ES
Intact vincula las acciones del navegador con los elementos de la página web
What It Is, Not What It Says: Securing Agentic Browsing Interactions with Web Semantics · arXiv:2610.22697
En palabras sencillas
Un agente web puede leer una página entera como si fuera un solo bloque. Así, un anuncio engañoso u otro texto de terceros podría dirigirlo a realizar acciones sobre otras partes de la página.
Intact es una arquitectura que registra quién creó cada elemento de la página y qué acciones permite, y luego comprueba cada acción propuesta con respecto al elemento al que afecta. En pruebas con ataques insertados en 1,091 páginas web reales, el 12.8% de los ataques llegó a los planes de Intact, frente al 73.1% con la planificación de página completa.
Los pasos de Intact sobre elementos de terceros aún requerían el consentimiento del usuario, así que la presencia de un paso en el plan no significaba que la acción se hubiera realizado.
La investigación
Cuando un agente web lee una página como un solo bloque, el texto de terceros puede dirigirlo a usar la autoridad del usuario sobre otros elementos de la página. ¿Cómo puede un agente trabajar con el contenido de una página y garantizar que cada acción siga vinculada al elemento que la motivó?
Intact combina registros por elemento sobre autoría y capacidades con comprobaciones del harness para limitar lo que un agente puede hacer con el contenido de una página web.
Intact registra quién creó o modificó cada elemento de una página web y qué acciones permite; después, un harness comprueba las acciones propuestas.
Para evaluar si esto limita los ataques, los investigadores indicaron al mismo modelo de lenguaje que siguiera texto insertado y compararon la planificación elemento por elemento con la planificación de página completa.
En 1,091 páginas atacadas, los ataques aparecieron en el 12.8% de los planes de Intact, frente al 73.1% de los planes de página completa. Como los pasos sobre elementos de terceros aún requerían el consentimiento del usuario, el resultado respalda la conclusión de que se pueden limitar los efectos de los ataques, pero no que se eliminen ni que se impida automáticamente toda acción.
Estos resultados se refieren a ataques de una página procedentes de contenido de terceros y se basan en los supuestos del estudio, incluido que los scripts de la página no manipulan la instrumentación. La evaluación funcional determinó si los elementos seleccionados servían para una tarea; no ejecutó los planes para comprobar si las tareas se completaban.
Qué muestran las pruebas
- La página pierde sus límites
Los agentes web suelen convertir una página en un bloque de texto o una imagen. Esto puede borrar la distinción entre los elementos propios de un sitio y el contenido de terceros, como un anuncio.
Entonces, un modelo de lenguaje podría dejar que el texto de terceros le indique actuar sobre otros elementos, usando la autoridad del usuario. La pregunta es cómo puede un agente usar el contenido de una página y conservar el origen y las acciones permitidas de cada elemento.
- Dejar las comprobaciones fuera del modelo
Intact es una arquitectura de ejecución para agentes web que utiliza GenTree, un registro por elemento que indica quién lo creó o modificó y qué acciones permite. El modelo de lenguaje planifica elemento por elemento.
Un harness independiente comprueba cada acción propuesta según las capacidades de ese elemento y pide autorización al usuario antes de actuar sobre elementos de terceros. El diseño limita lo que puede provocar un texto persuasivo, en lugar de depender de que el modelo lo rechace.
- Comparar los planes bajo ataque
En la prueba de ataques, se indicó al mismo modelo de lenguaje que siguiera las instrucciones insertadas, y los investigadores compararon Intact con Vanilla, que planificaba a partir de la página completa. La medida fue la proporción de ejecuciones en páginas web en las que un ataque produjo un paso del plan.
En 1,091 páginas web reales atacadas, esto ocurrió en el 12.8% de las ejecuciones de Intact y en el 73.1% de las de Vanilla. En Intact, un paso sobre un elemento de terceros aún podía aparecer como una solicitud de consentimiento.
- Medir el efecto en el apoyo a las tareas
Un contexto restringido también podría omitir elementos necesarios para una tarea legítima. Un evaluador basado en un modelo de lenguaje determinó si los elementos seleccionados en cada plan servían para cumplir los requisitos de la tarea.
Encontró 40 de 1,091 tareas en las que solo el plan de Vanilla era adecuado. Como el evaluador no ejecutó los planes, este resultado mide si los elementos seleccionados servían para la tarea, no si alguno de los planificadores la completó.
Detalles
- Autores del paper original
- Umar Iqbal
- Enviado a arXiv
- Licencia
- CC BY 4.0