Resumen Técnico: WARD – Defensa Adversarial Robusta para Agentes Web contra Inyecciones de Prompt

1. Formulación del Problema

Los agentes web, que ejecutan autónomamente los objetivos del usuario mediante interacciones web (clics, escritura, navegación), enfrentan riesgos de seguridad significativos debido a su exposición a entornos web abiertos. Los adversarios pueden incrustar instrucciones engañosas dentro del contenido HTML o interfaces visuales (capturas de pantalla) para manipular la toma de decisiones del agente, lo que conduce a comportamientos inseguros como fugas de datos o acciones no autorizadas. Estos se conocen como ataques de inyección de prompt.

Las estrategias de defensa existentes, incluidas las modificaciones del prompt del sistema y el ajuste fino de modelos de visión-idioma, a menudo sufren de una robustez limitada. Un enfoque más prometedor implica utilizar un modelo guardián separado para inspeccionar los estados de las páginas web antes de que el agente actúe. Sin embargo, los modelos guardián actuales enfrentan cuatro limitaciones críticas que obstaculizan su implementación práctica:

1. Generalización Limitada: No logran generalizar a dominios no vistos (por ejemplo, plataformas de alto riesgo como correo electrónico o redes sociales) y tienen dificultades con los cambios en las modalidades de inyección (solo texto, solo visual o ambas).
2. Altos Falsos Positivos: Frecuentemente clasifican erróneamente contenido benigno con lenguaje similar a instrucciones (por ejemplo, tutoriales) como malicioso, interrumpiendo los flujos de trabajo del agente.
3. Limitaciones de Eficiencia: Algunas defensas introducen latencia al requerir una ejecución secuencial o dependen de modelos grandes y costosos.
4. Vulnerabilidad a Ataques Adversariales: Los guardián existentes son susceptibles a la Inyección de Prompt en el Guardián (PIG), donde los atacantes apuntan directamente a la lógica de decisión del guardián, y a Ataques Adversariales Adaptativos (AAA), donde los atacantes adaptan iterativamente sus estrategias para eludir al guardián.

2. Metodología

Los autores proponen WARD (Defensa Robusta para Agentes Web contra Inyección de Prompt), un marco de guardián práctico diseñado para abordar estas limitaciones mediante una tubería de entrenamiento de tres etapas y un marco de datos integral.

2.1 Marco de Datos

WARD se basa en dos conjuntos de datos principales construidos para maximizar la diversidad en dominios, modalidades y vectores de ataque:

• WARD-Base: Un conjunto de datos a gran escala que contiene aproximadamente 177,585 muestras recopiladas de 719 URLs de alto tráfico y 10 plataformas simuladas de alto riesgo. Utiliza una tubería de dos ramas:
  • Rama de Superposición: Captura patrones a nivel de interfaz inyectando ataques en páginas web reales (modificación de HTML o superposiciones de capturas de pantalla) a través de 7 canales (por ejemplo, ventanas emergentes, banners).
  • Rama Nativa: Simula plataformas de alto riesgo (redes sociales, mensajería, correo electrónico) para incrustar ataques de manera natural dentro del contenido generado por el usuario (comentarios, publicaciones, mensajes).
  • El conjunto de datos cubre 6 objetivos de ataque (por ejemplo, exfiltración de datos, acciones no autorizadas) y 4 ubicaciones de inyección (HTML, Captura de pantalla, Ambas, Ninguna).
• WARD-PIG: Un conjunto de datos especializado derivado de WARD-Base, que contiene 10,500 muestras maliciosas donde los prompts apuntan explícitamente al proceso de decisión del guardián (por ejemplo, instruyendo al guardián a ignorar contenido sospechoso), junto con 10,500 muestras benignas.

2.2 Tubería de Entrenamiento

WARD se entrena en tres etapas secuenciales:

1. Ajuste Fino Supervisado (SFT) en WARD-Base: El modelo aprende a detectar inyecciones de prompt en diversos dominios, modalidades y objetivos de ataque. Se entrena para emitir una etiqueta (malicioso/benigno), la ubicación de la inyección, el objetivo del ataque y una traza de razonamiento fundamentada en el HTML y la captura de pantalla.
2. SFT en WARD-PIG: El modelo se ajusta finamente adicionalmente para reconocer y resistir instrucciones dirigidas al guardián, aprendiendo a tratar dichas entradas como señales adversariales en lugar de comandos válidos.
3. Entrenamiento de Ataque Adversarial Adaptativo (A3T): Un marco de coevolución iterativa que involucra a un atacante adaptativo, un validador y el guardián.
   • Bucle Interno: Un atacante (utilizando memoria de éxitos/fracasos pasados y retroalimentación del guardián) genera nuevos ataques candidatos diseñados para eludir al guardián actual. Un validador filtra las muestras maliciosas realistas y efectivas.
   • Bucle Externo: Las muestras adversariales exitosas que eluden al guardián se utilizan para actualizar al guardián mediante Optimización de Políticas Relativas de Grupo (GRPO).
   • Este bucle se repite, fortaleciendo progresivamente al guardián contra ataques adaptativos cada vez más sofisticados.

