Baya blinda agentes web contra injeção de prompt compilando a tarefa antes de executá-la
Pesquisadores propõem o Baya, um agente web que, em vez de decidir cada ação a partir do conteúdo em tempo real de uma página (o padrão ReAct), primeiro compila o pedido do usuário em um programa Python que só interage com o site através de uma API confiável. Essa separação entre planejamento e execução elimina por construção a possibilidade de uma injeção de prompt embutida numa página sequestrar o fluxo de controle do agente, zerando a taxa de sucesso de ataques no benchmark de segurança WASP sem perder desempenho em tarefas reais.
Agentes web que seguem o padrão ReAct decidem sua próxima ação observando, a cada passo, o conteúdo ao vivo da página — o que mistura, na mesma janela de contexto, instruções legítimas do usuário e qualquer texto que uma página maliciosa ou comprometida tenha colocado ali. É exatamente essa mistura que torna esses agentes vulneráveis a prompt injection: um atacante que controla parte do conteúdo de uma página pode inserir instruções que o modelo de planejamento interpreta como comandos legítimos.
O Baya rompe esse padrão com uma arquitetura 'compile-then-execute': antes de tocar no site real, o modelo de planejamento compila o pedido do usuário em um programa Python executável que chama uma 'Trusted Website API' — uma camada que abstrai o espaço de ações do site de forma unificada. O ponto central é que o modelo de planejamento nunca observa o conteúdo ao vivo da página; apenas o programa compilado o processa. Dados não confiáveis vindos do site podem influenciar valores de variáveis ou escolher entre ramos já definidos na etapa de compilação, mas não têm poder para redefinir a tarefa do usuário nem fazer o modelo inventar novas operações em tempo de execução.
Os números de avaliação sustentam a proposta: no WebArena Verified (581 tarefas válidas), o Baya atinge 77,8% de utilidade agregada, superando tanto o ReAct que só navega (55,1%) quanto o ReAct com acesso a API (66,7%) — ou seja, a arquitetura não sacrifica desempenho para ganhar segurança, pelo contrário, melhora ambos. No WASP, benchmark desenhado especificamente para medir resistência a prompt injection em agentes web, o Baya zera a taxa de sucesso de ataque (0%), contra 16,2% do ReAct com API e 25,5% do ReAct que só navega. Isso reforça uma tendência de design que vem ganhando força na defesa de agentes: em vez de tentar filtrar ou detectar conteúdo malicioso depois que ele já está na janela de contexto do planejador, é mais robusto impedir estruturalmente que esse conteúdo tenha qualquer poder de decisão sobre o fluxo de controle.