Technisch overzicht: Prismata – Het beperken van Cross-Site Prompt Injection in Web-agenten

1. Probleemstelling: Cross-Site Prompting (XSP) en Web-verstrengeling

Autonome web-agenten, hoewel veelbelovend voor het automatiseren van browse-taken, erven het oudste aanvalsoppervlak van het web: de vermenging van vertrouwde en onbetrouwbare inhoud op een enkele pagina. De auteurs definiëren Cross-Site Prompting (XSP) als het agent-zijde analoog aan Cross-Site Scripting (XSS). Bij een XSP-aanval injecteert een kwaadwillende actor natuurlijke taalinstructies (bijv. in een productrecensie, reactie of advertentie) in een onschuldige website. Wanneer een web-agent deze inhoud interpreteert, kan deze worden gekaapt om ongeautoriseerde acties uit te voeren, zoals het lekken van gebruikersgegevens of het verzenden van directe berichten.

De kernuitdaging bij het verdedigen tegen XSP is het Web-verstrengelingsprobleem (Web Entanglement Problem). In tegenstelling tot traditionele tool-gebaseerde agenten waarbij acties een duidelijke semantische grondwaarheid hebben (bijv. send_email(to, body)), zijn acties van web-agenten contextafhankelijk (bijv. click(element_id)). De beveiligingsbetekenis van een actie hangt volledig af van de specifieke sitestructuur en de inhoud die het element omringt.

• Het Dilemma: Het afleiden van een beveiligingsbeleid vereist het analyseren van de paginastructuur om onderscheid te maken tussen vertrouwde ontwikkelaarsinhoud en onbetrouwbare gebruikersinhoud. Deze analyse zelf stelt het verdedigingsmechanisme echter bloot aan precies die onbetrouwbare inhoud die het probeert te filteren.
• Beperkingen van bestaande verdedigingen:
  • Model-niveau verdedigingen (vertrouwend op LLM's om injecties te weerstaan) worden steeds vaker omzeild door adaptieve aanvallen.
  • Systeem-niveau verdedigingen vereisen vaak uitputtende, handmatig geconstrueerde sitemaps of het vooraf plannen van alle acties, wat niet generaliseert naar dynamische, datagedreven webtaken.
  • Origin-niveau controles (bijv. read-only domeinen) zijn te grofmazig, aangezien één domein vaak zowel vertrouwde als onbetrouwbare inhoud host.

2. Methodologie: Prismata Systeemontwerp

Prismata is een contextuele least-privilege verdediging die fungeert als een transparante laag tussen de web-agent en de browser. Het beperkt zowel wat de agent ziet (observatie) als wat hij kan doen (actie) op basis van de specifieke gebruikerstaak. Het systeem vertrouwt op twee primaire technieken: Dynamische Vertrouwen-afleiding (Dynamic Trust Derivation) en Mechanische Beperking (Mechanical Confinement).

2.1 Systeemarchitectuur

Prismata onderschept de gerenderde DOM van een pagina voordat de agent deze observeert. Het verwerkt de pagina in drie stadia:

1. Action Gate: Voor elk interactief element volgt Prismata het kritieke pad (critical path) (de volledige keten van HTML-voorouders van de DOM-root tot het element). Een LLM evalueert alleen de gebruikerstaak en dit specifieke pad om te bepalen of het element binnen de scope valt. Cruciaal is dat geen enkele andere pagininhoud zichtbaar is voor deze evaluator. Als de injectie buiten het kritieke pad ligt, is de beslissing vrij van injectie.
2. Biba Parsing: Om gevallen aan te pakken waarin het kritieke pad wel onbetrouwbare inhoud bevat, past Prismata een recursieve etiketteringsstrategie toe, geïnspireerd door het Biba integriteitsmodel uit 1977.
   • Het classificeert de oorsprong van de inhoud (Ontwikkelaar, Gebruiker, Derde partij, Extern).
   • Het handhaaft een "no-read-down, no-write-up" beleid: een labeler ziet alleen een element en zijn voorouders; kinderen en broers/zussen worden gemaskeerd.
   • Zodra een structurele aanwijzing (bijv. een "Reviews" koptekst, aria-label of specifieke klassenaam) het begin van onbetrouwbare inhoud signaleert, wordt het label naar alle afstammelingen doorgegeven en vindt er geen verdere query meer plaats. Dit voorkomt dat de labeler wordt beïnvloed door de geïnjecteerde inhoud zelf.
3. Handhaving (Mechanische Beperking): Een apart beleidsmodel, dat alleen wordt voorzien van taakdetails (geen DOM), bepaalt welke inhoudsoorsprongen vereist zijn. Prismata handhaaft dit beleid vervolgens mechanisch:
   • Pruning (Snoeien): Inhoud van ongeautoriseerde oorsprong wordt volledig verwijderd uit de observatie van de agent.
   • Redactie/Downgrading: Interactieve elementen in beperkte zones worden gedegradeerd naar read-only of hun doel-identificatoren worden verwijderd, om te voorkomen dat de agent erop klikt of velden invult.

