SPIDES propõe controle de fluxo de informação para conter injeção de prompt e exfiltração em agentes de navegador
Pesquisadores apresentam o SPIDES, um mecanismo de controle de fluxo de informação que condiciona ações primitivas de agentes de navegador (digitar, clicar, navegar) a rótulos de confidencialidade e integridade propagados a partir de anotações em nível de elemento HTML. Em um ambiente de teste com 28 sites interligados (MicroNet), o sistema atinge 0% de taxa de sucesso de ataques de injeção de prompt e exfiltração, mantendo alta taxa de conclusão de tarefas.
Agentes de navegador baseados em LLM automatizam tarefas lendo e agindo sobre conteúdo arbitrário de páginas web, o que os expõe diretamente a ataques de prompt injection: uma página maliciosa, ou mesmo um campo de comentário, anúncio ou e-mail incorporado, pode conter instruções disfarçadas que o agente interpreta como comandos legítimos do usuário, levando-o a realizar ações não autorizadas, inclusive exfiltrar dados privados para um domínio controlado pelo atacante.
O artigo primeiro desconstrói uma solução intuitiva: restaurar a Same-Origin Policy (SOP) tradicional do navegador para agentes de IA. Os autores argumentam que isso não é suficiente, já que um "sink" público dentro da mesma origem ainda pode vazar dados privados, nem necessário, já que muitas tarefas legítimas de automação exigem fluxos autorizados entre origens diferentes. Em vez disso, o SPIDES implementa controle de fluxo de informação na camada das ações primitivas do agente, condicionando cada ação a rótulos de confidencialidade e integridade propagados a partir de anotações feitas em nível de elemento HTML.
Na prática, isso significa que conteúdo marcado como não confiável ou confidencial é mascarado do contexto que o agente efetivamente processa, enquanto uma camada de política decide, com base nesses rótulos, se uma ação como "enviar este campo para este destino" é permitida, uma garantia de segurança que, segundo os autores, vale independentemente de qual modelo específico está pilotando o agente, já que a barreira é aplicada na camada de execução de ações, e não na capacidade de julgamento do LLM.
Os pesquisadores construíram o MicroNet, um ecossistema fechado de 28 sites interligados com rótulos de referência em nível de elemento e tarefas pareadas benignas e adversariais, para comparar o SPIDES com defesas de referência sob uma ameaça comum. O resultado, 0% de taxa de sucesso de ataque por design, mantendo alta taxa de conclusão de tarefa e autonomia, é relevante porque mostra que é possível ganhar segurança sem o trade-off usual de paralisar a utilidade do agente, desde que a defesa seja estrutural, na camada de execução, em vez de depender do próprio modelo resistir à manipulação.