Google stellt ein mehrschichtiges Sicherheitskonzept für agentische Browserfunktionen in Chrome vor, wobei der wichtigste Bedrohungsfaktor für Browser, die Aufgaben automatisch ausführen können, im Mittelpunkt steht: indirekte Prompt-Injection. Diese Art von Angriff kann auf schädlichen Websites oder in Inhalten Dritter innerhalb von iframes oder Nutzerbewertungen auftreten und den Agenten dazu bringen, Aktionen auszuführen, die nicht mit dem Ziel des Nutzers übereinstimmen, etwa Finanztransaktionen zu starten oder sensible Daten preiszugeben.
Google erklärt, dass das Design des sicheren agentischen Browsens in Chrome von der Zusammenarbeit mit Sicherheitsexperten des Unternehmens, den bestehenden Schutzmechanismen von Gemini und den Sicherheitsprinzipien für Agenten profitiert hat. Die vorgeschlagene Architektur verbindet deterministische und probabilistische Abwehrmaßnahmen, um die Ausnutzung des Agenten schwieriger und kostspieliger zu machen und gleichzeitig sicherzustellen, dass der Nutzer bei der Ausführung folgenreicher Aktionen die Kontrolle behält.
Ein unabhängiges Modell zur Prüfung von Agentenaktionen
Gemini nutzt in der Planungsphase die von Chrome bereitgestellten Seiteninhalte, um den nächsten Schritt zu bestimmen. Diese Inhalte sind jedoch von Natur aus nicht vertrauenswürdig, weshalb das Planungsmodell weiterhin Versuchen ausgesetzt ist, seinen Aufgabengang zu beeinflussen. Google verwendet Techniken wie Spotlighting, um das Modell dazu anzuleiten, Nutzer- und Systemanweisungen gegenüber den auf der Seite vorhandenen Anweisungen zu bevorzugen. Außerdem wurden bekannte Angriffe in das Training von Gemini aufgenommen, damit das Modell sie vermeiden kann.
Als zusätzliche Ebene stellt Google eine Komponente namens User Alignment Critic vor, ein separates, mit Gemini entwickeltes Modell, das als Komponente mit hohem Vertrauensniveau arbeitet. Dieses Modell wird nach Abschluss der Planung eingesetzt, um jede vorgeschlagene Aktion zu prüfen. Dabei konzentriert es sich auf eine konkrete Frage: Dient die Aktion dem vom Nutzer festgelegten Ziel? Wenn es die Aktion als nicht zielkonform einstuft, kann es sie ablehnen.
Diese Komponente sieht keine ungefilterten Webinhalte, sondern erhält Metadaten zur vorgeschlagenen Aktion. Dadurch steht ihr weniger Kontext zur Verfügung, zugleich bleibt ihre Aufgabe einfacher und stärker von schädlichen Inhalten isoliert: Zustimmung oder Ablehnung. Wird eine Aktion abgelehnt, sendet der Critic seine Anmerkungen an das Planungsmodell, damit dieses den Plan neu formuliert. Bei wiederholten Fehlern kann das System die Kontrolle an den Nutzer zurückgeben.
Begrenzung des Umfangs der Websites, auf die der Agent zugreifen kann
Google überträgt die Prinzipien der Site Isolation und der Same-Origin-Policy über das Konzept der Agent Origin Sets auf die Umgebung für Agenten. Agenten müssen über mehrere Websites hinweg arbeiten können, etwa Komponenten auf einer Website sammeln und anschließend einen Einkaufswagen auf einer anderen Website füllen. Ein kompromittierter Agent mit uneingeschränkter Fähigkeit, mit beliebigen Websites zu interagieren, könnte jedoch zu einem Weg werden, die Site Isolation zu umgehen und Daten aus lokalen angemeldeten Sitzungen abzuschöpfen.
Eine vertrauenswürdige Kontrollfunktion bestimmt die mit der Aufgabe verbundenen Ursprünge und teilt sie für jede Sitzung in zwei klar definierte Gruppen auf:
- Nur-Lese-Ursprünge: Gemini darf deren Inhalte nutzen. Der Inhalt eines iframes wird dem Modell jedoch nicht angezeigt, wenn dessen Ursprung nicht zu dieser Gruppe gehört.
- Lese- und Schreibursprünge: Der Agent darf daraus lesen und Aktionen darauf ausführen, etwa klicken und Text eingeben.
Diese Trennung verringert die Wahrscheinlichkeit, dass Daten zwischen nicht mit der Aufgabe verbundenen Ursprüngen übertragen werden. Außerdem kann der Browser Daten außerhalb der Lesegruppe grundsätzlich nicht an das Modell senden. Das Planungsmodell kann nicht eigenständig neue Ursprünge hinzufügen; diese müssen von der Kontrollfunktion genehmigt werden. Eine ähnliche Trennung gilt für nicht webbezogene Inhalte wie Tool-Aufrufe, indem zwischen Lese- und Schreibaufrufen unterschieden und deren Aufgabenrelevanz geprüft wird.
