Domain-Conditioned Safety in Frontier Computer-Using Agents: A 793-Episode Browser Benchmark, a Coding-Domain Cross-Reference, and a Reproducibility Audit of Recent Red-Teaming

Resumo Técnico: Segurança Condicionada ao Domínio em Agentes de Fronteira para Uso de Computador

Definição do Problema
A literatura recente sobre Agentes de Uso de Computador (CUAs) relata altas Taxas de Sucesso de Ataque de Injeção de Prompt (ASR), variando de 42% a 98%. No entanto, esses números frequentemente dependem de checkpoints de modelos aposentados (ex: GPT-4o, Claude 3.5 Sonnet) ou dos modelos mais vulneráveis dentro de um painel de testes. Além disso, muitos resultados de alta ASR são impulsionados por strings de injeção otimizadas por Aprendizado por Reforço (RL) que não são divulgadas publicamente. Isso cria uma lacuna de reprodutibilidade: não está claro se as técnicas descritas nesses artigos permanecem eficazes contra modelos de fronteira atuais quando reproduzidas como templates legíveis por humanos e criados manualmente. Adicionalmente, não se sabe se o endurecimento de segurança em um domínio (ex: navegação web) se generaliza para outras modalidades de agentes (ex: codificação).

Metodologia
Os autores introduzem o CUA-HANDCRAFTED, um benchmark adversarial público projetado para avaliar CUAs de fronteira usando templates de ataque manuais e não baseados em RL.

• Design do Benchmark: O conjunto consiste em 793 episódios em 24 tarefas web de múltiplos passos em 8 sites auto-hospedados (ex: Banking, HR Portal, CRM). Utiliza 56 templates de ataque abrangendo 8 categorias (ex: ação não autorizada, exfiltração de dados, sequestro de objetivo) e 5 níveis de profundidade.
• Definição de Ataque: "Manual" (hand-crafted) é estritamente definido como strings de prosa legíveis por humanos escritas com base nas descrições textuais de artigos recentes de red-teaming (RL-Hammer, WASP, TRAP, MUZZLE). Esses templates não contêm sinais de recompensa ou loops de otimização automatizados.
• Alvos de Avaliação: O alvo de avaliação primário foca nos modelos de fronteira mais recentes: Claude Sonnet 4.6 e GPT-5.4.
• Métricas: O estudo utiliza métricas compatíveis com o AgentDojo: Utilidade Benigna (BU), Utilidade sob Ataque (UuA) e Taxa de Sucesso de Ataque (ASR). Um sistema de detecção "canário" (usando URLs .test da RFC 2606, padrões de ID específicos ou marcadores sintáticos) verifica se um agente executou um objetivo injetado.
• Ablação e Cross-Domain: O estudo inclui ablação de prompt (removendo instruções de segurança) para determinar se a resistência é ao nível do prompt ou do peso (weight-level). Também introduz o SKILLBENCH, um benchmark irmão para agentes de codificação, para testar se o endurecimento de segurança se transfere entre modalidades.
• Baseline de RL: Um experimento de Fase 10 executa um atacante de sufixo aleatório adaptativo baseado em RL (baseado em AutoInject) para estabelecer um teto superior para ataques baseados em RL dentro de um orçamento restrito.

Principais Resultados

1. Zero ASR em Agentes de Navegação de Fronteira: Contra o Claude Sonnet 4.6 e o GPT-5.4, ataques manuais de múltiplos passos alcançaram 0/140 de sucesso (0% de ASR). O limite superior de Clopper-Pearson de 95% é de 2,60%. O único ASR manual não nulo ocorreu em ataques de negação de serviço (DoS) de passo único em modelos legados (6,16% no Sonnet 4, 6,88% no GPT-4o).
2. A Resistência está nos Pesos: Experimentos de ablação de prompt (removendo orientação de segurança ou adicionando instruções de "ajuda") mantiveram 0% de ASR. Isso indica que a resistência à injeção no domínio de navegação é uma propriedade dos pesos do modelo, não do prompt do sistema.
3. A Otimização por RL é a Lacuna: Embora os templates manuais tenham falhado, um baseline de atacante por RL (dentro de um orçamento de $25) também falhou em encontrar uma string bem-sucedida (0/50). Os autores argumentam que a alta ASR na literatura é atribuível a frases descobertas por RL e fora da distribuição, em vez das categorias de ataque em si. Benchmarks que não liberam as strings otimizadas não são reproduzíveis.
4. Segurança Condicionada ao Domínio (A Lacuna da Codificação): Os mesmos pesos de modelo (Sonnet 4.6, GPT-5.4) que resistiram à injeção de navegação com 0% foram altamente vulneráveis no benchmark de agente de codificação SKILLBENCH. Ataques manuais de injeção de habilidade alcançaram 100% de ASR no Sonnet 4.6 e 79% de ASR no GPT-5.4. Isso demonstra que o endurecimento de segurança é específico da superfície: o domínio de navegação é intensamente submetido a red-teaming e endurecido, enquanto o domínio de codificação permanece vulnerável.
5. Auditoria de Reproducibilidade: Uma auditoria de seis artigos recentes de red-teaming de CUA encontrou que quatro parearam modelos alvos aposentados com strings otimizadas não liberadas, tornando seus números de ASR de destaque permanentemente irreproduzíveis em plena fidelidade.

Significância e Alegações
O artigo argumenta que os altos números de ASR da literatura atual são, em grande parte, artefatos de texto otimizado por RL e gerações específicas de modelos, em vez de vulnerabilidades inerentes às categorias de ataque. Os autores afirmam que:

• A segurança de fronteira é condicionada ao domínio: Um modelo pode ser "seguro" em um contexto de navegação enquanto é "inseguro" em um contexto de codificação. As alegações de segurança devem especificar a superfície (ex: "injeção de navegador" vs. "injeção de habilidade de codificação").
• A reprodutibilidade exige artefatos: Relatar técnicas sem liberar as strings de injeção otimizadas (ou o modelo atacante) torna os números de ASR publicados irreproduzíveis.
• Benchmarks manuais servem como um piso: O CUA-HANDCRAFTED fornece uma linha de base para modos de falha passíveis de descoberta humana. Se um modelo resiste a ataques manuais, ele fechou os modos de falha mais acessíveis, embora ainda possa ser vulnerável a ataques otimizados por RL.

Os autores concluem que os relatórios futuros de segurança de CUA devem tratar a ASR como um vetor através de superfícies, nomear explicitamente os checkpoints alvo e liberar as strings otimizadas ou modelos atacantes para garantir a reprodutibilidade. Eles não alegam que os CUAs são inatacáveis, mas que a "lacuna" entre a segurança atual e a alta ASR da literatura é definida pela otimização por RL e pela cobertura desigual de domínios.