Resumen Técnico: IPI-proxy

Enunciado del Problema

La proliferación de agentes de IA de navegación web en entornos empresariales ha introducido una vulnerabilidad de seguridad crítica: la Inyección Indirecta de Prompts (IPI). A diferencia de la inyección directa de prompts, donde un adversario interactúa con el modelo directamente, la IPI ocurre cuando un agente recupera contenido de terceros (por ejemplo, páginas web, documentos) que contiene instrucciones ocultas que el modelo ejecuta como comandos legítimos del usuario.

Las metodologías actuales de red teaming y los puntos de referencia no abordan adecuadamente la IPI en entornos empresariales realistas debido a tres brechas principales:

1. Incompatibilidad de Listas Blancas: Los puntos de referencia existentes (por ejemplo, BIPIA, InjecAgent) dependen de páginas adversarias alojadas en dominios controlados por el atacante. Los agentes restringidos a listas blancas empresariales estrictas (por ejemplo, *.clientcorp.com) no pueden acceder a estas páginas sin violar la política, lo que invalida las pruebas para escenarios similares a la producción.
2. Contenido Estático: Los puntos de referencia suelen servir páginas adversarias congeladas y preconstruidas. Esto no simula la naturaleza "en vivo" de los ataques del mundo real, donde los adversarios inyectan contenido en dominios confiables a través de comentarios, wikis o widgets de terceros.
3. Alcance Limitado al Modelo: Las herramientas generales de red teaming (por ejemplo, PyRIT, garak) y los sistemas de detección (por ejemplo, Rebuff) sondean la API del LLM directamente. No prueban la superficie de recuperación —la vía por la cual el contenido no confiable llega a un agente que utiliza herramientas—, donde la IPI se manifiesta con mayor frecuencia.

Metodología

Los autores proponen IPI-proxy, un kit de herramientas de código abierto diseñado para cerrar la brecha entre los puntos de referencia estáticos y la implementación en vivo. La innovación central es una inversión arquitectónica: en lugar de forzar al agente a visitar URLs controladas por el atacante, IPI-proxy intercepta y modifica las respuestas HTTP de los dominios a los que el agente ya tiene permiso para acceder.

Arquitectura del Sistema

IPI-proxy opera como un proxy de tipo Hombre en el Medio (MITM) a nivel de red, construido sobre mitmproxy. Consta de cinco componentes clave:

1. Complemento del Proxy: Registra un manejador de respuestas que inspecciona las respuestas HTTP salientes. Valida la URL de destino contra un patrón objetivo, asegura que el contenido sea HTML y verifica el presupuesto de inyección antes de proceder.
2. Biblioteca Unificada de Cargas: Un archivo JSONL desduplicado que contiene 820 cadenas de ataque extraídas de seis puntos de referencia existentes (BIPIA, InjecAgent, AgentDojo, Tensor Trust, WASP y LLMail-Inject). Estas se normalizan bajo un esquema unificado.
3. Plantillas de Incrustación: Para evadir la inspección humana mientras permanecen visibles para los LLM, las cargas se envuelven utilizando tres técnicas:
   • Comentarios HTML: Colocados dentro de bloques <!-- -->.
   • CSS Invisible: Envueltos en elementos <div> con estilo display: none y posicionamiento fuera de la pantalla.
   • Prosa Semántica: Integradas en texto editorial plausible, opcionalmente generadas por un LLM (por ejemplo, Claude) para una mayor evasión.
4. Inyector HTML: Inserta la carga envuelta en una de seis ubicaciones específicas dentro del documento HTML (por ejemplo, head_meta, body_top, sidebar, script_comment). Si falta un ancla específica, el sistema recurre a un ancla más general para asegurar el éxito de la inyección.
5. Rastreador de Exfiltración: Un servicio FastAPI ligero que registra las llamadas de retorno. Si un agente sigue una instrucción inyectada para enviar datos a este rastreador, la prueba se marca como una exfiltración exitosa.

Flujo de Trabajo

1. El agente solicita una URL de un dominio en la lista blanca.
2. El proxy reenvía la solicitud al servidor aguas arriba.
3. Al recibir la respuesta HTML original, el proxy selecciona una carga basada en filtros configurados en YAML (tipo de ataque, punto de referencia de origen, gravedad).
4. La carga se envuelve e inyecta en el HTML en un punto de inserción configurado.
5. El HTML modificado se devuelve al agente.
6. Si el agente ejecuta la instrucción inyectada y contacta al rastreador de exfiltración, el evento se registra.

Contribuciones Clave

• Red Teaming que Respeta las Listas Blancas: IPI-proxy es la primera herramienta que permite probar la IPI contra agentes restringidos a listas blancas específicas, modificando respuestas en vivo de esos dominios confiables en lugar de servir páginas simuladas.
• Fuente Unificada de Cargas: Agrega y desduplica 820 vectores de ataque de seis puntos de referencia de investigación dispares, permitiendo la evaluación cruzada entre puntos de referencia y la rotación dentro de una sola sesión de prueba.
• Evaluación de Barrido de Parámetros: Al desacoplar la carga, la técnica de incrustación y el punto de inserción HTML, la herramienta permite una evaluación sistemática de la susceptibilidad de un agente a través de una superficie de ataque multidimensional.
• Diseño Agnóstico al Agente: A diferencia de las herramientas basadas en extensiones de navegador, IPI-proxy opera en la capa de red, lo que la hace compatible con obturadores sin cabeza, clientes HTTP personalizados y herramientas del Protocolo de Contexto de Modelo (MCP).

Resultados y Evaluación

El artículo presenta IPI-proxy como un sustrato de prueba en lugar de un mecanismo de defensa. No reporta tasas de éxito específicas contra un modelo particular (por ejemplo, "El Modelo X falló el 80% de las veces"), sino que demuestra la viabilidad y reproducibilidad de la metodología de prueba.

• La herramienta intercepta y reescribe con éxito las respuestas HTTP de dominios en la lista blanca sin modificar el servidor aguas arriba.
• Soporta un régimen de evaluación de "barrido de parámetros" que cubre combinaciones de cargas, incrustaciones y puntos de inserción que no están soportados simultáneamente por los puntos de referencia existentes.
• El rastreador de exfiltración proporciona una señal de verdad fundamental para ataques exitosos sin requerir instrumentación del propio agente, preservando la integridad del entorno de prueba.

Significado

Los autores posicionan a IPI-proxy como una evolución necesaria en las pruebas de seguridad de IA. Al pasar de puntos de referencia estáticos con páginas simuladas a la interceptación dinámica de respuestas en vivo, la herramienta permite a los equipos de seguridad:

1. Medir la vulnerabilidad de los agentes de navegación web bajo las mismas restricciones de salida y fuentes de contenido que enfrentan en producción.
2. Fortalecer los agentes proporcionando un entorno reproducible para probar estrategias defensivas (como la transformación de entradas o el aislamiento arquitectónico) contra vectores realistas de IPI.
3. Cerrar la brecha entre los puntos de referencia académicos y la implementación empresarial, asegurando que los esfuerzos de red teaming reflejen la superficie de amenaza real donde ocurre la IPI.

El artículo concluye que, aunque IPI-proxy no resuelve el problema de la IPI en sí mismo, proporciona la infraestructura crítica necesaria para evaluar y mitigar con precisión el riesgo antes de que los agentes se implementen en entornos empresariales sensibles.