Resumo Técnico: IPI-proxy

Declaração do Problema

A proliferação de agentes de IA de navegação web em ambientes empresariais introduziu uma vulnerabilidade de segurança crítica: Injeção Indireta de Prompt (IPI). Diferentemente da injeção direta de prompt, onde um adversário interage diretamente com o modelo, a IPI ocorre quando um agente recupera conteúdo de terceiros (por exemplo, páginas web, documentos) contendo instruções ocultas que o modelo executa como comandos legítimos do usuário.

As metodologias atuais de red-teaming e os benchmarks não abordam adequadamente a IPI em cenários empresariais realistas devido a três lacunas principais:

1. Incompatibilidade de Lista Branca: Benchmarks existentes (por exemplo, BIPIA, InjecAgent) dependem de páginas adversárias hospedadas em domínios controlados por atacantes. Agentes restritos a listas brancas empresariais estritas (por exemplo, *.clientcorp.com) não podem acessar essas páginas sem violar a política, tornando os testes inválidos para cenários semelhantes à produção.
2. Conteúdo Estático: Os benchmarks geralmente servem páginas adversárias congeladas e pré-construídas. Isso falha em simular a natureza "ao vivo" de ataques do mundo real, onde adversários injetam conteúdo em domínios confiáveis por meio de comentários, wikis ou widgets de terceiros.
3. Escopo Apenas de Modelo: Ferramentas gerais de red-teaming (por exemplo, PyRIT, garak) e sistemas de detecção (por exemplo, Rebuff) sondam a API do LLM diretamente. Eles não testam a superfície de recuperação — o caminho pelo qual conteúdo não confiável atinge um agente que usa ferramentas — onde a IPI se manifesta com maior frequência.

Metodologia

Os autores propõem o IPI-proxy, um toolkit de código aberto projetado para preencher a lacuna entre benchmarks estáticos e implantação ao vivo. A inovação central é uma inversão arquitetônica: em vez de forçar o agente a visitar URLs controladas por atacantes, o IPI-proxy intercepta e modifica respostas HTTP de domínios aos quais o agente já tem permissão para acessar.

Arquitetura do Sistema

O IPI-proxy opera como um proxy Man-in-the-Middle (MITM) em nível de rede, construído sobre o mitmproxy. Ele consiste em cinco componentes principais:

1. Addon do Proxy: Registra um manipulador de resposta que inspeciona respostas HTTP de saída. Ele valida a URL de destino contra um padrão-alvo, garante que o conteúdo seja HTML e verifica o orçamento de injeção antes de prosseguir.
2. Biblioteca Unificada de Cargas Úteis: Um arquivo JSONL desduplicado contendo 820 strings de ataque extraídas de seis benchmarks existentes (BIPIA, InjecAgent, AgentDojo, Tensor Trust, WASP e LLMail-Inject). Estes são normalizados sob um esquema unificado.
3. Modelos de Incorporação: Para evitar a inspeção humana enquanto permanecem visíveis para LLMs, as cargas úteis são envoltas usando três técnicas:
   • Comentários HTML: Colocados dentro de blocos <!-- -->.
   • CSS Invisível: Envoltos em elementos <div> estilizados com display: none e posicionamento fora da tela.
   • Prosa Semântica: Integrados em texto editorial plausível, opcionalmente gerados por um LLM (por exemplo, Claude) para maior evasão.
4. Injetor HTML: Insere a carga útil envolta em uma de seis localizações específicas dentro do documento HTML (por exemplo, head_meta, body_top, sidebar, script_comment). Se uma âncora específica estiver ausente, o sistema recorre a uma âncora mais grosseira para garantir o sucesso da injeção.
5. Rastreador de Exfiltração: Um serviço FastAPI leve que registra callbacks. Se um agente seguir uma instrução injetada para enviar dados a este rastreador, o teste é marcado como uma exfiltração bem-sucedida.

Fluxo de Trabalho

1. O agente solicita uma URL de um domínio na lista branca.
2. O proxy encaminha a solicitação para o servidor a montante.
3. Ao receber a resposta HTML original, o proxy seleciona uma carga útil com base em filtros configurados em YAML (tipo de ataque, benchmark de origem, severidade).
4. A carga útil é envolta e injetada no HTML em um ponto de inserção configurado.
5. O HTML modificado é retornado ao agente.
6. Se o agente executar a instrução injetada e entrar em contato com o rastreador de exfiltração, o evento é registrado.

Contribuições Principais

• Red-Teaming Respeitoso à Lista Branca: O IPI-proxy é a primeira ferramenta a permitir testes de IPI contra agentes restritos a listas brancas específicas, modificando respostas ao vivo desses domínios confiáveis em vez de servir páginas simuladas.
• Fonte Unificada de Cargas Úteis: Ele agrega e desduplica 820 vetores de ataque de seis benchmarks de pesquisa distintos, permitindo avaliação cruzada entre benchmarks e rotação dentro de uma única sessão de teste.
• Avaliação por Varredura de Parâmetros: Ao desacoplar a carga útil, a técnica de incorporação e o ponto de inserção no HTML, a ferramenta permite uma avaliação sistemática da suscetibilidade de um agente em uma superfície de ataque multidimensional.
• Design Agnóstico ao Agente: Diferentemente de ferramentas baseadas em extensões de navegador, o IPI-proxy opera na camada de rede, tornando-o compatível com buscadores sem cabeça (headless), clientes HTTP personalizados e ferramentas do Protocolo de Contexto de Modelo (MCP).

Resultados e Avaliação

O artigo apresenta o IPI-proxy como um substrato de teste em vez de um mecanismo de defesa. Ele não relata taxas de sucesso específicas contra um modelo particular (por exemplo, "O Modelo X falhou 80% das vezes"), mas demonstra a viabilidade e reprodutibilidade da metodologia de teste.

• A ferramenta intercepta e reescreve com sucesso respostas HTTP de domínios na lista branca sem modificar o servidor a montante.
• Ela suporta um regime de avaliação de "varredura de parâmetros" que cobre combinações de cargas úteis, incorporações e pontos de inserção não suportados simultaneamente por benchmarks existentes.
• O rastreador de exfiltração fornece um sinal de verdade fundamental para ataques bem-sucedidos sem exigir instrumentação do próprio agente, preservando a integridade do ambiente de teste.

Significado

Os autores posicionam o IPI-proxy como uma evolução necessária nos testes de segurança de IA. Ao mudar de benchmarks estáticos de páginas simuladas para interceptação dinâmica de respostas ao vivo, a ferramenta permite que equipes de segurança:

1. Meçam a vulnerabilidade de agentes de navegação web sob as mesmas restrições de saída e fontes de conteúdo que enfrentam em produção.
2. Fortaleçam agentes fornecendo um ambiente reprodutível para testar estratégias defensivas (como transformação de entrada ou isolamento arquitetônico) contra vetores realistas de IPI.
3. Preencham a lacuna entre benchmarks acadêmicos e implantação empresarial, garantindo que os esforços de red-teaming reflitam a superfície de ameaça real onde a IPI ocorre.

O artigo conclui que, embora o IPI-proxy não resolva o problema da IPI em si, ele fornece a infraestrutura crítica necessária para avaliar e mitigar com precisão o risco antes que os agentes sejam implantados em ambientes empresariais sensíveis.