Sintesi Tecnica: Prismata – Confinamento del Cross-Site Prompt Injection nei Web Agent

1. Definizione del Problema: Cross-Site Prompting (XSP) e Intreccio Web (Web Entanglement)

Gli agenti web autonomi, pur promettendo di automatizzare i compiti di navigazione, ereditano la più antica superficie di attacco del web: la miscelazione di contenuti fidati e non fidati su una singola pagina. Gli autori definiscono il Cross-Site Prompting (XSP) come l'analogo lato agente del Cross-Site Scripting (XSS). In un attacco XSP, un attore malintenzionato inietta istruzioni in linguaggio naturale (ad esempio, in una recensione di un prodotto, un commento o una pubblicità) in un sito web benigno. Quando un agente web interpreta questo contenuto, può essere dirottato per eseguire azioni non autorizzate, come la fuga di credenziali dell'utente o l'invio di messaggi diretti.

La sfida centrale nel difendersi dall'XSP è il Problema dell'Intreccio Web (Web Entanglement Problem). A differenza dei tradizionali agenti basati su strumenti dove le azioni hanno una chiara verità semantica di base (ad esempio, send_email(to, body)), le azioni degli agenti web sono dipendenti dal contesto (ad esempio, click(element_id)). Il significato di sicurezza di un'azione dipende interamente dalla specifica struttura del sito e dal contenuto che circonda l'elemento.

• Il Dilemma: Derivare una politica di sicurezza richiede l'analisi della struttura della pagina per distinguere il contenuto affidabile dello sviluppatore dal contenuto non fidato dell'utente. Tuttavia, questa analisi espone il meccanismo di difesa allo stesso contenuto non fidato che cerca di filtrare.
• Limitazioni delle Difese Esistenti:
  • Le difese a livello di modello (che si affidano agli LLM per resistere alle iniezioni) vengono costantemente superate da attacchi adattivi.
  • Le difese a livello di sistema spesso richiedono mappe del sito esaustive e costruite manualmente o la pianificazione preventiva di tutte le azioni, il che fallisce nel generalizzare a compiti web dinamici e dipendenti dai dati.
  • I controlli a livello di origine (ad esempio, domini di sola lettura) sono troppo granulari, poiché un singolo dominio ospita spesso sia contenuti fidati che non fidati.

2. Metodologia: Design del Sistema Prismata

Prismata è una difesa contestuale del minimo privilegio che opera come uno strato trasparente tra l'agente web e il browser. Esso vincola sia ciò che l'agente vede (osservazione) sia ciò che può fare (azione) in base al compito specifico dell'utente. Il sistema si basa su due tecniche primarie: Derivazione Dinamica della Fiducia e Confinamento Meccanico.

2.1 Architettura del Sistema

Prismata intercetta il DOM renderizzato di una pagina prima che l'agente lo osservi. Elabora la pagina in tre fasi:

1. Action Gate (Cancello d'Azione): Per ogni elemento interattivo, Prismata traccia il suo percorso critico (l'intera catena di antenati HTML dalla radice del DOM all'elemento). Un LLM valuta solo il compito dell'utente e questo percorso specifico per determinare se l'elemento è entro lo scope. Fondamentalmente, nessun altro contenuto della pagina è visibile a questo valutatore. Se l'iniezione si trova al di fuori del percorso critico, la decisione è priva di iniezione.
2. Parsing Biba: Per gestire i casi in cui il percorso critico contiene effettivamente contenuti non fidati, Prismata applica una strategia di etichettatura ricorsiva ispirata al modello di integrità Biba del 1977.
   • Classifica le origini del contenuto (Developer, User, Hosted-Party, External).
   • Applica una politica di "no-read-down, no-write-up": un etichettatore vede solo un elemento e i suoi antenati; i discendenti e i fratelli sono mascherati.
   • Una volta che un indizio strutturale (ad esempio, un'intestazione "Recensioni", un aria-label o un nome di classe specifico) segnala l'inizio del contenuto non fidato, l'etichetta si propaga a tutti i discendenti e non avviene ulteriore interrogazione. Ciò impedisce all'etichettatore di essere influenzato dal contenuto iniettato stesso.
3. Enforcement (Confinamento Meccanico): Un modello di policy separato, fornito solo con i dettagli del compito (senza DOM), determina quali origini di contenuto sono necessarie. Prismata applica quindi meccanicamente questa politica:
   • Pruning (Potatura): Il contenuto proveniente da origini non autorizzate viene rimosso interamente dall'osservazione dell'agente.
   • Redazione/Downgrade: Gli elementi interattivi nelle zone ristrette vengono declassati a sola lettura o vedono rimossi i loro identificatori target, impedendo all'agente di cliccare o compilare.

