Google, Chrome'daki ajanlı tarama yetenekleri için çok katmanlı bir güvenlik yaklaşımı sunuyor ve otomatik olarak görev gerçekleştirebilen tarayıcıların karşı karşıya olduğu en önemli tehdide, dolaylı komut enjeksiyonuna odaklanıyor. Bu tür saldırılar kötü amaçlı sitelerde veya iframe'lerde ya da kullanıcı yorumlarında bulunan üçüncü taraf içeriklerinde ortaya çıkabilir ve ardından ajanı, finansal işlemleri başlatmak veya hassas verileri dışarı aktarmak gibi kullanıcının amacıyla uyumlu olmayan eylemler gerçekleştirmeye yöneltebilir.
Google, Chrome'daki güvenli ajanlı tarama tasarımının şirketin güvenlik uzmanlarıyla yapılan iş birliğinden, Gemini'de bulunan korumalardan ve ajan güvenliği ilkelerinden yararlandığını söylüyor. Önerilen mimari, ajanın kötüye kullanılmasını daha zor ve maliyetli hâle getirmek, etkili eylemler gerçekleştirilirken kullanıcıyı kontrol döngüsünde tutmak amacıyla belirleyici ve olasılıksal savunmaları bir araya getiriyor.
Ajan eylemlerini inceleyen bağımsız model
Gemini, planlama aşamasında sonraki adımı belirlemek için Chrome'un kendisiyle paylaştığı sayfa içeriğine dayanıyor. Ancak bu içerik doğası gereği güvenilir değil; dolayısıyla planlama modeli, görevin akışını değiştirmeyi amaçlayan etkileme girişimlerine açık kalıyor. Google, modeli sayfada bulunan talimatlar yerine kullanıcı ve sistem talimatlarını tercih etmeye yönlendirmek için Spotlighting gibi teknikleri kullanıyor ve bilinen saldırıları Gemini'nin eğitimine dâhil ederek bunlardan kaçınmasına yardımcı oluyor.
Google, ek bir katman olarak User Alignment Critic adlı, Gemini kullanılarak oluşturulmuş ve yüksek güvenilirlikli bir bileşen olarak çalışan ayrı bir model sunuyor. Bu model, planlama tamamlandıktan sonra devreye girerek önerilen her eylemi inceliyor ve belirli bir soruya odaklanıyor: Eylem, kullanıcının belirlediği amaca hizmet ediyor mu? Eylemi amaçla uyumsuz kabul ederse onu reddedebiliyor.
Bu bileşen, filtrelenmemiş web içeriğini görmüyor; bunun yerine önerilen eylemle ilişkili meta verilere erişiyor. Bu yapı ona daha az bağlam sağlıyor, ancak görevini daha basit ve zararlı içerikten daha yalıtılmış hâle getiriyor: onaylamak veya reddetmek. Eylemlerden biri reddedildiğinde eleştirmen, planlama modeline planı yeniden düzenlemesi için geri bildirim gönderiyor; başarısızlıklar tekrarlanırsa sistem kontrolü kullanıcıya geri verebiliyor.
Ajanın erişebileceği sitelerin kapsamını sınırlama
Google, site izolasyonu ilkelerini ve aynı kaynak politikasını ajan ortamına Agent Origin Sets kavramı aracılığıyla genişletiyor. Ajanların birden fazla sitede çalışması gerekiyor; örneğin bir siteden bileşenleri toplayıp başka bir sitede alışveriş sepetini doldurmaları gerekebilir. Ancak ele geçirilmiş bir ajana rastgele sitelerle sınırsız etkileşim kurma yetkisi vermek, onu site izolasyonunu aşmak ve yerel oturum açma oturumlarındaki verileri sızdırmak için bir kanala dönüştürebilir.
Güvenilir bir denetim işlevi, görevle ilişkili kaynakları belirliyor ve bunları her oturum için iki açık gruba ayırıyor:
- Salt okunur kaynaklar: Gemini'nin içeriklerini tüketmesine izin veriliyor; kaynak bu grupta değilse iframe içeriği modele gösterilmiyor.
- Okuma-yazma kaynakları: Ajanın bu kaynaklardan okuma yapmasına ve tıklama ya da yazma gibi eylemleri bunlar üzerinde gerçekleştirmesine izin veriliyor.
Bu ayrım, görevle ilgisi olmayan kaynaklar arasında veri aktarılması ihtimalini azaltıyor ve tarayıcının okuma grubunun dışında kalan verileri modele hiç göndermemesine olanak tanıyor. Planlama modeli kendi başına yeni kaynaklar ekleyemiyor; bunların denetim işlevi tarafından onaylanması gerekiyor. Benzer bir ayrım, araç çağrıları gibi web dışı içeriklere de uygulanıyor; okuma ve yazma çağrıları birbirinden ayrılıyor ve göreve uygunlukları doğrulanıyor.