2.2 Beveiligingseigenschappen

Prismata zorgt ervoor dat de beslissende etiketteringsstap zelden wordt blootgesteld aan door de aanvaller beheerde inhoud. De auteurs identificeren drie gevallen op basis van de plaatsing van de injectie:

• Geval 1 (Injectievrij): De injectie bevindt zich buiten het kritieke pad. De Action Gate maakt een veilige beslissing.
• Geval 2 (Structurele Aanwijzingen): De injectie bevindt zich op het kritieke pad, maar een structurele aanwijzing gaat eraan vooraf. Biba parsing identificeert de grens en beperkt de capaciteit voordat de injectie wordt onthuld.
• Geval 3 (Residueel Risico): De injectie bevindt zich op het kritieke pad zonder voorafgaande structurele aanwijzingen. Dit komt empirisch zelden voor (~0,1% van de paden in hun dataset). In dit geval is de foutieve etikettering beperkt tot de elementen op dat specifieke pad; de rest van de pagina blijft beschermd.

3. Belangrijkste Bijdragen

1. Prismata Verdediging: Een nieuw systeem-niveau framework dat contextuele least-privilege afdwingt voor web-agenten zonder dat daarvoor ontwikkelaarsannotaties nodig zijn.
2. Dynamische Vertrouwen-afleiding: Een methode die gebruikmaakt van structurele aanwijzingen en het Biba-integriteitsmodel om vertrouwenslabels af te leiden en fouten in de etikettering te begrenzen, waarbij wordt gewaarborgd dat labels alleen in privilege kunnen dalen (no-write-up).
3. Mechanische Beperking: Een deterministische handhavingslaag die inhoud redacteert en de capaciteiten van de agent beperkt op basis van afgeleide labels, werkend op gecapteerde DOM-snapshots in plaats van de live DOM te muteren.
4. Evaluatieframework: Een modulair framework voor het evalueren van de beveiliging van web-agenten, in staat om adaptieve aanvallen te injecteren en de effectiviteit van de verdediging te meten.

4. Evaluatieresultaten

De auteurs evalueerden Prismata met behulp van de WebArena omgeving, waarbij getest werd tegen drie pop-up aanvalstemplates (Shortcut, Fake Completion, Ignore Instruction) en adaptieve stress-tests (WASP).

• Mitigatie van Aanvallen: Prismata verminderde het gemiddelde Attack Success Rate (ASR) van 85,5% (baseline) naar 0,7%.
• Taaknut (Task Utility): Onder aanval verbeterde de Task Success Rate (TSR) van 4,5% naar 23,0%.
• Benutting bij Normaal Gebruik: In niet-adversariële settings behield Prismata het grootste deel van de baseline utility, waarbij de TSR slechts licht daalde van 29,9% naar 26,6%.
• Nauwkeurigheid van Etikettering: Validatiestudies tegen menselijke experts toonden een hoge precisie (93%–98%) aan over verschillende gebruikte LLM's voor de etikettering, wat aangeeft dat de modellen zelden elementen toelaten die beperkt zouden moeten worden.
• Empirische Fundamenten: Analyse van 1.500+ sites toonde aan dat onbetrouwbare inhoud zich in slechts 1,2% van de gevallen op een kritiek pad naar een actiebaar element bevindt. Van die gevallen gaat in 91,3% de inhoud vooraf aan een structurele aanwijzing, waardoor een residueel risico van slechts 0,1% overblijft (te reduceren tot 0,017% op sites die webbest practices volgen).

5. Betekenis en Claims

Het artikel claimt dat Prismata een belangrijke stap voorwaarts is in het beveiligen van web-agenten door het fundamentele "verstrengelingsprobleem" van vertrouwde en onbetrouwbare inhoud aan te pakken.

• Generaliseerbaarheid: In tegenstelling tot eerdere benaderingen die handmatige site-mapping vereisen, werkt Prismata op bestaande websites zonder tussenkomst van ontwikkelaars, waardoor het de "long tail" van het web ondersteunt.
• Formele Inspiratie: Door het klassieke Biba-integriteitsmodel aan te passen aan de LLM-context, biedt Prismata structurele garanties die de impact van etiketteringsfouten begrenzen, waarbij wordt gewaarborgd dat privilege-escalatie mechanisch onmogelijk is voor elementen buiten het gecompromitteerde pad.
• Praktische Bruikbaarheid: Het systeem laat zien dat een hoge mate van beveiliging kan worden bereikt met een beheersbare computationele overhead, vooral wanneer caching voor de DOM-lineage wordt ingezet.

De auteurs concluderen dat hoewel XSP een heropleving is van de XSS-dreiging, het een afzonderlijke verdedigingsstrategie vereist die natuurlijke taal behandelt als uitvoerbare code. Prismata biedt deze strategie door de afleiding van het beveiligingsbeleid los te koppelen van de onbetrouwbare inhoud die het probeert te filteren, waardoor de capaciteiten van de agent strikt worden beperkt tot de scope van de gebruikerstaak.