WebMCP-Phalanx tenta impor fronteiras de confiança para agentes de IA integrados ao navegador

A proposta emergente WebMCP do W3C permite que qualquer página web registre ferramentas que um agente LLM rodando no navegador possa invocar diretamente — uma extensão natural da tendência de agentes integrados ao navegador, mas que herda o modelo de segurança do navegador baseado em Same-Origin Policy, desenhado para isolar scripts e cookies, não para garantir quem registrou uma determinada ferramenta ou por quanto tempo ela deveria continuar válida.

Os autores identificam três riscos concretos: spoofing de atribuição de sujeito (uma página fingindo que uma ferramenta vem de outra origem mais confiável), ciclos de vida descontrolados de ferramentas (ferramentas que sobrevivem à página/aba que as registrou, ou são trocadas silenciosamente) e injeção semântica de prompt (instruções maliciosas escondidas em nomes, descrições ou saídas de ferramentas). A solução proposta tem duas camadas: uma âncora de confiança nativa do navegador que vincula cada ferramenta ao seu principal registrante via credenciais criptográficas de capacidade, propagando rótulos de proveniência por todo o ciclo de vida da ferramenta; e a separação do próprio agente em um Agente de Quarentena (Q-LLM), sem autoridade de execução, que inspeciona metadados e saídas de ferramentas em busca de injeção, e um Agente Privilegiado (P-LLM), que só executa o que o Q-LLM validou, mantendo o raciocínio interno do Q-LLM invisível para scripts da página.

É um dos primeiros tratamentos sistemáticos de segurança de um padrão do W3C ainda em fase de proposta, antes de ampla adoção. Os resultados mostram que o mecanismo de propriedade elimina completamente ataques de revogação/sobrescrita (de 100% para 0% de sucesso) e a separação em dois agentes bloqueou as 80 tentativas testadas de injeção de prompt embutida em descrições de ferramentas — mas um atacante adaptativo com acesso white-box ainda consegue contornar a filtragem baseada em descrição usando nomes de ferramenta maliciosos invocados antes que a inspeção ocorra, o que os autores dizem exigir um mecanismo adicional de controle de timing de chamada.

Aceito no AAAI 2027, o trabalho é relevante para qualquer equipe experimentando com padrões de chamada de ferramentas por agentes de navegador (WebMCP e propostas similares), por antecipar as classes concretas de ataque que precisarão ser endereçadas antes que esses padrões cheguem à produção em larga escala.