completas em tempo real sem lentidão no navegador. Também estamos lançando o pacote de avaliação BrowseSafe-Bench como um recurso para avaliar e melhorar a eficácia da defesa.

Limites de confiança e defesas em camadas

No entanto, uma nova geração de navegação por IA também significa uma nova geração de ameaças cibernéticas que exigem abordagens inovadoras para manter os usuários seguros. Em uma publicação anterior, analisamos como o Comet usa várias camadas de proteção para manter o assistente fazendo o que o usuário solicitou, mesmo quando um site tenta sequestrá-lo com prompt injection. Hoje, estamos focando em como abordamos esse problema: como essas ameaças são definidas, testadas contra ataques do mundo real e usadas para treinar modelos especializados que podem detectar e interromper instruções maliciosas rapidamente para execução segura no navegador.

Como funciona o prompt injection no navegador

O prompt injection é uma linguagem maliciosa incorporada ao texto que a IA lê, projetada para substituir sua intenção original. No navegador, os agentes leem páginas inteiras, portanto, os ataques podem se esconder em locais como comentários, modelos ou rodapés longos.

Os invasores usam esses locais para inserir instruções que redirecionam silenciosamente o agente. Como ele lê tudo, incluindo conteúdo que a maioria das pessoas nunca percebe, essas mensagens podem sequestrar o comportamento sem proteções robustas.

Esses ataques frequentemente evitam frases óbvias e podem ser escritos em texto polido ou multilíngue, ou colocados em elementos HTML que nunca aparecem na tela, como atributos de dados ou campos de formulário que os navegadores não renderizam visivelmente, mas que os agentes ainda analisam.

BrowseSafe-Bench: avançando na segurança de agentes em ambientes reais

Para estudar esses ataques em um cenário que se assemelha à web real, criamos o BrowseSafe, um modelo de detecção que treinamos e disponibilizamos como código aberto, e o BrowseSafe-Bench, um benchmark público de 14.719 exemplos que mimetizam páginas de produção. Ele inclui HTML complexo, conteúdo ruidoso e uma combinação de amostras maliciosas e inofensivas que variam em três eixos: o que o invasor tenta fazer, onde a instrução reside na página e como o idioma é escrito.

O benchmark inclui 11 tipos de ataques, nove estratégias de injeção que abrangem desde campos ocultos até parágrafos visíveis e rodapés, e três estilos linguísticos, desde comandos explícitos até textos indiretos e camuflados.

Uma abordagem de defesa em profundidade

Em nosso modelo de ameaças, o próprio assistente vive em um ambiente confiável, mas tudo o que vem da web não é confiável. Os invasores podem controlar sites inteiros ou apenas injetar conteúdo, como descrições de produtos, comentários e postagens em páginas benignas que o assistente visita. Para gerenciar esse risco, ferramentas que podem retornar conteúdo não confiável, como páginas da web, e-mails ou arquivos, são sinalizadas, e suas saídas brutas são sempre verificadas pelo BrowseSafe antes que o agente possa lê-las ou agir sobre elas.

O BrowseSafe é uma camada em uma abordagem de defesa mais ampla. O conteúdo bruto é verificado antes do uso, as permissões de ferramentas são limitadas por padrão e ações confidenciais podem exigir confirmação explícita do usuário, tudo isso somado aos recursos de segurança existentes do navegador. A defesa em profundidade permite que os usuários adotem poderosos assistentes de navegador sem trocar segurança por capacidade.

O que influencia a eficácia do ataque?

Os resultados da avaliação no BrowseSafe-Bench mostram padrões claros. Ataques diretos, como pedir ao agente para revelar seu prompt de sistema ou exfiltrar informações via segmentos de URL, estão entre os mais fáceis de os modelos capturarem. Por outro lado, ataques multilíngues e aqueles escritos como instruções indiretas ou hipotéticas são significativamente mais difíceis, pois evitam as palavras-chave óbvias nas quais muitos detectores dependem implicitamente.

A localização também importa. Ataques ocultos em comentários são detectados relativamente bem, enquanto versões reescritas em rodapés visíveis, células de tabela ou parágrafos em linha mostram-se muito mais difíceis, revelando um viés estrutural para injeções “ocultas”. Um treinamento cuidadoso em exemplos bem projetados pode melhorar significativamente a capacidade dos modelos de detectar esses padrões.

Crie agentes mais seguros com o BrowseSafe

O BrowseSafe e o BrowseSafe-Bench são totalmente de código aberto. Qualquer desenvolvedor que crie agentes autônomos pode fortalecer imediatamente seus sistemas contra o prompt injection — sem necessidade de criar travas de segurança do zero. O modelo de detecção de pesos abertos é executado localmente e sinaliza instruções maliciosas antes que cheguem à lógica central do seu agente, rápido o suficiente para verificar cada página sem atrasar os usuários.

Use os mais de 14.000 cenários de ataque do mundo real do BrowseSafe-Bench para testar seus próprios modelos contra as armadilhas de HTML confusas que quebram LLMs padrão. Nossas técnicas de fragmentação e verificação paralela permitem que os agentes processem páginas massivas e não confiáveis de forma eficiente — recursos de navegação poderosos sem expor os usuários ao perigo. Para saber mais sobre como construímos o BrowseSafe e o BrowseSafe-Bench, confira o blog de pesquisa da Perplexity.