Resumo Técnico: Prismata – Confinando o Cross-Site Prompt Injection em Agentes Web

1. Declaração do Problema: Cross-Site Prompting (XSP) e Emaranhamento Web

Agentes web autônomos, embora promissores para automatizar tarefas de navegação, herdam a superfície de ataque mais antiga da web: a mistura de conteúdo confiável e não confiável em uma única página. Os autores definem o Cross-Site Prompting (XSP) como o análogo do lado do agente ao Cross-Site Scripting (XSS). Em um ataque XSP, um ator malicioso injeta instruções de linguagem natural (por exemplo, em uma avaliação de produto, comentário ou anúncio) em um site benigno. Quando um agente web interpreta esse conteúdo, ele pode ser sequestrado para realizar ações não autorizadas, como vazar credenciais de usuário ou enviar mensagens diretas.

O desafio central para defender-se do XSP é o Problema do Emaranhamento Web (Web Entanglement Problem). Diferente dos agentes tradicionais baseados em ferramentas onde as ações possuem uma verdade semântica clara (ex: enviar_email(para, corpo)), as ações de um agente web são dependentes de contexto (ex: clicar(elemento_id)). O significado de segurança de uma ação depende inteamente da estrutura específica do site e do conteúdo que circunda o elemento.

• O Dilema: Derivar uma política de segurança requer analisar a estrutura da página para distinguir o conteúdo confiável do desenvolvedor do conteúdo não confiável do usuário. No entanto, essa análise em si expõe o mecanismo de defesa ao próprio conteúdo não confiável que ele busca filtrar.
• Limitações das Defesas Existentes:
  • Defesas ao nível do modelo (que dependem de LLMs para resistir a injeções) são cada vez mais contornadas por ataques adaptativos.
  • Defesas ao nível do sistema frequentemente exigem mapas de sites exaustivos, construídos manualmente, ou planejamento prévio de todas as ações, o que falha ao generalizar para tarefas web dinâmicas e dependentes de dados.
  • Controles ao nível de origem (ex: domínios de apenas leitura) são granulares demais, pois um único domínio frequentemente hospeda tanto conteúdo confiável quanto não confiável.

2. Metodologia: Design do Sistema Prismata

O Prismata é uma defesa de privilégio mínimo contextual que opera como uma camada transparente entre o agente web e o navegador. Ele restringe tanto o que o agente vê (observação) quanto o que ele pode fazer (ação) com base na tarefa específica do usuário. O sistema baseia-se em duas técnicas primárias: Derivação Dinâmica de Confiança e Confinamento Mecânico.

2.1 Arquitetura do Sistema

O Prismata intercepta o DOM renderizado de uma página antes que o agente o observe. Ele processa a página em três estágios:

1. Portão de Ação (Action Gate): Para cada elemento interativo, o Prismata rastreia seu caminho crítico (a cadeia completa de ancestrais HTML desde a raiz do DOM até o elemento). Um LLM avalia apenas a tarefa do usuário e este caminho específico para determinar se o elemento está dentro do escopo. Crucialmente, nenhum outro conteúdo da página é visível para este avaliador. Se a injeção estiver fora do caminho crítico, a decisão é livre de injeção.
2. Parsing Biba: Para lidar com casos em que o caminho crítico contém conteúdo não confiável, o Prismata aplica uma estratégia de rotulagem recursiva inspirada no modelo de integridade Biba de 1977.
   • Ele classifica as origens do conteúdo (Desenvolvedor, Usuário, Terceiros Hospedados, Externo).
   • Ele impõe uma política de "não ler para baixo, não escrever para cima": um rotulador vê apenas um elemento e seus ancestrais; filhos e irmãos são mascarados.
   • Uma vez que uma pista estrutural (ex: um cabeçalho de "Avaliações", aria-label ou um nome de classe específico) sinaliza o início do conteúdo não confiável, o rótulo cascateia para todos os descendentes, e nenhuma consulta adicional ocorre. Isso evita que o rotulador seja influenciado pelo próprio conteúdo injetado.
3. Implementação (Confinamento Mecânico): Um modelo de política separado, fornecido apenas com detalhes da tarefa (sem o DOM), determina quais origens de conteúdo são necessárias. O Prismata então aplica mecanicamente esta política:
   • Poda (Pruning): O conteúdo de origens não autorizadas é removido inteiramente da observação do agente.
   • Redação/Rebaixamento (Redaction/Downgrading): Elementos interativos em zonas restritas são rebaixados para apenas leitura ou têm seus identificadores de alvo removidos, impedindo que o agente clique ou preencha.

