สร้างเบราว์เซอร์ AI ที่ปลอดภัยยิ่งขึ้นด้วย BrowseSafe

วันนี้ เรากำลังปล่อยตัว BrowseSafe ซึ่งเป็นเกณฑ์มาตรฐานการวิจัยแบบโอเพนซอร์สและโมเดลตรวจจับเนื้อหาที่มีเป้าหมายเพื่อให้ผู้ใช้อยปลอดภัยในขณะที่พวกเขาท่องเว็บไซต์แบบเอเจนต์ (agentic web)

ในขณะที่ผู้ช่วย AI ย้ายจากช่องค้นหามาสู่เบราว์เซอร์ เราคาดว่าเว็บยุคถัดไปจะเปลี่ยนจากหน้าเว็บไปสู่เอเจนต์: ซึ่งให้ความสำคัญน้อยลงว่าข้อมูลอยู่ที่ไหน และให้ความสำคัญมากขึ้นว่าใครเป็นผู้ดึงข้อมูลและดำเนินการกับข้อมูลนั้น Comet เปลี่ยนเบราว์เซอร์ให้กลายเป็นสถานที่ที่ผู้ช่วยสามารถทำงานให้ลุล่วงได้ ไม่ใช่แค่ตอบคำถาม ดังนั้นหลักการข้อหนึ่งจึงเป็นสิ่งที่ไม่สามารถต่อรองได้: นั่นคือมันจะต้องอยู่ข้างผู้ใช้เสมอ

BrowseSafe: ปกป้องเอเจนต์และผู้ใช้ผ่านการสแกนเนื้อหาแบบเรียลไทม์

BrowseSafe คือโมเดลตรวจจับที่ได้รับการปรับแต่งมาอย่างละเอียดเพื่อตอบคำถามข้อเดียวที่เน้นย้ำ: เมื่อพิจารณาจาก HTML ของหน้าเว็บแล้ว หน้าเว็บนั้นมีคำสั่งที่เป็นอันตรายที่มุ่งเป้าไปที่เอเจนต์หรือไม่ โมเดลอเนกประสงค์ขนาดใหญ่สามารถใช้เหตุผลเกี่ยวกับกรณีเหล่านี้ได้ดี แต่โดยทั่วไปแล้วพวกมันทำงานช้าเกินไปและมีค่าใช้จ่ายสูงเกินไปที่จะรันในทุกๆ หน้าเว็บ BrowseSafe สแกนหน้าเว็บเต็มรูปแบบแบบเรียลไทม์โดยไม่ทำให้เบราว์เซอร์ทำงานช้าลง นอกจากนี้ เรายังปล่อยชุดประเมิน BrowseSafe‑Bench ออกมาเป็นทรัพยากรสำหรับการประเมินและปรับปรุงประสิทธิภาพของการป้องกันอีกด้วย

ขอบเขตความเชื่อมั่นและการป้องกันหลายชั้น

อย่างไรก็ตาม การท่องเว็บด้วย AI ยุคใหม่นี้ยังหมายถึงภัยคุกคามด้านความปลอดภัยทางไซเบอร์ยุคใหม่ที่ต้องอาศัยแนวทางใหม่ๆ ในการรักษาความปลอดภัยให้ผู้ใช้ ในโพสต์ก่อนหน้านี้ เราได้อธิบายวิธีที่ Comet ใช้การป้องกันหลายชั้นเพื่อให้ผู้ช่วยทำงานตามที่ผู้ใช้ร้องขอต่อไป แม้ว่าเว็บไซต์พยายามจะไฮแจ็คด้วย พร้อมท์อินเจกชัน (prompt injection) วันนี้เราจะมาเจาะลึกวิธีที่เราจัดการกับปัญหานั้น: วิธีการกำหนดภัยคุกคามเหล่านั้น การทดสอบกับ ภัยคุกคามในโลกแห่งความเป็นจริง และการนำไปใช้ฝึกอบรมโมเดลเฉพาะทางที่สามารถตรวจจับและหยุดคำสั่งที่เป็นอันตรายได้อย่างรวดเร็วพอที่จะทำงานได้อย่างปลอดภัยในเบราว์เซอร์

