Technisches Resümee: Prismata – Eingrenzung von Cross-Site Prompt Injection in Web-Agenten

1. Problemstellung: Cross-Site Prompting (XSP) und Web-Verflechtung

Autonome Web-Agenten, die zwar das Versprechen bieten, Browsing-Aufgaben zu automatisieren, erben die älteste Angriffsfläche des Webs: die Vermischung von vertrauenswürdigen und nicht vertrauenswürdigen Inhalten auf einer einzigen Seite. Die Autoren definieren Cross-Site Prompting (XSP) als das Agenten-seitige Analogon zu Cross-Site Scripting (XSS). Bei einem XSP-Angriff injiziert ein böswilliger Akteur natürliche Sprachinstruktionen (z. B. in einer Produktbewertung, einem Kommentar oder einer Werbeanzeige) in eine legitime Website. Wenn ein Web-Agent diesen Inhalt interpretiert, kann er dazu manipuliert werden, unbefugte Aktionen auszuführen, wie etwa das Leaken von Benutzeranmeldedaten oder das Versenden von Direktnachrichten.

Die zentrale Herausforderung bei der Abwehr von XSP ist das Problem der Web-Verflechtung (Web Entanglement Problem). Im Gegensatz zu traditionellen werkzeugbasierten Agenten, bei denen Aktionen eine klare semantische Wahrheit besitzen (z. B. send_email(to, body)), sind die Aktionen von Web-Agenten kontextabhängig (z. B. click(element_id)). Die Sicherheitsbedeutung einer Aktion hängt vollständig von der spezifischen Seitenstruktur und dem um das Element herum liegenden Inhalt ab.

• Das Dilemma: Die Ableitung einer Sicherheitsrichtlinie erfordert die Analyse der Seitenstruktur, um zwischen vertrauenswürdigem Entwicklerinhalt und nicht vertrauenswürdigem Benutzerinhalt zu unterscheiden. Diese Analyse selbst setzt jedoch den Abwehrmechanismus genau jenem nicht vertrauenswürdigen Inhalt aus, den er zu filtern versucht.
• Einschränkungen bestehender Abwehren:
  • Modell-basierte Abwehren (die darauf vertrauen, dass LLMs sich gegen Injektionen wehren) werden zunehmend durch adaptive Angriffe umgangen.
  • System-basierte Abwehren erfordern oft erschöpfende, manuell konstruierte Sitemap-Strukturen oder eine Vorausplanung aller Aktionen, was bei dynamischen, datenabhängigen Web-Aufgaben nicht generalisierbar ist.
  • Origin-basierte Kontrollen (z. B. Read-Only-Domains) sind zu grobkörnig, da eine einzige Domain oft sowohl vertrauenswürdige als auch nicht vertrauenswürdige Inhalte hostet.

2. Methodik: Prismata-Systemdesign

Prismata ist eine kontextuelle Least-Privilege-Abwehr, die als transparente Schicht zwischen dem Web-Agenten und dem Browser operiert. Sie beschränkt sowohl das, was der Agent sieht (Observation), als auch das, was er tun kann (Action), basierend auf der spezifischen Benutzeraufgabe. Das System stützt sich auf zwei primäre Techniken: Dynamische Vertrauensableitung und Mechanische Eingrenzung.

2.1 Systemarchitektur

Prismata unterbricht das gerenderte DOM einer Seite, bevor der Agent es beobachtet. Es verarbeitet die Seite in drei Stufen:

1. Action Gate: Für jedes interaktive Element verfolgt Prismata dessen kritischen Pfad (die vollständige Kette der HTML-Ahnen vom DOM-Root bis zum Element). Ein LLM evaluiert nur die Benutzeraufgabe und diesen spezifischen Pfad, um zu bestimmen, ob das Element innerhalb des Geltungsbereichs liegt. Entscheidend ist, dass kein anderer Seiteninhalt für diesen Evaluator sichtbar ist. Liegt die Injektion außerhalb des kritischen Pfads, ist die Entscheidung frei von Injektionen.
2. Biba-Parsing: Um Fälle zu handhaben, in denen der kritische Pfad tatsächlich nicht vertrauenswürdigen Inhalt enthält, wendet Prismata eine rekursive Labeling-Strategie an, die vom Biba-Integritätsmodell von 1977 inspiriert ist.
   • Es klassifiziert Inhaltsursprünge (Entwickler, Benutzer, Drittanbieter, Extern).
   • Es erzwingt eine „No-Read-Down, No-Write-Up“-Policy: Ein Labeler sieht nur ein Element und dessen Ahnen; Kinder und Geschwister werden maskiert.
   • Sobald ein strukturelles Signal (z. B. eine „Bewertungen“-Überschrift, ein aria-label oder ein spezifischer Klassenname) den Beginn nicht vertrauenswürdiger Inhalte signalisiert, wird das Label auf alle Nachfahren übertragen, und es erfolgt keine weitere Abfrage mehr. Dies verhindert, dass der Labeler durch den injizierten Inhalt selbst beeinflusst wird.
3. Durchsetzung (Mechanische Eingrenzung): Ein separates Policy-Modell, dem nur die Details der Aufgabe bekannt sind (kein DOM), bestimmt, welche Inhaltsursprünge erforderlich sind. Prismata erzwingt diese Richtlinie dann mechanisch:
   • Pruning (Beschneidung): Inhalte aus nicht autorisierten Ursprüngen werden aus der Beobachtung des Agenten vollständig entfernt.
   • Redaktion/Downgrading: Interaktive Elemente in eingeschränkten Zonen werden auf „Nur-Lesen“ herabgestuft oder ihr Ziel-Identifikator wird entfernt, um zu verhindern, dass der Agent darauf klickt oder Daten ausfüllt.