2.2 Propriedades de Segurança

O Prismata garante que a etapa decisiva de rotulagem raramente seja exposta a conteúdo controlado pelo atacante. Os autores identificam três casos baseados no posicionamento da injeção:

• Caso 1 (Livre de injeção): A injeção está fora do caminho crítico. O Portão de Ação toma uma decisão segura.
• Caso 2 (Pistas Estruturais): A injeção está no caminho crítico, mas uma pista estrutural a precede. O parsing Biba identifica o limite e restringe a capacidade antes que a injeção seja revelada.
• Caso 3 (Risco Residual): A injeção está no caminho crítico sem pistas estruturais precedentes. Isso é empiricamente raro (~0,1% dos caminhos em seu conjunto de dados). Neste caso, o erro de rotulagem é confinado apenas aos elementos naquele caminho específico; o restante da página permanece protegido.

3. Principais Contribuições

1. Defesa Prismata: Um novo framework de sistema-nível que impõe privilégio mínimo contextual para agentes web sem exigir anotações do desenvolvedor.
2. Derivação Dinâmica de Confiança: Um método usando pistas estruturais e o modelo de integridade Biba para inferir rótulos de confiança e limitar erros de rotulagem, garantindo que os rótulos possam apenas diminuir em privilégio (não-escrita para cima).
3. Confinamento Mecânico: Uma camada de implementação determinística que redige conteúdo e restringe as capacidades do agente com base nos rótulos derivados, operando sobre snapshots capturados do DOM em vez de mutar o DOM vivo.
4. Framework de Avaliação: Um framework modular para avaliar a segurança de agentes web, capaz de injetar ataques adaptativos e medir a eficácia da defesa.

4. Resultados da Avaliação

Os autores avaliaram o Prismata usando o ambiente WebArena, testando contra três templates de ataque de pop-up (Shortcut, Fake Completion, Ignore Instruction) e testes de estresse adaptativos (WASP).

• Mitigação de Ataques: O Prismata reduziu a Taxa de Sucesso de Ataque (ASR) média de 85,5% (baseline) para 0,7%.
• Utilidade da Tarefa: Sob ataque, a Taxa de Sucesso da Tarefa (TSR) melhorou de 4,5% para 23,0%.
• Utilidade Benigna: Em cenários não adversariais, o Prismata preservou a maior parte da utilidade do baseline, com a TSR caindo apenas ligeiramente de 29,9% para 26,6%.
• Precisão de Rotulagem: Estudos de validação contra especialistas humanos mostraram alta precisão (93%–98%) através de vários LLMs usados para rotulagem, indicando que os modelos raramente admitem elementos que deveriam ser restritos.
• Fundamentos Empíricos: Uma análise de mais de 1.500 sites mostrou que o conteúdo não confiável reside em um caminho crítico para um elemento acionável em apenas 1,2% dos casos. Destes, pistas estruturais precedem o conteúdo em 91,3% dos casos, deixando um risco residual de apenas 0,1% (reduzível para 0,017% em sites que seguem as melhores práticas da web).

5. Significância e Alegações

O artigo afirma que o Prismata representa um passo significativo no avanço da segurança de agentes web ao abordar o "emaranhamento" fundamental de conteúdo confiável e não confiável.

• Generalização: Ao contrário de abordagens anteriores que exigem mapeamento manual de sites, o Prismata opera em sites existentes sem intervenção do desenvolvedor, suportando a "cauda longa" da web.
• Inspiração Formal: Ao adaptar o clássico modelo de integridade Biba para o contexto de LLM, o Prismata fornece garantias estruturais que limitam o impacto de erros de rotulagem, garantindo que a escalada de privilégio seja mecanicamente impossível para elementos fora do caminho comprometido.
• Praticidade: O sistema demonstra que uma segurança de alta fidelidade pode ser alcançada com um overhead computacional gerenciável, especialmente ao aproveitar o cache para a linhagem do DOM.

Os autores concluem que, embora o XSP seja um ressurgimento da ameaça XSS, ele requer uma estratégia de defesa distinta que trate a linguagem natural como código executável. O Prismata fornece essa estratégia ao desacoplar a derivação da política de segurança do conteúdo não confiável que ela busca filtrar, confinando assim as capacidades do agente ao escopo estrito da tarefa do usuário.