2.3 Arquitectura del Modelo

El marco utiliza Modelos de Visión-Idioma compactos y de código abierto (específicamente Qwen-3.5-0.8B y Qwen-3.5-2B) como columnas vertebrales, permitiendo una implementación paralela eficiente junto con el agente web sin introducir latencia significativa.

3. Contribuciones Clave

• Conjuntos de Datos WARD-Base y WARD-PIG: La creación del primer conjunto de datos multimodal a gran escala para la detección de inyecciones de prompt que modela explícitamente canales de inyección, ubicaciones y ataques dirigidos al guardián, cubriendo tanto páginas web reales como plataformas simuladas de alto riesgo.
• Marco A3T: La introducción de un esquema de entrenamiento adversarial adaptativo que evoluciona iterativamente las estrategias de ataque y las defensas del guardián, abordando la vulnerabilidad de las distribuciones de entrenamiento estáticas ante atacantes adaptativos.
• Modelo Guardián Práctico: Un sistema de defensa que logra una detección casi perfecta mientras mantiene bajas tasas de falsos positivos y opera de manera eficiente en paralelo con el agente.

4. Resultados Experimentales

Evaluaciones extensas demuestran la superioridad de WARD sobre 25 líneas base, incluidas APIs de código cerrado, modelos de código abierto y modelos guardián existentes (por ejemplo, WebAgentGuard, PromptGuard).

• Rendimiento de Detección: En pruebas de distribución fuera de distribución (OOD) (Popup, EIA, VPI, WASP), WARD logra una recuperación casi perfecta (100%) y una alta precisión (99.33% en WARD-Test), superando significativamente a las líneas base que a menudo luchan con la generalización.
• Robustez frente a PIG: Cuando se prueba con prompts dirigidos al guardián, WARD mantiene una recuperación del 100% en todas las modalidades (HTML, Captura de pantalla, Ambas), mientras que los modelos existentes sufren caídas drásticas en el rendimiento (por ejemplo, la recuperación cae a <1% para algunas líneas base).
• Robustez frente a Ataques Adaptativos: Bajo la prueba de estrés A3T con hasta 10 intentos de ataque por muestra, WARD mantiene bajas Tasas de Éxito de Muestra (SSR) y Tasas de Éxito de Intento (ASR). Por ejemplo, WARD-2B logra una SSR de solo 3.12% con un presupuesto de 10 intentos, en comparación con tasas mucho más altas para las líneas base.
• Robustez Transversal de Dominios: En el marco PIArena (un entorno de ataque adaptativo basado en texto, no web), WARD mantiene una Baja Tasa Promedio de Éxito de Ataque (ASR) de ~3.08%, mientras que otras defensas fallan con ASRs que superan el 45–90%.
• Preservación de Utilidad: WARD exhibe tasas de falsos positivos (FPR) neglijibles (< 0.5%) y una degradación de rendimiento (PD) mínima en las tareas de WebArena, preservando la utilidad del agente mejor que los guardián existentes, que a menudo introducen altos FPR (>7%).
• Eficiencia: WARD se ejecuta en paralelo con el agente, requiriendo menos tokens de salida y un tiempo de inferencia menor que los propios modelos del agente, evitando latencia adicional.

5. Significado y Afirmaciones

El artículo afirma que WARD proporciona una base sólida y práctica para asegurar sistemas de agentes web del mundo real. Al combinar datos a gran escala y diversos con una estrategia de entrenamiento coevolutivo, WARD aborda los compromisos fundamentales entre la precisión de detección, la robustez frente a adversarios adaptativos y la eficiencia de implementación.

Los autores enfatizan que WARD está diseñado para ataques de inyección de prompt realistas que aparecen como contenido natural de páginas web. Reconocen modestamente las limitaciones, señalando que WARD podría no ser efectivo contra ataques ambientales a nivel de píxel (por ejemplo, perturbaciones imperceptibles), los cuales requieren modelos de amenazas más fuertes y acceso a los gradientes internos del agente. La obra se posiciona como un paso crítico hacia la implementación de agentes web autónomos en dominios sensibles como las finanzas y la atención médica, donde una defensa fiable contra la manipulación de instrucciones es primordial.