Ciò che è, non ciò che dice: proteggere le interazioni di navigazione degli agenti con la semantica del web

Abstract degli autori

Gli agenti di IA navigano sempre più spesso sul web per conto degli utenti, ma acquisiscono le pagine web sotto forma di schermate o testo, esponendo i loro LLM a contenuti di terze parti non verificati. I browser applicano una semantica in base alla quale ciò che un elemento può fare dipende da che cos’è e da dove proviene, non da ciò che dice. Gli agenti appiattiscono questa semantica, perciò un testo inserito da un attaccante può persuadere l’LLM a usare l’autorità dell’utente a favore di contenuti che non ne hanno alcuna. Poiché gli LLM restano facili da persuadere, l’interfaccia dell’agente con il web deve garantire essa stessa l’integrità di ciò che l’agente legge, interpreta e fa. Proponiamo Intact, che funziona su un browser non modificato. Intact costruisce GenTree, una rappresentazione appositamente progettata che conserva le informazioni sulla provenienza e la semantica del web. Intact presenta la pagina all’LLM tramite GenTree, un elemento alla volta, così che l’LLM decida su ciascun elemento senza vedere il testo di nessun altro elemento. Il suo sistema di esecuzione compie ogni passaggio solo entro i limiti delle capacità dell’elemento a cui il passaggio si riferisce e chiede l’autorizzazione all’utente prima di agire su contenuti di terze parti. Su 1.270 pagine web reali, GenTree attribuisce a terze parti un numero di elementi 2,3 volte superiore rispetto al browser, che ne attribuisce erroneamente il 58,7% alla prima parte. Su 1.091 di queste pagine web con attacchi inseriti, solo il 12,8% degli attacchi supera il pianificatore di Intact, e comunque al massimo sotto forma di richiesta di consenso, contro il 73,1% con un pianificatore convenzionale. L’isolamento compromette la funzionalità solo nel 3,7% delle attività, e una pianificazione parallela potrebbe eliminare gran parte della latenza aggiuntiva che comporta.