พร้อมท์อินเจกชันในเบราว์เซอร์ทำงานอย่างไร

พร้อมท์อินเจกชันคือภาษาที่เป็นอันตรายซึ่งฝังอยู่ในข้อความที่ AI อ่าน โดยได้รับการออกแบบมาเพื่อลบล้างเจตนาเดิมของมัน ในเบราว์เซอร์ เอเจนต์จะอ่านหน้าเว็บทั้งหน้า ดังนั้นการโจมตีจึงสามารถซ่อนอยู่ในส่วนต่างๆ เช่น ความคิดเห็น แม่แบบ หรือส่วนท้ายของหน้าเว็บที่ยาว

ผู้โจมตีใช้จุดเหล่านี้เพื่อสอดแทรกคำสั่งที่เปลี่ยนเส้นทางเอเจนต์อย่างเงียบๆ เนื่องจากมันอ่านทุกอย่าง รวมถึงเนื้อหาที่คนส่วนใหญ่ไม่เคยสังเกต ข้อความเหล่านั้นจึงสามารถไฮแจ็คพฤติกรรมได้โดยไม่มีการป้องกันที่รัดกุม

การโจมตีเหล่านี้มักหลีกเลี่ยงวลีที่ชัดเจนและอาจเขียนด้วยข้อความที่ขัดเกลาหรือหลายภาษา หรือวางไว้ในองค์ประกอบ HTML ที่ไม่เคยปรากฏบนหน้าจอ เช่น แอตทริบิวต์ข้อมูลหรือฟิลด์ฟอร์มที่เบราว์เซอร์ไม่ได้แสดงผลให้เห็นแต่วิเคราะห์โดยเอเจนต์

BrowseSafe-Bench: การพัฒนาความปลอดภัยของเอเจนต์ในสภาพแวดล้อมจริง

เพื่อศึกษาการโจมตีเหล่านี้ในสภาพแวดล้อมที่มีลักษณะเหมือนเว็บจริง เราได้สร้าง BrowseSafe ซึ่งเป็นโมเดลตรวจจับที่เราฝึกฝนและเปิดซอร์สโค้ด และ BrowseSafe‑Bench ซึ่งเป็นเกณฑ์มาตรฐานสาธารณะที่มีตัวอย่าง 14,719 รายการเลียนแบบหน้าเว็บจริง ซึ่งรวมถึง HTML ที่ซับซ้อน เนื้อหาที่มีสัญญาณรบกวน และตัวอย่างที่เป็นอันตรายและไม่เป็นอันตรายปะปนกันซึ่งแตกต่างกันไปตามแกน 3 แกน ได้แก่ สิ่งที่ผู้โจมตีพยายามทำ ตำแหน่งที่คำสั่งอยู่บนหน้าเว็บ และวิธีการเขียนภาษา

เกณฑ์มาตรฐานนี้ประกอบด้วยประเภทการโจมตี 11 ประเภท กลยุทธ์การอินเจกชัน 9 แบบ ครอบคลุมตั้งแต่ฟิลด์ที่ซ่อนอยู่ไปจนถึงย่อหน้าและส่วนท้ายที่มองเห็นได้ และสไตล์ทางภาษา 3 แบบ ตั้งแต่คำสั่งที่ชัดเจนไปจนถึงข้อความทางอ้อมที่อำพรางไว้

แนวทางการป้องกันในเชิงลึก

ในโมเดลภัยคุกคามของเรา ตัวผู้ช่วยเองอาศัยอยู่ในสภาพแวดล้อมที่เชื่อถือได้ แต่สิ่งใดก็ตามที่มาจากเว็บจะไม่น่าเชื่อถือ ผู้โจมตีอาจควบคุมเว็บไซต์ทั้งหมดหรือเพียงแค่ฉีดเนื้อหา เช่น คำอธิบายผลิตภัณฑ์ ความคิดเห็น และโพสต์ ลงในหน้าเว็บที่ไม่เป็นอันตรายซึ่งผู้ช่วยเข้าชม เพื่อจัดการกับความเสี่ยงดังกล่าว เครื่องมือที่สามารถคืนค่าเนื้อหาที่ไม่น่าเชื่อถือ เช่น หน้าเว็บ อีเมล หรือไฟล์ จะถูกทำเครื่องหมาย และผลลัพธ์ดิบของเครื่องมือเหล่านั้นจะถูกสแกนโดย BrowseSafe เสมอก่อนที่เอเจนต์จะสามารถอ่านหรือดำเนินการกับสิ่งเหล่านั้นได้

