Framework 'Intact' reduz de 73% para 13% o sucesso de ataques de injecao de prompt contra agentes que navegam na web
O sistema Intact introduz a representacao GenTree, que preserva proveniencia e semantica de pagina web (o que um elemento 'e' e de onde vem, nao apenas o texto que carrega) para que agentes de IA decidam acoes com base em origem e permissao, e nao em conteudo textual manipulavel. Em 1.270 paginas reais com ataques injetados, o planejador convencional foi comprometido em 73,1% dos casos, contra 12,8% com o Intact -- e mesmo esses casos residuais exigem confirmacao explicita do usuario.
Agentes de IA que navegam na web hoje consomem paginas como texto ou capturas de tela, o que acha nivela toda a hierarquia de confianca que navegadores normais aplicam -- a ideia de que o que um elemento pode fazer depende do que ele e e de onde veio, nao do que ele diz. Essa diferenca e exatamente a brecha explorada por ataques de injecao de prompt via conteudo de terceiros: um texto malicioso embutido em uma pagina pode persuadir o LLM a exercer a autoridade do usuario sobre conteudo que nao deveria ter autoridade nenhuma.
O Intact ataca o problema sem modificar o navegador. Ele constroi o GenTree, uma representacao que captura a proveniencia (primeira parte vs. terceiros) e a semantica web de cada elemento da pagina, e entrega essa representacao ao LLM elemento por elemento -- de forma que a decisao sobre um elemento nunca e influenciada pelo texto de outro elemento da mesma pagina. O harness de execucao so permite que uma acao use as capacidades associadas ao elemento daquele passo especifico, e pede confirmacao explicita do usuario antes de agir sobre conteudo de terceiros.
Os numeros de avaliacao sao expressivos: em 1.270 paginas reais, o GenTree atribui corretamente a terceiros 2,3 vezes mais elementos do que o proprio navegador consegue identificar -- o navegador, sozinho, atribui erroneamente 58,7% desses elementos como se fossem de primeira parte. Em 1.091 dessas paginas com ataques de injecao inseridos, apenas 12,8% dos ataques conseguiram passar pelo planejador do Intact (a maioria deles apenas como um pedido de consentimento, nao uma acao direta), contra 73,1% de sucesso de um planejador convencional. O custo em funcionalidade foi baixo: apenas 3,7% das tarefas legitimas foram interrompidas pelo isolamento.
Isso e relevante porque a injecao de prompt via conteudo de pagina e hoje provavelmente o vetor de ataque mais pratico e mais dificil de mitigar contra agentes de navegacao autonoma -- diferente de jailbreaks que exigem um atacante conversando diretamente com o modelo, aqui basta que o agente visite uma pagina controlada ou comprometida por um terceiro. Uma defesa que opera na camada de semantica web, sem exigir mudancas no navegador nem depender apenas de classificadores de texto malicioso, e um caminho de mitigacao que times de produto de agentes de navegacao deveriam considerar adotar ou pelo menos usar como referencia de avaliacao.