IT
Intact collega le azioni del browser agli elementi della pagina a cui si riferiscono
What It Is, Not What It Says: Securing Agentic Browsing Interactions with Web Semantics · arXiv:2610.22697
In parole semplici
Un agente web può leggere un’intera pagina come un unico blocco. Così, un annuncio ingannevole o un altro testo di terze parti può spingerlo ad agire su altre parti della pagina.
Intact è un’architettura che tiene traccia di chi ha creato ogni elemento e di cosa può fare, poi controlla ogni azione proposta rispetto all’elemento a cui si riferisce. Nei test con attacchi inseriti su 1,091 pagine web reali, il 12.8% degli attacchi è entrato nei piani di Intact, rispetto al 73.1% con la pianificazione sull’intera pagina.
Un passaggio di Intact che coinvolgeva un elemento di terze parti richiedeva comunque il consenso dell’utente: la presenza di un passaggio nel piano non significa che l’azione sia stata eseguita.
La ricerca
Quando un agente web legge una pagina come un unico blocco, un testo di terze parti può spingerlo a usare l’autorità dell’utente su altri elementi della pagina. Come può un agente lavorare con i contenuti web mantenendo ogni azione legata all’elemento che l’ha suggerita?
Intact usa registri per elemento su provenienza e capacità, oltre a controlli dell’harness, per limitare ciò che un agente può fare con i contenuti di una pagina web.
Intact registra chi ha creato o modificato ogni elemento della pagina e cosa può fare, poi affida a un harness il controllo delle azioni proposte.
Per verificare se questo limita gli attacchi, i ricercatori hanno chiesto allo stesso modello linguistico di seguire i testi inseriti e hanno confrontato la pianificazione elemento per elemento con quella sull’intera pagina.
Su 1,091 pagine attaccate, gli attacchi sono comparsi nel 12.8% dei piani di Intact, contro il 73.1% dei piani basati sull’intera pagina.
Poiché i passaggi su elementi di terze parti richiedevano comunque il consenso dell’utente, il risultato sostiene che gli effetti degli attacchi possono essere limitati; non dimostra che gli attacchi siano eliminati o che ogni azione venga impedita automaticamente.
Questi risultati riguardano attacchi su una singola pagina, condotti tramite contenuti di terze parti e secondo le ipotesi dello studio, tra cui quella che gli script della pagina non manomettano la strumentazione.
La valutazione della funzionalità ha verificato se gli elementi selezionati fossero adatti a un’attività; non ha eseguito i piani per accertare se l’attività venisse completata.
Cosa mostrano le prove
- La pagina perde i suoi confini
Spesso gli agenti web trasformano una pagina in un unico blocco di testo o in un’immagine. Così può scomparire la distinzione tra gli elementi creati dal sito e i contenuti di terze parti, come un annuncio.
Il modello linguistico può quindi lasciarsi guidare da un testo di terze parti a compiere azioni su altri elementi, usando l’autorità dell’utente. La domanda è come un agente possa usare una pagina mantenendo associati a ogni elemento la sua origine e le azioni consentite.
- Affidare i controlli al di fuori del modello
Intact è un’architettura di esecuzione per agenti web che usa GenTree, un registro per ciascun elemento della pagina che indica chi lo ha creato o modificato e cosa può fare. Il modello linguistico pianifica considerando un elemento alla volta.
Un harness separato controlla ogni azione proposta rispetto alle capacità di quell’elemento e chiede il consenso dell’utente prima di agire su elementi di terze parti. Il sistema limita ciò che un testo persuasivo può provocare, invece di affidarsi al modello perché lo respinga.
- Confrontare i piani sotto attacco
Nel test degli attacchi, lo stesso modello linguistico ha ricevuto l’istruzione di seguire le istruzioni inserite; i ricercatori hanno confrontato Intact con Vanilla, che pianificava considerando l’intera pagina. La misura era la quota di esecuzioni su una pagina in cui un attacco produceva un passaggio del piano.
Su 1,091 pagine reali attaccate, è successo nel 12.8% delle esecuzioni di Intact e nel 73.1% di quelle di Vanilla. Un passaggio di Intact su un elemento di terze parti poteva comunque essere una richiesta di consenso.
- Verificare l’effetto sugli elementi utili
Un contesto più limitato potrebbe anche escludere elementi necessari a un’attività legittima. Un valutatore basato su un LLM ha esaminato se gli elementi selezionati da ciascun piano fossero adatti ai requisiti dell’attività.
Ha trovato 40 attività su 1,091 per le quali era appropriato solo il piano di Vanilla. Poiché il valutatore non ha eseguito i piani, questo risultato misura quanto gli elementi selezionati siano adatti, non se uno dei pianificatori abbia completato l’attività.
Dettagli
- Autori del paper originale
- Umar Iqbal
- Inviato ad arXiv
- Licenza
- CC BY 4.0