2.2 Sicherheitseigenschaften

Prismata stellt sicher, dass der entscheidende Labeling-Schritt selten dem Angreifer kontrollierten Inhalten ausgesetzt ist. Die Autoren identifizieren drei Fälle basierend auf der Platzierung der Injektion:

• Fall 1 (Injektionsfrei): Die Injektion liegt außerhalb des kritischen Pfads. Das Action Gate trifft eine sichere Entscheidung.
• Fall 2 (Strukturelle Signale): Die Injektion befindet sich auf dem kritischen Pfad, aber ein strukturelles Signal geht ihr voraus. Das Biba-Parsing identifiziert die Grenze und schränkt die Kapazität ein, bevor die Injektion sichtbar wird.
• Fall 3 (Restrisiko): Die Injektion liegt auf dem kritischen Pfad ohne vorangehende strukturelle Signale. Dies ist empirisch selten (~0,1 % der Pfade in ihrem Datensatz). In diesem Fall ist die Fehlklassifizierung auf Elemente auf diesem spezifischen Pfad begrenzt; der Rest der Seite bleibt geschützt.

3. Kernbeiträge

1. Prismata-Abwehr: Ein neuartiges System-Framework, das kontextuelle Least-Privilege-Prinzipien für Web-Agenten erzwingt, ohne dass Entwickler-Annotationen erforderlich sind.
2. Dynamische Vertrauensableitung: Eine Methode unter Verwendung struktureller Signale und des Biba-Integritätsmodells, um Vertrauenslabels abzuleiten und Labeling-Fehler zu begrenzen, wodurch sichergestellt wird, dass sich Labels nur in Richtung geringerer Privilegien ändern können (No-Write-Up).
3. Mechanische Eingrenzung: Eine deterministische Durchsetzungsebene, die Inhalte redigiert und die Fähigkeiten des Agenten basierend auf abgeleiteten Labels einschränkt, wobei sie auf erfassten DOM-Snapshots arbeitet, statt das Live-DOM zu mutieren.
4. Evaluations-Framework: Ein modulares Framework zur Bewertung der Sicherheit von Web-Agenten, das in der Lage ist, adaptive Angriffe zu injizieren und die Effektivität der Abwehr zu messen.

4. Evaluationsergebnisse

Die Autoren evaluierten Prismata in der WebArena-Umgebung und testeten es gegen drei Pop-up-Angriffstemplates (Shortcut, Fake Completion, Ignore Instruction) sowie adaptive Stresstests (WASP).

• Angriffsminderung: Prismata reduzierte die durchschnittliche Angriffserfolgsrate (ASR) von 85,5 % (Baseline) auf 0,7 %.
• Aufgabennutzen: Unter Angriff verbesserte sich die Aufgabenerfolgsrate (TSR) von 4,5 % auf 23,0 %.
• Benutzerlicher Nutzen: In nicht-adversarialen Szenarien bewahrte Prismata den Großteil des Baseline-Nutzens, wobei die TSR nur leicht von 29,9 % auf 26,6 % sank.
• Labeling-Genauigkeit: Validierungsstudien gegenüber menschlichen Experten zeigten eine hohe Präzision (93 %–98 %) über verschiedene für das Labeling verwendete LLMs hinweg, was darauf hindeutet, dass die Modelle selten Elemente zulassen, die eingeschränkt werden sollten.
• Empirische Grundlagen: Eine Analyse von über 1.500 Websites zeigte, dass nicht vertrauenswürdige Inhalte in nur 1,2 % der Fälle auf einem kritischen Pfad zu einem aktionsfähigen Element liegen. In diesen Fällen geht in 91,3 % der Fälle ein strukturelles Signal dem Inhalt voraus, was ein Restrisiko von nur 0,1 % hinterlässt (reduzierbar auf 0,017 % bei Websites, die Web-Best-Practices folgen).

5. Bedeutung und Behauptungen

Das Paper behauptet, dass Prismata einen bedeutenden Schritt zur Sicherung von Web-Agenten darstellt, indem es das grundlegende Problem der „Verflechtung“ von vertrauenswürdigen und nicht vertrauenswürdigen Inhalten adressiert.

• Generalisierbarkeit: Im Gegensatz zu früheren Ansätzen, die manuelle Website-Mappings erfordern, operiert Prismata auf bestehenden Websites ohne Eingriff durch Entwickler und unterstützt so den „Long Tail“ des Webs.
• Formale Inspiration: Durch die Anpassung des klassischen Biba-Integritätsmodells an den LLM-Kontext bietet Prismata strukturelle Garantien, die die Auswirkungen von Labeling-Fehlern begrenzen und sicherstellen, dass eine Eskalation der Privilegien für Elemente außerhalb des kompromittierten Pfades mechanisch unmöglich ist.
• Praktikabilität: Das System zeigt, dass eine hochgradig präzise Sicherheit mit vertretbarem Rechenaufwand erreicht werden kann, insbesondere wenn Caching für die DOM-Lineage genutzt wird.

Die Autoren kommen zu dem Schluss, dass XSP zwar eine Wiederkehr der XSS-Bedrohung darstellt, aber eine eigenständige Verteidigungsstrategie erfordert, die natürliche Sprache als ausführbaren Code behandelt. Prismata liefert diese Strategie, indem es die Ableitung der Sicherheitsrichtlinie von dem nicht vertrauenswürdigen Inhalt entkoppelt, den es zu filtern sucht, und damit die Fähigkeiten des Agenten strikt auf den Umfang der Benutzeraufgabe begrenzt.