Yeni kaynaklara geçişler de incelemeye tabi tutuluyor. Planlayıcı, okuma grubunda bulunmayan bir kaynağa geçiş önerirse User Alignment Critic'in bir kopyası, kaynak eklenip geçiş başlatılmadan önce kaynağın görevle ilişkisini doğruluyor. Chrome ayrıca modelin oluşturduğu URL'leri bilinen genel URL'lerle sınırlamak için belirleyici bir denetim kullanıyor; çünkü model tarafından oluşturulan adresler özel bilgileri dışarı aktarmak için kötüye kullanılabilir. Sayfa otomatik olarak yeni bir kaynağa geçerse bu kaynak da aynı incelemeye tabi tutuluyor.
Google, kullanıcı görevlerinin bu sınırlarla nasıl etkileşime gireceği bilinmeden bu sınırları ilk denemede doğru ayarlamanın zor olduğunu kabul ediyor. Bu nedenle başlangıçta okuma ve yazma gruplarını izleyen daha basit bir kaynak denetimi sürümünü uyguladı; sürtünmeyi azaltmak ve güvenliği iyileştirmek için denetim işlevlerini ve sistemin diğer unsurlarını ayarlamayı planlıyor.
Kullanıcı onayları ve hassas eylemlerin izlenmesi
Chrome, ajanın adımlarını sekme içinde bir çalışma günlüğünde gösteriyor; böylece kullanıcı neler olduğunu anbean takip edebiliyor ve görevi istediği zaman durdurabiliyor veya kontrolü geri alabiliyor. Bu şeffaflık, etkili eylemlerden önce kullanıcı onayı isteyen bir dizi belirleyici ve model tabanlı denetimle destekleniyor.
Başlıca duraklatma noktaları şunları içeriyor:
- Belirleyici bir hassas site listesi denetimine dayanarak bankacılık işlemleri veya kişisel tıbbi bilgilerle ilgili siteler gibi hassas sitelere geçmeden önce onay isteme.
- Google Password Manager kullanarak bir siteye giriş yapmadan önce onay isteme; depolanan parolaların doğrudan modele sunulmaması.
- Satın alma veya ödeme işlemini tamamlama, mesaj gönderme ya da sonuç doğuracak herhangi bir eylem gibi işlemlerden önce duraklama, ardından izin isteme veya kullanıcıdan sonraki adımı gerçekleştirmesini isteme.
Tespit, test ve müdahale
Sistem, ajanın gördüğü her sayfayı dolaylı komut enjeksiyonu açısından inceliyor; aynı zamanda Chrome'un Safe Browsing ve cihaz üzerindeki yapay zekâ aracılığıyla geleneksel dolandırıcılık girişimlerini tespit eden gerçek zamanlı taraması da çalışıyor. Komut enjeksiyonu sınıflandırıcısı, planlama modelinin çıkarımıyla eş zamanlı çalışıyor ve sayfa içeriğinin ajanı kullanıcının amacından uzaklaştırmak için yönlendirdiğini tespit ettiği eylemleri engelleyebiliyor. Google, sınıflandırıcının olası her zararlı etkiyi tespit edemeyeceğini kabul ediyor; ancak bunun çok katmanlı bir savunmanın parçası olarak ek bir katman oluşturduğunu belirtiyor.
Bu denetimlerin etkinliğini doğrulamak için Google, ajanı rotasından çıkarmaya çalışan yalıtılmış kötü amaçlı siteler oluşturan otomatik saldırı testi sistemleri kurdu. Testler, güvenlik araştırmacıları tarafından hazırlanan saldırılarla başlıyor; ardından dil modelleri ve tarayıcı ajanlarına uyarlanmış bir teknik kullanılarak genişletiliyor. Testler, sosyal medya sitelerindeki kullanıcı gönderileri ve reklamlar gibi geniş çapta yayılan içeriklere ve finansal işlemler veya kimlik bilgilerinin sızdırılması gibi kalıcı zarara yol açabilecek saldırılara odaklanıyor. Google, mühendislik değişikliklerini değerlendirmek ve gerilemeleri önlemek için saldırıların başarı oranını kullanıyor; Chrome'un otomatik güncellemeleri ise düzeltmelerin hızla ulaştırılmasına yardımcı oluyor.
Google, dış araştırmacıların Chrome'un ajanlı yeteneklerine nasıl odaklanabileceğini açıklığa kavuşturmak için hata ödül programı yönergelerini güncelledi ve güvenlik sınırlarının aşıldığını kanıtlayan kritik güvenlik açıkları için 20.000 ABD dolarına kadar ödeme yapacağını söylüyor. Şirket, web ajanlarının güvenliğinin hâlâ gelişmekte olan bir alan olduğunu ve bu korumaların testler ile güvenlik araştırmaları topluluğuyla iş birliği sürdükçe gelişeceğini vurguluyor.