Auch Navigationen zu neuen Ursprüngen werden überprüft. Schlägt der Planer die Navigation zu einem Ursprung vor, der nicht in der Lesegruppe enthalten ist, prüft eine Instanz des User Alignment Critic dessen Bezug zur Aufgabe, bevor er hinzugefügt und die Navigation eingeleitet wird. Chrome verwendet außerdem eine deterministische Prüfung, um die vom Modell erzeugten URLs auf bekannte öffentliche Adressen zu beschränken, da vom Modell erstellte Adressen zur Offenlegung privater Informationen missbraucht werden könnten. Wenn die Seite automatisch zu einem neuen Ursprung weiterleitet, wird dieser Ursprung ebenfalls derselben Prüfung unterzogen.
Google räumt ein, dass es schwierig ist, diese Grenzen beim ersten Versuch korrekt festzulegen, bevor bekannt ist, wie die Aufgaben der Nutzer mit ihnen interagieren. Daher hat das Unternehmen zunächst eine einfachere Version der Ressourcensteuerung eingeführt, die die Lese- und Schreibgruppen verfolgt. Geplant ist, die Funktionen der Kontrollinstanz und die übrigen Systemkomponenten anzupassen, um Reibung zu verringern und die Sicherheit zu verbessern.
Nutzerbestätigungen und Überwachung sensibler Aktionen
Chrome zeigt die Schritte des Agenten in einem Aktivitätsprotokoll innerhalb des Tabs an, sodass der Nutzer jederzeit verfolgen kann, was geschieht. Der Nutzer kann die Aufgabe außerdem jederzeit anhalten oder die Kontrolle zurückerlangen. Diese Transparenz wird durch eine Reihe deterministischer und modellbasierter Prüfungen ergänzt, die vor folgenreichen Aktionen eine Nutzerbestätigung verlangen.
Zu den wichtigsten Haltepunkten gehören:
- Eine Bestätigung vor der Navigation zu sensiblen Websites, etwa Websites für Bankgeschäfte oder persönliche medizinische Informationen, auf Grundlage einer deterministischen Prüfung einer Liste sensibler Websites.
- Eine Bestätigung vor der Anmeldung bei einer Website mit dem Google Password Manager, wobei gespeicherte Passwörter dem Modell nicht direkt zugänglich gemacht werden.
- Eine Unterbrechung vor Aktionen wie dem Abschluss eines Kaufs, einer Zahlung, dem Senden einer Nachricht oder jeder anderen Handlung mit Folgen. Anschließend wird um Erlaubnis gebeten oder der Nutzer aufgefordert, den nächsten Schritt auszuführen.
Erkennung, Tests und Reaktion
Das System untersucht jede vom Agenten betrachtete Seite auf indirekte Prompt-Injection. Parallel dazu führt Chrome mit Safe Browsing und On-Device-KI eine Echtzeitprüfung durch, um herkömmliche Betrugsversuche zu erkennen. Ein Prompt-Injection-Klassifikator arbeitet parallel zur Inferenz des Planungsmodells und kann Aktionen verhindern, bei denen er feststellt, dass der Seiteninhalt sie ausgelöst hat, um den Agenten vom Ziel des Nutzers abzubringen. Google räumt ein, dass der Klassifikator nicht jeden möglichen schädlichen Einfluss erkennen wird, doch er stellt eine zusätzliche Ebene innerhalb einer mehrschichtigen Verteidigung dar.
Um die Wirksamkeit dieser Kontrollen zu überprüfen, hat Google automatisierte Angriffstestsysteme entwickelt, die isolierte schädliche Websites erzeugen, die versuchen, den Agenten von seinem Kurs abzubringen. Die Tests beginnen mit von Sicherheitsforschern formulierten Angriffen und werden anschließend mithilfe von Sprachmodellen und einer Technik erweitert, die für Browseragenten angepasst wurde. Die Tests konzentrieren sich auf weit verbreitete Inhalte wie Nutzerbeiträge in sozialen Netzwerken und Anzeigen sowie auf Angriffe, die dauerhaften Schaden verursachen könnten, etwa Finanztransaktionen oder den Diebstahl von Zugangsdaten. Google verwendet die Erfolgsrate der Angriffe, um technische Änderungen zu bewerten und Rückfälle zu verhindern, während automatische Chrome-Updates dabei helfen, Korrekturen schnell bereitzustellen.
Google hat seine Richtlinien für das Prämienprogramm für Sicherheitslücken aktualisiert, um zu verdeutlichen, wie externe Forscher den Fokus auf die agentischen Funktionen von Chrome legen können. Das Unternehmen erklärt, dass es bis zu 20.000 US-Dollar für kritische Sicherheitslücken zahlen wird, bei denen ein Durchbrechen der Sicherheitsgrenzen nachgewiesen wird. Google betont, dass die Sicherheit von Webagenten weiterhin ein junges Gebiet ist und dass sich diese Schutzmaßnahmen mit fortgesetzten Tests und der Zusammenarbeit mit der Sicherheitsforschungsgemeinschaft weiterentwickeln werden.