Riepilogo Tecnico: PIIGuard

Enunciato del Problema

I moderni Modelli Linguistici di Grande Dimensione (LLM) dotati di capacità di navigazione (tramite MCP, chiamate di strumenti o interfacce web) creano un nuovo vettore di attacco per l'estrazione di Informazioni di Identificazione Personale (PII). Gli attaccanti possono inviare query finalizzate alla ricerca di contatti a un assistente abilitato alla navigazione, il quale recupera quindi l'HTML grezzo dalle pagine web target e riproduce la PII (nomi, numeri di telefono, email, indirizzi) in modo verbatim nella sua risposta.

Le difese esistenti sono principalmente implementate a livello di modello, servizio o agente (ad esempio, filtri runtime, prompt mascherati), richiedendo un accesso privilegiato che i proprietari ordinari di pagine web non possiedono. Le difese a livello di pagina esistenti (ad esempio, sostituzione di caratteri o Iniezione di Prompt Indiretta di base) spesso falliscono contro attacchi avanzati in cui l'attaccante impiega un LLM "sanitizzatore" ausiliario per pre-elaborare e rimuovere i contenuti sospetti dall'HTML recuperato prima che il modello target lo elabori. Questo lavoro affronta il vuoto nelle difese a livello di pagina web capaci di resistere sia all'accesso diretto all'HTML sia alla sanitizzazione avversariale.

Metodologia: PIIGuard

PIIGuard è un meccanismo di difesa a livello di pagina web che incorpora frammenti HTML ottimizzati e nascosti (Iniezioni di Prompt Indirette, o IPI) nel DOM di una pagina web. Questi frammenti sono progettati per orientare l'LLM lontano dalla divulgazione verbatim o ricostruibile della PII di contatto. Il sistema opera tramite una pipeline evolutiva in cinque passaggi:

1. Selezione dei Semi: Inizializza un pool di candidati con istruzioni di difesa diverse, scritte a mano, accoppiate a slot di inserimento consentiti (ad esempio, after, footer, meta, contact_block).
2. Punteggio Basato su Regole: Valuta i candidati utilizzando una metrica di perdita rapida e basata su regole ($\ell_R$) che confronta i campi estratti con la verità fondamentale. In scenari di attacco avanzati, questo punteggio aggrega la perdita nel caso peggiore attraverso entrambi i percorsi HTML grezzo e sanitizzato.
3. Classificazione per Utilità Composita: I candidati sono classificati non solo in base alla perdita media, ma da una funzione di utilità composita ($U$) che dà priorità a:
   • Soppressione completa (zero perdita su tutti i campi).
   • Bassa perdita media.
   • Robustezza (frazione di pagine con perdita minima).
4. Mutazione Evolutiva: Un LLM target agisce come mutatore, riscrivendo il testo delle istruzioni, sostituendo gli slot o ibridando genitori ad alte prestazioni per generare nuovi candidati. Questo ciclo si ripete per minimizzare la perdita basata su regole.
5. Valutazione della Recuperabilità Basata su Giudice: I sopravvissuti finali subiscono una valutazione rigorosa utilizzando un LLM "Giudice". Questo passaggio testa la recuperabilità semantica: anche se la PII non è esplicitamente presente, il Giudice può ricostruire gli identificatori originali dalla risposta del modello? Vengono selezionati solo i frammenti che superano sia i criteri basati su regole sia quelli basati sul giudice.

Il framework supporta due scenari di attacco distinti:

• Attacco Base: Il modello recupera l'HTML grezzo direttamente.
• Attacco Avanzato: Un LLM sanitizzatore lato attaccante pre-elabora l'HTML per rimuovere le iniezioni sospette prima che il modello target lo legga. PIIGuard co-ottimizza i frammenti per sopravvivere a questa sanitizzazione.