2.2 Proprietà di Sicurezza

Prismata assicura che la fase decisiva di etichettatura sia raramente esposta a contenuti controllati dall'attaccante. Gli autori identificano tre casi in base alla posizione dell'iniezione:

• Caso 1 (Privo di iniezione): L'iniezione è al di fuori del percorso critico. L'Action Gate prende una decisione sicura.
• Caso 2 (Indizi Strutturali): L'iniezione è sul percorso critico, ma un indizio strutturale la precede. Il parsing Biba identifica il confine e restringe la capacità prima che l'iniezione venga rivelata.
• Caso 3 (Rischio Residuo): L'iniezione è sul percorso critico senza indizi strutturali precedenti. Questo è empiricamente raro (~0,1% dei percorsi nel loro dataset). In questo caso, l'erroma di etichettatura è confinato solo agli elementi su quel percorso specifico; il resto della pagina rimane protetto.

3. Contributi Chiave

1. Difesa Prismata: Un nuovo framework a livello di sistema che impone il minimo privilegio contestuale per gli agenti web senza richiedere annotazioni da parte degli sviluppatori.
2. Derivazione Dinamica della Fiducia: Un metodo che utilizza indizi strutturali e il modello di integrità Biba per inferire le etichette di fiducia e limitare gli errori di etichettatura, garantendo che le etichette possano solo diminuire di privilegio (no-write-up).
3. Confinamento Meccanico: Uno strato di enforcement deterministico che redige i contenuti e restringe le capacità dell'agente in base alle etichette derivate, operando su snapshot del DOM catturati piuttosto che mutare il DOM live.
4. Framework di Valutazione: Un framework modulare per valutare la sicurezza degli agenti web, capace di iniettare attacchi adattivi e misurare l'efficacia della difesa.

4. Risultati della Valutazione

Gli autori hanno valutato Prismata utilizzando l'ambiente WebArena, testandolo contro tre template di attacco pop-up (Shortcut, Fake Completion, Ignore Instruction) e stress test adattivi (WASP).

• Mitigazione degli Attacchi: Prismata ha ridotto l'Attack Success Rate (ASR) medio dall'85,5% (baseline) allo 0,7%.
• Utilità del Compito: Sotto attacco, il Task Success Rate (TSR) è migliorato dal 4,5% al 23,0%.
• Utilità Benigna: In scenari non avversari, Prismata ha preservato la maggior parte dell'utilità di base, con il TSR che è sceso solo leggermente dal 29,9% al 26,6%.
• Accuratezza dell'Etichettatura: Gli studi di validazione contro esperti umani hanno mostrato un'alta precisione (93%–98%) attraverso vari LLM utilizzati per l'etichettatura, indicando che i modelli raramente ammettono elementi che dovrebbero essere ristretti.
• Fondamenta Empiriche: L'analisi di oltre 1.500 siti ha mostrato che il contenuto non fidato si trova su un percorso critico verso un elemento azionabile in solo l'1,2% dei casi. Di questi, gli indizi strutturali precedono il contenuto nel 91,3% dei casi, lasciando un rischio residuo di solo lo 0,1% (riducibile allo 0,017% su siti che seguono le best practice del web).

5. Significato e Rivendicazioni

Il documento sostiene che Prismata rappresenti un passo avanti significativo nella protezione degli agenti web affrontando l' "intreccio" fondamentale tra contenuti fidati e non fidati.

• Generalizzabilità: A differenza di approcci precedenti che richiedono la mappatura manuale del sito, Prismata opera su siti web esistenti senza l'intervento degli sviluppatori, supportando la "lunga coda" del web.
• Ispirazione Formale: Adattando il classico modello di integrità Biba al contesto LLM, Prismata fornisce garanzie strutturali che limitano l'impatto degli errori di etichettatura, assicurando che l'escalation di privilegi sia meccanicamente impossibile per gli elementi al di fuori del percorso compromesso.
• Praticità: Il sistema dimosta che un'alta fedeltà di sicurezza può essere ottenuta con un overhead computazionale gestibile, specialmente sfruttando la cache per la linea di discendenza del DOM.

Gli autori concludono che, sebbene l'XSP sia un ritorno della minaccia XSS, esso richiede una strategia di difesa distinta che tratti il linguaggio naturale come codice eseguibile. Prismata fornisce questa strategia disaccoppiando la derivazione della politica di sicurezza dal contenuto non fidato che cerca di filtrare, confinando così le capacità dell'agente allo stretto ambito del compito dell'utente.