BrowseSafe เป็นเลเยอร์หนึ่งในแนวทางการป้องกันที่กว้างขึ้น เนื้อลาดิบจะถูกสแกนก่อนใช้งาน สิทธิ์ของเครื่องมือจะถูกจำกัดโดยค่าเริ่มต้น และการดำเนินการที่ละเอียดอ่อนอาจต้องมีการยืนยันอย่างชัดเจนจากผู้ใช้ ทั้งหมดนี้อยู่บนพื้นฐานของฟีเจอร์ความปลอดภัยของเบราว์เซอร์ที่มีอยู่ การป้องกันในเชิงลึกช่วยให้ผู้ใช้สามารถนำผู้ช่วยเบราว์เซอร์ที่มีประสิทธิภาพมาใช้โดยไม่ต้องแลกความปลอดภัยกับความสามารถ

อะไรคือกำลังขับเคลื่อนประสิทธิภาพของการโจมตี

ผลการประเมินบน BrowseSafe‑Bench แสดงให้เห็นรูปแบบที่ชัดเจน การโจมตีโดยตรง เช่น การขอให้เอเจนต์เปิดเผยพร้อมท์ระบบของตนหรือขโมยข้อมูลผ่านส่วนต่างๆ ของ URL เป็นหนึ่งในประเภทที่โมเดลตรวจจับได้ง่ายที่สุด ในทางตรงกันข้าม การโจมตีหลายภาษาและรูปแบบที่เขียนเป็นคำสั่งทางอ้อมหรือสมมติฐานนั้นยากกว่ามาก เนื่องจากหลีกเลี่ยงคำสำคัญที่ชัดเจนซึ่งเครื่องมือตรวจจับจำนวนมากพึ่งพาโดยนัย

ตำแหน่งที่ตั้งก็มีความสำคัญเช่นกัน การโจมตีที่ซ่อนอยู่ในความคิดเห็นจะถูกตรวจจับได้ค่อนข้างดี ในขณะที่เวอร์ชันที่เขียนใหม่ในส่วนท้าย ตาราง หรือย่อหน้าที่มองเห็นได้นั้นยากกว่ามาก ซึ่งเผยให้เห็นอคติทางโครงสร้างที่มีต่อการอินเจกชันแบบ "ซ่อนเร้น" การฝึกอบรมอย่างระมัดระวังเกี่ยวกับตัวอย่างที่ออกแบบมาอย่างดีสามารถปรับปรุงความสามารถของโมเดลในการตรวจจับรูปแบบเหล่านี้ได้อย่างมาก

สร้างเอเจนต์ที่ปลอดภัยยิ่งขึ้นด้วย BrowseSafe

BrowseSafe และ BrowseSafe-Bench เป็นโอเพนซอร์สเต็มรูปแบบ นักพัฒนาทุกคนที่สร้างเอเจนต์อิสระสามารถเสริมความแข็งแกร่งให้กับระบบของตนต่อต้านการทำพร้อมท์อินเจกชันได้ทันที โดยไม่ต้องสร้างระบบป้องกันความปลอดภัยตั้งแต่เริ่มต้น โมเดลตรวจจับแบบเปิด (open-weight) ทำงานในเครื่องและติดป้ายกำกับคำสั่งที่เป็นอันตรายก่อนที่จะไปถึงตรรกะหลักของเอเจนต์ของคุณ ซึ่งรวดเร็วพอที่จะสแกนทุกหน้าโดยไม่ทำให้ผู้ใช้ช้าลง

ใช้สถานการณ์การโจมตีในโลกจริงกว่า 14,000 รายการของ BrowseSafe-Bench เพื่อทดสอบความเครียดของโมเดลของคุณเองกับกับดัก HTML ที่ยุ่งเหยิงซึ่งทำให้ LLM ทั่วไปทำงานผิดพลาด เทคนิคการแบ่งส่วนข้อมูลและการสแกนแบบขนานของเราช่วยให้เอเจนต์ประมวลผลหน้าเว็บขนาดใหญ่ที่ไม่น่าเชื่อถือได้อย่างมีประสิทธิภาพ ความสามารถในการท่องเว็บที่มีประสิทธิภาพโดยไม่ต้องทำให้ผู้ใช้ต้องเผชิญกับอันตราย หากต้องการเรียนรู้เพิ่มเติมเกี่ยวกับวิธีที่เราสร้าง BrowseSafe และ BrowseSafe-Bench โปรดดูที่บล็อกการวิจัยของ Perplexity