O Google apresenta uma visão de segurança em várias camadas para os recursos de navegação agentiva no Chrome, com foco na principal ameaça aos navegadores capazes de executar tarefas automaticamente: a injeção indireta de comandos. Esse tipo de ataque pode aparecer em sites maliciosos ou em conteúdo de terceiros dentro de iframes ou avaliações de usuários e, então, levar o agente a executar ações que não correspondem ao objetivo do usuário, como iniciar transações financeiras ou exfiltrar dados sensíveis.
O Google afirma que o design da navegação agentiva segura no Chrome se beneficiou da colaboração de especialistas em segurança da empresa, das proteções existentes no Gemini e dos princípios de segurança para agentes. A arquitetura proposta combina defesas determinísticas e probabilísticas para tornar a exploração do agente mais difícil e custosa, mantendo o usuário no controle durante a execução de ações relevantes.
Um modelo independente para revisar as ações do agente
Na fase de planejamento, o Gemini depende do conteúdo das páginas que o Chrome compartilha com ele para determinar o próximo passo. No entanto, esse conteúdo não é confiável por natureza e, por isso, o modelo de planejamento continua vulnerável a tentativas de influência destinadas a alterar o curso da tarefa. O Google usa técnicas como o Spotlighting para orientar o modelo a priorizar as instruções do usuário e do sistema em relação às instruções presentes na página, além de incluir ataques conhecidos no treinamento do Gemini para ajudá-lo a evitá-los.
Para adicionar outra camada, o Google apresenta um componente chamado User Alignment Critic, um modelo independente criado com o Gemini que atua como um componente de alta confiança. Esse modelo entra em ação após a conclusão do planejamento para examinar cada ação proposta e se concentra em uma pergunta específica: a ação serve ao objetivo definido pelo usuário? Se considerar que a ação não está alinhada ao objetivo, ele poderá rejeitá-la.
Esse componente não vê conteúdo da web não filtrado; ele acessa metadados associados à ação proposta. Essa arquitetura lhe oferece menos contexto, mas mantém sua tarefa mais simples e mais isolada de conteúdo malicioso: aprovar ou rejeitar. Quando uma ação é rejeitada, o crítico envia seus comentários ao modelo de planejamento para reformular o plano, enquanto o sistema pode devolver o controle ao usuário quando as falhas se repetem.
Restringindo o escopo dos sites que o agente pode acessar
O Google estende os princípios de isolamento de sites e da política de mesma origem ao ambiente de agentes por meio do conceito de Agent Origin Sets. Os agentes precisam operar em mais de um site, como coletar componentes de um site e depois preencher um carrinho de compras em outro, mas conceder a um agente comprometido capacidade irrestrita de interagir com sites aleatórios poderia transformá-lo em um canal para contornar o isolamento de sites e vazar dados de sessões locais autenticadas.
Uma função de controle confiável identifica os recursos associados à tarefa e os divide, em cada sessão, em dois grupos distintos:
- Recursos somente leitura: o Gemini pode consumir seu conteúdo, enquanto o conteúdo de um iframe não é mostrado ao modelo se sua origem não estiver nesse grupo.
- Recursos de leitura e gravação: o agente pode lê-los e executar ações neles, como clicar e digitar.
Essa separação reduz a possibilidade de transferir dados entre origens não relacionadas à tarefa e também permite que o navegador sequer envie ao modelo os dados que estão fora do conjunto de leitura. O modelo de planejamento não pode adicionar novas origens por conta própria; a função de controle precisa aprová-las. Uma separação semelhante se aplica a conteúdos não relacionados à web, como chamadas de ferramentas, por meio da distinção entre chamadas de leitura e gravação e da verificação de sua adequação à tarefa.
As navegações para novas origens também passam por revisão. Se o planejador sugerir a navegação para uma origem que não esteja no conjunto de leitura, uma cópia do User Alignment Critic verifica sua relação com a tarefa antes de adicioná-la e iniciar a navegação. O Chrome também usa uma verificação determinística para restringir as URLs geradas pelo modelo a URLs públicas conhecidas, pois URLs elaboradas pelo modelo podem ser exploradas para exfiltrar informações privadas. Se a página navegar automaticamente para uma nova origem, essa origem passará pela mesma revisão.
O Google reconhece que ajustar esses limites corretamente desde a primeira tentativa é difícil antes de saber como as tarefas dos usuários interagirão com eles. Por isso, inicialmente implementou uma versão mais simples do controle de recursos que acompanha os conjuntos de leitura e gravação, com planos de ajustar as funções de controle e os demais elementos do sistema para reduzir o atrito e melhorar a segurança.
Confirmações do usuário e monitoramento de ações sensíveis
O Chrome exibe as etapas do agente em um registro de atividades dentro da guia, permitindo que o usuário acompanhe o que acontece momento a momento; ele também pode interromper a tarefa ou retomar o controle a qualquer momento. Essa transparência é apoiada por um conjunto de verificações determinísticas e baseadas em modelos que solicitam a confirmação do usuário antes de ações relevantes.
Os principais pontos de interrupção incluem:
- Solicitar confirmação antes de navegar para sites sensíveis, como sites relacionados a transações bancárias ou informações médicas pessoais, com base em uma verificação determinística de uma lista de sites sensíveis.
- Solicitar confirmação antes de fazer login em um site usando o Google Password Manager, sem disponibilizar diretamente ao modelo as senhas armazenadas.
- Interromper antes de ações como concluir uma compra ou pagamento, enviar uma mensagem ou realizar qualquer ação com consequências, solicitando permissão ou pedindo ao usuário que execute a próxima etapa.
Detecção, testes e resposta
O sistema examina cada página vista pelo agente em busca de injeção indireta de comandos, em paralelo à verificação em tempo real do Chrome por meio do Safe Browsing e da inteligência artificial no dispositivo para detectar fraudes tradicionais. O classificador de injeção de comandos funciona em paralelo à inferência do modelo de planejamento e pode bloquear ações que, segundo sua determinação, foram induzidas pelo conteúdo da página com o objetivo de afastar o agente da finalidade do usuário. O Google reconhece que o classificador não detectará todos os possíveis efeitos maliciosos, mas ele representa uma camada adicional dentro de uma defesa em várias camadas.
Para verificar a eficácia desses controles, o Google criou sistemas automatizados de testes ofensivos que geram sites maliciosos isolados e tentam tirar o agente de seu curso. Os testes começam com ataques elaborados por pesquisadores de segurança e depois são ampliados usando modelos de linguagem e uma técnica adaptada para agentes de navegador. Os testes se concentram em conteúdo amplamente disseminado, como publicações de usuários em redes sociais e anúncios, e em ataques que podem causar danos persistentes, como transações financeiras ou vazamento de credenciais. O Google usa a taxa de sucesso dos ataques para avaliar mudanças de engenharia e evitar regressões, enquanto as atualizações automáticas do Chrome ajudam a distribuir correções rapidamente.
O Google atualizou as diretrizes de seu programa de recompensas por vulnerabilidades para esclarecer como pesquisadores externos devem se concentrar nos recursos agentivos do Chrome e afirma que pagará até 20.000 dólares por vulnerabilidades graves que comprovem a violação dos limites de segurança. A empresa enfatiza que a segurança de agentes web ainda é uma área emergente e que essas proteções evoluirão à medida que os testes continuarem e houver colaboração com a comunidade de pesquisa em segurança.