Prismata: Confining cross-site prompt injection in web agents
AI 深度解读
背景
随着大语言模型（LLM）的快速发展，自主 Web 代理（autonomous web agents）正逐步取代人工操作，自动完成日常浏览任务，如填写表单、预订服务、获取信息等。然而，这类代理在继承 Web 便利性的同时，也继承了 Web 最古老的攻击面之一——跨站脚本（Cross-Site Scripting，XSS）。XSS 早已证明，将可信内容与不可信内容混合在一起是危险的，即使在看似无害的页面中也是如此。
Web 代理将此风险以新的形式重现：它们将自然语言解释为指令，这使得第三方内容或用户生成内容可以通过提示注入（prompt injection）劫持代理的行为。核心挑战在于，要推导任务特定的安全策略，必须对页面结构进行推理，而页面结构本身又与攻击者的内容纠缠在一起，难以分离。
核心内容
本文提出 Prismata，一种针对 Web 代理的上下文最小权限（contextual least privilege）防御机制，从两个维度约束代理：代理能“看到”什么以及代理能“执行”什么。
Prismata 的核心机制包括：
-
动态信任推导：Prismata 为页面内容生成权限标签，并基于经典完整性模型（classical integrity models）提供结构约束保证。这种保证确保任何标签错误只会导致权限降低（即标签只能变得更严格），从而将误标记的影响限制在安全范围内。
-
机械约束：Prismata 通过编辑页面内容（redacting content）来实际执行这些标签，同时限制代理可调用的能力（如点击、输入、导航等）。例如，低信任区域的内容会被模糊或移除，代理无法对高权限区域执行敏感操作。
-
无需开发者注解：Prismata 不需要网站开发者手动标注哪些内容可信、哪些不可信。它完全依赖页面结构自动推导信任级别，因此能够支持海量的长尾网站（long tail of websites），而无需逐个适配。
在已有的 Web 代理攻击测试中（包括适应性的攻击变体），Prismata 大幅降低了攻击成功率，同时保持了良性任务的可用性（benign task utility）。
关键要点
- Prismata 设计了动态信任推导机制，为页面内容分配权限标签，并利用经典完整性模型确保标签错误只会降低权限，不会提升。
- 采用机械约束（redaction + capability restriction）来实际执行权限策略，而非仅停留在理论层面。
- 防御完全自动化，不依赖开发者手动标注，因此可覆盖所有网站（long tail）。
- 在多个公开的 Web 代理提示注入攻击（包括自适应变体）上测试，攻击成功率显著降低，同时良性任务完成率损失极小。
- 该方法同时约束了代理的输入（可见内容）和输出（可执行操作），形成双重防护。
意义与影响
Prismata 是首个将经典信息流完整性模型（如 Biba 模型）应用到 Web 代理提示注入防御中的系统性方案。它解决了当前 Web 代理安全中最棘手的问题：如何在不依赖人工标注的情况下，自动区分页面中的可信指令与不可信干扰。
其意义在于：
- 安全性提升：通过严格的权限下降保证，即使攻击者成功注入恶意内容，也无法获得更高权限，从而限制了攻击破坏力。
- 实用性突出：无需开发者合作，可一键部署到现有 Web 代理框架中，适合大规模推广。
- 设计范式启发：将“上下文最小权限”作为 Web 代理安全的基本原则，可能影响未来代理系统的架构设计。
随着 Web 代理逐步从学术演示走向实际应用（如浏览器自动化、智能助手），Prismata 提供了一种可落地的、兼顾安全与可用性的解决方案，为代理在真实互联网环境中的安全部署铺平了道路。