Contributi Chiave

1. Espansione del Modello di Minaccia: Questo lavoro è il primo a caratterizzare sistematicamente uno scenario di attacco avanzato in cui l'attaccante utilizza un sanitizzatore LLM per pulire l'HTML recuperato, un modello di minaccia precedentemente non affrontato dalle difese a livello di pagina.
2. Framework PIIGuard: Una nuova difesa a livello di pagina web che utilizza una pipeline evolutiva in cinque passaggi (selezione dei semi, punteggio basato su regole, classificazione composita, mutazione LLM e rivalutazione basata su giudice) per generare istruzioni nascoste ottimizzate.
3. Protocollo di Valutazione a Due Stadi: Un metodo di validazione rigoroso che combina il matching rapido di campi basato su regole con una valutazione più lenta della recuperabilità semantica basata su giudice, per garantire che le difese prevengano sia l'esposizione diretta sia la ricostruzione.
4. Validazione Stressata: Valutazione attraverso tre condizioni realistiche:
   • HTML Diretto: Input HTML grezzo al modello.
   • Modalità URL: Implementazione nel mondo reale tramite siti statici accessibili attraverso interfacce di navigazione standard.
   • Modalità Sanitizzatore: Pre-elaborazione da parte di un filtro LLM lato attaccante.

Risultati Sperimentali

Il sistema è stato valutato su tre modelli target: GPT-5.4-nano, Claude-haiku-4.5 e DeepSeek-chat.

• Successo della Difesa: Sotto accesso diretto all'HTML, PIIGuard ha raggiunto un Tasso di Successo della Difesa (DSR) di almeno 97,0% (spesso 100,0%) su tutti i modelli e posizioni di inserimento, sia per le metriche basate su regole sia per quelle basate sul giudice.
• Utilità Benigna: La difesa non ha degradato la capacità del modello di rispondere a domande innocue (ad esempio, compiti NewsQA), con le metriche di utilità (MAF1, BCR) che sono rimaste comparabili ai baseline non difesi.
• Robustezza al Sanitizzatore: In scenari di attacco avanzato, la robustezza variava in base alla posizione di inserimento. Lo slot footer_notice si è rivelato il più stabile, raggiungendo fino all'86,00% di DSR contro vari prompt di sanitizzazione, mentre contact_block e bio_tail hanno mostrato una resilienza inferiore.
• Implementazione URL: Quando implementato come siti statici live accessibili tramite strumenti di navigazione, le prestazioni sono rimaste elevate per la posizione footer, ma sono degradate significativamente per la posizione meta, indicando che le catene di strumenti di navigazione potrebbero rimuovere strutturalmente determinati siti di iniezione.
• Trasferimento tra Modelli: I frammenti ottimizzati per Claude-haiku-4.5 (un modello altamente conforme alle istruzioni) si sono generalizzati bene ad altri modelli, suggerendo che vincoli di ottimizzazione più rigorosi producono difese più robuste.

Significato e Affermazioni

Il lavoro sostiene che i proprietari di pagine web possono mitigare efficacemente la perdita di PII distribuendo frammenti HTML leggeri e ottimizzati senza richiedere la cooperazione dei fornitori di modelli.

• Cambiamento nel Paradigma di Difesa: PIIGuard dimostra che le difese lato pagina possono andare oltre la semplice offuscamento (che fallisce contro la ricostruzione semantica) per orientare attivamente il comportamento del modello tramite Iniezione di Prompt Indiretta.
• Capacità del Modello come Alleato: Contrariamente all'intuizione che modelli più capaci siano più difficili da difendere, i risultati suggeriscono che modelli più capaci (ad esempio, GPT-5.4-mini rispetto a GPT-5.4-nano) seguono le istruzioni iniettate in modo più affidabile, rendendoli difensori più forti quando PIIGuard è distribuito.
• Limitazioni e Lavori Futuri: Gli autori riconoscono che la sopravvivenza al sanitizzatore è attualmente una "affermazione di esistenza positiva" piuttosto che una garanzia universale, poiché lo spazio dei prompt di sanitizzazione è aperto. Notano inoltre che le valutazioni attuali si basano su giudici a modello singolo e siti statici sintetici, suggerendo che i lavori futuri dovrebbero esplorare ensemble di giudici multipli e implementazioni nel mondo reale.

Complessivamente, PIIGuard posiziona i frammenti lato pagina come un livello di difesa pratico e di prima linea che completa le salvaguardie a livello di sistema, offrendo ai proprietari di contenuti un meccanismo unilaterale per proteggere le informazioni di contatto nell'era degli LLM abilitati alla navigazione.